--- title: "Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi" description: "L'unità di ricerca sulle minacce di Acronis (TRU) ha individuato una campagna globale di malvertising/SEO, denominata \"TamperedChef\". Questa campagna distribuisce programmi di installazione dall'aspetto legittimo, che si spacciano per applicazioni comuni, con l'obiettivo di indurre gli utenti a installarli, stabilire una presenza persistente sui sistemi infetti e distribuire payload JavaScript offuscati." canonical_url: https://www.acronis.com/it/tru/posts/cooking-up-trouble-how-tamperedchef-uses-signed-apps-to-deliver-stealthy-payloads/ locale: it last_updated: 2026-10-11 --- * [Pagina iniziale](https://www.acronis.com/it/tru/) * [Articoli](https://www.acronis.com/it/tru/posts/) * [Darrel Virtusio](https://www.acronis.com/it/tru/authors/virtusio-darrel/) 26 dicembre 2025 # Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi L'unità di ricerca sulle minacce di Acronis (TRU) ha individuato una campagna globale di malvertising/SEO, denominata "TamperedChef". Questa campagna distribuisce programmi di installazione dall'aspetto legittimo, che si spacciano per applicazioni comuni, con l'obiettivo di indurre gli utenti a installarli, stabilire una presenza persistente sui sistemi infetti e distribuire payload JavaScript offuscati. Autore: **[Darrel Virtusio](https://www.acronis.com/it/tru/authors/virtusio-darrel/)** Altre lingue disponibili:[English](https://www.acronis.com/en/tru/posts/cooking-up-trouble-how-tamperedchef-uses-signed-apps-to-deliver-stealthy-payloads/) [Deutsch](https://www.acronis.com/de/tru/posts/cooking-up-trouble-how-tamperedchef-uses-signed-apps-to-deliver-stealthy-payloads/) [Español](https://www.acronis.com/es/tru/posts/cooking-up-trouble-how-tamperedchef-uses-signed-apps-to-deliver-stealthy-payloads/) [Français](https://www.acronis.com/fr/tru/posts/cooking-up-trouble-how-tamperedchef-uses-signed-apps-to-deliver-stealthy-payloads/) [Português](https://www.acronis.com/pt/tru/posts/cooking-up-trouble-how-tamperedchef-uses-signed-apps-to-deliver-stealthy-payloads/) [Svenska](https://www.acronis.com/sv/tru/posts/cooking-up-trouble-how-tamperedchef-uses-signed-apps-to-deliver-stealthy-payloads/) **Autori: Darrel Virtusio, Jozsef Gegeny** ## Riepilogo * Acronis Threat Research Unit (TRU) ha osservato una campagna globale di malvertising/SEO, identificata come “TamperedChef”. Essa consegna programmi di installazione dall'aspetto legittimo mascherati da applicazioni comuni per ingannare gli utenti a installarli, stabilire la persistenza e consegnare payload JavaScript offuscati per l'accesso remoto e il controllo. * L'operatore si affida all'ingegneria sociale utilizzando nomi di applicazioni quotidiane, malvertising, Search Engine Optimization (SEO) e certificati digitali compromessi che mirano ad aumentare la fiducia dell'utente ed eludere il rilevamento della sicurezza. * Questa variante segna un cambiamento nell'uso di un file XML rilasciato che configura un'attività pianificata per recuperare ed eseguire il payload JavaScript offuscato. * TamperedChef opera con un'infrastruttura industrializzata e simile a un'azienda, affidandosi a una rete di shell company registrate negli Stati Uniti per acquisire e ruotare i certificati di firma del codice. * La telemetria di Acronis mostra una maggiore attività nelle Americhe, sebbene l'infrastruttura e i campioni siano distribuiti a livello globale e non legati ad alcun settore specifico. La maggior parte delle vittime colpite proviene dai settori della sanità, dell'edilizia e della produzione. Questo è probabilmente dovuto al fatto che gli utenti in questi settori possono spesso cercare online manuali di prodotti di apparecchiature altamente specializzate, che è uno dei comportamenti che la campagna TamperedChef sfrutta. * La campagna probabilmente serve a molteplici scopi finanziari o strategici, tra cui stabilire e vendere accesso remoto a scopo di lucro, rubare e monetizzare credenziali e dati sensibili (particolarmente nel settore sanitario), preparare sistemi compromessi per futuri attacchi ransomware e impegnarsi in spionaggio opportunistico sfruttando l'accesso a destinazioni di alto valore. ## Panoramica della campagna: applicazioni firmate, abuso SEO e portata globale Recentemente, TRU ha osservato una campagna globale che prende di mira organizzazioni in vari settori. Gli aggressori distribuiscono un software apparentemente legittimo con funzionalità complete e firma del codice valida per ingannare gli utenti finali inducendoli a eseguirlo. Queste false applicazioni imitano software comunemente usati quali browser, editor PDF, lettori di manuali e persino giochi, aggiungendo un ulteriore livello di autenticità che rende più difficile per gli utenti rilevare le loro intenzioni malevole. Inoltre, i trojan mascherati da questi programmi familiari sono più propensi a guadagnare la fiducia degli utenti, poiché imitano strumenti ampiamente utilizzati per le attività quotidiane. ![Image 1: Figura 1. Risultati di ricerca Bing che portano a un sito di download controllato da TamperedChef](https://staticfiles.acronis.com/images/content/662f0e98d8d2ca2887e539cfcc72d350.png) Figura 1. Risultati di ricerca Bing che portano a un sito di download controllato da TamperedChef La nostra indagine su questa campagna è iniziata a giugno 2025, ma le prove indicano segni di attività precedente, suggerendo che l'operazione fosse attiva da tempo prima della rilevazione. La distribuzione diffusa di applicazioni false si estende a più regioni e settori. Ciò significa che gli attori della minaccia che stanno dietro questa campagna non prendono di mira un'organizzazione