Malware: cos’è, come funziona, tipi, segnali e come proteggersi

Un malware è un software o codice progettato per svolgere attività dannose o non autorizzate su un dispositivo, un sistema o una rete. Può rubare credenziali e dati, controllare un computer da remoto, crittografare file, installare altre minacce o usare le risorse della vittima senza consenso.

Il termine deriva da malicious software, cioè software malevolo. La definizione di malware del NIST comprende software e firmware destinati a eseguire processi non autorizzati con effetti negativi sulla riservatezza, integrità o disponibilità di un sistema.

La prima distinzione da fare è importante: malware e virus non sono sinonimi. Un virus è un tipo di malware, mentre malware è il termine generale che comprende virus, worm, trojan, ransomware, spyware, infostealer, rootkit e molte altre minacce.

Capire questa differenza serve anche a difendersi meglio. Un worm che si propaga autonomamente in una rete, un trojan che convince l’utente a installarlo e un infostealer che cerca cookie e password possono appartenere alla stessa grande famiglia, ma richiedono controlli e contromisure differenti.

Cos’è un malware e cosa significa davvero

La parola malware descrive prima di tutto l’intenzione e il comportamento dannoso del software, non un singolo metodo di infezione.

Un programma malevolo può essere progettato per sottrarre informazioni, alterare file, creare accessi nascosti, spiare le attività dell’utente, rendere inutilizzabile un sistema oppure scaricare altri componenti. Alcune minacce producono effetti immediatamente visibili; altre cercano invece di restare attive il più a lungo possibile senza attirare attenzione.

È proprio questo il limite della definizione popolare di “virus”: concentra l’attenzione su una sola forma di minaccia e rischia di far perdere di vista il resto.

La Banca d’Italia distingue malware, ransomware, phishing e social engineering come concetti correlati ma differenti. È una separazione utile anche fuori dall’ambito finanziario, perché evita di chiamare “virus” qualunque incidente informatico.

Perché malware e virus non sono sinonimi

Un virus informatico è una particolare categoria di malware capace di inserire il proprio codice in altri file o programmi e replicarsi quando questi vengono eseguiti.

Un worm, invece, può avere capacità di propagazione autonoma. Un trojan punta sull’inganno. Un ransomware punta all’estorsione. Uno spyware è orientato alla raccolta nascosta di informazioni.

Quindi:

tutti i virus sono malware, ma non tutti i malware sono virus.

La distinzione non è solo terminologica. Se un computer è stato compromesso attraverso un trojan che ha installato un infostealer, cercare esclusivamente “un virus” porta a un modello diagnostico troppo stretto.

Malware, ransomware e phishing: le differenze da conoscere

Anche ransomware e phishing vengono spesso confusi con malware.

Il ransomware è una forma di malware progettata per impedire alla vittima di accedere a dati o sistemi, spesso mediante crittografia, e collegare il danno a una richiesta di riscatto. Le campagne moderne possono associare alla cifratura anche il furto dei dati e la minaccia di pubblicarli.

Il phishing, invece, è una tecnica di ingegneria sociale. Cerca di convincere una persona a compiere un’azione: fornire credenziali, autorizzare un pagamento, aprire un allegato o scaricare un file. Può quindi essere utilizzato per distribuire malware, ma un messaggio di phishing può anche limitarsi al furto di credenziali senza installare alcun software.

Se vuoi approfondire questo secondo scenario, nella guida dedicata trovi come riconoscere il phishing e cosa fare dopo un clic sospetto.

Termine	Che cosa descrive	Esempio
Malware	Categoria generale di software/codice malevolo	trojan, spyware, ransomware
Virus	Malware capace di infettare altri file o programmi e replicarsi	codice che si propaga attraverso file eseguibili
Ransomware	Malware orientato all’estorsione	cifratura dei file con richiesta di riscatto
Phishing	Tecnica di ingegneria sociale	email falsa che induce a inserire password o aprire un allegato
Vulnerabilità	Debolezza sfruttabile in software o configurazioni	bug non corretto che permette esecuzione di codice

Come funziona un attacco malware

Non esiste un unico ciclo di vita valido per tutti i malware. Una minaccia molto semplice può limitarsi a eseguire un’azione e terminare; un attacco più strutturato può invece attraversare numerose fasi.

