**eScan: Antivirus Infetto Spacca il Mondo. Cosa Devi Fare Ora**

ANALISI TECNICA

L'attacco alla catena di fornitura di MicroWorld Technologies ha compromesso il prodotto antivirus eScan, distribuendo malware a livello globale tramite l'infrastruttura di aggiornamento legittima del vendor.

Il malware multi-stadio, firmato digitalmente con un certificato eScan compromesso, è riuscito a bypassare i meccanismi di fiducia standard. Una volta installato, ha stabilito persistenza, abilitato funzionalità di accesso remoto e bloccato gli aggiornamenti per i sistemi colpiti.

Come funziona il malware

• Un esecutivo eScan 32-bit trojanizzato sostituisce un componente legittimo durante l'aggiornamento.
• Questa fase iniziale rilascia ulteriori payload, tra cui un downloader e un backdoor 64-bit che fornisce accesso remoto completo ai sistemi compromessi.
• Il malware modifica il file host di Windows e le impostazioni del registro eScan per bloccare le connessioni ai server di aggiornamento eScan. Questo impedisce agli endpoint compromessi di ricevere correzioni o patch automatiche.
• La persistenza è raggiunta tramite attività pianificate mascherate come lavori di deframmentazione di Windows, nonché chiavi di registro con nomi GUID generati casualmente.
• Il componente downloader tenta di comunicare con infrastrutture di comando e controllo (C2) esterne per recuperare ulteriori payload, ma lo stato attuale di questi server è incerto.

Risposta e azioni richieste

Morphisec ha rilevato e bloccato l'attività dannosa sui sistemi clienti protetti entro poche ore dalla distribuzione iniziale. La società ha contattato MicroWorld Technologies lo stesso giorno. eScan ha dichiarato di aver identificato il problema tramite monitoraggio interno, isolato l'infrastruttura colpita in un'ora e messo offline il sistema globale di aggiornamento per più di otto ore.

Nonostante questi passi, Morphisec ha riferito che ai propri clienti è stato chiesto di contattare attivamente eScan per ricevere la risoluzione, anche se il fornitore ha indicato che i clienti stavano ricevendo notifiche telefoniche dirette.

Morphisec consiglia alle organizzazioni che utilizzano eScan di intraprendere azioni immediate, tra cui:

• Ricerca di hash di file dannosi noti sui terminali
• Revisione delle attività pianificate sotto Windows\Defrag\ per voci sospette
• Ispezione delle chiavi di registro con nomi GUID contenenti dati codificati
• Blocco dei domini C2 identificati
• Revoca della fiducia nel certificato di firma del codice eScan compromesso

Per i sistemi non protetti, la società raccomanda di assumere un compromesso, isolare le macchine colpite e condurre indagini forensi complete. Al momento della pubblicazione, non è stato emesso alcun avviso pubblico del fornitore e l'indagine sembra ancora attiva.

Contesto: DI MERCATO/SICUREZZA:

Un grave compromesso della catena di approvvigionamento ha colpito il prodotto antivirus eScan di MicroWorld Technologies il 20 gennaio 2026, dopo che sono stati consegnati aggiornamenti dannosi tramite l'infrastruttura di aggiornamento legittima del fornitore. L'incidente ha portato alla distribuzione globale di malware multi-stadio ai terminali aziendali e consumer, secondo le conclusioni pubblicate oggi da Morphisec Threat Labs.

I pacchetti dannosi sono stati presumibilmente firmati digitalmente utilizzando un certificato eScan compromesso, consentendo loro di apparire legittimi e aggirare i meccanismi di fiducia standard. Una volta implementato, il malware ha stabilito la persistenza, abilitato le funzionalità di accesso remoto e ha attivamente impedito ai sistemi colpiti di ricevere ulteriori aggiornamenti.

Multi-Stage Malware Blocks Automatic Remediation

• La catena di attacco è iniziata con una versione trojanizzata di un eseguibile eScan a 32 bit, che ha sostituito un componente legittimo durante il processo di aggiornamento. Questa fase iniziale ha scaricato ulteriori payload, tra cui un downloader e un backdoor a 64 bit che ha fornito un accesso remoto completo ai sistemi compromessi.
• Uno degli aspetti più significativi della campagna era la sua capacità anti-rimediazione integrata. Il malware ha modificato il file hosts di Windows e ha alterato le impostazioni del registro eScan per bloccare le connessioni ai server di aggiornamento eScan. Di conseguenza, i terminali compromessi non possono ricevere riparazioni o patch automatiche.
• La persistenza è stata raggiunta tramite attività pianificate mascherate come lavori di deframmentazione di Windows, nonché chiavi di registro utilizzando nomi GUID generati casualmente. Il componente downloader ha anche tentato di comunicare con l'infrastruttura di comando e controllo (C2) esterna per recuperare ulteriori payload, anche se lo stato attuale di quei server rimane non confermato.

Detection, Response and Required Actions

Morphisec ha dichiarato di aver rilevato e bloccato l'attività dannosa sui sistemi clienti protetti entro poche ore dalla distribuzione iniziale. L'azienda avrebbe contattato MicroWorld Technologies lo stesso giorno. eScan avrebbe affermato di aver identificato il problema tramite monitoraggio interno, isolato l'infrastruttura colpita entro un'ora e messo offline il sistema globale di aggiornamento per più di otto ore.

