Come funziona la campagna dei falsi giochi: RenPy Loader, MSBuild ed EtherHiding spiegati

I ricercatori di sicurezza di Malwarebytes hanno scoperto una campagna malware che si nasconde dietro qualcosa di cui molti giocatori si fidano senza pensarci due volte: un gioco indie realizzato con il motore Ren'Py. Ren'Py è uno strumento legittimo e ampiamente utilizzato per creare giochi in stile visual novel, ed è proprio per questo che rappresenta una copertura così convincente. Gli aggressori inseriscono un loader, chiamato RenPy Loader, all'interno di file di gioco che appaiono e si comportano come un normale titolo scaricabile.

Una volta che la vittima esegue il gioco falso, il loader sfrutta silenziosamente MSBuild, uno strumento di sviluppo Microsoft legittimo già installato su molti computer Windows per compilare codice. Poiché MSBuild è un componente Windows attendibile e firmato, gli strumenti di sicurezza hanno meno probabilità di segnalare l'attività che lo attraversa, consentendo al payload malevolo di eseguirsi con un controllo minore rispetto a un eseguibile autonomo.

La campagna si avvale anche di una tecnica chiamata EtherHiding, in cui codice malevolo o dati di configurazione vengono nascosti all'interno di transazioni blockchain o contratti intelligenti. Invece di ospitare le istruzioni su un server che può essere rimosso o inserito in blacklist, gli aggressori possono recuperare comandi da un'infrastruttura decentralizzata molto più difficile da contrastare per i difensori. La combinazione di un motore di gioco attendibile, uno strumento di compilazione affidabile e un occultamento basato su blockchain è ciò che rende questa campagna degna di nota: ogni singolo elemento appare insignificante, ma insieme formano una pipeline di distribuzione per Amatera Stealer.

Cosa prende effettivamente Amatera Stealer dai dispositivi infetti

Amatera Stealer è il payload finale di questa catena e il suo compito è semplice: raccogliere qualsiasi cosa di valore dalla macchina infetta. I malware stealer di questo tipo sono generalmente progettati per prendere password salvate nei browser, dati di compilazione automatica, file di portafogli di criptovalute, cookie di sessione e credenziali per account di gioco, email o social. Una volta raccolti, questi dati vengono inviati all'aggressore, che può venderli, utilizzarli per il furto di account o inserirli in ulteriori campagne.

Ciò che rende pericolosi gli stealer come Amatera non è un'interruzione evidente come quella dei ransomware, ma il furto silenzioso e discreto. Una vittima può continuare a giocare al gioco falso per giorni senza alcun segno visibile di problemi, mentre le credenziali di accesso e i dati del portafoglio sono già nelle mani di qualcun altro. Quando compaiono accessi non autorizzati o conti svuotati, il malware ha spesso già completato il suo lavoro e se n'è andato.

Perché una VPN non ti protegge una volta eseguito il malware

Vale la pena chiarire un concetto che molti giocatori fraintendono: una VPN non è un antivirus e non può fermare questo tipo di infezione. Una VPN crittografa il traffico Internet e maschera l'indirizzo IP, il che è utile per la privacy, per evitare blocchi regionali e per ridurre l'esposizione sulle reti Wi-Fi pubbliche. Ma niente di tutto ciò ha importanza una volta che si è volontariamente scaricato ed eseguito un file malevolo. Il malware viene eseguito localmente sul dispositivo, legge password e file salvati in locale e tocca la rete solo quando è pronto a esfiltrare ciò che ha rubato, momento in cui una VPN si limita a crittografare il furto in transito anziché prevenirlo.

Questa distinzione è importante anche per chi usa già una VPN per motivi legittimi, come ridurre la latenza o accedere a contenuti bloccati su base regionale. Se stai cercando opzioni per un gioco specifico, risorse come una guida su Miglior VPN per Roblox possono aiutare con la qualità della connessione e lo sblocco, ma si tratta di una decisione separata rispetto alla protezione contro i malware che rubano credenziali. I due problemi richiedono strumenti diversi: una VPN per la privacy a livello di rete e abitudini di download sicure insieme alla sicurezza degli endpoint per il malware.

Pratiche di download sicure per i giocatori per evitare malware che rubano credenziali

Poiché questa campagna si basa sull'ingannare i giocatori per eseguire un file, la difesa più forte è comportamentale, non tecnica. Alcune abitudini fanno molta strada:

  • Scarica giochi solo da store ufficiali o dal sito web verificato dello sviluppatore e sii scettico riguardo ai link condivisi su server Discord, post su forum o DM non richiesti che ti chiedono di "provare un gioco".
  • Controlla le proprietà del file e le firme digitali prima di eseguire eseguibili sconosciuti, specialmente quelli associati a un motore di gioco come Ren'Py per cui normalmente non ti aspetteresti di aver bisogno di strumenti di compilazione separati.
  • Mantieni antivirus e protezione degli endpoint attivi e aggiornati, poiché possono rilevare firme note di stealer anche quando il metodo di distribuzione è nuovo.
  • Diffida dei giochi che richiedono autorizzazioni insolite o attivano processi in background inattesi, inclusi quelli che richiamano MSBuild o strumenti di sviluppo simili che non hai installato personalmente.
  • Usa password uniche e robuste archiviate in un gestore di password affidabile anziché salvarle nel browser, in modo che una singola infezione da stealer non possa sbloccare tutti gli account che possiedi.

Cosa significa per te

La campagna malware di stealer tramite falsi giochi descritta qui ci ricorda che la fiducia in uno strumento familiare, che si tratti di un motore di gioco, di un'utilità di compilazione o di una blockchain, può essere strumentalizzata da aggressori che sanno come i difensori cercano le minacce. I giocatori non devono farsi prendere dal panico, ma devono trattare i download non ufficiali con la stessa cautela che riserverebbero agli allegati di posta elettronica provenienti da estranei.

In conclusione

Attenetevi a fonti verificate per i download di giochi, mantenete aggiornato il software di sicurezza e ricordate che una VPN protegge la connessione, non il dispositivo. Se qualcosa vi chiede di eseguire un programma di installazione da un link sconosciuto, fermatevi e verificate prima di fare clic. Questa semplice abitudine è più efficace contro campagne come questa di qualsiasi singolo software di sicurezza.