Il modello utile non è quindi “apro un file e prendo un virus”, ma:

accesso iniziale → esecuzione → permanenza → comunicazione o raccolta → obiettivo finale.

Non tutte queste fasi devono necessariamente essere presenti.

Come il malware entra in un dispositivo o in una rete

Prima di poter fare danni, il codice deve raggiungere un ambiente nel quale possa essere eseguito oppure deve sfruttare una vulnerabilità che gli permetta di eseguire istruzioni.

Tra i vettori possibili ci sono allegati e link malevoli, download da fonti non affidabili, siti compromessi, software manipolato, applicazioni mobili dannose, dispositivi rimovibili e vulnerabilità non corrette.

L’utente non deve necessariamente scaricare consapevolmente un programma chiamato malware.exe. Un allegato può avviare una catena di esecuzione; un falso installer può contenere un trojan; un sito compromesso può indirizzare verso una risorsa dannosa; una vulnerabilità può consentire all’attaccante di aggirare completamente l’installazione manuale.

Cosa succede dopo l’esecuzione

Una volta avviato, il malware deve realizzare l’obiettivo per cui è stato costruito.

Può cercare password, cookie di sessione o documenti; modificare configurazioni; contattare un server controllato dall’attaccante; scaricare un secondo componente; avviare la cifratura dei dati; aprire una backdoor oppure mettere il dispositivo a disposizione di una botnet.

Negli attacchi più complessi, ciò che viene eseguito inizialmente è solo il primo elemento della catena.

Un loader, per esempio, può avere soprattutto il compito di recuperare un secondo payload. Quel payload può essere un infostealer. Le credenziali rubate dall’infostealer possono poi essere sfruttate per accedere ad altri servizi.

Per questo il “tipo di malware” non descrive sempre l’intero attacco.

Persistenza, controllo e furto di dati

Per un attaccante può essere utile mantenere l’accesso anche dopo un riavvio o dopo la chiusura del programma inizialmente compromesso.

La tattica Persistence di MITRE ATT&CK raccoglie tecniche utilizzate dagli avversari per conservare il proprio punto d’appoggio nei sistemi. Possono essere coinvolti account, configurazioni di avvio, servizi, attività pianificate e altri meccanismi.

Un malware può inoltre comunicare verso l’esterno per ricevere istruzioni, inviare informazioni sottratte o scaricare nuovi componenti.

Questa è una delle ragioni per cui cancellare semplicemente il file che sembra sospetto non garantisce che l’incidente sia risolto. Potrebbero essere presenti persistenza, componenti aggiuntivi, account compromessi o credenziali già sottratte.

Perché alcuni malware cercano di non farsi notare

Un ransomware che cifra migliaia di file rende evidente il problema. Un infostealer ha invece interesse a ottenere ciò che gli serve prima che l’utente si accorga della sua presenza.

Rootkit, spyware e altri componenti possono utilizzare tecniche pensate per ridurre la propria visibilità o confondersi con processi apparentemente normali.

Di conseguenza, l’assenza di popup, crash o rallentamenti non dimostra che un sistema sia pulito.

Tipi di malware: come classificarli senza fare confusione

Le classiche liste dei “tipi di malware” hanno un limite: spesso mettono sullo stesso piano categorie che descrivono proprietà differenti.

Virus e worm descrivono soprattutto come avviene la replicazione o la propagazione. Trojan descrive il modo in cui una minaccia si presenta alla vittima. Ransomware descrive un obiettivo estorsivo. Spyware e infostealer descrivono principalmente la raccolta di informazioni. Rootkit riguarda soprattutto occultamento e controllo privilegiato.

Queste caratteristiche possono sovrapporsi.

