Come eliminare ChainScript RAT

Che tipo di malware è ChainScript RAT?

ChainScript è un Remote Access Trojan (RAT) scritto in Node.js che consente agli aggressori di controllare segretamente i computer Windows infetti. Può eseguire comandi, gestire file, acquisire screenshot, cercare wallet di criptovaluta e installare altro malware.

Il RAT è stato documentato a settembre 2026 dall'Adversary Pursuit Group di Blackpoint Cyber. Secondo la loro ricerca, ChainScript viene distribuito tramite esche ClickFix e falsi programmi di installazione che si spacciano per Spotify, Zoom Workplace e Microsoft Teams.

Panoramica di ChainScript RAT

L'infezione inizia con un installer di Windows (file MSI). Una volta avviato, esegue uno script PowerShell nascosto che distribuisce i componenti del malware (inclusa la propria copia di Node.js) in cartelle con nomi a tema Microsoft, in modo che a prima vista sembrino comuni file di sistema.

Un piccolo file VBScript avvia poi l'agente principale, che gira silenziosamente in background. Vale la pena notare che l'installer viene eseguito con l'account dell'utente corrente. In altre parole, non necessita di permessi di amministratore e non attiva un prompt di Windows che potrebbe allertare la vittima.

Come ChainScript utilizza la blockchain

La caratteristica più insolita di ChainScript è il modo in cui individua il suo server Command and Control (C2). Invece di memorizzare un indirizzo del server fisso, legge quello corrente da uno smart contract sulla blockchain Polygon. I ricercatori descrivono questa tecnica come in stile EtherHiding.

Poiché i record della blockchain sono pubblici e difficili da rimuovere, gli aggressori possono spostarsi su nuovi server semplicemente aggiornando il contratto. I computer infetti acquisiscono automaticamente il nuovo indirizzo, quindi chiudere un singolo server non taglia fuori le vittime. L'agente mantiene poi una connessione attiva con il server tramite WebSocket.

Per rendere più difficile l'analisi, ChainScript nasconde inoltre la sua configurazione con diversi livelli di codifica e attende un tempo casuale da 10 a 30 secondi prima di contattare il server per la prima volta. Blackpoint Cyber ha osservato diversi nomi di build (ComponentTask33, UpdateDigital, HostShared e OrchidViolet66), tutti con lo stesso agente principale.

Le funzionalità di ChainScript

ChainScript fornisce agli aggressori un prompt dei comandi interattivo e una sessione PowerShell sulla macchina infetta, il che significa che possono eseguire praticamente qualsiasi comando. Può anche sfogliare, leggere, caricare, sovrascrivere ed eliminare file, oltre a catturare screenshot del desktop della vittima.

Un'altra funzionalità notevole è una scansione alla ricerca di wallet di criptovalute, che copre sia le app di wallet desktop sia le estensioni di wallet installate nei browser web. Questo rende il RAT particolarmente pericoloso per chi conserva criptovalute sul proprio computer.

Oltre a ciò, ChainScript può scaricare ed eseguire ulteriori payload (installer MSI, script PowerShell o CMD), eseguire codice JavaScript arbitrario, aggiornarsi e rimuoversi su comando. Di conseguenza, una singola infezione può essere usata per distribuire altro malware, come stealer o ransomware.

Persistenza

Per sopravvivere ai riavvii, ChainScript crea un'attività pianificata che lo avvia ogni volta che l'utente effettua l'accesso. Se ciò non funziona, si aggiunge come ripiego alla chiave Run nel Registro di Windows. Entrambi i metodi funzionano senza diritti di amministratore.

Conclusione

ChainScript offre ai criminali informatici un ampio controllo su un computer infetto, dall'esecuzione di comandi e il furto di file alla ricerca di wallet di criptovalute e all'installazione di altro malware. La sua ricerca del server basata sulla blockchain lo rende inoltre più difficile da contrastare. Le vittime rischiano perdite finanziarie, dirottamento degli account, furto di identità e infezioni aggiuntive, quindi il RAT dovrebbe essere rimosso immediatamente. Altri esempi di RAT sono PEEP, DarkTortilla e PollCat.

Come si è infiltrato ChainScript RAT nel mio computer?

Come riportato da The Hacker News, ChainScript viene diffuso tramite esche in stile ClickFix. Si tratta di pagine web ingannevoli che mostrano un falso controllo di verifica o un messaggio di errore e dicono al visitatore di aprire la finestra di dialogo Esegui di Windows (Win+R), incollare un comando e premere Invio. Facendo ciò si scarica e si avvia l'installer dannoso.

