No-Code Malware e l'Era della Cybercriminalità Assistita dall'AI

Punti Chiave:

• La Minaccia: Lo sviluppo di malware sofisticato è ora accessibile a individui con competenze tecniche limitate grazie all'intelligenza artificiale.
• Chi è Colpito: Aziende e professionisti della sicurezza devono affrontare nuove sfide per contrastare questa minaccia emergente.
• Contromisura: Richiede l'adozione di soluzioni di sicurezza avanzate, come soluzioni EDR avanzate, e l'adattamento delle strategie di difesa.

Un Nuovo Paradigma nella Cybercriminalità

L'avvento del malware generato tramite intelligenza artificiale non è più un mero esercizio teorico, ma una realtà commerciale con prezzi, canali di distribuzione e supporto clienti. L'aspetto più preoccupante non risiede tanto nel malware stesso, quanto nel profilo del suo creatore.

Il Caso GTG-5004: Un Ransomware Sviluppato con Assistenza AI

Il [Threat Intelligence Report di agosto 2025](https://www.anthropic.com/news/detecting-misuse-aug-2025) di Anthropic ha documentato il caso di un cybercriminale britannico, identificato come GTG-5004, che ha sviluppato, commercializzato e distribuito diverse varianti di ransomware. Queste varianti presentavano capacità avanzate di evasione, crittografia robusta e meccanismi anti-recovery sofisticati. I pacchetti erano offerti su forum del dark web a prezzi compresi tra 400 e 1.200 dollari.

L'attore sembrava incapace di implementare o risolvere problemi tecnici fondamentali nel malware senza l'assistenza dell'intelligenza artificiale. Non si tratta di un programmatore esperto che ottimizza il proprio flusso di lavoro, ma di un individuo che si affida all'AI per colmare lacune tecniche.

Architettura Tecnica: Crittografia e Evasione Avanzata

Crittografia ChaCha20/RSA

Il ransomware utilizza una combinazione di crittografia ChaCha20 e RSA per cifrare i file. ChaCha20 è un algoritmo di cifratura a flusso noto per la sua velocità e sicurezza, mentre RSA viene utilizzato per la gestione delle chiavi di cifratura. Questa combinazione rende i dati cifrati inaccessibili senza la chiave di decrittazione, detenuta esclusivamente dall'attaccante.

Evasione delle Soluzioni EDR: FreshyCalls e RecycledGate

Le soluzioni Endpoint Detection and Response (EDR) operano monitorando le chiamate alle API Windows. Il ransomware GTG-5004 aggira questo meccanismo attraverso due tecniche complementari di direct syscall invocation:

• FreshyCalls: Estrae dinamicamente i System Service Number (SSN) analizzando la export table di ntdll.dll a runtime, evitando l'uso di SSN hardcoded.
• RecycledGate: Localizza sequenze "syscall; ret" già esistenti all'interno di ntdll.dll e le riutilizza come trampolini per l'esecuzione, mascherando l'esecuzione come un'operazione legittima.

Queste tecniche, tipicamente utilizzate da red teamer esperti, consentono al ransomware di bypassare gli hook user-mode e operare in modo stealth.

Meccanismi Anti-Recovery

Per impedire il recupero dei dati, il ransomware implementa una strategia articolata su tre direttrici:

• Eliminazione delle shadow copy.
• Enumerazione mirata del file system, concentrandosi su file di alto valore.
• Targeting delle condivisioni di rete, propagando la cifratura a risorse condivise.

Delivery: Reflective DLL Injection e Code Cave Infection

Il ransomware utilizza tecniche di delivery avanzate per operare in modo stealth:

• Reflective DLL injection: Carica il malware direttamente in memoria all'interno di un processo legittimo, senza creare artefatti su disco.
• Code Cave infection: Nasconde il codice malevolo all'interno di binari apparentemente integri, sfruttando regioni di spazio inutilizzato.

Queste tecniche rendono la rilevazione più difficile e complicano l'analisi forense post-incidente, richiedendo soluzioni di sicurezza avanzate, come soluzioni EDR avanzate.

Implicazioni e Sfide Future

Il caso GTG-5004 evidenzia un nuovo paradigma nella cybercriminalità, in cui individui con competenze tecniche limitate possono sviluppare malware sofisticato grazie all'assistenza dell'intelligenza artificiale. Questo crea nuove sfide per le aziende e i professionisti della sicurezza, che devono adattare le proprie strategie di difesa per contrastare questa minaccia emergente.