Falso sito del SSN distribuisce StreamRat e XWorm

Gli esperti del CERT-AgID (Computer Emergency Response Team dell’Agenzia per l’Italia Digitale) hanno individuato un falso sito del Servizio Sanitario Nazionale (Ministero della Salute) usato da ignoti cybercriminali per distribuire malware. Quest’ultimo dipende dal dispositivo usato dall’utente per visitare il sito: StreamRat per Android o XWorm per Windows. Il primo è stato recentemente descritto da ThreatFabric. Il secondo è invece una vecchia conoscenza, in quanto già utilizzato durante una campagna di phishing.

Firma digitale per accedere ai servizi sanitari

Non è noto come le ignare vittime finiscono sul sito. Probabilmente ricevono un’email o un messaggio con il link. Nella pagina viene evidenziato che, entro il 25 settembre 2026, deve essere completata la “verifica della firma digitale“. La firma serve per mantenere l’iscrizione al Servizio Sanitario Nazionale (SSN) e quindi l’accesso alle prestazioni. Il software può essere scaricato cliccando sul pulsante “Firma e Scarica“.

Viene quindi mostrato un pop-up, in cui devono essere inseriti nome, cognome, indirizzo email e numero di telefono. Nella parte inferiore ci sono le istruzioni di installazione e il pulsante “Verifica e Scarica“. Se l’accesso viene effettuato con un browser Android parte il download del file SSN.apk.

All’avvio viene mostrato un falso aggiornamento e la richiesta per i permessi di accessibilità. La procedura porta all’installazione di StreamRat. Il malware permette l’accesso remoto al dispositivo e può leggere il contenuto dello schermo, simulare gesture e comandi di Android, interagire con le app, catturare screenshot, interagire con la schermata di blocco e mostrare una falsa interfaccia su quella reale per rubare le credenziali di login delle app.

Se l’utente accede con un browser Windows viene scaricato il file SSN Windows.bat. L’esecuzione porta al download del file 2.jpg. Non si tratta di un’immagine innocua. Al suo interno è presente il codice del loader che carica in memoria XWorm, un noto RAT (Remote Access Trojan) che permette l’accesso remoto al computer.

Il sito fake del SSN è ancora online e, al momento, non viene bloccato da Google Safe Browsing. Il Ministero della Salute non chiede nessuna firma digitale per l’accesso ai servizi sanitari. Se arrivano un’email o un messaggio che invitano a scaricare un file, l’utente può cancellarli senza problemi.