Glove Stealer: l’infostealer che colpisce Google Chrome

Emersa una minaccia capace di aggirare la crittografia di Chrome per appropriarsi di un’ampia gamma di dati sensibili degli utenti.

Nel panorama informatico odierno non è raro imbattersi in minacce capaci di superare le contromisure adottate da sistemi operativi e browser: la loro complessità e le doti di camuffamento vengono rese sempre più efficaci dai cybercriminali. I nostri dati sensibili e le nostre identità digitali sono continuamente messi a rischio da clipper, keylogger e infostealer — merce preziosa per gli attori malevoli, che se ne appropriano sia per un ricavo economico sia per affinare le proprie tecniche di attacco.

Questi attacchi prendono spesso di mira i browser più diffusi, per garantirsi un’ampia superficie d’azione e maggiori probabilità di successo. Il bersaglio prediletto è quindi Google Chrome, ed è proprio lui l’obiettivo della minaccia di cui parliamo: Glove Stealer, un infostealer di nuova generazione che punta ai dati memorizzati nel browser.

1. Cos’è Glove Stealer
2. Come funziona Glove Stealer
3. Come proteggersi dagli infostealer

Cos’è Glove Stealer

Apparso a inizio novembre 2024, Glove Stealer è una minaccia in costante aggiornamento, capace di aggirare la crittografia App-Bound proprietaria di Google. Il suo obiettivo primario è appropriarsi dei cookie di navigazione e di sessione memorizzati nel browser. Secondo le analisi dei ricercatori di Gen Digital, i primi a scoprirlo, Glove è un malware diffuso attraverso campagne di phishing, con una natura relativamente semplice e moduli di offuscamento ridotti — segno di una minaccia probabilmente ancora in fase di sviluppo, ma che potrebbe evolvere in un pericolo serio.

I suoi autori restano ignoti, ma hanno già dimostrato dimestichezza con le tecniche di ingegneria sociale: la diffusione di Glove segue un approccio simile a quello della campagna ClickFix, in cui le vittime vengono indotte a installare il malware da sé attraverso finti messaggi di errore contenuti in file HTML allegati alle e-mail di phishing.

Glove prende di mira principalmente i browser basati su Chromium — da Chrome a Edge, Brave, Opera e altri. Al furto dei cookie affianca la capacità di sottrarre i portafogli di criptovalute dalle estensioni del browser, i token di sessione delle principali app di autenticazione a due fattori e le password salvate nei password manager più diffusi e nel client di posta Thunderbird. Insomma, pur essendo ancora in fase embrionale, ha già dimostrato una notevole capacità offensiva.

Come funziona Glove Stealer

Scritto quasi interamente in .NET, Glove Stealer è in grado di aggirare la crittografia App-Bound introdotta da Google a partire da Chrome 127. Per farlo si appoggia a un componente di supporto che sfrutta un servizio di sistema Windows con privilegi elevati per ricostruire le chiavi protette — ma con un prerequisito importante: il malware deve prima ottenere i privilegi di amministratore sul dispositivo infetto. È un dettaglio che pesa sul piano difensivo, perché significa che un utente che opera senza permessi amministrativi rende l’attacco molto più difficile.

Gli analisti hanno inoltre osservato che Glove ricorre a una tecnica di decifratura ormai datata, già superata da metodi più efficaci usati dagli infostealer recenti: un’ulteriore conferma del suo stadio di sviluppo ancora acerbo. Resta però un fatto che desta preoccupazione: la crittografia App-Bound, pensata proprio per proteggere questi dati, non è bastata a fermare le campagne di infostealer mirate ai browser — a riprova che nessuna singola contromisura tecnica è sufficiente da sola.

Come proteggersi dagli infostealer

Gli infostealer si diffondono attraverso canali molto diversi — driver vulnerabili, vulnerabilità zero-day in sistemi operativi e browser, false correzioni pubblicate su forum e repository di codice — e per questo non esiste una misura universale che li elimini del tutto. Esistono però accorgimenti che riducono sensibilmente il rischio:

• Aggiornare costantemente browser, sistema operativo e driver: la puntualità nelle patch riduce drasticamente le possibilità di infezione;
• Operare senza privilegi amministrativi per le attività quotidiane: come mostra Glove, molti infostealer hanno bisogno dei permessi di amministratore per agire, e negarli è una barriera concreta;
• Filtrare le e-mail: poiché la diffusione passa soprattutto da phishing e malspam, servono filtri capaci di intercettare spoofing, phishing e allegati malevoli sin dall’origine;
• Adottare patch management automatico ed EDR: soluzioni con approccio Zero Trust e Threat Hunting, efficaci anche contro le minacce sconosciute.

Nessuna di queste misure, presa da sola, è risolutiva: è la loro combinazione a costruire una difesa in profondità. E resta valido il principio che attraversa tutta la famiglia degli infostealer — l’infezione parte quasi sempre da un gesto dell’utente, e la consapevolezza di chi usa il dispositivo è la prima linea di difesa.

In conclusione

Pur non essendo ancora una minaccia pienamente sofisticata, Glove Stealer è un promemoria della fragilità della nostra vita digitale e del fatto che nemmeno le protezioni native dei browser sono infallibili. L’adozione di misure preventive — aggiornamento costante dei sistemi, gestione sicura delle credenziali, operatività senza privilegi eccessivi — è imprescindibile. Ma lo strumento più efficace resta un occhio critico su ciò che si visita, si scarica e si esegue: la consapevolezza è l’arma migliore di cui disponiamo.