Nel panorama sempre più affollato dei malware commerciali, OnyxC2 si è imposto come uno degli strumenti di furto credenziali più sofisticati e accessibili mai visti sul mercato criminale. I ricercatori di BlackFog hanno analizzato in dettaglio il kit, scoprendo che può colpire oltre 210 applicazioni diverse — un numero che supera la maggior parte dei concorrenti nella stessa categoria.

Che cos'è OnyxC2

OnyxC2 è un infostealer distribuito come servizio (Malware-as-a-Service, MaaS): chiunque voglia usarlo può abbonarsi sui forum criminali a partire da 250 dollari al mese. Il prezzo include l'accesso a un pannello di controllo, build personalizzate e, dettaglio non secondario, il rimborso se il proprio campione venisse rilevato da un antivirus. Una garanzia commerciale che segnala quanto i suoi autori siano sicuri delle capacità di evasione del prodotto.

Cosa ruba e come

L'elenco delle applicazioni prese di mira è impressionante per ampiezza: browser web (Chrome, Firefox, Edge e decine di varianti), password manager, estensioni per l'autenticazione a due fattori (2FA), client FTP, client di posta elettronica e portafogli di criptovaluta. In pratica, quasi tutto ciò che un utente o un dipendente aziendale usa quotidianamente per accedere a sistemi e dati sensibili.

Tecnicamente, OnyxC2 combina tre strategie per evitare la detection:

  • Payload cifrati: il codice malevolo viaggia cifrato, rendendo difficile l'analisi da parte delle soluzioni di sicurezza basate su firma.
  • DLL sideloading: il malware si "aggrappa" a librerie di sistema legittime per eseguirsi senza destare sospetti.
  • Esecuzione in memoria: nessun file viene scritto su disco nella fase critica, eludendo così gli strumenti di monitoraggio che analizzano il filesystem.

A ciascun cliente viene consegnata una build "mutata", cioè modificata rispetto alle versioni precedenti, per impedire che le firme virali già note possano bloccarla. Gli sviluppatori dichiarano un tasso di evasione del 99%, cifra che, anche se gonfiata a fini commerciali, indica comunque un livello tecnico elevato.

Il rischio per le aziende

La natura as-a-service di OnyxC2 abbassa drasticamente la soglia di ingresso per i cybercriminali: non è più necessario saper scrivere codice malevolo, basta pagare un abbonamento. Questo significa che la platea di potenziali aggressori si allarga enormemente.

Per le organizzazioni, il rischio più concreto è il furto di credenziali aziendali — accessi a VPN, portali interni, account cloud — che possono poi essere usate per attacchi più profondi, come la distribuzione di ransomware o l'esfiltrazione massiva di dati. Il fatto che OnyxC2 colpisca anche i token 2FA rappresenta un ulteriore elemento di preoccupazione, poiché mina uno dei principali meccanismi di difesa oggi raccomandati.

Come difendersi

Le misure di protezione più efficaci contro gli infostealer di questa generazione includono l'utilizzo di chiavi hardware (FIDO2) al posto dei codici OTP, il monitoraggio delle sessioni anomale tramite soluzioni EDR aggiornate, e la formazione degli utenti per riconoscere i vettori di distribuzione più comuni, come phishing e download da fonti non ufficiali. La sola autenticazione a due fattori basata su app, come dimostrano le capacità di OnyxC2, non è più sufficiente da sola a proteggere gli accessi più critici.