La ricerca sponsorizzata diventa il canale d’ingresso per rubare credenziali
Chi cerca un installer e si fida di un risultato sponsorizzato sta già attraversando il punto di fiducia che l’attaccante vuole sfruttare. Qui il danno non passa da email o allegati: un falso download porta a un loader nuovo che si mimetizza da normale installazione e apre la strada allo stealer.
Elastic Security Labs ha trovato OXLOADER, un Windows loader finora non documentato, distribuito in una campagna Google Ads e associato a CASTLESTEALER. Le analisi riportano basse rilevazioni sia dai motori statici sia dai sandbox, con abuso della sezione .reloc, controlli anti-VM e più strati di offuscamento per far passare il caricamento come traffico di download legittimo.
Per i team endpoint e SOC, il punto non è solo il loader nuovo. È che un risultato sponsorizzato può diventare un canale di accesso opportunistico e difficile da bloccare con i soli controlli di reputazione o con i playbook anti-phishing centrati sulla posta.