Torg Grabber: nuovo malware per furto di criptovalute

I ricercatori di Gen Digital hanno individuato un nuovo malware, denominato Torg Grabber, che viene sfruttato principalmente per rubare criptovalute. Si tratta quindi di un infostealer, ma offre funzionalità più avanzate rispetto ai suoi simili. Può utilizzare diverse tecniche di infezione e modalità di esfiltrazione dei dati. È ancora attivamente in sviluppo, per cui il numero di attacchi è destinato ad aumentare nel corso dei prossimi mesi.

Descrizione di Torg Grabber

Gli esperti di Gen Digital hanno individuato 334 campioni del malware tra dicembre 2025 e febbraio 2026, insieme a nuovi server C2 (command and control) registrati ogni settimana. La catena di infezione può iniziare in tre modi. Torg Grabber viene distribuito tramite giochi pirata, trucchi (cheat) per giochi e la nota tecnica ClickFix.

Il malware è formato da tre componenti: dropper, loader e payload finale. Il dropper copia i file sul computer, il loader carica in memoria il payload e quest’ultimo inizia a raccogliere i dati. Nel caso della tecnica ClickFix, all’utente viene chiesto di eseguire un comando PowerShell quando vede un falso aggiornamento di Windows. In realtà scarica il dropper da cui parte l’infezione.

Nell’articolo tecnico di Gen Digital vengono descritte le tre modalità di esfiltrazione: bot Telegram, protocollo TCP con crittografia e connessione HTTPS tramite Cloudflare (quella usata dalle versioni più recenti del malware). Torg Grabber sfrutta varie tecniche per evitare la rilevazione e può aggirare la protezione App-Bound Encryption di Chrome.

Torg Grabber può individuare 25 browser basati su Chromium e 8 basati su Firefox, dai quali ruba credenziali, dati di pagamento e cookie. Ma il suo obiettivo preferito sono le criptovalute. Il nuovo infostealer può identificare 728 estensioni per cryptowallet (praticamente tutte quelle in circolazione) e intercetta chiavi, dati di sessione e seed phrase.

Può rubare le criptovalute anche dalle app desktop. Il malware accede inoltre ai dati di 103 estensioni di password manager e 31 estensioni per l’autenticazione in due fattori. Per completare l’opera esfiltra informazioni sul sistema, dati da VPN, client email e app di messaggistica e file dalla cartella Documenti.