TELEPUZ: un malware MaaS modulare diffuso via ClickFix dal 16…

TELEPUZ, malware modulare distribuito come Malware-as-a-Service, sfrutta la catena di infezione ClickFix-VIDAR per compromettere sistemi Windows. La campagna

{"main_topic":"malware","topics":["malware","cybersecurity","infostealer","phishing","clickfix"]}

TELEPUZ, malware modulare distribuito come Malware-as-a-Service, sfrutta la catena di infezione ClickFix-VIDAR per compromettere sistemi Windows. La campagna, analizzata da Elastic Security Labs e resa nota il 16 luglio 2026, combina ingegneria sociale con architettura enterprise-grade: 36 comandi remoti, comunicazione WebSocket e un sistema di fallback C2 distribuito su piattaforme legittime come Telegram, Steam, DNS e blockchain Polygon.

Punti chiave

La catena di infezione inizia con ClickFix: l'utente copia ed esegue un comando PowerShell che scarica una variante VIDAR scritta in Go, la quale a sua volta recupera lo stager TELEPUZ e il payload principale dal dominio hurgadatour[.]shop
Il payload principale è una DLL a 64 bit con export mascherati da nomi legittimi (GatewayLaunch, ServiceRoutine) che supporta 36 comandi remoti per controllo completo del sistema infetto
Il sistema di comando e controllo utilizza WebSocket con protocollo JSON e implementa fallback su Telegram, profilo Steam, DNS e smart contract Polygon all'indirizzo 0xf55Bea1FdCf1c3ABb39ab92567C09aC1BFf6753E
L'alto volume di build giornaliere su VirusTotal e il ritmo di aggiornamento suggeriscono un modello MaaS con sviluppo attivo da aprile 2026 e picco di attività osservato da inizio giugno 2026

La catena ClickFix-VIDAR: come si apre il varco

Il vettore iniziale è ClickFix, tecnica di ingegneria sociale che induce l'utente a copiare ed eseguire manualmente un comando PowerShell. Secondo quanto documentato da Elastic Security Labs, il comando contatta il dominio memshowblob[.]forum e scarica una variante del loader VIDAR riscritta in Go. Questa variante, identificata dall'hash 580b441e2961739fd26e54e0a0ea08351cb10a51839519fc722cfa39ecd0c954, rappresenta il secondo stadio dell'infezione.

Dal dominio hurgadatour[.]shop, VIDAR recupera due artefatti: lo stager TELEPUZ (install.exe, hash 03fa348b70819296c958c842e7646b3b7efe5fa217ed5098143003c47995a746) e il payload principale (telepuz.dll). Lo stager è un PE compreso tra 13 e 15 KB che esegue il caricamento della DLL via rundll32.exe, un'esecuzione che mimetizza l'attività di sistema legittima.

Il payload principale si presenta come DLL a 64 bit con export denominati GatewayLaunch e ServiceRoutine: nomi scelti per fondersi tra i componenti di rete e gestione di Windows. Questa architettura stager-payload scaricata dinamicamente permette al malware di mantenere dimensioni ridotte nell'accesso iniziale e acquisire funzionalità successive solo quando necessario.

Comandi remoti e fallback C2: l'infrastruttura fantasma

TELEPUZ implementa 36 comandi remoti che coprono esecuzione di processi, enumerazione file, cattura screenshot, upload e download, compressione ZIP, eliminazione dati e operazioni sul registro di sistema. La comunicazione primaria avviene tramite WebSocket con protocollo JSON, un canale che offre latenza bassa e mascherabilità nel traffico web standard.

Il elemento più distintivo è il sistema di fallback C2 distribuito su infrastrutture che sfuggono al takedown tradizionale. Oltre a Telegram e profili Steam, il malware ricorre a query DNS e a uno smart contract sulla blockchain Polygon all'indirizzo 0xf55Bea1FdCf1c3ABb39ab92567C09aC1BFf6753E. Questa pluralità di canali rende inefficace l'oscuramento di singoli domini o server: la resistenza alla censura è incorporata nel design.

