Questo è un articolo su più pagine: ti invitiamo a leggere la pagina iniziale
Aumentano i malware nascosti nei documenti, come si usava vent'anni fa

La maggior parte del malware viene inviato come spam a imponenti liste di indirizzi email che vengono vendute, scambiate, aggregate e aggiornate man mano che si muovono nel dark web. Un bell'esempio di questo genere di aggregazione si ha nelle liste utilizzate per le truffe denominate sextortion, tanto popolari oggi.

Una volta che i criminali dispongono delle liste di potenziali vittime, la campagna di malware (giunta alla fase di dirottamento nella Kill Chain) può avere inizio usando tecniche di ingegneria sociale per convincere le vittime ad aprire un allegato infetto. I formati più comunemente usati sono quelli dei documenti di Microsoft e Adobe, ad esempio Word, Excel, PowerPoint, Acrobat.

Articoli raccomandati:

Sextortion, IA usate per generare deepfake a luci rosse delle vittime

Gli hacker adesso si affidano alla IA per creare malware

L'email di phishing che arriva davvero da PayPal

Sextortion, rilevata una nuova ondata di email truffa, anche in italiano

Quando il documento viene aperto, si hanno due possibilità: o il malware viene automaticamente installato, oppure una macro o uno script nascosto nel documento viene lanciato per scaricare e installare il malware da una fonte esterna. A volte viene usato un link o un altro oggetto cliccabile, ma questa tecnica è più diffusa negli attacchi di phishing che nei "semplici" attacchi malware. Il file eseguibile, scaricato e lanciato quando il documento viene aperto, rappresenta la fase di installazione della Kill Chain.

Formati d'archivio e script sono gli altri due più comuni metodi di distribuzione del malware mediante allegati. I criminali spesso modificano l'estensione del file nel tentativo di confondere gli utenti e spingerli ad aprire il documento.

I moderni attacchi malware sono complessi e si strutturano su più livelli: pertanto, anche le soluzioni pensate per riconoscerli e bloccarli devono essere tali.

Sono quattro gli strumenti principali a disposizione per svolgere questo compito.

Blacklist: essendo lo spazio IP sempre più limitato, gli spammer sempre più frequentemente utilizzano infrastrutture proprie. Spesso, gli stessi IP sono usati abbastanza a lungo da permettere ai software di riconoscerli e inserirli nelle blacklist. Anche se vengono usati siti compromessi e botnet, è possibile bloccare temporaneamente gli attacchi in base all'IP una volta che un volume sufficientemente alto di spam è stato individuato.

Filtri antispam/sistemi di rilevamento del phishing: per quanto molte mail malevole appaiano convincenti, i filtri antispam, i sistemi per il rilevamento del phishing e i relativi software di sicurezza possono cogliere sottili sfumature e contribuire a bloccare i messaggi e gli allegati potenzialmente pericolosi prima ancora che raggiungano la mailbox dell'utente.

Individuazione del malware: per le email con documenti pericolosi allegati, è possibile effettuare analisi statiche e dinamiche che possono cogliere degli indicatori del tentativo da parte del documento di scaricare e lanciare un eseguibile, cosa che nessun documento dovrebbe mai fare. L'URL del file eseguibile può spesso essere identificato usando sistemi euristici o di "intelligence". Anche un "mascheramento" rilevato dall'analisi statica può indicare la possibilità che il documento sia sospetto.

Firewall avanzati: nel caso in cui un utente apra un allegato infetto o clicchi su un link che provoca il download, un firewall di rete avanzato dotato di funzionalità di analisi del malware offre un'ulteriore possibilità di bloccare l'attacco segnalando l'eseguibile appena questo transita nel firewall.

Esiste in realtà un quinto strumento, che in fondo è la base per utilizzare al meglio gli altri: il cervello dell'utente.

Sebbene sia possibile che dei contatti del tutto legittimi inviino documenti infetti a loro insaputa, quando si tratta delle grandi campagne di spam con documenti contenenti malware c'è sempre qualche dettaglio che non torna: può essere un indirizzo email sospetto, un uso scorretto della lingua italiana o qualche altro particolare che dovrebbe immediatamente mettere in guardia l'utente dall'aprire gli allegati.