Nuovi RAT usano banner FTP per nascondere i comandi

Una nuova campagna malware osservata ad agosto 2026 usa un trucco insolito: nascondere istruzioni operative nei banner dei server FTP, cioè nei messaggi di benvenuto inviati appena ci si collega. Il risultato è la distribuzione di due trojan di accesso remoto finora non segnalati, chiamati E4del e PINHOLE.

Per un’azienda il punto non è il tecnicismo, ma il rischio concreto: i criminali cercano modi sempre più creativi per far passare i propri comandi come traffico “normale”, ridurre le tracce e aggirare i controlli. Se in ufficio basta un clic su un file apparentemente innocuo per avviare la catena d’infezione, il tema riguarda direttamente utenti, PC gestiti male e difese non aggiornate.

Che cosa è successo

Il 25 agosto 2026 The Hacker News ha riportato una ricerca di SOCRadar su una campagna che sfrutta i cosiddetti dead drop resolvers, spesso abbreviati in DDR. In pratica, invece di contattare subito un’infrastruttura di comando e controllo facilmente riconoscibile, il malware recupera istruzioni da servizi o piattaforme apparentemente legittimi o comunque meno sospetti.

La novità, in questo caso, è l’uso del banner FTP come punto di distribuzione dei comandi. Un banner FTP è il messaggio che un server invia automaticamente quando un client si connette alla porta 21. Secondo i ricercatori, qui quel messaggio non serve solo a identificare il server: viene usato per consegnare la fase successiva dell’attacco.

SOCRadar descrive due famiglie malware inedite collegate a questa tecnica:

• E4del, un RAT basato su Node.js
• PINHOLE, un RAT più avanzato, con più livelli di evasione e consegna

L’aspetto rilevante è che i criminali non stanno solo distribuendo un malware, ma stanno sperimentando metodi di comando e controllo meno convenzionali. Anche se la connessione FTP verso server sconosciuti può risultare più visibile rispetto ad altre tecniche web, l’idea mostra come gli attaccanti continuino a cambiare approccio per sfuggire alle difese standard.

Perché i banner FTP sono interessanti per gli attaccanti

Negli ultimi anni molti gruppi hanno abusato di servizi legittimi per nascondere parti dell’infrastruttura malevola: social network, piattaforme cloud, pagine compromesse, redirect apparentemente innocui. Questo consente di mimetizzare il traffico e rendere più difficile bloccare tutto senza interrompere attività lecite.

Il banner FTP porta questo concetto un passo oltre. Il malware non deve necessariamente scaricare subito un file da un sito vistoso: può limitarsi a leggere la risposta iniziale del server e usare quel testo come istruzione per proseguire.

Dal punto di vista difensivo, questo comporta tre problemi pratici:

1. La catena è frammentata: il primo contatto non coincide con il payload finale.
2. L’infrastruttura può cambiare rapidamente: nuovi server, nuovi comandi, nuovi passaggi.
3. L’analisi si complica: ciò che appare come una semplice connessione di rete può in realtà essere un passaggio chiave dell’infezione.

Non è detto che questa tecnica diventi dominante, ma segnala una tendenza precisa: i controlli basati solo sulle firme note o su schemi troppo rigidi rischiano di arrivare in ritardo.

Come funziona la catena d’attacco osservata

Nel caso descritto per E4del, l’infezione partirebbe da esche in lingua spagnola legate a presunti voucher o riscatti. L’utente viene indotto ad aprire un file LNK di Windows, cioè un collegamento che può eseguire azioni ben più pericolose di quanto sembri.

Da lì, il sistema recupera il comando successivo dal banner FTP. Il comando porta poi a un server WebDAV da cui viene scaricata ed eseguita una DLL tramite rundll32.exe, usando conhost. È una catena a più fasi, dove ogni passaggio prepara il successivo e riduce la probabilità di una rilevazione immediata.

Per E4del, l’obiettivo finale è installare un RAT inserito in un’app Electron firmata digitalmente e mascherata da Discord. Secondo SOCRadar, il malware può:

• mantenere la persistenza sul sistema
• raccogliere informazioni sul dispositivo
• eludere parte delle difese
• comunicare in forma cifrata con il server di controllo
• aprire una shell remota
• acquisire screenshot
• trasmettere il desktop in tempo reale
• scaricare file o ulteriori payload

Un dettaglio interessante è il meccanismo di “beaconing”, cioè i controlli periodici verso il server. E4del usa un sistema dinamico a stati per variare la frequenza delle comunicazioni e assomigliare di più a traffico normale. Nei primi 20 secondi dall’ultimo comando resta in modalità attiva, poi rallenta gradualmente se non riceve nuove istruzioni.

PINHOLE adotta invece una struttura ancora più articolata. Secondo i ricercatori, usa anche piattaforme ad alta reputazione come Pinterest e SurveyMonkey come DDR per ottenere dettagli sull’infrastruttura di comando e instradare le comunicazioni tramite Cloudflare Workers. Inoltre impiega script PowerShell temporanei, wrapper ingannevoli che si presentano come utility di aggiornamento e tecniche di evasione come Halo’s Gate ed Early Bird APC Injection.

