Katz Stealer: il borseggiatore digitale che prende di mira i tuoi dati

Cos'è Katz Stealer e perché è importante

Katz Stealer è uno strumento di raccolta dati specificamente progettato per raccogliere informazioni sensibili dai dispositivi in cui si infiltra. A differenza di minacce più aggressive che danneggiano i file o richiedono un riscatto, questo agisce silenziosamente in background: il suo obiettivo è osservare, estrarre ed esfiltrare. Prende di mira principalmente dati di accesso, wallet di criptovalute, dati del browser e altri dati personali o finanziari. Ciò che rende Katz particolarmente degno di nota è il suo modello di distribuzione: viene commercializzato come Malware-as-a-Service (MaaS), il che significa che viene venduto ai criminali informatici che possono quindi utilizzarlo per le proprie campagne.

Travestito e ingannevole: come si infiltra

Il processo di infiltrazione di Katz Stealer è al tempo stesso ingegnoso e flessibile. Solitamente, si nasconde in archivi compressi, come i file GZIP, associati a quelli che sembrano normali supporti o software. Una volta aperti, questi file avviano una catena di infezione a più fasi, spesso a partire da un file JavaScript che scarica uno script di PowerShell. Questo script richiama quindi un loader .NET per iniettare il codice dannoso vero e proprio nei processi di sistema legittimi. Il malware si nasconde in piena vista, eseguendo il malware sotto le mentite spoglie di applicazioni Windows affidabili.

Anti-rilevamento per progettazione

Katz è progettato per eludere il rilevamento, non il confronto. Dispone di una serie di trucchi per evitare di essere individuato durante l'analisi. Ad esempio, se il programma rileva di essere in esecuzione in una macchina virtuale o in un sandbox – ambienti spesso utilizzati dai ricercatori di sicurezza informatica – si arresta immediatamente. Utilizza anche una tattica nota come process hollowing, che gli consente di inserire il suo codice in processi legittimi, rendendone più difficile il rilevamento. Inoltre, Katz utilizza il geofencing: se determina che il dispositivo si trova in una determinata area geografica, potrebbe interrompere completamente le sue attività.

Cosa vuole veramente Katz Stealer

In sostanza, Katz è uno strumento per il furto di informazioni. Inizia raccogliendo dati dal dispositivo, come dettagli del sistema operativo, specifiche hardware, indirizzo IP e impostazioni di lingua. Tuttavia, i suoi obiettivi principali sono i browser web e le estensioni. Si concentra sui browser basati su Chromium come Chrome, Brave ed Edge, nonché sui browser basati su Gecko come Firefox. Da questi, estrae la cronologia di navigazione, le password salvate, i cookie e altri dati sensibili. In particolare, cerca estensioni del browser relative alle criptovalute e può estrarre dati da oltre 100 di esse.

Criptovaluta e oltre

Katz non si limita ai browser. È in grado di estrarre informazioni da wallet di criptovalute desktop, client FTP, strumenti VPN, software di posta elettronica, piattaforme di gioco e messaggistica istantanea. Può anche setacciare i file degli utenti cercando parole chiave tipicamente associate a criptovalute o finanza. Come se non bastasse, può acquisire screenshot del desktop e persino monitorare i dati copiati negli appunti. Questo gli consente di acquisire potenzialmente password, indirizzi di wallet o altre informazioni sensibili nel momento stesso in cui l'utente le copia.

Entra TROX Stealer: un parente stretto

Katz non è l'unico ladro di dati in circolazione. TROX Stealer è un altro programma della stessa categoria. Proprio come Katz, TROX è progettato per operare in modo furtivo, raccogliere informazioni simili e inviarle all'aggressore. Sebbene possano differire per alcuni aspetti tecnici o metodi di distribuzione, gli obiettivi sono gli stessi: raccogliere i dati degli utenti senza essere scoperti. Entrambi possono essere acquistati e utilizzati da aggressori con scarse conoscenze tecniche, il che li rende strumenti interessanti nell'ecosistema della criminalità informatica.

Chi c'è dietro Katz e come si diffonde

I creatori di Katz non sono in genere le stesse persone che lo distribuiscono. Piuttosto, si comportano più come sviluppatori che vendono un servizio. Offrendo Katz come MaaS, consentono agli acquirenti di realizzare le proprie campagne. Questo modello di distribuzione implica che le modalità di diffusione di Katz possano variare notevolmente: da email di phishing e siti web ingannevoli a risultati di ricerca infetti e download di software falsi. Alcuni utenti potrebbero imbattersi in esso tramite pop-up, link sospetti o account di social media compromessi. In altri casi, Katz potrebbe essere distribuito in bundle con software pirata o mod di gioco non ufficiali.

Perché la consapevolezza è fondamentale

Katz Stealer può operare in modo discreto, ma la sua presenza ha conseguenze di vasta portata. Può compromettere qualsiasi cosa, dagli accessi ai social media ai depositi in criptovalute. A causa della sua natura stealth e delle sue funzionalità in continua evoluzione, non è sempre facile da individuare. Mentre molti utenti si aspettano che il malware si presenti con avvisi sonori o danni visibili, minacce come Katz dimostrano che i programmi più dannosi spesso non lasciano tracce immediate.

Conclusione

Evitare minacce come Katz richiede più di semplici soluzioni tecniche: inizia con un comportamento prudente. Scaricare file solo da fonti attendibili, evitare link sospetti e non aprire allegati da mittenti sconosciuti sono tutte pratiche fondamentali. Il mondo digitale è pieno di promesse, download e pop-up. Sapere di quali fidarsi può essere il fattore decisivo tra rimanere al sicuro e rischiare che i propri dati vengano silenziosamente sottratti.