StealC v2: il nuovo infostealer che ruba dati da Facebook

StealC v2 è un infostealer diffuso sui social. Scoprite come funziona, quali dati ruba e quali rischi comporta per utenti e aziende.

Navigare sui social network non comporta più soltanto il rischio di finire vittima di una truffa. Nel 2025 perfino la più banale e innocua tra le interazioni può diventare un entry point per un attacco mirato alla nostra identità digitale. Queste minacce non si limitano alla sola sottrazione delle credenziali, ma prendono di mira informazioni sul sistema in uso, file personali, sessioni di navigazione e persino i portafogli virtuali, sfruttando vulnerabilità spesso invisibili agli occhi dell’utente. Ciò che è cambiato non è solo la tecnica, ma il livello di professionalità dell’infrastruttura criminale che gestisce tutto questo.

1. Cos’è StealC
2. Come si svolge un’infezione da StealC v2
3. Conseguenze per utenti e aziende
4. Come difendersi da StealC v2

Cos’è StealC

StealC appartiene alla famiglia degli infostealer, i malware specializzati nel furto di credenziali e dati, ed è distribuito con il modello malware-as-a-service (MaaS). Scritto interamente in C++, è stato individuato per la prima volta nel gennaio 2023 dai ricercatori di Sekoia, che ne hanno rivelato la diffusione nei forum di hacking underground in lingua russa. La paternità di StealC è attribuita a “Plymouth”, uno sviluppatore che lo ha diffuso su forum come XSS, nei marketplace del dark web e su canali Telegram. Fin dalla prima comparsa, il malware ha attirato attenzione per la sua struttura modulare e per la capacità di adattarsi a diversi scenari.

Dopo alcuni mesi di silenzio, Plymouth è tornato attivo sul forum XSS nel marzo 2025, annunciando la versione 2 di StealC, diffusa a partire dal mese successivo e rilevata dalle indagini tecniche di ZScaler e S2W. Rispetto alla precedente, StealC v2 introduce comunicazioni con i server C2 (Command & Control) basate su JSON, l’algoritmo di cifratura RC4, la decrittazione lato server e un builder integrato direttamente nella console operativa.

A differenza degli infostealer più comuni, StealC v2 si distingue per le sue capacità pratiche: oltre al furto di cookie, credenziali e dati di navigazione memorizzati nel browser, è in grado di catturare screenshot su più monitor, esfiltrare file e gestire payload con estensioni diverse insieme a script di sistema. Tutto ciò grazie all’ampia personalizzazione delle sue regole, configurabili da chi lo acquista sui marketplace del dark web.

Come si svolge un’infezione da StealC v2

Per comprendere come funziona StealC v2 e riconoscerne i segnali, ripercorriamo le fasi tipiche di un’infezione così come documentate dai ricercatori di sicurezza nelle campagne di phishing e malvertising analizzate. Conoscere la sequenza è il primo passo per interromperla.

Il post esca su Facebook

Poiché Facebook è tra i social network più diffusi, non stupisce che rappresenti un punto d’interesse privilegiato per i criminali. La catena parte proprio qui, con un post sponsorizzato o un messaggio privato: l’utente si imbatte in un annuncio ingannevole che segue un pattern ricorrente — una promozione imperdibile, un link a un software gratuito, un tool per migliorare le prestazioni del PC. Contenuti realizzati per sembrare autentici e, in alcuni casi, diffusi da pagine compromesse con migliaia di follower.

Il download del file malevolo

Convinto dall’offerta solo apparentemente legittima, l’utente clicca sul link e viene reindirizzato a una pagina che replica fedelmente l’aspetto di un sito ufficiale, spesso con un dominio simile a quello reale. Da qui scarica un file che si presenta come un normale installer. I ricercatori di Kaspersky Lab hanno individuato campagne che impiegano file compressi con password fornita nello stesso post, tecnica che riduce le probabilità di rilevamento da parte degli antivirus.

