IceXLoader: analisi della minaccia

IceXLoader è un loader-dropper che scarica altri malware sul sistema infetto aggirando gli antivirus. Vediamo come funziona e come difendersi.

Non tutti i malware sono progettati per fare danni da soli. Alcuni hanno un compito più subdolo: aprire la porta e far entrare gli altri. È il caso di IceXLoader, un loader-dropper che si insedia silenziosamente in un sistema e lo usa come testa di ponte per scaricare e installare ulteriori malware — ransomware, spyware, trojan bancari. Scritto in linguaggio Nim e diffuso attraverso campagne di phishing, si distingue per la capacità di restare invisibile ai sistemi di difesa tradizionali.

In questa analisi vediamo cos’è IceXLoader, come infetta un sistema, quali informazioni sottrae e — soprattutto — come un’azienda può difendersi da questa categoria di minacce.

1. Cos’è IceXLoader
2. Come infetta un sistema
3. Quali informazioni sottrae
4. Come elude gli antivirus
5. Come difendersi

Cos’è IceXLoader

IceXLoader è un malware classificato come dropper: la sua funzione principale non è colpire direttamente, ma scaricare e installare altri malware sul sistema infetto. Osservato per la prima volta nel 2019, ha conosciuto un salto di qualità con la versione 3.3.3, individuata dai ricercatori di Minerva Labs nel novembre 2022 dopo che Fortinet ne aveva censito una beta pochi mesi prima.

Il suo funzionamento segue lo schema tipico dei dropper, in tre fasi: si infiltra nel sistema, esegue azioni per eludere le misure di sicurezza e contatta un server di comando e controllo (C2) da cui scarica e installa il payload vero e proprio. Ciò che lo rende pericoloso è la combinazione tra la scrittura in un linguaggio poco comune come Nim — che ne complica l’analisi — e una catena di infezione multi-stadio pensata per passare inosservata.

Come infetta un sistema

Il contatto con la vittima avviene tramite phishing: un’e-mail ingannevole contiene un allegato compresso che, una volta aperto, avvia il processo di infezione. Da qui parte una catena multi-stadio pensata per depistare gli strumenti di difesa: il file iniziale ne genera un secondo, che a sua volta scarica da un indirizzo remoto i componenti necessari a decifrare e attivare il loader vero e proprio.

Il passaggio tecnicamente più raffinato è il ricorso al process hollowing, una tecnica con cui il codice malevolo viene ospitato all’interno dello spazio di memoria di un processo apparentemente legittimo. In questo modo IceXLoader viene eseguito come se fosse un’attività di sistema normale, sfuggendo ai controlli che si basano sul riconoscimento dei processi attivi. È lo stesso principio che rende tanti loader moderni difficili da intercettare: non introducono un processo sospetto, ne dirottano uno lecito.

Quali informazioni sottrae

Una volta attivo, IceXLoader raccoglie una serie di informazioni sul sistema colpito, che serviranno a orchestrare gli attacchi successivi. Tra i dati esfiltrati figurano l’indirizzo IP, le caratteristiche hardware, la versione di Windows, il nome utente e della macchina, e soprattutto l’elenco dei prodotti di sicurezza installati — informazione preziosa per un attaccante, che così sa in anticipo cosa dovrà aggirare.

I ricercatori di Minerva Labs hanno rilevato che il server di comando e controllo conserva questi dati in un database contenente le informazioni di migliaia di utenti e aziende colpite, aggiornato di continuo con nuove vittime. È la dimostrazione di come un singolo loader possa alimentare una raccolta di dati esfiltrati su scala industriale.

Come elude gli antivirus

La caratteristica che rende IceXLoader particolarmente insidioso è la sua capacità di restare invisibile agli antivirus, compreso Windows Defender. Per riuscirci sfrutta una debolezza nel modo in cui le applicazioni Windows si interfacciano con i software di sicurezza attraverso l’AMSI (Antimalware Scan Interface), l’interfaccia che consente la scansione dei contenuti in esecuzione. Manomettendo questo meccanismo, il malware riesce a sottrarsi alla scansione senza che l’antivirus se ne accorga.

A questo si aggiunge la capacità di rendersi persistente: IceXLoader si replica nel sistema e si configura per riavviarsi a ogni accensione della macchina, così che una semplice chiusura del processo o un riavvio non bastino a eliminarlo. Sono proprio queste tecniche di evasione e persistenza a rendere insufficiente, da sola, la difesa basata sul solo antivirus — e a spostare il baricentro della protezione sulla prevenzione.

Come difendersi

Poiché IceXLoader si aggiorna di continuo ed è progettato per aggirare le soluzioni reattive, la difesa più efficace non è inseguire la singola variante ma agire sul vettore d’ingresso, che è quasi sempre lo stesso: il phishing. Le misure che contano di più per un’azienda:

• Formazione del personale: poiché l’infezione parte da un’e-mail e da un allegato aperto, la capacità dei dipendenti di riconoscere un tentativo di phishing è la prima e più decisiva linea di difesa;
• Difese multilivello e aggiornate: soluzioni EDR con analisi comportamentale, filtri e-mail avanzati e patch management rigoroso riducono sia la probabilità di infezione sia la capacità del malware di agire indisturbato.

Ma la lezione più importante di una minaccia come IceXLoader è un’altra: se un loader riesce a entrare aggirando l’antivirus, significa che c’era una porta aperta a monte — un sistema non aggiornato, una configurazione debole, un dipendente non formato. Individuare quelle porte prima che lo faccia un attaccante è esattamente il compito della prevenzione.

In conclusione

IceXLoader è l’esempio di una categoria di minacce — i loader — che non fa notizia quanto il ransomware, ma che ne è spesso il primo anello: è il grimaldello che apre la porta a tutto il resto. La sua capacità di eludere gli antivirus dimostra che la sicurezza reattiva, da sola, non basta più. La difesa vera si gioca prima, sulla consapevolezza delle persone e sulla chiusura delle vulnerabilità da cui questi malware entrano.