Gli installer sono mascherati da software popolare, tra cui Spotify, Zoom Workplace e Microsoft Teams, e portano nomi dall'aspetto casuale come ComponentTask33-4d14e6ac.msi o UpdateDigital-0c3c5204.msi. Gli utenti che credono di stare installando un'app familiare finiscono per infettare il proprio computer.

Più in generale, i RAT come ChainScript vengono distribuiti anche tramite email di phishing, pubblicità dannose, falsi siti di download, software piratato e crack, reti P2P e falsi aggiornamenti. I file dannosi arrivano solitamente come archivi, eseguibili, installer MSI, documenti o script.

Come evitare l'installazione di malware?

Non incollate mai comandi nella finestra di dialogo Esegui, in PowerShell o in un terminale solo perché un sito web ve lo chiede. Nessun CAPTCHA legittimo o correzione di errori funziona in questo modo. Scaricate software solo da siti web ufficiali e store di app affidabili, ed evitate crack, generatori di chiavi e programmi piratati.

Prestate attenzione a email, allegati e link inattesi, e ignorate pubblicità e pop-up sospetti su siti web discutibili. Mantenete aggiornati il sistema operativo e le app installate, e utilizzate software di sicurezza affidabile. Se ritenete che il vostro computer sia già infetto, consigliamo di eseguire una scansione con Combo Cleaner Antivirus per Windows per eliminare automaticamente il malware infiltrato.

Rimozione automatica istantanea dei malware:

La rimozione manuale delle minacce potrebbe essere un processo lungo e complicato che richiede competenze informatiche avanzate. Combo Cleaner è uno strumento professionale per la rimozione automatica del malware consigliato per eliminare il malware. Scaricalo cliccando il pulsante qui sotto:

Scaricando qualsiasi software elencato in questo sito, accetti le nostre Condizioni di Privacy e le Condizioni di utilizzo. Per utilizzare tutte le funzionalità, è necessario acquistare una licenza per Combo Cleaner. Hai a disposizione 7 giorni di prova gratuita. Combo Cleaner è di proprietà ed è gestito da RCS LT, società madre di PCRisk.

Menu rapido:

• Cos'è ChainScript RAT?
• PASSAGGIO 1. Rimozione manuale del malware ChainScript RAT.
• PASSAGGIO 2. Verificate se il vostro computer è pulito.

Come rimuovere il malware manualmente?

La rimozione manuale del malware è un'operazione complicata - di solito è meglio consentire ai programmi antivirus o anti-malware di eseguirla automaticamente. Per rimuovere questo malware consigliamo di utilizzare Combo Cleaner Antivirus per Windows.

Se desiderate rimuovere il malware manualmente, il primo passaggio consiste nell'identificare il nome del malware che state cercando di rimuovere. Ecco un esempio di un programma sospetto in esecuzione sul computer di un utente:

Se avete controllato l'elenco dei programmi in esecuzione sul vostro computer, ad esempio utilizzando il task manager, e avete identificato un programma dall'aspetto sospetto, dovreste proseguire con questi passaggi:

Scaricate un programma chiamato Autoruns. Questo programma mostra le applicazioni ad avvio automatico, il Registro e le posizioni del file system:

Riavviate il computer in modalità provvisoria:

Utenti di Windows XP e Windows 7: Avviate il computer in modalità provvisoria. Fate clic su Start, fate clic su Chiudi sessione, fate clic su Riavvia, fate clic su OK. Durante il processo di avvio del computer, premete più volte il tasto F8 sulla tastiera finché non vedete il menu Opzioni avanzate di Windows, quindi selezionate Modalità provvisoria con rete dall'elenco.

Video che mostra come avviare Windows 7 in «Modalità provvisoria con rete»:

Utenti di Windows 8: Avviare Windows 8 in modalità provvisoria con rete - Andate nella schermata Start di Windows 8, digitate Avanzate, nei risultati della ricerca selezionate Impostazioni. Fate clic su Opzioni di avvio avanzate, nella finestra «Impostazioni generali del PC» che si apre, selezionate Avvio avanzato.

Fate clic sul pulsante «Riavvia ora». Il computer si riavvierà ora nel «menu Opzioni di avvio avanzate». Fate clic sul pulsante «Risoluzione dei problemi», quindi fate clic sul pulsante «Opzioni avanzate». Nella schermata delle opzioni avanzate, fate clic su «Impostazioni di avvio».

Fate clic sul pulsante «Riavvia». Il PC si riavvierà nella schermata Impostazioni di avvio. Premete F5 per avviare in modalità provvisoria con rete.