specifica, ma piuttosto un'ampia gamma di obiettivi vulnerabili. Il comportamento che abbiamo osservato in questa campagna è allineato con i risultati precedentemente riportati da altri fornitori di sicurezza. Tuttavia, la nostra analisi ha scoperto una variazione della catena di attacco che, sebbene distinta dai rapporti precedenti, mantiene un modello omogeneo di distribuzione di applicazioni false firmate, persistenza ed esecuzione di payload JavaScript, come dettagliato in questo blog. ## Esame delle vittime La telemetria di Acronis mostra che la maggior parte delle vittime associate a questa campagna si trova nelle Americhe, di cui circa l'80% negli Stati Uniti e il restante 20% distribuito in altri Paesi. Sebbene questa distribuzione geografica metta in evidenza una concentrazione di attività tra gli utenti statunitensi, riflette più probabilmente la portata globale della campagna piuttosto che un deliberato targeting di una singola regione geografica. ![Image 2: Figura 2. Paesi colpiti da questa campagna](https://staticfiles.acronis.com/images/content/26a02155a101d998ed1a1ad5502e08af.png) Figura 2. Paesi colpiti da questa campagna In termini di settori colpiti, i dati di telemetria mostrano vittime in diversi settori, ma con una chiara concentrazione sui settori della sanità, dell'edilizia e della produzione. Questi settori sembrano particolarmente vulnerabili a questo tipo di campagne, probabilmente a causa della loro dipendenza da attrezzature altamente specializzate e tecniche, che spesso spinge gli utenti a cercare online i manuali dei prodotti, uno dei comportamenti sfruttati dalla campagna TamperedChef. Inoltre, spesso è difficile per gli utenti trovare manuali nella loro lingua madre (la maggior parte sono in inglese), il che potrebbe aiutare a spiegare perché le Americhe si distinguono come regione maggiormente colpita. ![Image 3: Figura 3. Settori colpiti da questa campagna](https://staticfiles.acronis.com/images/content/45ebb3c10658967a1afb9894f8fc1118.png) Figura 3. Settori colpiti da questa campagna ## Dentro la cucina di TamperedChef Durante la nostra indagine, abbiamo individuato diverse false applicazioni distribuite con nomi di prodotti convincenti. Ogni applicazione falsa si presenta come un'applicazione perfettamente funzionante e reca una firma valida di diverse aziende, il che ne aumenta la credibilità e aiuta a eludere il rilevamento. Tra gli esempi di applicazioni false osservate figurano: * All Manuals Reader * Master Chess * Manual Reader Pro * JustAskJacky * Total User Manual * Any Product Manual ![Image 4: Figura 4. Pagina web di hxxps://anyproductmanual[.]com/](https://staticfiles.acronis.com/images/content/db1e0026882ba66559dbdda9922ae184.png) Figura 4. Pagina web di hxxps://anyproductmanual[.]com/ Questo approccio è una forma di ingegneria sociale: gli utenti vedono un nome di applicazione apparentemente legittimo che potrebbero utilizzare quotidianamente, cosa che aumenta la loro fiducia e li rende più propensi a installare ed eseguire il software. ## Infrastruttura L'infrastruttura dietro queste applicazioni false segue un formato distinto. I siti di download hanno nomi simili a quelli delle applicazioni contraffatte, utilizzando in genere “download” come sottodominio. La convenzione di denominazione fa sembrare i domini legittimi a prima vista, il che contribuisce a indurre gli utenti a scaricare ed eseguire i programmi di installazione dannosi. **URL di download** **Registrar** **Data di creazione/scadenza** **Paese del registrant** download[.]allmanualsreader[.]com NameCheap, Inc. 15/01/2025 – 15/01/2026 Islanda download[.]playthechess[.]com NameCheap, Inc. 26/03/2025 – 26/03/2026 Islanda download[.]manualreaderpro[.]com NameCheap, Inc. 08/06/2025 – 08/06/2026 Islanda download[.]justaskjacky[.]com NameCheap, Inc. 10/06/2025 – 10/06/2026 Islanda download[.]totalusermanuals[.]com NameCheap, Inc. 28/08/2025 – 28/08/2026 Islanda download[.]anyproductmanual[.]com NameCheap, Inc. 06/09/2025 – 06/09/2026 Islanda _Scaricare le informazioni WHOIS dell'URL_ I primi server di comando e controllo (C2) utilizzati nelle campagne seguivano anch'essi un formato distinto, composto da stringhe generate dal dominio che sembrano casuali. Tuttavia, gli ultimi server C2 noti sono passati a un nome di dominio più riconoscibile, probabilmente per integrarsi con il normale traffico di rete ed evitare sospetti. **Server C2** **Registrar** **Data di creazione/scadenza** **Paese del registrant** api[.]78kwijczjz0mcig0f0[.]com NameCheap, Inc. 25/03/2025 – 25/03/2026 Islanda api[.]zxg4jy1ssoynji24po[.]com NameCheap, Inc. 07/04/2025 – 07/04/2026 Islanda api[.]cjby76nlcynrc4jvrb[.]com NameCheap, Inc. 17/06/2025 – 17/06/2026 Islanda api[.]vtqgo0729ilnmyxs9q[.]com NameCheap, Inc. 10/06/2025 – 10/06/2026 Islanda get[.]latest-manuals[.]com NameCheap, Inc. 29/08/2025 – 29/08/2026 Islanda app[.]catalogreference[.]com NameCheap, Inc. 06/09/2025 – 06/09/2026 Islanda _Informazioni WHOIS dei server C2_ L'analisi dell'infrastruttura rivela una strategia deliberata e professionale da parte degli attori della minaccia. Si affidano costantemente a NameCheap per la registrazione dei domini e utilizzano [servizi di protezione della privacy dei domini](https://withheldforprivacy.com/) per nascondere la proprietà, con entrambi i domini di download e di comando e controllo registrati solo per un anno. Questo breve periodo di registrazione consente loro di ricostruire rapidamente l'infrastruttura dopo i blocchi. Il Paese del registrant indicato (Islanda) proviene dal fornitore dei servizi di privacy e non riflette la vera posizione degli operatori. ## Nascondersi dietro shell company e