Un singolo attacco può quindi usare un trojan come veicolo iniziale, un loader per recuperare il payload, un infostealer per sottrarre credenziali e una backdoor per mantenere l’accesso.

Tipo o funzione	Caratteristica principale	Cosa può fare
Virus	infetta altri file o programmi e può replicarsi	alterare file e propagare codice
Worm	propagazione autonoma	diffondersi fra sistemi e reti
Trojan	si presenta come software o contenuto apparentemente legittimo	installare payload, rubare dati, aprire accessi
Loader / dropper	consegna o installazione	recuperare o rilasciare altri malware
Ransomware	estorsione	cifrare dati, bloccare sistemi, sottrarre informazioni
Spyware	sorveglianza	monitorare attività e raccogliere informazioni
Infostealer	furto di informazioni	sottrarre password, cookie, token e dati
Keylogger	registrazione degli input	acquisire sequenze digitate
Rootkit	occultamento e accesso privilegiato	nascondere attività e mantenere controllo
Backdoor / RAT malevolo	accesso remoto	consentire controllo persistente del dispositivo
Bot	controllo remoto automatizzato	inserire il dispositivo in una botnet
Cryptominer malevolo	abuso delle risorse	usare CPU/GPU per mining senza consenso

Virus e worm: replicazione e propagazione

Il virus è il malware che più ha influenzato il linguaggio comune. Tipicamente associa il proprio codice a un altro file o programma e sfrutta l’esecuzione di quell’elemento per attivarsi e replicarsi.

Un worm è invece progettato per propagarsi senza dipendere dallo stesso meccanismo di infezione dei file. Alcuni worm sfruttano reti e vulnerabilità per passare automaticamente da un sistema all’altro.

Da un punto di vista difensivo la differenza conta: una minaccia capace di propagarsi autonomamente può trasformare la compromissione di una singola macchina in un problema di rete.

Trojan, loader e dropper: ingresso e installazione di altri payload

Un trojan cerca di apparire legittimo o desiderabile per convincere l’utente a eseguirlo. Può essere nascosto in un falso aggiornamento, in un installer modificato, in un documento o in un programma apparentemente utile.

Trojan non significa necessariamente “malware che ruba password”. Il termine descrive soprattutto l’inganno con cui entra in gioco; il comportamento successivo può cambiare.

Loader e dropper hanno invece una funzione più specifica nella catena. Servono a introdurre, recuperare, estrarre o installare altri componenti.

Questo spiega perché una scansione può identificare più famiglie o più oggetti nello stesso incidente: non è necessariamente un errore di classificazione, può essere una catena composta da strumenti diversi.

Ransomware, spyware, infostealer e keylogger

Il ransomware punta a creare una leva estorsiva. Può farlo rendendo indisponibili dati o sistemi e, in alcune operazioni, associando alla cifratura il furto di informazioni.

Lo spyware è orientato alla raccolta nascosta di informazioni sulle attività dell’utente o sul sistema.

L’infostealer è più specificamente progettato per cercare informazioni che possano avere valore per l’attaccante: credenziali, dati conservati dai browser, cookie di sessione, wallet, informazioni di sistema o documenti.

Il keylogger registra ciò che viene digitato. Questa capacità può essere parte di un malware più ampio oppure essere implementata da software utilizzato in altri contesti; è quindi l’uso non autorizzato e malevolo che determina il problema.

Rootkit, backdoor e RAT: persistenza e controllo remoto

Un rootkit punta a fornire o nascondere un livello di accesso privilegiato e può rendere più difficile individuare ciò che sta accadendo nel sistema.

Una backdoor crea o conserva un percorso di accesso che aggira il normale flusso previsto.

Con RAT si può indicare un Remote Access Trojan, cioè malware che permette il controllo remoto della macchina. È però importante non confonderlo con qualunque software di amministrazione remota: esistono strumenti RMM e remote desktop completamente legittimi che possono essere abusati dagli attaccanti senza essere malware in sé.

Software utilizzabile male ≠ automaticamente malware. Contano origine, autorizzazione, comportamento e contesto.

