Che cos’è il malware e come arriva su un computer

Malware è l’abbreviazione inglese di «malicious software», software malevolo: qualsiasi programma scritto per fare qualcosa che la vittima non ha accettato. Il National Institute of Standards and Technology statunitense (NIST) lo definisce come software o firmware destinato a eseguire un processo non autorizzato che danneggerà la riservatezza, l’integrità o la disponibilità di un sistema. La definizione è utile perché descrive il danno, non la tecnica. Un programma che ruba le tue password, uno che blocca i tuoi file e uno che trasforma di nascosto il tuo computer in un pezzo della rete di qualcun altro sono tutti malware, anche se dentro non si somigliano per niente.

Le famiglie principali, in base a ciò che vogliono

Chi si occupa di sicurezza classifica il malware in famiglie a seconda di come si diffonde e di che cosa cerca. I nomi si sovrappongono, e un singolo programma reale spesso ne combina diversi, ma il vocabolario aiuta a leggere notizie e consigli con occhio più lucido.

Come entra davvero

Nei film gli aggressori digitano freneticamente per sfondare le difese. Le infezioni reali sono di solito molto più banali. La base di conoscenza MITRE ATT&CK, che cataloga le tecniche osservate negli attacchi reali, elenca l’«esecuzione da parte dell’utente» come tecnica a sé: lo scopo dell’aggressore è convincerti ad aprire o avviare qualcosa. La maggior parte delle infezioni dei computer personali comincia così, con una persona che prende una decisione che in quel momento sembrava ragionevole.

• Un download dal posto sbagliato: una versione craccata di un software a pagamento, un convertitore «gratuito», un finto lettore video che un sito di streaming dice di dover installare.
• Un falso aggiornamento: una finestra su una pagina web che sostiene che il tuo browser o Flash non è aggiornato (Flash è stato dismesso anni fa, il che basta a rendere il messaggio una bugia).
• Un allegato o un link in un’email o in un messaggio che finge di arrivare da un corriere, una banca, un collega o un ufficio pubblico.
• Un annuncio nei risultati di ricerca per un’app famosa che porta a un sito sosia con un programma di installazione modificato.
• Un supporto rimovibile: una chiavetta USB lasciata in un parcheggio, o il disco di un collega infettato su un altro computer.
• Una vulnerabilità non corretta: un difetto in un software che usi già, sfruttato per entrare senza che tu faccia nulla. Più raro tra i privati, ma è il motivo per cui gli aggiornamenti contano.

Perché anche i Mac sono bersagli

L’idea che i Mac non possano prendere virus non è mai stata del tutto vera, e lo è sempre meno ogni anno. Man mano che i Mac si sono diffusi negli uffici, tra i creativi e tra chi possiede criptovalute, i criminali hanno seguito i soldi. È la stessa Apple a documentare diversi livelli di difesa proprio perché la minaccia è reale: Gatekeeper verifica che le app scaricate provengano da sviluppatori identificati e siano state autenticate (notarized), XProtect cerca software dannoso noto e le protezioni in esecuzione limitano ciò che le app possono fare. Questi livelli funzionano bene contro minacce note e aggressori distratti. Sono molto più deboli contro il trucco più comune di tutti: convincere l’utente a scavalcarli. Molte infezioni su Mac iniziano con istruzioni che ti chiedono di fare clic destro, scegliere Apri o digitare la password per «consentire» un programma di installazione.

Che cosa gli serve una volta dentro

Una volta installato, quasi ogni malware ha bisogno di tre cose. Deve restare: per sopravvivere a un riavvio, di solito si registra per partire in automatico, per esempio come elemento di login o come launch agent in background. Gli servono permessi: accesso ai tuoi file, al portachiavi, allo schermo o alla fotocamera. E, in quasi tutti i casi, deve parlare con internet: per ricevere istruzioni, scaricare altri componenti o inviare i dati rubati. Quest’ultimo bisogno è un’occasione per chi difende, perché una connessione di rete si può vedere e controllare anche quando non sai che cosa sta facendo un programma sul disco.

È qui che entra in gioco un firewall per app come FireAI. FireAI non è un antivirus e non rimuove software dannoso, ma chiede prima che un’app sconosciuta si connetta per la prima volta, mostra ogni connessione sulla mappa del mondo e può bloccare un’app o una destinazione. Un nuovo programma che all’improvviso cerca di raggiungere un server di cui non hai mai sentito parlare è esattamente il tipo di momento in cui vale la pena fermarsi a guardare.

Segnali che qualcosa non va

• Un’app, un elemento di login o un’estensione del browser che non ricordi di aver installato.
• Il motore di ricerca o la pagina iniziale del browser sono cambiati da soli.
• Richieste di password inattese, soprattutto subito dopo aver installato qualcosa.
• Ventole che girano e batteria che si scarica mentre il computer sembra inattivo.
• Account con accessi da luoghi dove non sei mai stato, o amici che ricevono messaggi che non hai mandato.
• Un’app che non riconosci che si connette a internet di continuo.

Nessuno di questi segnali prova da solo un’infezione, e diversi hanno spiegazioni innocue. Prendili come motivi per guardare meglio: controlla gli elementi di login in Impostazioni di Sistema, passa in rassegna le app installate di recente, avvia uno scanner affidabile se sei preoccupato e cambia le password da un dispositivo sicuro se pensi che delle credenziali siano state esposte.