certificati compromessi ![Image 5: Figura 5. Flusso di lavoro della shell company e dell'infrastruttura di TamperedChef](https://staticfiles.acronis.com/images/content/22f4f2d8e69e424f71dfc3f205842da4.png) Figura 5. Flusso di lavoro della shell company e dell'infrastruttura di TamperedChef TamperedChef opera con un'infrastruttura industrializzata e simile a un'azienda, affidandosi a una rete di shell company registrate negli Stati Uniti per acquisire e ruotare i certificati di firma del codice. Queste entità, spesso società a responsabilità limitata (LLC) registrate tramite servizi di inoltro postale o servizi agente, servono come fronti usa e getta per ottenere certificati di convalida estesa (EV) che vengono poi utilizzati per firmare applicazioni false ma completamente funzionali. **Firma** **Paese** **Indirizzo** **Nome dell'agente** App Interplace LLC USA Kent, DE NORTHWEST REGISTERED AGENT SERVICE, INC Performance Peak Media LLC USA 1309 Coffeen Avenue STE 17793, Sheridan, Wyoming, 82801 Company Sage Agents LLC Pixel Catalyst Media LLC USA Kent, DE NORTHWEST REGISTERED AGENT SERVICE, INC Native Click Marketing LLC USA Kent, DE NORTHWEST REGISTERED AGENT SERVICE, INC Fusion Core Reach LLC USA Kent, DE NORTHWEST REGISTERED AGENT SERVICE, INC Unified Market Group LLC USA 1309 Coffeen Avenue STE 17793, Sheridan, Wyoming, 82801 Company Sage Agents LLC _Dati di opencorporates.com_ Una volta che un certificato viene revocato o segnalato, gli operatori di TamperedChef registrano rapidamente una nuova shell company con un nome diverso ma altrettanto generico come “Digital Marketing”, acquisiscono un nuovo certificato e firmano nuovamente i programmi di installazione. Questo processo consente alla campagna di mantenere un continuo sfruttamento della fiducia, facendo apparire il software dannoso legittimo anche quando le identità precedenti vengono smantellate. **Certificato** **Validità** **Stato** Native Click Marketing LLC 28/11/2024 – 28/11/2027 Revocato Pixel Catalyst Media LLC 17/01/2025 – 17/01/2028 Revocato App Interplace LLC 22/01/2025 – 22/01/2028 Revocato Fusion Core Reach LLC 14/03/2025 – 14/03/2026 Revocato Performance Peak Media LLC 21/07/2025 – 21/07/2026 Revocato Unified Market Group LLC 23/07/2025 – 23/07/2026 Valido (alla data di questo scritto) _Informazioni sulla validità e lo stato dei certificati compromessi_ ## Panoramica della catena di esecuzione Sebbene le fasi di distribuzione rispecchino quelle descritte nei rapporti precedenti, questa variante si distingue perché si basa su un'attività pianificata avviata da un file task.xml rilasciato per garantire la persistenza e utilizza una backdoor JavaScript strutturalmente diversa e fortemente offuscata. ![Image 6: Figura 6. Catena di esecuzione osservata dalla telemetria di Acronis](https://staticfiles.acronis.com/images/content/7c91087cac6b8b6021e642c9232537a7.png) Figura 6. Catena di esecuzione osservata dalla telemetria di Acronis ### ACCESSO INIZIALE Nella nostra indagine, i programmi di installazione vengono distribuiti tramite malvertising combinato con la manipolazione SEO. Gli annunci di Google e le landing page create sono ottimizzati per le comuni query di ricerca relative alle applicazioni false. Questa tecnica garantisce che le vittime ignare alla ricerca di strumenti comuni e generici utilizzati nelle attività quotidiane finiscano sul sito web falso e scarichino uno degli strumenti in grado di recuperare un payload dannoso in un secondo momento. hxxps[://]download[.]anyproductmanual[.]com/anyproductmanual[.]exe?product=Tiara+1995+3100+Service+Manual&utm_source=bing-search&typr=0&utm_term=how+to+find+manuals-Tiara+1995+3100+Service+Manual&utm_campaign=523168359&msclkid=ac7920a6e8cd162d3349486ae09f6f94 _Esempio di URL dannoso per scaricare un'applicazione falsa_ L'URL di download sopra riportato, tratto da uno degli esempi, recupera automaticamente l'applicazione falsa, il che indica chiaramente un'attività di malvertising. I parametri confermano che l'aggressore prende di mira gli utenti che cercano software gratuiti o manuali di prodotto. ### ESECUZIONE Quando la falsa applicazione viene eseguita, visualizza una finestra di contratto di licenza proprio come farebbe una normale applicazione nel suo processo di installazione. ![Image 7: Figura 7. Finestra del contratto di licenza prima dell'installazione](https://staticfiles.acronis.com/images/content/ef7c9746927465bf7b8e3408598eec54.png) Figura 7. Finestra del contratto di licenza prima dell'installazione Durante l'installazione, il file task.xml viene posizionato nella directory temporanea del programma di installazione o nella directory di installazione del programma. Questo file XML viene utilizzato dal programma di installazione per creare un'attività pianificata, abilitando la persistenza nel sistema. ![Image 8: Figura 8. Falsa applicazione installata](https://staticfiles.acronis.com/images/content/7916864ae5ad1707984baa67cd726ec7.png) Figura 8. Falsa applicazione installata Dopo che l'installazione è completata, il programma di installazione apre una scheda del browser per visualizzare un messaggio di ringraziamento per l'installazione, il che aggiunge ulteriore illusione che il software installato sia legittimo. ![Image 9: Figura 9. Messaggio di ringraziamento dopo l'installazione](https://staticfiles.acronis.com/images/content/a7f6dd2ce92996bf296a0b9057a5cfca.png) Figura 9. Messaggio di ringraziamento dopo l'installazione ### PERSISTENZA In campagne precedenti, gli autori si affidavano agli autorun del registro di sistema, facendo una copia del binario nella cartella di avvio e creando un'attività pianificata. Questa nuova variante utilizza solo un'attività