Bot e botnet

Un dispositivo compromesso può diventare un bot, cioè un nodo controllabile dall’operatore della minaccia.

Un insieme di sistemi controllati forma una botnet. Le botnet possono essere utilizzate per inviare spam, distribuire ulteriori minacce, generare traffico per attacchi DDoS, svolgere frodi automatizzate o eseguire altre attività.

In questo scenario il proprietario del computer potrebbe non essere il bersaglio finale: il suo dispositivo diventa una risorsa dell’attaccante.

Adware e software potenzialmente indesiderato non sono sempre la stessa cosa

Qui serve un’altra distinzione.

Alcuni adware hanno comportamenti chiaramente dannosi o invasivi e possono rientrare nel malware. Esistono però anche applicazioni potenzialmente indesiderate, spesso indicate come PUA o PUP, che i prodotti di sicurezza classificano separatamente.

Un programma fastidioso, invadente o installato tramite bundle discutibili non deve quindi essere etichettato automaticamente come malware.

La distinzione aiuta soprattutto quando devi interpretare un risultato dell’antivirus: “potenzialmente indesiderato” e “malware rilevato” non sono necessariamente la stessa diagnosi.

Fileless malware: non significa “malware senza alcun file”

L’espressione fileless malware viene spesso interpretata troppo letteralmente.

Descrive attacchi che riducono la dipendenza dai tradizionali file malevoli salvati su disco e possono sfruttare memoria, interpreti, strumenti già presenti nel sistema o componenti legittimi.

Non significa che l’intera operazione debba esistere magicamente senza alcun file in ogni fase. È più utile considerare “fileless” una tecnica operativa o una proprietà dell’esecuzione, non una famiglia equivalente a ransomware o spyware.

Come si diffonde il malware

Conoscere i vettori di ingresso è più utile che imparare a memoria decine di nomi di famiglie. Le famiglie cambiano; molti meccanismi di consegna restano riconoscibili.

Phishing, allegati e link malevoli

Email, messaggi e altre comunicazioni possono cercare di indurre la vittima ad aprire un allegato, seguire un collegamento o scaricare un programma.

Il documento iniziale non deve necessariamente contenere tutto il malware. Può servire soltanto ad avviare una catena che recupererà il payload successivamente.

L’ingegneria sociale è particolarmente efficace perché sposta una parte dell’attacco dal software alla decisione della persona: urgenza, fatture, ordini, documenti e comunicazioni apparentemente istituzionali possono diventare pretesti credibili.

Un esempio concreto arriva dalle analisi del CERT-AGID sulle campagne malevole osservate in Italia: in una singola sintesi settimanale compaiono famiglie distribuite tramite archivi ZIP, RAR, 7Z, LZH e TAR, file XLS, PDF contenenti link e SMS che indirizzavano al download di APK malevoli.

Il punto non è memorizzare le estensioni. Un file familiare o un documento apparentemente normale non è una garanzia di sicurezza.

Download, software contraffatto e installer manipolati

Crack, key generator, programmi pirata, falsi aggiornamenti e installer provenienti da fonti non affidabili rappresentano un altro percorso.

L’utente crede di autorizzare l’esecuzione di un programma desiderato e concede invece al componente malevolo proprio l’occasione che gli serve.

Quando possibile, conviene scaricare software dal sito del produttore o da uno store ufficiale e verificare con attenzione origine, firma, reputazione e richieste dell’installer.

Siti compromessi e pubblicità malevole

Anche un sito legittimo può diventare parte della catena se viene compromesso.

Script inseriti da un attaccante, redirect, risorse esterne manipolate o pubblicità malevole possono indirizzare verso contenuti pericolosi.

Questo non significa che visitare una qualsiasi pagina compromessa produca automaticamente un’infezione. Il risultato dipende dal contenuto caricato, dalle difese del browser e del sistema, dalle vulnerabilità disponibili e dalle interazioni richieste all’utente.

Vulnerabilità e sistemi non aggiornati

Alcuni malware e gruppi criminali sfruttano vulnerabilità per ottenere esecuzione, aumentare i privilegi o propagarsi.

