In un nuovo report, Zscaler ThreatLabz ha rivelato i dettagli di una nuova famiglia di malware chiamata YiBackdoor, osservata per la prima volta nel giugno 2025.

Fin dall’inizio, l’analisi ha evidenziato corrispondenze significative del codice sorgente con i downloader IcedID e Latrodectus, ed è proprio questa connessione che Zscaler indica come fondamentale per comprendere la possibile origine e il ruolo del nuovo campione negli attacchi.

Il malware è una libreria DLL modulare con un set base di funzioni di controllo remoto dell’host e un meccanismo di estensione basato su plugin. Di default, le funzionalità sono limitate, ma gli aggressori possono caricare moduli aggiuntivi per espanderne le capacità.

Il programma si copia in una cartella appena creata con un nome casuale, ottiene la persistenza tramite il tasto Esegui di Windows e avvia regsvr32.exe con un percorso dannoso.

Il nome della voce di registro viene generato utilizzando un algoritmo pseudo-casuale. Il modulo primario si autodistrugge, complicando le misure di risposta e l’analisi forense. La logica dannosa viene eseguita tramite una configurazione crittografata incorporata, da cui viene estratto l’indirizzo del server di comando e controllo, e la comunicazione con il C2 avviene tramite risposte HTTP contenenti comandi.

Le funzionalità di YiBackdoor includono la raccolta di metadati di sistema, l’acquisizione di screenshot e l’esecuzione di comandi shell tramite cmd.exe e PowerShell, nonché il caricamento e l’inizializzazione di plugin crittografati in Base64. I comandi chiave identificati nel meccanismo di controllo sono elencati di seguito: Systeminfo, screen, CMD, PWS, plugin e task. La tecnica di iniezione di codice prevede l’iniezione nel processo svchost.exe e le tecniche di anti-analisi integrate sono focalizzate sul rilevamento di macchine virtuali e sandbox, riducendo la probabilità di rilevamento durante l’analisi in un ambiente protetto.

Gli analisti di Zscaler notano diverse somiglianze con IcedID e Latrodectus: un metodo di iniezione simile, formato e lunghezza identici della chiave di decrittazione della configurazione e algoritmi simili per la decrittazione dei blocchi di configurazione e dei plugin. Date queste somiglianze e l’architettura osservata, i dipendenti dell’azienda valutano con un livello di sicurezza da moderato ad alto che YiBackdoor possa essere opera degli stessi sviluppatori responsabili dei precedenti downloader. Tuttavia, le implementazioni attuali sono limitate, il che indica una fase di sviluppo o test e il potenziale ruolo del campione come precursore di successive fasi di sfruttamento, inclusa la preparazione dell’accesso iniziale per il ransomware.

L’organizzazione sottolinea l’importanza di monitorare le richieste HTTP in uscita e le modifiche al registro, nonché di implementare regole di rilevamento incentrate su indicatori comportamentali di iniezioni di svchost.exe e anomalie associate all’avvio di regsvr32.exe da percorsi casuali. Questi indicatori consentono il rilevamento tempestivo dei tentativi di iniezione di YiBackdoor e la prevenzione di ulteriori attività da parte degli aggressori.

L'articolo Arriva YiBackdoor: cosa c’è da sapere e come difendere la rete proviene da il blog della sicurezza informatica.

If you know anything about Mickey Mouse, you’ll be able to tell us that his first outing was in 1928’s Steamboat Willie — an animated short that sees our hero as the hapless pilot of a riverboat battling an assortment of animals and his captain. It entered the public domain last year, meaning that it and the 1928 incarnation of Mickey are now free of any copyright obligation to the media giant.

There’s an interesting development from Florida on that front though as it seems Disney may have been testing this through legal means, and now a law firm wants to see them in court over their proposed use of the film in an advert.

Of course here at Hackaday we don’t cover the dry subject of Florida legal news as a rule, but we are interested in the world of copyright as it applies to many other things that do come under our eye. As we understand it the law firm is requesting the judge assert their protection from trademark claims over the use of Disney’s 1928 Willie, given that there have been claims from the entertainment giant against others doing the same thing.

It’s hardly surprising that a large corporation might seek to use legal muscle and trademark law to de facto extend the term of Mickey’s protection beyond the defined copyright expiration date, so for once it’s refreshing to see them come up against someone unafraid of a courtroom.

We hope that common sense will prevail, and this undermining of a cherished right (not to mention prior case law) is not allowed to succeed. Meanwhile if you’d like a 1928 Mickey that Disney have shied away from coming after, look no further than the EFF.

hackaday.com/2025/09/26/steamb…