pianificata per la persistenza utilizzando un file XML rilasciato chiamato “task.xml”. Il nome dell'attività osservato dalla versione precedente della campagna impiegava una stringa simile a un GUID, mentre le versioni più recenti hanno adottato un nome di etichetta più generico. schtasks /Create /tn "b9a9ab5b-117b-4f68-82c0-6ed976536225" /xml “%TEMP%\is-Q91SF.tmp\task.xml" _Comando dell'attività pianificata dalla versione precedente della campagna_ schtasks /Create /tn "Scheduled Daily Task" /xml “%APPDATA%\Local\Programs\AnyProductManual\task.xml” _Comando dell'attività pianificata dalle ultime varianti della campagna_ ![Image 10: Figura 10. File Task.xml utilizzato come configurazione per l'attività pianificata](https://staticfiles.acronis.com/images/content/220d6c221f95b3d5a9bf161d249a5916.png) Figura 10. File Task.xml utilizzato come configurazione per l'attività pianificata Questo frammento del file task.xml contiene la configurazione per l'attività pianificata creata dell'applicazione falsa. L'attività pianificata è configurata per eseguire un JavaScript situato nella directory %APPDATA%\Programs\[nome dell'applicazione falsa installata]. L'attività viene eseguita immediatamente dopo la creazione, poi si ripete ogni 24 ore con un ritardo casuale fino a 30 minuti, per garantire un'esecuzione omogenea e automatizzata del payload JavaScript. La sua configurazione consente anche tempi di esecuzione estesi, blocca istanze multiple simultanee ed esegue automaticamente qualsiasi pianificazione mancata. L'abuso delle attività pianificate con aggiornamenti ritardati consente agli aggressori di mantenere silenziosamente un punto d'appoggio sul sistema infetto e controllare quando i loro payload dannosi vengono eseguiti. Ritardando l'attività, possono eludere il rilevamento iniziale e confondersi con i normali processi di sistema. ### COMANDO E CONTROLLO Abbiamo identificato due varianti di payload JavaScript correlate che funzionano come backdoor ma differiscono nella struttura del codice. Entrambe sono pesantemente offuscate, rendendo l'analisi statica significativamente più difficile. ![Image 11: Figura 11. Payload JavaScript pesantemente offuscato](https://staticfiles.acronis.com/images/content/4936b2048bcf87da0bd2153e8f42a915.png) Figura 11. Payload JavaScript pesantemente offuscato Il payload JavaScript è offuscato con un offuscatore JavaScript open source di [obfuscator.io](https://github.com/javascript-obfuscator/javascript-obfuscator?tab=readme-ov-file). Lo strumento applica diverse tecniche di offuscamento, tra cui la ridenominazione di stringhe e funzioni, l'appiattimento del flusso di controllo e l'iniezione di codice morto. La sua efficacia nel nascondere la logica dannosa rende probabile che più malware basati su JavaScript lo adotteranno per ostacolare l'analisi. Un recente esempio in circolazione di questo comportamento è stato documentato nella nostra ricerca precedente, [“Gli autori di minacce si danno al gaming: malware mascherati da app Electron colpiscono di nascosto”](https://www.acronis.com/it/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/). Abbiamo parzialmente deoffuscato il campione JavaScript utilizzando [un deoffuscatore open source](https://github.com/ben-sb/obfuscator-io-deobfuscator). A seconda delle impostazioni di obfuscator.io, lo strumento può recuperare parte o tutto di uno script offuscato. ![Image 12: Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi](https://staticfiles.acronis.com/images/content/a3694a128598a05cd8d30b7deaea082f.png) ![Image 13: Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi](https://staticfiles.acronis.com/images/content/efae6ac479478ca3297d57af857f389b.png) Figura 12. Frammento di payload JavaScript deoffuscati (Sinistra: Campione 1, Destra: Campione 2) Utilizzando il deoffuscatore disponibile, abbiamo parzialmente recuperato entrambi i campioni. I nomi delle variabili e delle funzioni rimangono in gran parte illeggibili, e il secondo campione appare ancora più pesantemente offuscato del primo. Tuttavia, parti di ciascuno script sono ora leggibili. ![Image 14: Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi](https://staticfiles.acronis.com/images/content/c40fc7415aaa1d5f31ecc61936975067.png) ![Image 15: Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi](https://staticfiles.acronis.com/images/content/c32d460567881672fef76d1250e4ab1a.png) Figura 13. Frammento della funzione di logging (Sinistra: Campione 1, Destra: Campione 2) Entrambi i campioni JavaScript sopprimono i messaggi di debug, probabilmente per ostacolare l'analisi, e scrivono il risultato della console in un file di registro. ![Image 16: Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi](https://staticfiles.acronis.com/images/content/5f51fb1e18c1266230b8ff7608ac6ded.png) ![Image 17: Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi](https://staticfiles.acronis.com/images/content/e24329dfe8391151b9d0371922a5cbc5.png) ![Image 18: Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi](https://staticfiles.acronis.com/images/content/142246829986a2f0cd952da3358ad62a.png) ![Image 19: Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi](https://staticfiles.acronis.com/images/content/89123c68a9846a4ec4219e63aeefea3c.png) Figura 14. Frammento delle operazioni del registro e interrogazione per l'ID della macchina (Sinistra: Campione 1, Destra: Campione 2) Il campione legge e scrive chiavi del registro di Windows utilizzando diverse chiamate di sistema, quindi genera un ID della macchina utilizzato per l'impronta digitale e l'identificazione del dispositivo. ![Image 20: Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi](https://staticfiles.acronis.com/images/content/fbf35af46c8eb34d40fc71781c3e984c.png) ![Image 