Gli aggiornamenti di sicurezza servono proprio a correggere debolezze note prima che possano essere sfruttate.

Rimandare indefinitamente patch di sistema operativo, browser, plugin, applicazioni o componenti esposti aumenta il tempo durante il quale una vulnerabilità conosciuta rimane utilizzabile.

Questo principio vale anche per i siti web: una SQL injection o un attacco XSS non sono “tipi di malware”, ma vulnerabilità e tecniche di attacco possono contribuire alla compromissione di un’applicazione e alla successiva introduzione di codice malevolo.

Smartphone, APK e applicazioni mobili

Android e iOS non sono immuni per definizione.

Applicazioni malevole, store non ufficiali, profili o configurazioni rischiose, vulnerabilità e tecniche di social engineering possono coinvolgere anche smartphone e tablet.

Sul mobile il problema può diventare particolarmente delicato perché nello stesso dispositivo possono convivere email, autenticazione, SMS, applicazioni bancarie, password e strumenti utilizzati per recuperare altri account.

Come capire se un dispositivo può essere infetto

Non esiste un sintomo universale che permetta di diagnosticare un malware guardando lo schermo.

Prestazioni peggiori, popup o crash sono segnali possibili, non una prova. Gli stessi sintomi possono dipendere da problemi hardware, spazio su disco insufficiente, estensioni difettose o applicazioni legittime.

Segnale osservato	Possibile spiegazione malware	Possibili alternative
rallentamenti improvvisi	attività malevola in background, cryptomining	aggiornamenti, disco pieno, software pesante
popup e redirect anomali	adware, estensione compromessa	notifiche browser autorizzate per errore
processi sconosciuti	malware o tool installato senza consenso	componente legittimo poco conosciuto
traffico di rete anomalo	command and control o esfiltrazione	sincronizzazione cloud, update
antivirus disabilitato	manomissione delle difese	errore di configurazione
file modificati o cifrati	ransomware o sabotaggio	errore applicativo, corruzione storage
login sospetti su account	credenziali o sessioni sottratte	password riutilizzata coinvolta in altro breach
nessun sintomo	possibile attività nascosta	sistema effettivamente pulito

La domanda corretta non è quindi “il PC è lento, ho un virus?”, ma “quali evidenze indicano una compromissione e quali altre cause posso escludere?”

Segnali che meritano particolare attenzione

Una combinazione di indicatori è più significativa di un singolo sintomo.

Nuovi account amministrativi, software che non ricordi di aver installato, modifiche alle impostazioni di sicurezza, attività di rete inspiegabile, processi che riappaiono dopo la rimozione o notifiche di accessi sconosciuti sui tuoi account meritano un controllo serio.

Anche l’antivirus che rileva ripetutamente lo stesso oggetto dopo averlo eliminato può indicare che qualcosa lo sta ricreando o reinstallando.

Perché un computer lento non significa automaticamente malware

Il rallentamento è probabilmente il sintomo più sovrainterpretato.

CPU elevata, RAM quasi esaurita, disco in errore, indicizzazione, sincronizzazione cloud o software legittimo possono produrre lo stesso effetto.

Un cryptominer malevolo può effettivamente consumare risorse, ma il consumo di risorse non basta da solo per diagnosticarlo.

Prima di concludere che c’è un’infezione servono controlli sui processi, scansioni, eventi di sicurezza, modifiche recenti e altri indicatori.

Malware senza sintomi evidenti

Il problema opposto è ancora più importante.

Un malware che ruba credenziali o mantiene un accesso remoto trae vantaggio dal rimanere invisibile. Non ha motivo di mostrare un grande avviso rosso sul desktop.

Per questo una valutazione basata esclusivamente sui sintomi visibili è insufficiente quando esistono segnali più concreti: rilevamenti del software di sicurezza, credenziali rubate, esecuzioni sospette, file modificati, alert di rete o indicatori di compromissione.

