Pony Stealer: analisi di un infostealer

Pony Stealer è un infostealer che ruba password e dati sensibili senza lasciare tracce. Analisi e consigli su come difendersi.

Ogni giorno emergono nuove minacce pronte a colpire utenti e aziende, sfruttando vulnerabilità, ingegneria sociale e tecniche sempre più sofisticate. Se un tempo i malware si limitavano a distruggere dati o rendere inservibili i sistemi, oggi il loro obiettivo è ben più mirato: rubare informazioni sensibili. Password, credenziali bancarie, dati aziendali: tutto ha un valore e tutto può essere monetizzato nel mercato nero del cybercrimine.

Tra le minacce più longeve di questo scenario c’è Pony Stealer, uno dei capostipiti della categoria degli infostealer: comparso oltre un decennio fa, ha saputo evolversi adattandosi alle nuove tecnologie e alle contromisure di sicurezza, e ancora oggi rappresenta un pericolo concreto per chi non adotta misure di protezione adeguate.

1. Cos’è Pony Stealer
2. Come funziona Pony Stealer
3. Come difendersi dagli infostealer come Pony

Cos’è Pony Stealer

Pony Stealer è un malware di tipo infostealer, conosciuto anche come Pony Loader o FareIT, progettato per sottrarre informazioni sensibili da browser web, client email, software FTP e portafogli di criptovalute. Scoperto e documentato per la prima volta nel 2011, la sua creazione è stata attribuita a sviluppatori russi attivi nel cybercrimine. La diffusione è avvenuta principalmente tramite campagne di phishing, exploit kit e download drive-by, colpendo migliaia di utenti e aziende in tutto il mondo.

Il funzionamento di fondo è tanto semplice quanto devastante: una volta eseguito, il malware scansiona il sistema alla ricerca di credenziali memorizzate — login dei browser, dei client email, dei wallet di criptovalute e dei software FTP — e invia i dati raccolti a un server di comando e controllo (C2) gestito dai criminali, che possono così accedere agli account compromessi o rivenderne le informazioni sul dark web. La sua notorietà raggiunse l’apice nel 2013, quando una variante compromise oltre due milioni di account tra social network, servizi bancari e piattaforme aziendali.

Nel corso degli anni Pony si è evoluto per adattarsi alle contromisure più moderne. Inizialmente limitato al furto di credenziali da browser e client di posta, ha poi integrato la capacità di raccogliere i file dei password manager e i dati di autenticazione a due fattori, oltre a varianti in grado di riconoscere gli ambienti virtualizzati usati dai ricercatori per l’analisi. Questa costante evoluzione lo ha reso uno degli infostealer più difficili da contrastare.

Come funziona Pony Stealer

Trattandosi di un infostealer, il modus operandi di Pony è silenzioso ed efficace. Per comprendere il pericolo che rappresenta e imparare a riconoscerne i segnali, ripercorriamo le fasi tipiche di un’infezione così come documentate dai ricercatori di sicurezza.

Infezione e distribuzione

Pony sfrutta prevalentemente tecniche di ingegneria sociale per distribuire il proprio payload, in genere tramite phishing via e-mail con allegati dannosi — archivi compressi, eseguibili o documenti Office contenenti macro infette. L’utente viene indotto a scaricare ed eseguire l’allegato, camuffato da documento legittimo. Una volta avviato, il malware si installa in modo persistente e ricorre alla process injection, agganciandosi a processi di sistema legittimi per passare inosservato alle scansioni antivirus.

Elusione delle difese e persistenza

Per sfuggire ad antivirus e sandbox, Pony offusca il proprio codice con tecniche di polimorfismo e cifratura del payload, e può agganciarsi a processi in esecuzione per rendersi più difficile da individuare. Per garantirsi la persistenza, si copia in percorsi non convenzionali del file system e modifica il registro di Windows in modo da essere rieseguito a ogni riavvio del sistema. È il motivo per cui, una volta entrato, tende a restare fino a una bonifica completa.

Raccolta dei dati sensibili

Progettato per sottrarre un’ampia gamma di informazioni, Pony impiega un modulo di keylogging per registrare ciò che viene digitato — nomi utente, password, numeri di carte, codici bancari — e cattura schermate e contenuti delle finestre attive. I bersagli tipici sono i browser, i client di messaggistica e i client di posta elettronica. Sono state osservate anche tecniche di web inject per carpire le credenziali delle piattaforme bancarie, oltre alla raccolta dei cookie dei browser, che consente agli attaccanti di aggirare l’autenticazione a due fattori riutilizzando sessioni già autenticate.

Esfiltrazione dei dati

Raccolti i dati, Pony stabilisce una connessione cifrata con i server di comando e controllo, mascherando il traffico per eludere firewall e sistemi di monitoraggio della rete. Le informazioni trafugate vengono inviate ai server degli aggressori, che le sfruttano per il furto di identità, frodi bancarie o per lanciare attacchi mirati verso altre vittime — alimentando quella filiera dei dati rubati che abbiamo descritto nella guida agli infostealer.

Come difendersi dagli infostealer come Pony

Poiché il malware utilizza diverse tecniche per eludere i sistemi di difesa, servono contromisure ben strutturate, che interessino sia l’utente sia l’infrastruttura aziendale:

• Aggiornamenti costanti dei sistemi: applicare le patch di sistemi operativi, browser, client di posta e software di sicurezza, che sono i bersagli prediletti degli infostealer;
• Soluzioni antivirus e antimalware professionali: scegliere strumenti con analisi comportamentale, capaci di individuare attività sospette anche in assenza di firme note;
• Filtraggio delle e-mail: poiché Pony si diffonde soprattutto via phishing, filtri antispam avanzati, ispezione dei link e sandboxing dei contenuti sconosciuti riducono drasticamente il rischio;
• Gestione degli accessi: password manager, autenticazione a due fattori e principio del minimo privilegio per limitare la superficie di attacco;
• Monitoraggio degli endpoint: endpoint rafforzati e sorvegliati permettono di individuare le falle in modo proattivo, prima che vengano sfruttate.

Nessuna misura, da sola, è sufficiente: è la loro combinazione a costruire una difesa in profondità. E il primo anello, come sempre con gli infostealer, resta la consapevolezza di chi usa il dispositivo — perché Pony, come i suoi eredi, entra quasi sempre da un gesto umano.

In conclusione

Pony Stealer è un esempio di quanto il panorama delle minacce sia in continua evoluzione: pur non essendo una minaccia nuova, la sua capacità di adattarsi e sfruttare vulnerabilità emergenti lo rende ancora pericoloso e difficile da contrastare. Come per ogni infostealer, la protezione si gioca sull’adozione di misure di sicurezza robuste, sull’aggiornamento costante delle difese e — soprattutto — sulla preparazione delle persone.