21: Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi](https://staticfiles.acronis.com/images/content/9bf6da11febf8a3c34de8b3deb1a2314.png) ![Image 22: Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi](https://staticfiles.acronis.com/images/content/a9fdcc4fbb2df016b9d417dc8dfdd2b9.png) ![Image 23: Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi](https://staticfiles.acronis.com/images/content/375a452e5a150ab2e52975bc5d80e346.png) ![Image 24: Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi](https://staticfiles.acronis.com/images/content/8136ad52ffd3d090d6dd28ccfcac666f.png) ![Image 25: Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi](https://staticfiles.acronis.com/images/content/6a1bd115e8ec383e6cac59b14a22a35f.png) Figura 15. Frammento di comunicazione C2 (Sinistra: Campione 1, Destra: Campione 2) Entrambi hanno anche un server C2 codificato per inviare un oggetto JSON dalla vittima che contiene il nome dell'evento, l'ID della sessione, l'ID della macchina e altri metadati. Il JSON è crittografato tramite XOR con una chiave casuale di 16 byte che viene anteposta prima di codificarlo con Base64 e poi trasportarlo su HTTPS. ![Image 26: Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi](https://staticfiles.acronis.com/images/content/dd5addd8d61998ccf2a04d886ad7338e.png) ![Image 27: Cucinare guai: in che modo TamperedChef utilizza app firmate per consegnare payload furtivi](https://staticfiles.acronis.com/images/content/44a17f7074225bcde97826fd23bbbc6d.png) Figura 16. Frammento di codice / esecuzione di comando (Sinistra: Campione 1, Destra: Campione 2) Infine, entrambi i campioni hanno la capacità di eseguire codice in remoto. ## Pivoting per campioni simili Durante la nostra ricerca, abbiamo notato un numero significativo di campioni che comunicano con i seguenti domini: * api[.]mxpanel[.]com * api[.]mixpnl[.]com Il pivoting da questi domini ha rivelato una rete più ampia di campioni dannosi collegati alla stessa campagna, molti dei quali sono firmati da nuove shell company non viste nel set precedente. Tra i nuovi firmatari figurano: * Stratus Core Digital, LLC * DataX Engine LLC * Nova Sphere Systems LLC * Internet Share Media LLC * Digital Concept Media I campioni firmati da queste aziende seguono lo stesso modello, imitando applicazioni legittime e utilizzando una catena di esecuzione identica. ![Image 28: Figura 17. Applicazione falsa che contatta api[.]mxpanel[.]com](https://staticfiles.acronis.com/images/content/e157868b3ec96831be8f6681355bf734.png) Figura 17. Applicazione falsa che contatta api[.]mxpanel[.]com ![Image 29: Figura 18. Applicazione falsa che contatta api[.]mixpnl[.]com](https://staticfiles.acronis.com/images/content/f23abd74b073e86c214d1977f7113092.png) Figura 18. Applicazione falsa che contatta api[.]mixpnl[.]com ## Motivazione e impatto Sebbene si sappia poco delle motivazioni o dei protagonisti della campagna, è possibile delineare diversi scenari possibili: ### Guadagno finanziario tramite accesso iniziale La presenza di una backdoor in grado di eseguire codice remoto suggerisce fortemente che gli aggressori mirino a stabilire punti d'appoggio che possano essere successivamente monetizzati. Tale accesso può essere venduto ad altri gruppi criminali come parte di un modello di brokeraggio di accesso iniziale o utilizzato direttamente per distribuire payload aggiuntivi. Questo approccio è in linea con le economie sommerse e di più ampio respiro, in cui gli endpoint compromessi vengono scambiati o affittati per facilitare ulteriori operazioni. ### Furto di credenziali e dati a scopo di lucro Il notevole impatto della campagna sulle organizzazioni sanitarie implica che le credenziali rubate, i dati dei pazienti e le informazioni riservate potrebbero avere un valore di rivendita significativo. Gli aggressori possono esfiltrare registri sensibili e monetizzarli attraverso i marketplace del dark web o utilizzare i dati per abilitare schemi di frode secondari. Anche un accesso limitato alle informazioni sui pazienti o sui dispositivi potrebbe generare margini di profitto sostanziali rispetto al costo operativo relativamente basso della campagna. ### Staging del ransomware Mantenere un accesso persistente attraverso attività pianificate e capacità di esecuzione remota fornisce le basi per futuri attacchi ransomware. Una volta compromessi un numero sufficiente di sistemi, gli operatori o i loro affiliati potrebbero distribuire il ransomware per massimizzare il ritorno finanziario. Questo modello “a due fasi” – infiltrazione iniziale seguita da monetizzazione ritardata – è diventato sempre più comune negli ecosistemi delle minacce a scopo di lucro. ### Spionaggio opportunistico Sebbene la distribuzione della campagna sembri indiscriminata, non si può escludere un accesso opportunistico ad ambienti di alto valore. Se gli aggressori scoprono sistemi appartenenti ad agenzie di governo, istituti di ricerca o industrie strategiche, potrebbero scegliere di raccogliere informazioni o vendere l'accesso ad attori più sofisticati. ## Conclusioni Osservando la cronologia, gli aggressori hanno iniziato con certificati a lungo termine e server C2 generati da domini. La validità triennale dei certificati ha conferito alle false applicazioni una durata di “legittimità” più lunga. Tuttavia, una volta revocati alcuni di questi, l'attore ha cambiato tattica a metà del 2025, emettendo solo certificati di breve durata che sono più facili da sostituire una volta segnalati. Sembra anche che i certificati compaiano leggermente prima rispetto al primo server C2 visibile. Questa attività condivide