In termini semplici, significa che il malware cerca di:

• sembrare legittimo
• lasciare meno tracce sul disco
• confondersi dentro processi leciti
• sfuggire meglio ad antivirus ed EDR tradizionali

Il RAT finale PINHOLE, sempre secondo quanto riportato, comunica via HTTP con il server di controllo per ricevere ordini, caricare o scaricare file ed eseguire ulteriori componenti.

Il vero problema non è FTP: è la catena completa

Sarebbe un errore leggere questa notizia come un semplice “torna di moda FTP”. Il punto non è il protocollo in sé, ma il fatto che gli attaccanti combinano social engineering, file apparentemente innocui, script, utility di sistema legittime e più livelli di download per arrivare al controllo remoto della macchina.

In altre parole, la sicurezza non si gioca su un singolo blocco tecnico. Si gioca sulla capacità di interrompere la catena prima che arrivi al suo obiettivo.

I punti deboli più comuni, nelle PMI, sono spesso questi:

• utenti non formati a riconoscere esche e file anomali
• workstation con criteri permissivi su script e PowerShell
• visibilità limitata sul traffico in uscita
• assenza di monitoraggio centralizzato dei PC
• sistemi di backup presenti ma non verificati con regolarità

Ed è proprio in questi ambienti che una minaccia a più stadi può passare inosservata abbastanza a lungo da causare furto di dati, interruzioni operative o compromissione delle credenziali.

Cosa significa per la tua azienda

Per una PMI italiana, questa campagna suggerisce alcune azioni molto concrete.

1. Riduci la superficie di attacco sugli endpoint
Controlla quali utenti possono eseguire file LNK, script e comandi PowerShell senza restrizioni. Le postazioni aziendali non dovrebbero avere la stessa libertà di un PC domestico. Un buon servizio di gestione continuativa delle workstation aiuta a standardizzare policy, aggiornamenti e controlli: /servizi/desktop-it-management/.

2. Monitora il traffico anomalo in uscita
Una connessione verso server FTP sconosciuti, soprattutto se inattesa per il ruolo dell’utente o del PC, merita verifica immediata. Non serve analizzare ogni pacchetto a mano, ma è essenziale avere alert sensati su protocolli non abituali e connessioni verso destinazioni fuori standard.

3. Non affidarti solo all’antivirus
Le tecniche descritte puntano proprio a sfuggire ai controlli più comuni. Serve una difesa multilivello: protezione endpoint, controllo degli script, segmentazione minima della rete, log centralizzati, revisione periodica degli account amministrativi e procedure di risposta.

4. Forma il personale sui file “banali”
Molti utenti associano il rischio solo agli allegati .exe. In realtà collegamenti LNK, archivi compressi, falsi aggiornamenti e istruzioni operative copiate negli appunti sono vettori sempre più usati. Una formazione breve ma ricorrente è più efficace di un corso annuale dimenticato dopo una settimana.

5. Verifica backup e tempi di ripristino
Anche quando una campagna non nasce come ransomware, un accesso remoto stabile può sfociare in cifratura, cancellazione o esfiltrazione di dati. Avere copie isolate e testate resta una misura fondamentale: /soluzioni/remote-backup/.

6. Tratta l’incidente anche come tema privacy
Se un RAT può vedere file, desktop, credenziali e documenti, il rischio non è solo operativo ma anche regolatorio. In presenza di dati personali, clienti o dipendenti coinvolti, può essere necessario valutare impatti, misure correttive e obblighi documentali in ambito GDPR: /servizi/gdpr-2016-679/.

In sintesi, la domanda utile non è “usiamo FTP in azienda?”. La domanda giusta è: “Se un utente esegue un file malevolo, quanto siamo in grado di fermare la catena entro i primi minuti?”.

Come impostare una risposta pragmatica

Per molte aziende la priorità non è acquistare l’ennesimo prodotto, ma mettere ordine. Un approccio realistico può partire da quattro verifiche:

• inventario dei PC e del software realmente in uso
• revisione dei privilegi locali e amministrativi
• controllo delle regole di esecuzione per script e componenti di sistema
• verifica di backup, logging e procedure di escalation

Se queste basi mancano, anche una minaccia relativamente “rumorosa” può fare danni importanti. Al contrario, ambienti ordinati e governati spesso riescono a fermare la catena nelle prime fasi, prima che il malware raggiunga persistenza e canale di comando stabile.

Domande frequenti

Un’azienda che non usa FTP deve preoccuparsi lo stesso?

Sì. In questa campagna FTP è solo un tassello della catena. Il rischio principale nasce da file esca, script, download successivi e controllo remoto del PC.

Antivirus ed EDR bastano a fermare minacce come E4del o PINHOLE?

Non sempre. Le tecniche descritte puntano proprio a eludere i controlli standard. Servono anche hardening degli endpoint, monitoraggio e procedure operative.

Qual è il primo controllo da fare lunedì mattina?

Verificare se nelle postazioni aziendali esistono esecuzioni anomale di LNK, PowerShell, rundll32 o connessioni in uscita verso server FTP non previsti dal lavoro quotidiano.