La frode via browser diventa più incisiva con l'ingresso di TELEPUZ nella sessione

Ciò che rende questo caso degno di nota non è un nuovo exploit nel motore del browser o uno zero-day in un portale bancario. È il modo in cui un'esca assistita dall'utente può consegnare il primo movimento. Nella catena segnalata, la vittima viene spinta a eseguire un comando, compare una fase di stealer e poi un web injector chiamato TELEPUZ viene descritto mentre opera all'interno della sessione stessa. Si tratta di un tipo di minaccia diverso: una che prende di mira il rapporto di fiducia tra utente, browser e flusso di pagamento.

Fatti rapidi

• TELEPUZ è descritto come un web injector con capacità di furto di cookie, esecuzione di JavaScript e sostituzione di IBAN.
• La catena di infezione segnalata include ClickFix e VIDAR.
• Le esche in stile ClickFix spesso dipendono dall'esecuzione di comandi avviata dall'utente piuttosto che da un classico exploit software.
• I cookie rubati possono talvolta consentire a un attaccante di riutilizzare una sessione autenticata se il token rimane valido.
• Lo swap dell'IBAN prende di mira il campo di pagamento nel momento del trasferimento, non solo la pagina di accesso.

Perché questa tecnica è importante

L'abuso lato browser è attraente perché si colloca vicino al denaro. Un cookie non è solo una briciola di dati del browser; in molti ambienti funziona come un pass di sessione. Se quel token viene copiato o riutilizzato, un attaccante potrebbe non aver bisogno di nuovo della password. MITRE ATT&CK considera il furto di cookie come accesso alle credenziali proprio per questo motivo.

L'aspetto JavaScript è altrettanto importante. Se il malware può eseguire script in una sessione, può cambiare ciò che l'utente vede o ciò che il browser invia. In un flusso bancario, questo può significare sostituire i dettagli di destinazione prima della conferma di un bonifico. Il pericolo pratico non è solo il furto dell'accesso, ma la manipolazione della transazione stessa.

Le tecniche ClickFix aggiungono un ulteriore livello di rischio perché spostano il primo passaggio di esecuzione sulla vittima. Microsoft ha descritto come queste esche spesso facciano affidamento su prompt che spingono gli utenti a copiare ed eseguire comandi, comunemente tramite PowerShell o strumenti integrati simili. Ciò rende l'incidente meno una questione di exploit brutale e più una combinazione di social engineering ed esecuzione living-off-the-land.

Per i difensori, la lezione è chiara: monitorare insieme il browser, il terminale e il flusso di pagamento. Gli strumenti endpoint che osservano solo malware basati su file potrebbero non rilevare un percorso di furto di sessione che inizia con un clic umano e termina con un bonifico fraudolento. Le informazioni disponibili supportano un'analisi del rischio, non un'affermazione definitiva sull'intera portata della compromissione o sull'esatto percorso tecnico in ogni distribuzione.

Cosa monitorare

Tra i segnali utili ci sono avvii insoliti di PowerShell derivanti dall'attività dell'utente, accessi sospetti agli archivi dei cookie del browser, iniezione di script nelle pagine bancarie e modifiche dell'ultimo minuto ai campi del beneficiario. Accesso condizionale, sessioni di breve durata, MFA resistente al phishing e verifica out-of-band per le modifiche di pagamento riducono lo spazio operativo di questo tipo di malware.

Conclusione

TELEPUZ ricorda che la frode moderna non inizia sempre con un crash o con un'infezione rumorosa. A volte comincia con un prompt convincente, finisce all'interno di una sessione del browser e prende di mira il campo di pagamento che conta di più. La lezione più ampia è che la fiducia digitale vive ormai in piccoli dettagli: cookie, script e numeri di conto che possono essere cambiati più velocemente di quanto molti utenti riescano a notare.

TECHCROOK

chiave di sicurezza hardware: Un secondo fattore fisico per gli accessi, utile dove è supportata l'MFA resistente al phishing. È un'opzione pratica per conti bancari, email e account amministrativi, soprattutto quando gli attaccanti cercano di riutilizzare cookie rubati o spingere gli utenti in passaggi di accesso rischiosi.

Scheda Techcrook: chiave di sicurezza hardware

WIKICROOK

• Web injector: Malware che altera il contenuto web o il comportamento del browser inserendo codice in una sessione attiva.
• ClickFix: Un'esca di social engineering che convince gli utenti a eseguire da soli i comandi.
• Furto di cookie: Furto di cookie di sessione in modo che un attaccante possa riutilizzare una sessione del browser autenticata.
• PowerShell: Una shell di comandi integrata in Windows spesso abusata per lanciare attacchi fileless o avviati dall'utente.
• Swap IBAN: Frode che sostituisce il numero di conto bancario previsto durante un processo di pagamento.