lo stesso modello con la nostra indagine, dove c'è una significativa differenza di tempo tra l'esecuzione e l'installazione della falsa applicazione e la connessione al server C2. Anche il server C2 segue la stessa traiettoria. I primi server C2 utilizzavano stringhe dall'aspetto casuale che somigliano ad algoritmi di generazione di domini (DGA). Tra la metà e la fine del 2025, i server C2 sono passati a nomi leggibili dall'uomo. In sintesi, questo cambiamento di tattica dimostra come gli operatori continuino ad adattarsi alle misure di sicurezza adottate. ## Raccomandazioni per i difensori TamperedChef illustra una lezione fondamentale in materia di sicurezza: anche i software dotati di firme digitali valide possono essere dannosi. Gli aggressori possono sfruttare la fiducia intrinseca che gli utenti ripongono nelle applicazioni firmate per distribuire malware nascosto, aggirare le difese tradizionali e ottenere persistenza sui sistemi. Ciò sottolinea che le firme digitali da sole non sono una garanzia di sicurezza e che le organizzazioni devono implementare ulteriori livelli di sicurezza, vigilanza e consapevolezza degli utenti per rilevare e mitigare efficacemente le minacce. * Integrare MDR o il monitoraggio delle minacce 24/7: i servizi MDR forniscono monitoraggio continuo, caccia alle minacce e supporto di incident response su tutti i tenant gestiti. La condivisione della telemetria (EDR + MDR) migliora il rilevamento precoce dell'esecuzione anomala di script, dei meccanismi di persistenza e dell'abuso di certificati. * Limitare i diritti di installazione e distribuire solo software che è stato verificato internamente o acquistato direttamente da fornitori noti. * Mantenere aggiornati i sistemi e le protezioni: assicurarsi che gli endpoint dispongano delle più recenti patch del sistema operativo e che le definizioni antivirus siano aggiornate. * Istruire gli utenti finali: fornire formazione per identificare il malvertising e le pagine di download false, sottolineando che i programmi di installazione dovrebbero essere ottenuti solo da fonti di fornitori verificati. ## Rilevamento con Acronis Questa minaccia è stata rilevata e bloccata da Acronis EDR / XDR: ![Image 30: Figura 19. Rilevamento con Acronis](https://staticfiles.acronis.com/images/content/4bc40467528544c56b44e18eec31ac40.png) Figura 19. Rilevamento con Acronis ## TTP di MITRE **Tattiche** **Tecniche** **Procedure** Accesso iniziale T1189 – Compromissione Drive-by Gli operatori hanno utilizzato annunci pubblicitari dannosi per attirare gli utenti a scaricare le applicazioni false. Esecuzione T1204.002 – Esecuzione utente: file dannoso La campagna si basa sull'installazione da parte dell'utente di un'applicazione falsa. T1059.007 – Comando e interprete di script: JavaScript La falsa applicazione distribuisce un payload JavaScript come backdoor. Persistenza T1053.005 – Attività/processo pianificato: attività pianificata La persistenza viene ottenuta creando un'attività pianificata e un file task.xml per la configurazione. Elusione delle difese T1036.001 – Mascheramento: firma del codice non valida La falsa applicazione scaricata utilizza una firma digitale per aumentare la “legittimità” dell'applicazione. T1027 – File o informazioni offuscati Il payload JavaScript è pesantemente offuscato. Scoperta T1012 – Query del registro di sistema Il payload esegue una query del registro di sistema per cercare l'ID della macchina della vittima. Comando e controllo T1071.001 – Protocollo del livello applicazione: protocolli web Utilizza HTTP/S per comunicare con il server C2. T1132.001 – Codifica dei dati: codifica standard Il payload JSON è codificato con codifica base64. ## Regole YARA import "pe" rule TamperedChef_Installers { meta: description = "Detect fake application installers related to the Tampered Chef Campaign" version = "1" strings: // hex $a1 = {8D 55 EC B9 04 00 00 00 8B C7 E8 BA EC FF FF 8D 45 F8 33 C9 8B 55 EC E8 6D AF F6 FF 83 7D EC 00 74 14 8D 45 F8 E8 DF AC F6 FF 8B D0 8B 4D EC 8B C7 E8 93 EC FF FF 8B C6 8B 55 F8 E8 B9 AB F6 FF 83 C6 04 4B 75 BA} $a2 = {8D 45 ?8 50 [0-4] 6A 00 6A 00 6A 00 6A 00 6A 00 6A 00 8B 45 FC E8 33 8F F6 FF 50 6A 00 E8 13 F7 F6 FF 85 C0} $a3 = {8B 45 CC 8D 4D D0 BA DC 8A ?? 00 E8 88 32 FF FF 8B 45 D0 50 8D 55 C8 A1 04 42 ?? 00 E8 0F 32 FF FF} // strings $b1 = "1.0.0" wide $b2 = "CompanyName" wide $b3 = "Inno Setup" ascii wide $b4 = ".tmp" ascii wide condition: pe.is_pe and pe.number_of_sections > 10 and pe.number_of_signatures > 0 and for any i in (00 .. pe.number_of_signatures): ( pe.signatures[i].issuer contains "Sectigo" ) and filesize > 18MB and all of them } ## Indicatori di compromissione **SHA256** **Descrizione** a16ecfcf5e6d7742f0e642309c3a0bf84eaf21962e663ce728f44c93ee70a28e AllManualsReader_oc.exe 05d9f4426ad77fcf73a357a4f5ca1d0cf9ceccf44117c1bc829afb79a2f8671b MasterChess_oc.exe 0abd1e39e17fa99366c8f1cc9171730867b6e86f6362b0492a090170f0305e55 manualreaderpro.exe 8ecd3c8c126be7128bf654456d171284f03e4f212c27e1b33f875b8907a7bc65 JustAskJacky.exe 94dc4138bfabf6a3e7cefffc5f5062fe0ac31384bae4ad78f27557ddb29f6eae TotalUserManuals.exe 0bf92be9bb3989d78ce9f345df190a543eb984cc5479928399b4610d5d94c41f anyproductmanual.exe 035e7dd115afc47704db586a61aa9c189cde7228e752e0491352930f20d97dcc OpenMyManual.exe 091d3bf2f0f6dc08b23151b5acd7cf53217d1ed2812e507d96dc467d9d3092d6 SnakeAttack.exe 0b90c3ef5bc8918c334638f2f11100a992fafbca7e16934652b70f3b2579131b UserManualWizard.exe 113b23c062229aa57dfef68631f85f615e61673024b73cb9c0f5269b712610fa quickmanualreader.exe 14577f1a8d5ea9f5f255b456f0f69fe4e3a1cba82d707de28b3ca25410393c17 gocookmate.exe 1fc4819fcf2522622fd846bf4abcd03ae02adf41366b9911fe7bb30f2a4dc4b7 