Ricercatori hanno scoperto che cybercriminali stanno sfruttando i banner dei server FTP per nascondere comandi malevoli e distribuire due nuovi trojan di accesso remoto, E4del e PINHOLE, attraverso catene di infezione che coinvolgono file ZIP e script PowerShell.
Un nuovo metodo di attacco informatico è stato individuato dagli esperti di sicurezza: i criminali stanno utilizzando i banner dei server FTP per veicolare comandi nascosti che installano due trojan di accesso remoto, E4del e PINHOLE, mai documentati prima. La tecnica, osservata per la prima volta da MalwareHunterTeam a luglio, sfrutta file di collegamento (.LNK) e banner FTP come dead-drop resolver (DDR) per recuperare istruzioni malevole.
Come funziona l'attacco tramite banner FTP
I banner FTP sono messaggi di testo inviati dal server come saluto ai client prima dell'autenticazione. In questo caso, i comandi malevoli vengono inseriti nella risposta iniziale del server FTP compromesso: quando il sistema vittima si collega, riceve istruzioni che avviano la catena di infezione. SOCRadar, piattaforma di threat intelligence, ha confermato che questa tecnica è attiva almeno da luglio 2026 e che nuove infrastrutture sono state rilevate fino ad agosto 2026.
Secondo il report condiviso con BleepingComputer, l'attacco parte da un archivio ZIP che avvia una sequenza di infezione basata su file LNK, probabilmente diffusa tramite campagne di phishing. Da qui, vengono scaricati script PowerShell nascosti nei banner FTP, che installano i due RAT.
Caratteristiche di E4del e PINHOLE
E4del è un RAT basato su Node.js, confezionato in un'app Electron firmata digitalmente che si spaccia per Discord. Permette di eseguire comandi tramite shell persistenti o temporanee, catturare screenshot, trasmettere il desktop via WebSockets e scaricare ulteriori payload. È stato individuato anche un modulo Node.js chiamato crypto32.node che tenta l'escalation dei privilegi, ma non è stato possibile analizzarlo direttamente.
PINHOLE, invece, recupera la configurazione C2 da Pinterest e SurveyMonkey, rendendo difficile il blocco dell'infrastruttura. Il malware mantiene un'impronta minima sul sistema, caricando in memoria solo una piccola porzione del payload e iniettando il codice finale in un processo ApplicationFrameHost.exe sospeso tramite Early Bird APC injection. Supporta 14 comandi, tra cui gestione file, esecuzione di comandi, gestione processi, screenshot e furto di credenziali dai browser.
Impatto e rischi per le aziende
Al momento dell'analisi, PINHOLE risultava attivo solo in 11 eventi, suggerendo una fase iniziale della campagna. L'uso dei banner FTP come DDR è considerato innovativo ma meno discreto rispetto a metodi basati su servizi web legittimi come X, GitHub o YouTube, poiché le connessioni FTP a server sconosciuti sono più facilmente individuabili dai sistemi di sicurezza. SOCRadar sottolinea che la tecnica potrebbe essere adattata anche per campagne di social engineering come ClickFix.
Per chi si occupa di difesa informatica, il report di SOCRadar fornisce indicatori di compromissione utili per identificare sia l'infrastruttura malevola sia i dispositivi infetti. In un contesto di minacce sempre più sofisticate, come già evidenziato anche da attacchi che sfruttano la funzione Plug and Play di Windows per ottenere privilegi elevati, descritti in questo approfondimento su attacchi USB dannosi, la rapidità nell'individuare nuove tecniche di attacco resta fondamentale per la sicurezza delle aziende.
