Un malware bancario nato in Brasile e attivo da oltre sei anni è tornato a colpire il Portogallo con una campagna che il team di ricerca Acronis TRU  ha osservato nelle ultime settimane. Si chiama Lampion, viene documentato pubblicamente per la prima volta nel dicembre 2019 da Segurança Informática e deriva dalla famiglia ChePro. Nonostante le origini sudamericane, ha sempre preso di mira il Portogallo e gli utenti di lingua portoghese. La nuova ondata, ricostruita mediante l'analisi della telemetria e dei campioni raccolti in campo, conferma che i threat actor dietro a Lampion continuano a investire nell'affinamento delle tecniche di consegna e di evasione.

Il dato più interessante per chi segue la cybersecurity fuori dal Portogallo riguarda il meccanismo: una catena di infezione frammentata in stadi indipendenti, con offuscamento pesante a ogni passaggio, che rende complicata l'analisi comportamentale e riduce la visibilità delle attività malevole. L'eventuale replica di questa campagna con esche in altre lingue resta un'ipotesi aperta, anche perché esistono dei precedenti: il Portogallo rappresenta il 94,6% delle rilevazioni complessive, ma ci sono margini residuali per Spagna (4,3%) e Regno Unito (1,1%). Probabilmente si tratta di esposizioni incidentali fuori dal perimetro di targeting previsto, ma la loro esistenza mostra che il perimetro non è del tutto impermeabile. Inoltre, la sua architettura merita di essere raccontata perché rappresenta uno degli esempi più elaborati di come un trojan bancario datato possa restare rilevante rinnovando solo l'infrastruttura di consegna.

Partecipa agli ItalianSecurityAwards 2026 ed esprimi il tuo voto premiando le soluzioni di cybersecurity che reputi più innovative

Uno strato dietro l’altro

Tutto parte da un'email di phishing che imita una comunicazione finanziaria o amministrativa di routine. Il pretesto è semplice ed efficace: una "ricevuta di pagamento" che il destinatario è invitato a verificare. Per aumentare la credibilità, l'email è corredata con un'informativa sulla riservatezza, un disclaimer da casella automatica e una firma completa con indirizzo fisico e riferimenti ai social network dell'azienda impersonata.

L'allegato malevolo è un file ZIP, che una volta aperto consiste in un documento HTML da 1,3 MB: un po’ troppo pesante per una singola pagina web che si apre nel browser, ma all’utente medio questo dettaglio sfugge. La pagina imita fedelmente il servizio SAPO Transfer, tra i più noti del paese, e in brackgroud lavora un JavaScript malevolo che avvia il recupero di un secondo script da un indirizzo cifrato. Una volta completato il download, quest’ultimo script viene iniettato dinamicamente nel documento già caricato, creando così un nuovo elemento script (il terzo) che viene aggiunto alla sezione head della pagina per poter essere eseguito senza scrivere nulla su disco.

I ricercatori di Acronis reputano che esista un meccanismo di geofencing e di tracciamento della vittima, per ostacolare il recupero dello stadio successivo al di fuori di un'infezione realmente in corso. Da qui la probvqabile causa delle difficoltà nella ricostruzione dell'intera catena.

Gli script VBS di secondo stadio seguono la stessa convenzione di naming degli archivi ZIP e dei file HTML usati nelle fasi precedenti, così da mantenere la coerenza narrativa dell'esca. Come nelle fasi precedenti, l'offuscamento è la cifra distintiva e le dimensioni del file esagerate sono il marchio di fabbrica: in questo caso parliamo di un file da circa 7 MB che contiene 22 KB di codice realmente funzionante.

Dopo la de-offuscazione, i ricercatori hanno individuato due funzioni principali: la costruzione dinamica di uno script downloader e la creazione di un'attività pianificata (scheduled task) incaricata di orchestrare il download e l'esecuzione dello stadio VBS finale.

L'ultimo stadio è la componente più complessa dell'intera catena, sia per dimensione sia per funzionalità. Ripulito dall’ingente quantità di codice spazzatura e dai livelli di offuscamento, il codice realmente operativo conta circa 1.000 righe e descrive un comportamento che si sviluppa in una sequenza precisa.

Innanzi tutto lo script si assicura di essere l'unica istanza in esecuzione, così da evitare che l'utente si insospettisca o che si venga a creare conflitti, subito dopo cancella le tracce delle fasi precedenti. Il malware calcola un identificativo univoco della vittima in funzione dell’utente attivo e della configurazione del sistema, e lo usa in ogni comunicazione con il server di comando e controllo. Prima di proseguire controlla se esiste già un file marcatore e nel caso si ferma, altrimenti contatta il server di comando e controllo per scaricare il file successivo. A questo punto il malware definisce anche il percorso dove salverà il payload finale e usa il Task Scheduler di Windows per pianificare i passaggi successivi.

La catena di infezione

Prima ancora di scaricare il payload vero e proprio, lo script invia al server un piccolo pacchetto di dati sulla vittima, codificato in Base64, che contiene il nome del prodotto antivirus installato, il nome utente, il nome del computer e un fingerprint della macchina. È un modo per profilare chi è stato infettato prima di decidere come proseguire. Il download del payload avviene poi in blocchi da 10 MB tramite richieste HTTP Range, che vengono ricomposti sul disco. Terminato l'assemblaggio, lo script pianifica un'attività che sposta il file nella sua destinazione finale e scrive un marcatore codificato in Base64 per segnalare che l'operazione è riuscita. Chiude il ciclo un'ultima attività pianificata, che dopo cinque minuti riavvia lo script stesso per garantire continuità anche in caso di interruzioni.

Acronis segnala che il payload finale pesa circa 750 MB, di cui la maggior parte spazzatura, in cui si nasconde il componente RAT vero e proprio, capace di garantire accesso remoto completo alla macchina infetta e funzionalità di esfiltrazione dati.

 Come difendersi

Per chi si occupa di detection, Acronis TRU segnala alcuni comportamenti sospetti da tenere d'occhio. Il primo è un programma di sistema che carica ed esegue un file esterno il cui nome, insolitamente, corrisponde a una data e un'ora precise. Se quel file, una volta avviato, richiama al suo interno una funzione con un nome in lingua portoghese, il sospetto diventa quasi una certezza.

Il secondo riguarda le attività pianificate del sistema operativo, quelle che di solito servono per operazioni di manutenzione automatica. Qui invece vengono usate per spostare un file appena scaricato nella sua posizione definitiva e per far ripartire l'intero processo a distanza di pochi minuti. Il terzo riguarda piccoli script che si trovano in una cartella temporanea del computer: sono sospetti quelli capaci di ricostruire un file scaricandolo a pezzi, e quelli che si preoccupano di cancellare ogni altra traccia simile lasciata in giro, come se volessero coprire le proprie tracce.

Infine, un indizio semplice ma efficace è la dimensione dei file coinvolti: un programma da centinaia di megabyte comparso all'improvviso in una cartella con un nome fatto solo di numeri non è mai un buon segno.