sudokufunspot.exe 218a3a2e60779c4b4f1c83467f93d7b5c405b9acb799b4b2cdaacb7b26cd48a1 RocketPDFPro.exe 2355ee5283fe7171d5d74302eb7f4e371e2e76c52eb3f07ff3a954a854ae8e4e Backgammon.exe 25575ffd50528952865b2b1df354461148474606c1adc68c0f140e3dcab10362 FallingCubes.exe 30d21ea26917366654f606a8577b430cafe03654432cc97598fad30d16157e2c sudokufunzone.exe 315c2c6654cc4a29597ffc2c5694e38385e67b3f8b149960874a539836c5773d viewmanual.exe 3697f763980e594c83d708b43c410f753134e83baf33f822bba36133e0b1eafc TurboFixPDF.exe 3731b729ffc4aaa42bacb56e0340e29d3b0cb5d14f287bc281ecb716eba0d8d1 PDFPerfection.exe 3c34ec7e666c853465058b96421c018d93e532350547a90a6f68c7db5414a4b1 crosswordfunzone.exe 3c51ca74e721e5e177c5a8495131d7a65ea6733ea8e8875ba3e1ce0270a136b7 EffortlessPDF.exe 3cccbe2e524cb458ea48c108e36efabbf36c76cf30c80b64f52acf8b7b113de9 Getmanualviewer.exe 4967262d1b136bb77be89a2e15c732a9edcc0377b6aaa88a6abecf5a4f8b9215 mapmypackage.exe 512735bb19571707ab484cdfdb2cba74f5a8fdd9e415a8ea8ccf5c1f326f9a4e PDFPerfection.exe 52d234e085c8bf67fa9d338cc5621f17d4ebe166f180896185e5f28c2655c811 AllManualsReader_2.exe 6ea919c991b29ac78d80b9b6080c380a3e53813e1a2b0c3e576763a3ec22ef05 GetAllManuals.exe 71273af47ee2792b68320054ebf44d2dfe4cbe7825c0aedc5a9b65abb5744851 AskBettyHow.exe 7364b8cefd46a8ff918df679066fb8041b98a3e57a09f782ad6f8757fabf56cd Checkers.exe 7fe170dc2ca9f333a177d7d2a5f6fee9e674164e7b46b2c2590c49be1aa9fe05 solitairefunzone.exe 82c452855e3d41cb1a3396e8e1aed7e26812f127ef31c93a8f375e1acb458ff5 Minesweeper.exe 8fb8d1df307f58db070eb5aa82a3ef3a41512d2aa73278d574ab32e55123488a AllManualsReader.exe 94fbb9cc3af0d9ec25d415e35ec65491d6182e452265c854e125cfd94227a53d ClassicMinesweeper.exe 9a77a653ed5c2ec0f9c00019ef6a5cf6153335fcb636c5e56edc3ccd7ad12cd2 Crossword.exe 9f5538afb90dfb0eac126808868a65403a09758b63e3688ef17df1de27782813 UltimateSudoku.exe 9f948215b9ee7e7496ce3bc9e46fda56b50cc8905b88535225c7651007f660d5 OpenMyManual.exe 9fb1dc56a042e6eca786f3aaa7b21d148dfb8276f6cc2cdb867408b20117f547 Checkers.exe a0dae9b551026295575dcf4b1f668069b8fe8119458e792e8293299a74e79436 OpenMyManual.exe a16cbf9ab535d4ad628b583ec3e026799f38bb50b98c495333302f7b804390ea OpenMyManual.exe a5187cbb42b0e0dfb747c8fe86638dc68be9915ec112f7f6f72c8f3735489c76 MasterChess.exe a7fbbb0393e36bc70b6eafb967a3b11a65c442090da1840364886b984784135c ClassicSudoku_oc.exe b850b218d5cc4cc9c1006399c26cc5ca3f9e2da3a70296fceb6760d1f0dcdf90 Solitaire.exe c391b1e00a8fcc120605a6e0c4e26c5ec9624b8e194460d34ae0d26efd147847 manualreaderpro.exe cac499fe09d2640e376c6e6f45d5d287c75faf94d8ba26290016a815a8b4c5b4 Solitaire_oc.exe d70bc73a61252d5d9fde5593670fa790e4e9611838fd6c74f2b9cab97a5cea0f playcrosswordnow.exe d792bc4896854d30b1ea4b2120ec39c4987b4d63802ee0775314f269f138e7f7 classic8ball.exe d799cc1713932e9748ec9d293f831d150e1e345c0e58279cd7c3e49c35e667be TurboFixPDF.exe d9a0d3f05ed8efd475f7b76ca3d4ad7d136b274979d2a0abb6ca26d1a2e98512 FallingCubes.exe db0d90d825db484a146ebc43408c8e722b676616c32d84684bc94ddc8b92e893 EffortlessPDF.exe db62ac71ac17a2f8e3d19b4f093ff1226d5de7fa323dd4564fb0dbb37ae8a364 playcandybreaker.exe dfa5785c13a739fb2fae72f405984eef89dc7bf3dd94137692e96826113d51e0 PDFMagician.exe e18e59723949ad0a2791e95d4c0ffd7657929e8dc6a0d718598b3aec962f73c2 themanualshelf.exe e340e41da2779a714c2c0590955ade6dc35b3c9246bde5cca8e1cab1b937593c PDFMagician.exe ef4b57bad0d28a65333691e1c27787690d58516a79f9cf2fbe840d69401a1932 AllManualsReader_oc.exe ef9621f7fe04fd053e58af7d5863780defd1d2948c131d7df3f76bdb46932688 SpeedyPDFHub.exe f81b533757f4603f2eae935b8b9f466b2c2e3563f44bd40711afbf8980f45eb2 OpenMyManual.exe fccf2c72054e9aa8e5a134854e573b23316a6622631f818695d9c0eb3ca3f1a7 Minesweeper.exe 80f90b9e563e1cfe981a9faf24c9430198bb15916a2dc5e75d14227a8fab9cb6 Task.xml bdafb81fa5a41728d578b0682a6e7f9095250161558431184093acc3641573fa Task.xml 1925e877ce6492a7d1293f3f6f4dcbc70ca3c74bbf42ae2ba80e1b5a2e0925d1 Task.xml c3a2a5b7d8e4bd8fb571a8104170d930647fa73babcfc414adcdef76fb1a57c4 Task.xml 073bd7acf920d7c90fc130213a43b46e5e082e86e1506309c5818df1b4df2a97 Task.xml 3075a2f60611fcfc763059f95f5577999d5bbc39dd33aa9b5b8bc8219c6f2ae4 Task.xml 19d61d0a67207debfb21af2bf8774e010796e5d41f986848d63169c68cc7fa86 Task.xml 06555b8bf3bdf36bf36b4e6a4f5298da732207867c57961a1cb14a14f845e25f Task.xml 3cfd405d7e7f3d7af3d9be6387828fc14d6c24be6ea0651e18a8a63f1cd164cb Task.xml 335a7383867b0da0731968363956d6f31116460b1f9060d0e8c79ff735211733 Task.xml 5c8f276286c2b588fb15b72e8b20c051ae84ed26d93187eaea41b3ba8faa8954 Task.xml d2fbaa89cc5e4e03ecdf7ccfc28fd13230643bfb41a3619fbec64076a2b56a7c Task.xml 4d2bb8c9d995d52dd2ef763af7158bd8f7ff6a59c4004ea38ff0eef684c78381 Task.xml 3826e54318e80e8942bd9b8ab347f560d5dd9741276fec5a26d3eee862516767 Task.xml 1d2027b35978be2a92f27203941f51d9352d56f3cf83f131f9824a7f0891a692 Task.xml 33fb19d5d9c0ca8bea177722807560005c4c2a0533ce3356efdcefc6e93cebff Task.xml ca96040d8899196ff02592a4c01b595a191f4dd89d4d11be8703645019871d33 Task.xml 6c0178a70759eadeb6f88a2c6bc4a217f1aba2ebdadd132610fe86d3994c2a66 Task.xml e7a1d74883e220d92ef024301850c1d56f95bb07fd72e82f4c644b940576d866 Task.xml e498e98578ec27b680fff36768852fa00eea90e4f2de4cdae269a2d523624e36 Task.xml c0bab2e5718056617a4e6965ba8f8babf04adfb11602301223004e3b786bb779 Task.xml b8ec6dca18acb873bf8bf55bc3614df0aaed333638d79fda075f03661d8a5662 Task.xml 760663fd61c55f112186151721425857a485ec6a1db1b2cb8b41bba9ed40af1e Task.xml 9b21cb18aafa50339563af4ae211688846bcb030d43644e251da9d0bad2c9072 Task.xml 21b8c5dabbe910a4c1ada58534e01580eb600a1ab0b8f105e5f8609bdc7f6c42 Payload JavaScript 467876a203eb2c2b01b2d58f1e00271cb6bb75834af08a67e2c69fa0e4788ea5 Payload JavaScript 167359b715610003752cbc89b122a6df97e501304cb4a1ee94a6e75ebf51d6d6 Payload JavaScript