Cosa fare se sospetti un malware

Quando il sospetto è concreto, l’obiettivo iniziale non è “cliccare su Elimina” il più velocemente possibile. Prima bisogna limitare il danno e capire che cosa potrebbe essere stato compromesso.

Per un computer personale e un incidente circoscritto puoi seguire questa sequenza. In un’azienda, su server critici o quando può servire un’analisi forense, coinvolgi invece subito chi gestisce la sicurezza: spegnere, cancellare file o eseguire strumenti a caso può distruggere evidenze utili.

1. Isola il dispositivo quando è ragionevole farlo. Se sospetti attività ancora in corso, scollegare la macchina dalla rete può ridurre comunicazioni esterne e propagazione. Non applicare però una procedura domestica alla cieca su infrastrutture aziendali critiche.
2. Non inserire altre credenziali sul sistema sospetto. Se il malware può registrare input o rubare sessioni, continuare ad accedere ai tuoi account aumenta l’esposizione.
3. Esegui controlli con strumenti di sicurezza affidabili. Aggiorna le definizioni quando possibile e utilizza scansioni complete o offline se il prodotto lo consente.
4. Cambia le credenziali importanti da un dispositivo affidabile. Parti da email, password manager, account finanziari e servizi che consentono il recupero di altri account. Revoca anche le sessioni attive quando il servizio offre questa possibilità.
5. Controlla il secondo fattore e le opzioni di recupero. Attivare una autenticazione a due fattori riduce molti rischi legati al solo furto della password, ma ricorda che un endpoint compromesso può esporre anche cookie, token o sessioni già autenticate.
6. Valuta il ripristino da una base affidabile. Se non puoi stabilire con sufficiente sicurezza che persistenza e componenti malevoli siano stati eliminati, una reinstallazione o un ripristino verificato può offrire più garanzie della rimozione manuale di singoli file.
7. Chiudi il vettore d’ingresso. Rimuovere il payload senza correggere la vulnerabilità, la password compromessa, l’account abusato o il software non aggiornato significa lasciare aperta la stessa porta.

Quarantena e rimozione non sono sinonimi

Quando un antivirus mette un elemento in quarantena, normalmente lo isola per impedirne l’esecuzione o ridurne il rischio.

La quarantena non significa necessariamente che sia già stata ricostruita l’intera catena dell’incidente.

Se un trojan ha scaricato un secondo malware e quest’ultimo ha rubato una password, rimuovere il trojan non rende quella password nuovamente segreta.

La domanda dopo la pulizia deve quindi essere:

che cosa potrebbe essere successo prima che la minaccia venisse rimossa?

Password e sessioni: perché cambiare la password può non bastare

Gli infostealer moderni possono essere interessati non soltanto alle password.

Cookie di sessione e token possono permettere a un attaccante di riutilizzare una sessione già autenticata, a seconda del servizio e delle sue difese.

Per gli account sensibili, dopo una compromissione dell’endpoint conviene quindi verificare le sessioni attive, revocare quelle non riconosciute e controllare metodi di recupero, dispositivi autorizzati e secondo fattore.

La 2FA resta una difesa importante, ma non deve essere interpretata come un antivirus per l’endpoint.

Backup e ripristino: avere una copia non basta

Un backup è utile soltanto se può essere realmente recuperato e se la compromissione non ha distrutto o cifrato anche le copie.

Per ransomware e incidenti distruttivi, CISA raccomanda nella propria guida alla prevenzione e risposta al ransomware di mantenere copie offline e di verificare regolarmente il processo di ripristino.

Il concetto operativo è semplice: il backup non serve a poter dire che esiste; serve a poter ricostruire il sistema quando l’originale non è più affidabile.

Come proteggersi dai malware

Non esiste una singola impostazione capace di bloccare ogni malware. Una buona difesa combina riduzione delle occasioni di ingresso, limitazione dei privilegi, capacità di rilevare anomalie e possibilità di recuperare i dati.

Aggiorna sistema operativo e applicazioni

Le patch chiudono vulnerabilità note.

