Blogspot e PowerShell aggirano i controlli su PureLog Stealer
Il punto debole non è solo lo stealer, ma la sua consegna: un percorso fileless che usa pagine Blogspot dall’aria affidabile e carica il payload in memoria. In questo schema, i controlli basati su reputazione URL, hash e presenza su disco vedono poco o nulla, mentre i token di sessione rubati restano riutilizzabili contro caselle email, SaaS e pannelli admin anche con MFA attiva.
Securonix attribuisce la campagna Veil#Drop a una catena che parte da siti compromessi, passa per uno script mascherato da documento e arriva a PowerShell, che scarica i successivi stadi da Blogspot e li esegue senza scriverli su disco. PureLog Stealer raccoglie password del browser, cookie, dati di autofill e wallet; i ricercatori segnalano anche il riuso di binari Microsoft firmati per far passare l’attività come traffico legittimo.
Per chi difende ambienti Windows, la ricaduta è chiara: il segnale utile non è il file malevolo, ma il comportamento che lo precede e il furto di sessioni già aperte. La persistenza dell’accesso può sopravvivere alla semplice pulizia dell’endpoint, perché i cookie rubati bypassano di fatto il vantaggio della MFA.