L’esecuzione

Una volta eseguito, StealC v2 attiva il proprio loader e in background si connette al server di comando e controllo con comunicazioni cifrate. A questo punto scarica i moduli necessari in base al profilo della vittima, mentre l’utente resta convinto di aver installato un normale programma. È il momento in cui l’infezione diventa operativa senza alcun segnale visibile.

L’esfiltrazione dei dati

StealC v2 raccoglie cookie, credenziali salvate nei browser, cronologia di navigazione, file specifici (documenti, fogli di calcolo, PDF, archivi) e cattura schermate dell’intero desktop. Se sul dispositivo sono presenti applicazioni di portafogli digitali o di criptovalute, ne intercetta i dati di configurazione. Tutte queste informazioni vengono compresse in un unico file cifrato e inviate ai server C2, pronte per essere monetizzate o rivendute sul dark web — dove alimentano la filiera che abbiamo descritto nella guida agli infostealer.

Le modalità di diffusione osservate

Oltre a Facebook, StealC v2 si diffonde attraverso campagne di malvertising, in cui banner e annunci malevoli conducono a siti infetti. Il suo impiego più massiccio è però avvenuto tramite il loader Amadey, che veicola StealC come payload secondario. Non mancano campagne di phishing via e-mail e la condivisione di file compromessi su canali Telegram e forum underground: una diffusione talmente ampia da ridurre al minimo le possibilità di tracciamento.

Conseguenze per utenti e aziende

Per l’utente singolo, l’infezione da StealC v2 comporta la compromissione completa della propria identità digitale. Password, cookie di sessione, file personali e wallet di criptovalute vengono sottratti e resi immediatamente disponibili ai criminali, con la conseguenza di accessi non autorizzati agli account social, perdita di dati sensibili e, nei casi peggiori, frodi economiche dirette.

Per le aziende il rischio è ancora più elevato. Un dipendente che esegue inconsapevolmente un file malevolo può esporre l’intera rete interna, consentendo l’accesso a credenziali aziendali, caselle e-mail istituzionali e repository condivisi. Da un singolo endpoint compromesso è possibile avviare una privilege escalation, movimenti laterali e persino campagne di spear phishing verso altri membri dell’organizzazione.

Vanno considerati anche gli effetti indiretti. La sottrazione di dati riservati può determinare violazioni del GDPR e conseguenti sanzioni, oltre a gravi danni reputazionali. Per un’azienda la perdita di fiducia di clienti e partner può pesare più della compromissione tecnica stessa, trasformando un’infezione individuale in una vera e propria crisi operativa.

Come difendersi da StealC v2

Poiché il malware sfrutta una combinazione di ingegneria sociale e tecniche avanzate di esfiltrazione, le misure preventive devono interessare sia l’utente finale sia l’infrastruttura aziendale. Le più efficaci:

• Formazione continua del personale: sensibilizzare i dipendenti sui rischi legati a link e allegati sospetti, in particolare da social network e messaggistica istantanea;
• Soluzioni di sicurezza multilivello: adottare sistemi EDR/XDR capaci di rilevare comportamenti anomali, come processi di sistema sospetti o connessioni cifrate verso server non noti;
• Segmentazione della rete: limitare la propagazione isolando le workstation dagli asset critici e applicando il principio del minimo privilegio;
• Monitoraggio dei log e threat intelligence: integrare feed aggiornati per identificare gli indicatori di compromissione (IoC) legati a StealC v2;
• Patch management rigoroso: mantenere costantemente aggiornati sistemi operativi, browser e applicazioni per chiudere le porte d’ingresso note.

Nessuna di queste misure, da sola, è risolutiva: è la loro combinazione a costruire la difesa in profondità che rende un’infezione difficile da portare a termine e, quando avviene, contenuta nei danni. E il primo anello resta sempre la consapevolezza di chi usa il dispositivo.