# EtherRAT usa Ethereum come base: bloccare il server non basta più

URL: https://menteinformatica.it/sicurezza-privacy/etherrat-malware-blockchain-ethereum/
Autore: Giorgio Perillo
Aggiornato: 2026-06-18
Categoria: Sicurezza e Privacy

---

**Ricercatori di sicurezza hanno scoperto un’infrastruttura criminale che distribuisce [EtherRAT, un malware basato su Node.js](https://www.malwarebytes.com/blog/threat-intel/2026/06/inside-a-malicious-infrastructure-delivering-etherrat-phishing-pages-and-malicious-software), insieme a pagine di phishing e software di controllo remoto. Il dettaglio che lo rende difficile da bloccare: usa la blockchain di Ethereum per trovare il suo server di comando.**

## Un malware che sfrutta Ethereum per non farsi trovare

EtherRAT è un **trojan di accesso remoto** scritto in Node.js che permette a un attaccante di prendere il controllo completo di un computer e di eseguire qualsiasi codice a distanza. Il tratto distintivo, quello che lo rende più ostico rispetto ai RAT classici, è che non ha un indirizzo IP fisso hardcoded: usa la **blockchain di Ethereum** per recuperare dinamicamente il suo server di comando e controllo.

Questo approccio rende inutile la strategia più comune per neutralizzare un malware, cioè bloccare o abbattere il server C2. Finché la blockchain è in piedi, il malware sa dove andare.

È una scelta tecnica furba, anche se il codice complessivo è sorprendentemente compatto.

📌 **Da sapere:** EtherRAT viene distribuito tipicamente tramite file MSI, script PowerShell o JavaScript. Il vettore iniziale di questa campagna era una cartella “/install” su un server con directory aperta, con versioni progressive da v1 a v10.

## Come funziona l’attacco: dal file MSI al controllo remoto

Secondo l’analisi di Malwarebytes, il file **v9.msi** contiene tre componenti principali: un launcher BAT chiamato **KmPuGimn.cmd**, un primo loader JavaScript e un file cifrato con il payload finale, **MRaQCipBIZeiZNx.log**. All’avvio, il BAT si copia in una cartella casuale dentro %LOCALAPPDATA% e verifica se Node.js è già installato sul sistema.

Se Node.js non è presente, il malware lo scarica autonomamente dal sito ufficiale usando **curl -sLo**, lo estrae con tar e rinomina la cartella in “28Q75h” per mimetizzarsi. Il loader XML successivo decifra il payload con una funzione XOR e lo esegue tramite **vm.compileFunction**, una tecnica che sfrutta il motore JavaScript di Node per eseguire codice in memoria senza scrivere file facilmente rilevabili su disco.

⚠️ **Attenzione:** I siti di distribuzione usano homepage con tema “hacker” che cambiano aspetto per ingannare gli scanner automatici e i ricercatori. Alcuni di questi domini erano indicizzati su Google.

## Perché questa campagna è più preoccupante del solito

💡 **L’analisi:** L’uso della blockchain per il C2 non è una novità assoluta, ma vederlo combinato con un’infrastruttura che serve contemporaneamente RAT, phishing e software di controllo remoto suggerisce un’operazione con risorse e pianificazione fuori dalla media. Il fatto che alcuni domini fossero indicizzati su Google indica che l’infrastruttura era operativa da abbastanza tempo da non essere ancora segnalata.

Quello che emerge dal report di Malwarebytes non è solo un singolo malware, ma un’**infrastruttura modulare** in cui lo stesso gruppo gestisce vettori di attacco diversi dallo stesso insieme di server. I siti cambiano homepage a seconda di chi li visita, probabilmente per confondere i crawler di sicurezza e allungare i tempi di rilevamento.

La lezione pratica per chi gestisce endpoint aziendali è diretta: bloccare Node.js dove non è necessario e monitorare download insoliti via curl verso directory utente. EtherRAT non è sofisticato nel codice, ma lo è nella strategia di sopravvivenza.

E questo, secondo me, è il segnale che conta davvero.

A proposito di ecosistemi chiusi, leggi anche [L'Antitrust italiano costringe Apple ad aprire iCloud](https://menteinformatica.it/sicurezza-privacy/apple-antitrust-agcm-icloud/).

E rischi ancora maggiori arrivano da [Copilot leggeva le tue email aziendali: i codici 2FA](https://menteinformatica.it/sicurezza-privacy/microsoft-copilot-falla-critica-2fa/).

Simili vulnerabilità colpiscono anche [Falla nelle Beats Studio Buds: qualcuno poteva](https://menteinformatica.it/sicurezza-privacy/beats-studio-buds-aggiornamento-falla-bluetooth/).

Stay tech 🦾