Nonostante questi passi, Morphisec ha riferito che ai propri clienti è stato richiesto di contattare proattivamente eScan per ricevere la risoluzione, anche se il fornitore ha indicato che i clienti stavano ricevendo notifiche telefoniche direttamente. Infosecurity ha contattato eScan per un commento, ma non è stata ricevuta risposta al momento della stesura.

Nel frattempo, Morphisec ha consigliato alle organizzazioni che utilizzano eScan di prendere immediate misure, tra cui:

• Cercare nei terminali i hash dei file dannosi noti
• Revisione delle attività pianificate sotto Windows\Defrag\ per voci sospette
• Ispezionare le chiavi di registro con nomi GUID basati su dati codificati
• Bloccare i domini C2 identificati
• Revocare la fiducia nel certificato di firma del codice eScan compromesso

Per i sistemi non protetti, l'azienda raccomanda di assumere il compromissione, isolare le macchine colpite e condurre indagini forensi complete. Al momento della pubblicazione, non è stato emesso alcun avviso pubblico del fornitore e l'indagine sarebbe ancora in corso.

Strategia: E DIFESA: Consigli pratici per l'utente/investitore

Un grave compromesso della catena di approvvigionamento ha colpito il prodotto antivirus eScan di MicroWorld Technologies il 20 gennaio 2026, dopo che aggiornamenti dannosi sono stati apparentemente distribuiti tramite l'infrastruttura di aggiornamento legittima del fornitore. L'incidente ha portato alla distribuzione globale di malware multi-stadio ai terminali aziendali e dei consumatori, secondo le conclusioni pubblicate oggi dai laboratori di minacce Morphisec.

I pacchetti dannosi sono stati presumibilmente firmati digitalmente utilizzando un certificato eScan compromesso, consentendo loro di apparire legittimi e aggirare i meccanismi di fiducia standard. Una volta implementati, il malware ha stabilito la persistenza, abilitato le funzionalità di accesso remoto e ha attivamente impedito ai sistemi colpiti di ricevere ulteriori aggiornamenti.

Malware multi-stadio blocca la rimediazione automatica

• La catena di attacco è iniziata con una versione trojanizzata di un eseguibile eScan a 32 bit, che ha sostituito un componente legittimo durante il processo di aggiornamento.
• Questa fase iniziale ha scaricato ulteriori payload, tra cui un downloader e un backdoor a 64 bit che ha fornito l'accesso remoto completo ai sistemi compromessi.
• Uno degli aspetti più significativi della campagna è stata la sua capacità anti-rimediazione integrata. Il malware ha modificato il file hosts di Windows e ha alterato le impostazioni del registro eScan per bloccare le connessioni ai server di aggiornamento eScan. Di conseguenza, i terminali compromessi non possono ricevere correzioni o patch automatiche.
• La persistenza è stata raggiunta tramite attività pianificate mascherate come lavori di deframmentazione di Windows, nonché chiavi di registro che utilizzano nomi GUID generati casualmente. Il componente downloader ha anche tentato di comunicare con l'infrastruttura di comando e controllo (C2) esterna per recuperare ulteriori payload, sebbene lo stato attuale di quei server rimanga non confermato.

Rilevazione, risposta e azioni richieste

Morphisec ha dichiarato di aver rilevato e bloccato l'attività dannosa sui sistemi clienti protetti entro poche ore dalla distribuzione iniziale. L'azienda avrebbe contattato MicroWorld Technologies lo stesso giorno. eScan avrebbe affermato di aver identificato il problema tramite il monitoraggio interno, isolato l'infrastruttura interessata in un'ora e messo offline il sistema globale di aggiornamento per oltre otto ore.

Nonostante questi passi, Morphisec ha riferito che ai propri clienti è stato richiesto di contattare proattivamente eScan per ricevere la rimediazione, anche se il fornitore ha indicato che i clienti stavano ricevendo notifiche telefoniche direttamente.

Consigli pratici per l'utente/investitore

• Cercare nei terminali gli hash di file dannosi noti
• Revisionare le attività pianificate in Windows\Defrag\ per voci sospette
• Ispezionare le chiavi di registro con nomi GUID basati su dati codificati
• Bloccare i domini C2 identificati
• Revocare la fiducia nel certificato di firma del codice eScan compromesso

Per i sistemi non protetti, l'azienda raccomanda di assumere un compromesso, isolare le macchine interessate e condurre indagini forensi complete. Al momento della pubblicazione, non è stato emesso alcun avviso pubblico del fornitore e la ricerca sarebbe ancora in corso.

L'episodio di compromissione della catena di fornitura di MicroWorld Technologies evidenzia la vulnerabilità dei sistemi di sicurezza anche quando si affidano a software antivirus rinomati. L'utilizzo di certificati digitali compromessi per distribuire malware dimostra l'evoluzione delle tecniche di attacco, che puntano sempre più a sfruttare la fiducia degli utenti nei confronti di software e servizi noti.

La capacità del malware di bloccare le auto-remediation e la mancanza di un avviso pubblico da parte del fornitore rafforzano la preoccupazione per l'ampiezza potenziale dell'attacco.

• Si prevede che gli attacchi simili diventino sempre più frequenti, con gli aggressori che mirano a sfruttare le vulnerabilità di software e sistemi di fiducia.
• Le aziende dovranno rafforzare le proprie misure di sicurezza, implementando una difesa multi-strato che includa la verifica della provenienza del software, l'analisi del comportamento dei processi e la formazione degli utenti.
• La collaborazione tra fornitori di software, ricercatori in sicurezza e agenzie governative sarà fondamentale per mitigare i rischi derivanti da queste nuove minacce.