Installatori falsi e update fidati aprono la strada a JadeProx
Il punto debole non è il filtro sull’endpoint, ma la fiducia concessa a installatori e aggiornamenti che sembrano legittimi. JadeProx incolla il payload a un binario firmato o a un falso installer, così Windows avvia prima il pezzo malevolo e il traffico appare come normale attività di aggiornamento.
Group-IB collega la campagna a TriBack Loader, un nuovo loader Windows, e a domini che imitano vendor e software di AI, incluso un falso installer di Claude. Le intrusioni hanno toccato enti governativi, sanità e istruzione in Asia e America Latina; tra i bersagli confermati ci sono un ospedale pubblico in Vietnam, il ministero degli Esteri malese e infrastrutture educative a Hong Kong.
Per chi gestisce ambienti dove il personale scarica software o segue update dal web, il problema è che il punto d’ingresso può sembrare affidabile fin dall’inizio. Una volta dentro, la catena usa sideloading e passaggio alla cartella Startup per mantenere la presenza, e il blocco solo a livello host rischia di arrivare dopo che webshell e tooling di post-exploitation sono già attivi.