Malware Neptune RAT su Windows: Fai attenzione ai link di YouTube e Telegram

Immagine in evidenza: il malware Neptune RAT colpisce i PC Windows.

Neptune RAT è una delle minacce malware più intelligenti che colpiscono i dispositivi Windows. Sfrutta siti come YouTube e Telegram per bypassare Windows Defender e altri strumenti antivirus. I suoi effetti includono il blocco dei file tramite ransomware, il furto di password e la cancellazione del Master Boot Record (MBR) di Windows 11. Nonostante la sua gravità, proteggere il tuo dispositivo Windows da Neptune RAT è sorprendentemente facile.

Cosa Rende Neptune RAT Così Pericoloso

Il malware Neptune RAT è stato scoperto per la prima volta dalla società di sicurezza Cyfirma. “RAT” sta per Remote Access Trojans. È un file che, se aperto, consente a un attaccante di controllare il tuo computer da lontano. Di solito, Windows blocca questi tentativi. Dopotutto, è per questo che esistono i programmi antivirus.

Tuttavia, Neptune RAT è estremamente subdolo, nascondendo il suo codice dannoso con parole arabe ed emoji, sfuggendo al tuo firewall, a Windows Defender e ad altri strumenti antivirus. Sa persino se stai utilizzando una macchina virtuale (VM). Dalla parte dell’utente, invoca due semplici comandi PowerShell per infettare il tuo PC:

irm (Invoke-RestMethod): recupera contenuti come software da siti web, come GitHub.
iex (Invoke-Expression): esegue il contenuto scaricato come programma script.

Scaricamento del software desktop di GitHub utilizzando il comando

A un certo punto, uno script batch finisce nelle tue cartelle Windows. Dopo di che, il tuo computer si connette al server dell’attaccante.

Un malware così pericoloso e persistente non si vedeva su Windows da molto tempo. Usa molti file DLL per danneggiare il tuo sistema. Può bloccare i dati del tuo PC (ransomware), rubare password da oltre 270 programmi come i browser Chrome e Brave, catturare tutto ciò che copi e incolli, modificare le impostazioni del registro e persino cancellare il tuo Master Boot Record (MBR).

La parte peggiore? Neptune RAT si sta attualmente diffondendo attraverso i social media: YouTube, GitHub, Telegram e altri link. La maggior parte delle persone si fida inerentemente di YouTube, e per la prima volta, questa fiducia è stata violata. È molto facile ora per gli hacker pubblicare un video dicendo: “Clicca sul link nella descrizione del video per ricevere 500$ in contanti,” e poi fornire un eseguibile di Neptune RAT che può essere masquerato in testo normale.

Soluzioni per il Malware Neptune RAT

I pericoli di Neptune RAT sono molti. Si intrufola oltre ogni strumento di analisi malware e non richiede nemmeno il download di file. Nonostante la grande vulnerabilità, le soluzioni per gli utenti Windows sono abbastanza semplici.

Per gli Utenti Windows Che Conoscono PowerShell

PowerShell impiega una funzionalità chiamata “Constrained Language mode”, che limita l’applicazione a svolgere solo compiti di base. Una volta istruito, non può più accedere alle risorse web utilizzando irm e iex, bloccando quindi Neptune RAT.

$ExecutionContext.SessionState.LanguageMode ="ConstrainedLanguage"

Per forzare l’impostazione del linguaggio vincolato su tutti gli utenti del tuo PC, applica il seguente comando:

Set-ExecutionPolicy-Scope LocalMachine -ExecutionPolicy Restricted -Force

Cambiando PowerShell in una modalità di linguaggio vincolato per evitare i comandi web.

Per annullare l’impostazione precedente, torna semplicemente alla modalità “Full language”, e potrai iniziare a scaricare nuovamente i cmdlet irm e iex.

$ExecutionContext.SessionState.LanguageMode ="FullLanguage"

Fino a quando Windows non rilascia una soluzione adeguata, è meglio tenerli disabilitati.

C’è un’altra opzione. Se non utilizzi molto PowerShell, puoi disabilitare completamente l’accesso di PowerShell a Internet. Dopo di che, quando proverai a eseguire i comandi irm/iex, genererà un errore in PowerShell.

New-NetFirewallRule -Name"BlockPowerShellOutbound"-DisplayName"Block PowerShell Outbound"-Enabled True -Direction Outbound -Program "%SystemRoot%\System32\WindowsPowerShell\v1.0\powershell.exe"-Action Block

Bloccando tutte le connessioni di rete in uscita in PowerShell. I comandi

Per rimuovere la regola di blocco a livello di rete, utilizza il seguente comando:

Remove-NetFirewallRule -Name"BlockPowerShellOutbound"

Anche se non poter utilizzare PowerShell per attività online è un lieve inconveniente, considerando la gravità della minaccia di Neptune RAT, vedo questa come la soluzione migliore.

Per Utenti Non Tecnici

Se utilizzi YouTube o Telegram su un computer Windows, puoi rimanere al sicuro da Neptune RAT evitando di cliccare sui link nelle descrizioni dei video - anche se i creatori dei video ti chiedono di farlo. Potrebbero offrire sconti o promettere di risolvere problemi di sicurezza. Compaiono molto nei video di gaming o hacking etico, ma possono anche essere presenti in clip di film o altri argomenti. Dovresti smettere di cliccare su link sconosciuti, anche se amici o familiari li condividono sui social media.

Altre raccomandazioni che abbiamo per gli utenti Windows casuali che affrontano Neptune RAT:

Usa un’app autenticatrice: su un dispositivo Windows, un’app autenticatrice è il modo migliore per proteggere contro intrusi che tentano di accedere a account sensibili.
Utilizza soluzioni di sicurezza per endpoint: l’unico modo in cui malware senza file come Neptune RAT può essere rilevato è utilizzando software di sicurezza per endpoint come Microsoft Defender, che è diverso dalla Sicurezza di Windows. Lavorano molto meglio nella risposta ad attività sospette in PowerShell.