Acronis Threat Research Unit (TRU) ha individuato una nuova campagna che sfrutta false comunicazioni finanziarie, tecniche avanzate di offuscamento e un’infrastruttura progettata per eludere i sistemi di sicurezza. Il 94,6% degli attacchi è concentrato in Portogallo
Acronis, leader globale nella protezione informatica, comunica di aver individuato una nuova campagna attiva del malware Lampion, una famiglia di trojan bancari di origine brasiliana che continua a prendere di mira in modo quasi esclusivo gli utenti portoghesi. Secondo le analisi dell’Acronis Threat Research Unit (TRU), la minaccia si diffonde attraverso e-mail di phishing che imitano comunicazioni finanziarie o amministrative legittime e sfrutta una complessa catena di infezione multistadio progettata per sfuggire al rilevamento.
Lampion è stato documentato per la prima volta nel 2019 come evoluzione del malware ChePro. Pur essendo nato in Brasile, nel tempo ha concentrato le attività soprattutto contro utenti di lingua portoghese, con attenzione al Portogallo. I dati di telemetria raccolti da Acronis confermano la tendenza: il 94,6% dei rilevamenti riguarda il territorio portoghese, mentre solo una quota marginale interessa Spagna (4,3%) e Regno Unito (1,1%), probabilmente come effetto collaterale della diffusione edl malware.
Una falsa ricevuta di pagamento come esca
L’attacco inizia con un messaggio di posta elettronica che invita il destinatario ad aprire una presunta ricevuta di pagamento. Si tratta di una classica tecnica di social engineering, arricchita da elementi che aumentano la credibilità della comunicazione: firme aziendali complete, note di riservatezza, disclaimer automatici e riferimenti ai social media.
L’allegato è un archivio ZIP contenente un file HTML di grandi dimensioni, gonfiato artificialmente con codice inutile e stringhe casuali. L’obiettivo è duplice: rendere più difficile l’analisi da parte dei ricercatori e ridurre l’efficacia dei sistemi di rilevamento automatico. Una volta aperto nel browser, il documento visualizza una falsa pagina del servizio SAPO Transfer, piattaforma molto conosciuta in Portogallo. L’utilizzo improprio del marchio SAPO rappresenta un elemento ricorrente nelle campagne Lampion, sfruttato per aumentare il livello di fiducia della vittima e favorire l’interazione con il contenuto malevolo. Nel frattempo, in background, il codice JavaScript incorporato scarica ed esegue automaticamente gli script della fase successiva dell’attacco da server controllati dagli aggressori.
Una catena di infezione costruita per sfuggire ai controlli
Uno degli aspetti più sofisticati della campagna è la struttura multilivello dell’infezione. Ogni fase esegue una funzione specifica e prepara quella successiva, limitando la visibilità complessiva dell’attacco.
Acronis ritiene inoltre, con un livello di confidenza moderato, che gli operatori utilizzino tecniche di geofencing e sistemi di tracciamento delle vittime per limitare la distribuzione del malware ai soli bersagli previsti. Questo rende particolarmente difficile recuperare i payload completi al di fuori di una reale catena di infezione.
La seconda fase introduce script Visual Basic (VBS) fortemente offuscati. Sebbene il codice effettivamente eseguibile sia di poche decine di kilobyte, ogni file raggiunge dimensioni di circa 7 MB grazie all’inserimento di grandi quantità di dati inutili, variabili fittizie e funzioni superflue. Dopo la deoffuscazione, i ricercatori hanno verificato che questi script preparano il download del payload successivo e configurano attività pianificate di Windows per garantirne l’esecuzione automatica.
La fase conclusiva è anche la più complessa. Lo script finale verifica che sia in esecuzione una sola istanza del malware elimina eventuali file temporanei utilizzati nelle fasi precedenti e crea un identificativo univoco della vittima basato sulle caratteristiche hardware e software del sistema.
Successivamente stabilisce la comunicazione con il server di comando e controllo (C2), invia informazioni sul dispositivo compromesso, verifica la presenza di precedenti installazioni e scarica il payload definitivo.
Quest’ultimo viene salvato nella cartella AppData ed eseguito tramite rundll32. La DLL contiene il vero componente RAT (Remote Access Trojan), che consente agli aggressori di ottenere il controllo remoto del sistema infetto e di esfiltrare dati sensibili. Un elemento insolito osservato dai ricercatori riguarda la dimensione del payload, che raggiunge circa 750 MB. Secondo Acronis, tale valore non riflette una maggiore complessità del malware, bensì una massiccia presenza di dati inutili inseriti deliberatamente per ostacolare l’analisi e i sistemi di sicurezza. Per questo motivo il file viene scaricato a blocchi mediante richieste HTTP Range, una tecnica coerente con precedenti varianti di Lampion.
Offuscamento sempre più sofisticato
L’analisi evidenzia come l’offuscamento rappresenti oggi uno degli elementi distintivi della famiglia Lampion. HTML, JavaScript e script VBS vengono deliberatamente appesantiti con codice spazzatura, stringhe cifrate e componenti generati dinamicamente, rendendo molto più difficile sia l’analisi statica sia il rilevamento tramite firme tradizionali. La frammentazione dell’attacco in più fasi indipendenti costituisce un ulteriore livello di evasione: ogni componente svolge un compito limitato e passa il controllo a quello successivo, riducendo la possibilità di ricostruire l’intera catena di compromissione.
Una minaccia ancora altamente specializzata
Per Acronis questa nuova campagna conferma che gli operatori di Lampion sono ancora pienamente attivi e continuano ad affinare le tecniche di attacco. L’utilizzo di esche in lingua portoghese, l’impersonificazione di servizi molto diffusi come SAPO e una sofisticata architettura multistadio consentono di aumentare le probabilità di successo, limitando contemporaneamente la capacità di rilevamento da parte delle soluzioni di sicurezza. La forte concentrazione geografica dei rilevamenti conferma inoltre la natura altamente mirata della campagna, che continua a rivolgersi quasi esclusivamente agli utenti portoghesi, dimostrando come i cybercriminali puntino sempre più su operazioni specializzate, adattate al contesto linguistico e territoriale delle proprie vittime.