Video che mostra come avviare Windows 8 in «Modalità provvisoria con rete»:

Utenti di Windows 10: Fate clic sul logo di Windows e selezionate l'icona di accensione. Nel menu che si apre fate clic su «Riavvia» tenendo premuto il tasto «Shift» sulla tastiera. Nella finestra «scegli un'opzione» fate clic su «Risoluzione dei problemi», quindi selezionate «Opzioni avanzate».

Nel menu delle opzioni avanzate selezionate «Impostazioni di avvio» e fate clic sul pulsante «Riavvia». Nella finestra successiva dovreste fare clic sul pulsante «F5» sulla tastiera. Questo riavvierà il sistema operativo in modalità provvisoria con rete.

Video che mostra come avviare Windows 10 in «Modalità provvisoria con rete»:

Estraete l'archivio scaricato ed eseguite il file Autoruns.exe.

Nell'applicazione Autoruns, fate clic su «Options» in alto e deselezionate le opzioni «Hide Empty Locations» e «Hide Windows Entries». Dopo questa procedura, fate clic sull'icona «Refresh».

Controllate l'elenco fornito dall'applicazione Autoruns e individuate il file del malware che desiderate eliminare.

Dovreste annotarne il percorso completo e il nome. Notate che alcuni malware nascondono i nomi dei processi sotto nomi di processi legittimi di Windows. In questa fase, è molto importante evitare di rimuovere file di sistema. Dopo aver individuato il programma sospetto che desiderate rimuovere, fate clic con il tasto destro del mouse sul suo nome e scegliete «Delete».

Dopo aver rimosso il malware tramite l'applicazione Autoruns (questo garantisce che il malware non venga eseguito automaticamente al successivo avvio del sistema), dovreste cercare il nome del malware sul vostro computer. Assicuratevi di abilitare i file e le cartelle nascosti prima di procedere. Se trovate il nome file del malware, assicuratevi di rimuoverlo.

Riavviate il computer in modalità normale. Seguendo questi passaggi dovreste rimuovere qualsiasi malware dal vostro computer. Notate che la rimozione manuale delle minacce richiede competenze informatiche avanzate. Se non possedete queste competenze, lasciate la rimozione del malware ai programmi antivirus e anti-malware.

Questi passaggi potrebbero non funzionare con infezioni malware avanzate. Come sempre, è meglio prevenire l'infezione che cercare di rimuovere il malware in seguito. Per mantenere il computer sicuro, installate gli ultimi aggiornamenti del sistema operativo e utilizzate software antivirus. Per essere certi che il vostro computer sia privo di infezioni malware, consigliamo di eseguire una scansione con Combo Cleaner Antivirus per Windows.

Domande frequenti (FAQ)

Il mio computer è infetto dal malware ChainScript RAT, dovrei formattare il mio dispositivo di archiviazione per liberarmene?

Formattare il disco rimuoverebbe ChainScript, ma cancellerebbe anche tutti i vostri file. Provate prima uno strumento di sicurezza affidabile come Combo Cleaner e tenete la riformattazione come ultima risorsa.

Quali sono i problemi più gravi che il malware ChainScript RAT può causare?

ChainScript consente agli aggressori di eseguire comandi, rubare o eliminare file, spiare lo schermo, trovare wallet di criptovalute e installare altro malware. Questo può portare a fondi rubati, presa di controllo degli account, furto di identità e ulteriori infezioni come stealer o ransomware.

Qual è lo scopo del malware ChainScript RAT?

Lo scopo di ChainScript è fornire agli aggressori un controllo remoto nascosto sui computer Windows infetti in modo che possano rubare dati, cercare wallet di criptovalute e distribuire payload aggiuntivi quando vogliono.

Come si è infiltrato il malware ChainScript RAT nel mio computer?

ChainScript è stato diffuso tramite esche ClickFix che ingannano gli utenti inducendoli a eseguire un comando tramite la finestra di dialogo Esegui, e tramite falsi installer mascherati da Spotify, Zoom Workplace e Microsoft Teams. Minacce di questo tipo si diffondono anche tramite email di phishing, falsi siti di download, software piratato e pubblicità dannose.

Combo Cleaner mi proteggerà dal malware?

Sì. Combo Cleaner è in grado di rilevare e rimuovere la maggior parte dei malware noti, inclusi i RAT. Poiché le minacce avanzate possono nascondersi in profondità nel sistema, si consiglia di eseguire una scansione completa del sistema per assicurarsi che nulla venga lasciato indietro.