Non limitarti al sistema operativo: browser, estensioni, applicazioni, software di produttività, componenti server e dispositivi esposti possono avere una propria superficie di attacco.

Quando gli aggiornamenti automatici sono affidabili e compatibili con l’ambiente, riducono il periodo nel quale una correzione disponibile rimane inutilizzata.

Usa una protezione antimalware aggiornata

Un antivirus o una piattaforma di endpoint security può analizzare file, processi e comportamenti, bloccare minacce note e identificare alcune attività sospette.

È una componente importante, ma non è una garanzia assoluta.

Una minaccia nuova, una tecnica che abusa di strumenti legittimi, una configurazione errata o una decisione dell’utente possono superare singoli controlli.

La strategia sensata è quindi difesa a strati: protezione dell’endpoint insieme a patch, controllo degli accessi, backup e attenzione ai vettori di ingresso.

Usa account senza privilegi amministrativi quando possibile

Un malware eseguito con privilegi elevati può avere più possibilità di modificare il sistema.

Applicare il principio del minimo privilegio significa dare a utenti e processi soltanto i permessi realmente necessari.

Non elimina l’infezione, ma può limitarne alcune conseguenze e rendere più difficile trasformare un singolo errore in controllo completo dell’ambiente.

Proteggi gli account con MFA o 2FA

Se una password viene sottratta da phishing, infostealer o un altro incidente, un secondo fattore può impedire che quella sola credenziale sia sufficiente per autenticarsi.

Non tutti i metodi offrono però la stessa resistenza alle diverse minacce. Codici SMS, TOTP, notifiche push e tecnologie FIDO/WebAuthn hanno proprietà differenti.

La regola pratica rimane: per gli account importanti, la sola password è una difesa troppo fragile.

Mantieni backup separati e testati

Per documenti o sistemi importanti servono copie che non dipendano tutte dallo stesso dispositivo e dalle stesse credenziali.

Almeno una parte della strategia dovrebbe ridurre la possibilità che un malware capace di cifrare o cancellare i dati raggiunga contemporaneamente anche ogni backup disponibile.

E soprattutto il restore va provato: un backup non verificato è una speranza, non ancora un piano di recovery.

Fai attenzione alla provenienza dei software

Scaricare un programma dal primo mirror trovato, disattivare l’antivirus perché un crack lo richiede o eseguire un falso aggiornamento significa eliminare deliberatamente una parte delle difese.

Quando un’applicazione richiede permessi molto superiori a ciò che dovrebbe fare, fermati e chiediti perché.

La reputazione del nome del software non basta: conta anche da dove proviene esattamente il file che stai eseguendo.

Malware su siti web e WordPress: cosa cambia

Quando si parla di malware su WordPress cambia l’ambiente, ma non il principio.

Un sito compromesso può contenere file PHP malevoli, JavaScript iniettato, backdoor, account amministrativi non autorizzati, modifiche al database, redirect, spam SEO o codice progettato per reinfettare il sito dopo una pulizia superficiale.

Un PC infetto e un sito WordPress infetto sono quindi problemi differenti, anche se possono influenzarsi a vicenda.

Per esempio, un infostealer sul computer dell’amministratore può sottrarre le credenziali del sito. L’attaccante utilizza poi quelle credenziali per accedere a WordPress e installare una backdoor sul server.

In questo caso pulire soltanto WordPress lascia compromesso il computer; pulire soltanto il computer lascia compromesso il sito.

Come il malware può entrare in WordPress

Un’installazione WordPress può essere compromessa attraverso plugin o temi vulnerabili, credenziali sottratte, account amministrativi abusati, componenti non aggiornati, infrastruttura hosting compromessa o errori di configurazione.

Per ridurre il rischio serve quindi lavorare sulla sicurezza di WordPress nel suo insieme, non installare semplicemente un plugin di sicurezza e considerare chiuso il problema.

Strumenti come WPScan sono utili per individuare esposizioni e vulnerabilità note nell’ecosistema WordPress, mentre soluzioni come Wordfence aggiungono controlli come firewall, scansioni e monitoraggio. Hanno però funzioni differenti e nessuno strumento sostituisce aggiornamenti, hardening, controllo degli accessi e backup.

