SprySOCKS porta il backdoor dentro il kernel di Windows
Il cambio vero non è che SprySOCKS arrivi su Windows. Il punto è che il porting sposta il problema della caccia: con stealth a livello kernel e deviazione del traffico TCP, il backdoor può restare invisibile ai controlli che cercano una porta in ascolto o un processo sospetto.
ESET ha identificato due varianti Windows, WIN_DRV e WIN_PLUS, e ha collegato il loro uso a intrusioni tra il 2023 e il 2024 contro enti governativi in Taiwan, Thailandia, Pakistan e Honduras. WIN_DRV nasconde processi, file, chiavi di Registry e connessioni di rete, poi reindirizza pacchetti marcati verso il backdoor senza esporre la porta reale.
Per i team che fanno hunting su Windows, il rischio è che netstat, controlli sulle connessioni e triage basato sui processi non bastino più a smascherare questo tipo di accesso persistente. Il segnale da cercare si sposta dalla porta visibile al comportamento del traffico e ai driver che manipolano la vista del sistema.