Che cos'è il malware?
Abbreviazione di "malicious software" ovvero "software dannoso", il malware è un codice informatico progettato per danneggiare o sfruttare qualsiasi dispositivo, server o rete programmabile. L'intento dannoso del malware può assumere molte forme, tra cui negare l'accesso, distruggere o rubare dati, furto di denaro, prendere il controllo delle risorse informatiche, diffondere informazioni false, diffondere malware e molte altre azioni dannose. La motivazione che spinge i criminali informatici a diffondere malware può essere il denaro, lo spionaggio o il furto di segreti, oppure il desiderio di danneggiare un concorrente o un avversario.
Con milioni di dispositivi programmabili connessi via Internet, il malware rappresenta una parte importante e in crescita del settore della criminalità informatica. I criminali informatici distribuiscono malware in molteplici modi:
- Infettano un sito Web popolare, che poi trasmette il malware ai visitatori.
- Allegano il malware a email camuffate da file legittimi.
- Inseriscono il codice dannoso in applicazioni e strumenti affidabili, come utilità di programmazione o aggiornamenti software.
Le cinque categorie di attacchi malware
Un attacco malware rientra generalmente in una delle cinque categorie, a seconda di ciò che l'autore dell'attacco spera di ottenere:
Spyware e adware
L'adware raccoglie informazioni sulle abitudini di navigazione di un utente e invia loro pubblicità sotto forma di popup. Il pornoware è un tipo di adware che scarica immagini e pubblicità pornografiche su un computer e può creare automaticamente servizi di chat pornografici. Lo spyware raccoglie informazioni, a volte la cronologia di navigazione Web dell'utente, ma anche dati più sensibili, come password e numeri di conto. In alcuni casi, lo spyware può cercare contenuti riservati, come elenchi di clienti o rapporti finanziari. Spyware e adware spesso si camuffano da applicazioni legittime, compresi i programmi di protezione da malware.
Malware botnet
Il malware botnet crea reti di computer compromessi che possono essere controllati da remoto. Conosciute come botnet, queste reti possono comprendere centinaia o migliaia di computer, tutti impegnati in una delle seguenti attività dannose:
- Invio email di spam
- Estrazione di criptovalute (vedi il cryptojacking di seguito)
- Avvio di attacchi DDoS (Distributed Denial of Service) per interrompere o disabilitare la rete di un'organizzazione
- Distribuzione di malware per creare altre reti botnet
Ransomware
Ilransomware ha acquisito notorietà nel 2016, quando un'ondata di exploit di ransomware ha criptato i computer di tutto il mondo e li ha tenuti in ostaggio in cambio di pagamenti in bitcoin o altre criptovalute. Uno dei più noti è stato il ransomware WannaCry/WannaCryptor del maggio 2017, che ha colpito grandi organizzazioni in tutto il mondo, incluso il National Health Service (NHS) del Regno Unito. Gli autori dell'attacco hanno chiesto 300 dollari in bitcoin per la chiave di decrittazione di ogni computer, anche se non sempre hanno fornito la chiave. Il ransomware ha paralizzato gli ospedali dell'NHS e ha colpito centinaia di migliaia di organizzazioni e individui che hanno perso dati preziosi. Nel 2018, gli attacchi ransomware sono diminuiti in quanto gli autori dell'attacco hanno spostato la loro attenzione sul malware cryptojacking.
Malware di cryptojacking o cryptomining
Il malware di cryptojacking o cryptomining comporta il dirottamento di un computer o di una rete di computer per estrarre criptovalute. I programmi di mining utilizzano grandi quantità di potenza di elaborazione, larghezza di banda ed energia. Le vittime ne pagano il prezzo in termini di riduzione della potenza di elaborazione per i loro usi legittimi e di aumento dei costi dell'elettricità. Un'elaborazione eccessiva dei dati può anche danneggiare l'hardware della vittima. Gli attacchi malware possono anche rubare o modificare dati o installare altro malware per uso futuro. Alcuni cryptojacker rubano anche la cybervaluta delle loro vittime.
Malware senza file
Ilmalware senza file opera solo nella memoria del computer e non lascia file che il software antivirus possa rilevare. L'operazione RogueRobin è un esempio di attacco malware senza file. RogueRobin inizia con un'email di phishing contenente file di query Web di Microsoft Excel dannosi. Questi file costringono il computer a eseguire script PowerShell, che a loro volta forniscono all'autore dell'attacco una backdoor nel sistema della vittima. Sebbene il malware scompaia se il computer viene spento, la backdoor rimane attiva.
Utilizzando tecnologie affidabili come PowerShell, Excel o Windows Management Instrumentation, gli autori dell'attacco malware senza file possono eludere i tradizionali software di sicurezza.
Poiché alcune applicazioni sono progettate per essere eseguite in modo continuo, uno script di malware senza file può essere eseguito per giorni, settimane o più. Una società di servizi finanziari ha scoperto un malware senza file in esecuzione sui suoi controller di dominio e che raccoglieva credenziali di amministratori di sistema e altri con accesso a parti più profonde del sistema.
Migliori pratiche per la protezione dal malware
Ecco le principali strategie che i singoli utenti e le organizzazioni possono attuare per garantire una migliore protezione contro il malware:
- Eseguire il backup dei dati con frequenza. Se un file o un database è danneggiato, può essere ripristinato da un backup recente. Per questo motivo, è bene conservare diversi backup per un certo periodo di tempo. Inoltre, è opportuno verificare regolarmente i backup per essere certi che funzionino correttamente.
- Disattivare le macro. Disattivare gli strumenti di amministrazione e i plugin del browser non necessari.
- Installare e aggiornare il software di rilevamento del malware. I programmi e i servizi avanzati di rilevamento del malware utilizzano diversi metodi per rilevare e rispondere al malware, tra cui:
- Sandboxing o attivazione di un virus sospetto in un ambiente di quarantena
- Esecuzione del filtraggio della reputazione (ad esempio, il filtraggio basato sulla reputazione dell'indirizzo IP di invio).
- Utilizzo del filtraggio basato sulle firme per identificare il malware confrontandolo con le caratteristiche del malware noto.
- Utilizzo del software di analisi comportamentale, che impiega l'intelligenza artificiale e l'apprendimento automatico per profilare il normale comportamento degli utenti e rilevare l'uso anomalo delle applicazioni
- Scopri di più sulle minacce del malware. Il fattore più importante nella prevenzione da qualsiasi tipo di infezione da malware sono gli utenti stessi. Gli utenti devono essere consapevoli dei rischi derivanti dal download e dall'installazione di applicazioni non autorizzate, dall'inserimento di chiavette USB nei propri computer o dalla navigazione in siti Web non affidabili.
Si consiglia la formazione degli utenti sulle buone pratiche di sicurezza su Internet e sui social media. Gli utenti beneficiano di aggiornamenti regolari sulle ultime minacce malware, nonché di promemoria sulle pratiche di sicurezza. I dipendenti IT possono migliorare le proprie competenze in materia di sicurezza partecipando a un webinar di Trellix, leggendo i blog di Trellix, o consultando i rapporti del Centro minacce di Trellix.