Rimuovere il file malevolo può non bastare

Una bonifica seria deve cercare la causa della compromissione e i meccanismi di persistenza.

Se elimini backdoor.php ma l’attaccante possiede ancora una password amministrativa, il sito può essere compromesso nuovamente.

Se aggiorni il plugin vulnerabile ma rimane un account creato dall’attaccante, il problema continua.

Se ripristini il backup senza capire quando è iniziata l’infezione, potresti ripristinare anche il codice malevolo.

La sequenza corretta è quindi:

contenimento → verifica → pulizia → chiusura del vettore → rotazione delle credenziali → hardening → monitoraggio.

Quando non hai strumenti o competenze per verificare file, database, utenti, persistenza e origine dell’incidente, una rimozione professionale del malware da WordPress ha più senso di una serie di cancellazioni manuali basate soltanto sui file più evidenti.

Domande frequenti sul malware

Un Mac può prendere malware?

Sì. macOS dispone di diversi meccanismi di sicurezza, ma non è immune da software malevolo.

Social engineering, software contraffatto, vulnerabilità, estensioni dannose e furto di credenziali possono colpire anche un Mac. La probabilità e le tecniche possono differire da quelle osservate su Windows, ma “uso macOS” non è una strategia completa di sicurezza.

Uno smartphone può essere infettato da malware?

Sì.

Smartphone e tablet possono essere coinvolti attraverso applicazioni malevole, download, link, profili o configurazioni rischiose, vulnerabilità e tecniche di social engineering.

Il rischio è particolarmente sensibile perché il telefono viene spesso utilizzato contemporaneamente per email, messaggi, pagamenti e autenticazione.

Un antivirus elimina sempre il malware?

No.

Un prodotto di sicurezza può bloccare, identificare, mettere in quarantena o rimuovere molte minacce, ma nessun prodotto può garantire di rilevare ogni malware in ogni situazione.

Inoltre, la rimozione del file non annulla automaticamente ciò che è già successo. Credenziali rubate, dati esfiltrati, nuovi account, sessioni compromesse o altre modifiche possono richiedere interventi separati.

Posso prendere un malware senza scaricare volontariamente un programma?

Sì.

Il download può essere indotto attraverso un documento, un falso aggiornamento o un link; in altri scenari una vulnerabilità può consentire l’esecuzione di codice senza una classica installazione manuale.

Il concetto importante è che “non ho installato volontariamente un programma sconosciuto” non esclude da solo una compromissione.

Il malware può rubare password e cookie di sessione?

Sì, alcune famiglie sono progettate proprio per raccogliere credenziali, dati dei browser, cookie, token e altre informazioni.

È il motivo per cui dopo una compromissione dell’endpoint può essere necessario non soltanto cambiare password, ma anche revocare sessioni, controllare i dispositivi autorizzati e verificare le impostazioni di sicurezza degli account interessati.

Conclusione

Il malware non è un singolo “virus” e non esiste una procedura universale che risolva ogni infezione.

La distinzione che conta davvero è fra come la minaccia entra, che cosa esegue, come mantiene l’accesso e quale obiettivo cerca di raggiungere. Un trojan può essere soltanto il veicolo, un loader può introdurre un infostealer e le credenziali ottenute possono alimentare una compromissione completamente diversa.

Se sospetti un’infezione, quindi, non limitarti a cancellare il primo file segnalato. Contieni il problema, verifica l’estensione della compromissione, rimuovi i componenti malevoli, proteggi nuovamente account e sessioni e soprattutto chiudi il vettore che ha permesso l’ingresso.

La prevenzione segue la stessa logica: aggiornamenti, software di sicurezza, privilegi limitati, autenticazione multifattoriale, backup realmente recuperabili e attenzione a file e link non sono difese alternative tra cui sceglierne una. Funzionano meglio quando costruiscono livelli diversi dello stesso sistema di protezione.