dd8502622eaa4e3798f4848cfe81c06ed0dffd7cb0a62c7ab6c7124d5b07bb04 Payload JavaScript bcc9ebce78fdbb1271ff1a2e0def82ec87d6e964a18293e82ec0cdd12856e66b Payload JavaScript d7f2a620429bf104f593ef789aaef0b25afa90b81b5d2285c54eac47dee52aac Payload JavaScript d1e85806e7013aa984356dbce28972f11be4860ab4152cd5510dff3388a89b45 Payload JavaScript f0532759ccaa0ea7f0ec8ec3225eb0e6d87cc3ddd1361967f4ea487bff4394bb Payload JavaScript 9b8bc1df9b891a166de9aefc58fe2ae04fb238f97aa90405617ff9e7501c99a8 Payload JavaScript d8c2f9f843cb7764d138c5cb74a4a887eadcdfc5af0ab7df805af6f40fe27dc1 Payload JavaScript 483657b8b1f3b81540d05842331bc3a564f77f22017ee5abeeffc0e832efcf6f Payload JavaScript 51d876d638a6155572f8cbd42cdd8ae61c84b1816438bc53eb40534f7a92bb69 Payload JavaScript 0ad487d3bd904ade98b505bdd891d1a19665159b0e579696ac0b6a82e9f80617 Payload JavaScript 16e9cf18961ed32613c69d5d4c0f54eb0f051e40a431121bc8fe6de9b3f64b01 Payload JavaScript 1a58c5b8b79f3ed90d43b4d117b01eb32e27b8235d9b3ceda4803a57e6250596 Payload JavaScript 2cd68ea7f02e8cfaded52d64c2cb71b64560b3799c948960db37e827618ff22d Payload JavaScript 822f5dcfe7350d259594d92128ba9fc2b7620aa33b571d8af8a87945d8909026 Payload JavaScript de101b0a881d69ab314e0863845e5f0e62c749eea87a704ecbb3bccb5c0bb1ac Payload JavaScript 5a0e37f70f9ce00ba40edfb4e6d11e87ea6bd0edecf6f604029ef98aa2bd33e9 Payload JavaScript 1e1cbfe91aa9be47480df265f6b5a0fed2f99116bcaa5e6e98689e3498616f84 Payload JavaScript e80291d2827a0abd4ed1c761eaf396f70fe91ce50bdef828e135a8e482af19c3 Payload JavaScript a67cd1ea41484edfca83f53c1f1c8d21717335e8cff2a00dce1c79ff5b48cb2a Payload JavaScript 840b1e76961836f3af79bf4d0a68d426c764587173a8f308d3e6012393c6a9f8 Payload JavaScript 3466810f091a29be4380a634e3aa3f0bafef0b36041abf9ba90a72b4085433d3 Payload JavaScript **URL/Dominio** **Descrizione** hxxps://download[.]allmanualsreader[.]com/AllManualsReader_oc[.]exe URL di download hxps://download[.]playthechess[.]com/d/MasterChess_oc[.]exe URL di download hxxps://download[.]manualreaderpro[.]com/d/manualreaderpro[.]exe URL di download hxxps://download[.]justaskjacky[.]com/d/justaskjacky[.]exe URL di download hxxps://download[.]totalusermanuals[.]com/totalusermanuals[.]exe URL di download hxxps://download[.]anyproductmanual[.]com/anyproductmanual[.]exe URL di download hxxp://effortlesspdf[.]com/EffortlessPDF[.]exe URL di download hxxps://getmanualviewer[.]com/getmanualviewer[.]exe URL di download hxxps://getallmanuals[.]com/GetAllManuals[.]exe URL di download hxxps://download[.]askbexxyhow[.]com/d/AskBexxyHow[.]exe URL di download hxxp://download[.]playthecheckers[.]com/d/Checkers[.]exe URL di download hxxp://download[.]playtheminesweeper[.]com/d/Minesweeper[.]exe URL di download hxxps://download[.]playclassicminesweeper[.]com/ClassicMinesweeper[.]exe URL di download hxxps://download[.]startplayingcrossword[.]com/Crossword[.]exe URL di download hxxps://download[.]openmymanual[.]com/OpenMyManual[.]exe URL di download hxxps://download[.]playclassicsudoku[.]com/ClassicSudoku_oc[.]exe URL di download hxxp://download[.]playthesolitaire[.]com/d/Solitare[.]exe URL di download hxxps://download[.]classic8ball[.]com/d/classic8ball[.]exe URL di download hxxps://download[.]playclassicfallingblocks[.]com/d/FallingCubes[.]exe URL di download hxxps://download[.]themanualshelf[.]com/d/themanualshelf[.]exe URL di download hxxps://speedypdfhub[.]com/SpeedyPDFHub[.]exe URL di download hxxps://download[.]playclassicsnake[.]com/d/SnakeAxxack[.]exe URL di download hxxps://download[.]quickmanualreader[.]com/d/quickmanualreader[.]exe URL di download hxxps://download[.]gocookmate[.]com/d/gocookmate[.]exe URL di download hxxps://download[.]sudokufunspot[.]com/sudokufunspot[.]exe URL di download hxxps://rocketpdfpro[.]com/RocketPDFPro[.]exe URL di download hxxps://get[.]usermanualsonline[.]com/viewmanual[.]exe URL di download api[.]78kwijczjz0mcig0f0[.]com Server C2 api[.]zxg4jy1ssoynji24po[.]com Server C2 api[.]pyej17uw09d1bqlndg[.]com Server C2 api[.]cjby76nlcynrc4jvrb[.]com Server C2 api[.]vtqgo0729ilnmyxs9q[.]com Server C2 get[.]latest-manuals[.]com Server C2 app[.]catalogreference[.]com Server C2 api[.]85etpt40zf7ht4yd1u[.]com Server C2 api[.]ana43c4ajq1o10642i[.]com Server C2 api[.]sey3p6htm1ays1iy54[.]com Server C2 api[.]k2ioeasm874fnacr9x[.]com Server C2 api[.]kdtskq5kw4cwqvauxy[.]com Server C2 api[.]phpjzo16ok6qvpvcrz[.]com Server C2 api[.]vgp4filwmg5ogq58xy[.]com Server C2 api[.]rmr6qd1zy9hyafyzk2[.]com Server C2 api[.]42a2hudcuvftqlmit2[.]com Server C2 api[.]uode7wkkvojxsfpom0[.]com Server C2 api[.]bftdtfky0i2gewg6ki[.]com Server C2 api[.]h06bwr0wg9iyy8ygl0[.]com Server C2 api[.]npfk87zidodfqsfqxd[.]com Server C2 api[.]ka4f064txqusqf1ecb[.]com Server C2 api[.]e8b7xa22r6pevc1lmu[.]com Server C2 api[.]7trellca1rt257t2wa[.]com Server C2 api[.]meg7xqos0m7h9urhr0[.]com Server C2 api[.]rxpfo7bgftr5gjq99u[.]com Server C2 api[.]00isgy77i9fqrn9rmu[.]com Server C2 api[.]slkzkcpz5xf8nplyb6[.]com Server C2 api[.]opfktvbbb0d5pphzlc[.]com Server C2 api[.]1f8tlqv4bfa75qaxl7[.]com Server C2 api[.]d1iwuj0s7os571e3a4[.]com Server C2 api[.]1r2htpstv0jyv4gr3j[.]com Server C2 Articoli correlati [Aggiornamento Acronis sulle minacce digitali, luglio 2026](https://www.acronis.com/it/tru/posts/acronis-cyberthreats-update-july-2026/) [Aggiornamento Acronis sulle minacce digitali, giugno 2026](https://www.acronis.com/it/tru/posts/acronis-cyberthreats-update-june-2026/) [Aggiornamento Acronis sulle minacce digitali, maggio 2026](https://www.acronis.com/it/tru/posts/acronis-cyberthreats-update-may-2026/) [Il ransomware JanaWare prende di mira la Turchia tramite RAT Adwind](https://www.acronis.com/it/tru/posts/new-janaware-ransomware-targets-turkey-via-adwind-rat/)