I moduli aggiuntivi includono keylogging, furto di informazioni e web-injection su browser Chromium e Firefox tramite interfacce di debugging. La capacità di iniettare contenuti nelle sessioni di navigazione rappresenta minaccia specifica per operazioni bancarie e sessioni autenticate, dove il malware può alterare il comportamento della pagina senza richiedere credenziali esplicite.

Evasione e persistenza: tecniche da matrice APT

TELEPUZ dispiega contro-misure di rilevamento che eguagliano o superano quelle associate a gruppi avanzati. Le stringhe sensibili sono cifrate con RC4 custom, le API di sistema sono risolte tramite hashing dinamico, e le syscall sono eseguite indirettamente con patching in-memory di librerie casuali: dfscli.dll, davhlpr.dll, msdtclog.dll, dsrole.dll, secur32.dll. Questa tecnica, documentata con disassembly da Elastic, bypassa il monitoraggio di Event Tracing for Windows (ETW) e Anti-Malware Scan Interface (AMSI).

I controlli anti-VM e anti-sandbox sono altrettanto specifici: verifica di CPU con meno di 2 core, RAM inferiore a 2 GB, spazio disco, LCID dei paesi CIS, nomi utente e computer associati a sandbox (cuckoo, bruno, dekker, fortinet, sandbox, johnson, miller, wilson) e nomi di dispositivo display tipici degli hypervisor.

La persistenza è strutturata su più livelli: copia in cartelle specifiche del sistema, esecuzione persistente via rundll32.exe, bypass del controllo User Account Control (UAC), furto di token privilegiati e registrazione come servizio Windows. Il marcatore telemetriawork nei path URL è indicatore distintivo della famiglia, con 429 corrispondenze riscontrate su VirusTotal.

Piccolo team, grande business: il modello MaaS

"coding is their core business. Given the significant number of builds uploaded to VirusTotal daily, it is likely that we are dealing with a MaaS"
— Elastic Security Labs

La qualità del codice e le allocazioni sparse suggeriscono uno sviluppatore singolo o un team ridottissimo, non un'organizzazione strutturata. Tuttavia, il modello Malware-as-a-Service esternalizza la fase di accesso iniziale agli operatori che acquistano il prodotto, mentre lo sviluppatore si concentra sull'engineering. L'ingegneria sociale ClickFix, che costringe la vittima a eseguire autonomamente il payload, abbassa ulteriormente la soglia tecnica richiesta agli affiliati.

La fonte non specifica il ricavo generato dal modello MaaS, né identifica il gruppo dietro TELEPUZ con un nome specifico. Non emergono sovrapposizioni infrastrutturali che colleghino l'attore ad altre operazioni VIDAR precedenti: il rapporto tra questa variante Go e le distribuzioni storiche del loader resta da chiarire. Il dossier non documenta misure correttive specifiche rilasciate in risposta alla campagna.

Perché è importante

TELEPUZ dimostra che il confine tra crimeware commoditizzato e minacce persistenti avanzate si è assottigliato. Il social engineering ClickFix, un tempo associato a truffe di basso profilo, è diventato vettore di accesso iniziale per piattaforme modulari con persistenza enterprise-grade. Il modello MaaS democratizza l'accesso a capacità offensive che richiedevano competenze specialistiche.

Le tecniche di fallback C2 su piattaforme legittime come Telegram, Steam e blockchain Polygon rendono inefficace l'approccio tradizionale al takedown basato su segnalazione di provider e de-registrazione di domini. Il modulo di web-injection tramite debugging API, infine, espone operazioni bancarie e sessioni autenticate a manipolazioni che sfuggono alle verifiche lato server.

Il filtro anti-VM con esclusione dei paesi CIS suggerisce targeting extra-CIS, ma la copertura geografica effettiva delle campagne non è confermata nel dossier. Non è noto se il fallback C2 via blockchain Polygon sia attivamente utilizzato o solo implementato come riserva.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti