Malware: cosa sono, come funzionano e come difendersi
Il termine malware indica qualsiasi software o codice progettato per compromettere sistemi, dati, identità o disponibilità dei servizi. Un malware può rubare credenziali, cifrare file, installare accessi persistenti, spiare l’attività dell’utente, sfruttare risorse di calcolo o preparare il movimento laterale verso altri dispositivi della rete.
Nelle aziende il problema non coincide più con il semplice “virus sul PC”. Gli attacchi moderni combinano spesso phishing, vulnerabilità, furto di credenziali, strumenti legittimi abusati, malware fileless e attività interattive dell’attaccante. Per questo la difesa efficace richiede prevenzione, rilevamento comportamentale, visibilità sugli endpoint e procedure di risposta agli incidenti.
Che cos’è un malware
Malware è la contrazione di malicious software. Non identifica una singola famiglia di minacce, ma una categoria che comprende programmi, script o componenti utilizzati con finalità malevole. Virus, worm, trojan, ransomware, spyware, rootkit, keylogger e cryptominer sono esempi diversi di malware, con tecniche di diffusione, persistenza e impatto differenti.
La distinzione è importante perché il comportamento determina anche la risposta. Un ransomware richiede priorità di contenimento e recovery; uno spyware può indicare furto di informazioni; un rootkit può compromettere l’affidabilità stessa del sistema; un infostealer può rendere necessario revocare sessioni, token e credenziali, oltre a bonificare il dispositivo.
Quali sono i principali tipi di malware
Tipologia | Come opera | Rischio principale |
Ransomware | Cifra dati o interrompe i servizi; può essere associato a esfiltrazione ed estorsione | Indisponibilità, perdita dati, fermo operativo |
Trojan | Si presenta come software o contenuto legittimo e attiva funzionalità malevole | Accesso iniziale, download di payload, furto dati |
Worm | Si replica e può propagarsi automaticamente tra sistemi | Diffusione rapida nella rete |
Spyware | Raccoglie informazioni sull’utente o sul dispositivo | Furto di dati e informazioni sensibili |
Infostealer / keylogger | Cattura credenziali, cookie, token o digitazioni | Compromissione account e sessioni |
Rootkit | Nasconde componenti o modifica il sistema per mantenere privilegi e persistenza | Persistenza e occultamento |
Backdoor / RAT | Fornisce controllo remoto o accesso persistente al sistema | Controllo dell’endpoint e movimento laterale |
Cryptominer | Utilizza CPU/GPU per attività di mining non autorizzate | Consumo risorse e possibile compromissione più ampia |
Adware / PUA | Mostra pubblicità o introduce software indesiderato e modifiche al browser | Riduzione sicurezza, privacy e stabilità |
Virus e malware sono la stessa cosa?
No. Un virus è una specifica tipologia di malware capace di inserire il proprio codice in file o programmi e replicarsi quando questi vengono eseguiti. Malware è invece il termine generale che comprende anche minacce che non hanno alcun comportamento da virus, come ransomware, spyware, trojan o backdoor.
Come entra un malware in azienda
Gli attaccanti utilizzano più vettori e spesso li concatenano. Il malware può essere solo una fase di un attacco più ampio.
- Email di phishing, allegati o link verso contenuti malevoli.
- Siti compromessi, download drive-by e malvertising.
- Vulnerabilità non corrette in sistemi operativi, applicazioni e dispositivi esposti.
- Software pirata, installer modificati, estensioni o applicazioni provenienti da fonti non affidabili.
- Credenziali compromesse usate per accedere a VPN, servizi cloud o sistemi remoti.
- Macro, script, PowerShell e altri strumenti legittimi abusati per eseguire codice.
- Dispositivi rimovibili e supporti USB.
- Supply chain e aggiornamenti software compromessi.
La prevenzione deve quindi ridurre contemporaneamente più superfici di attacco: email, browser, identità, vulnerabilità, endpoint, privilegi e accessi remoti.
Malware fileless: perché non basta cercare un file infetto
Alcune tecniche moderne riducono o evitano la presenza di file malevoli persistenti sul disco. Gli attaccanti possono utilizzare memoria, script, strumenti di amministrazione o componenti già presenti nel sistema. Il rilevamento esclusivamente basato sulla firma di un file è quindi insufficiente.
Le piattaforme Endpoint Detection and Response analizzano anche comportamenti, processi, attività di rete e catene di esecuzione per individuare azioni sospette e ricostruire un incidente. È questo il passaggio dall’antivirus tradizionale alla protezione endpoint moderna.
Approfondimento — Endpoint Protection aziendale: EDR e XDR
Come riconoscere un possibile malware
Molte infezioni cercano di rimanere invisibili, quindi l’assenza di sintomi non dimostra che un dispositivo sia sicuro. Alcuni segnali possono comunque indicare una compromissione e richiedono verifica tecnica.
- Rallentamenti improvvisi o utilizzo anomalo di CPU, memoria, disco o rete.
- Processi, servizi, task pianificati o applicazioni sconosciute.
- Popup, reindirizzamenti del browser o estensioni installate senza consenso.
- Antivirus, EDR o altre impostazioni di sicurezza disabilitate o modificate.
- Connessioni di rete anomale, DNS inconsueti o comunicazioni verso destinazioni non note.
- File rinominati, cifrati, cancellati o non più accessibili.
- Account bloccati, accessi inattesi o modifiche non autorizzate alle credenziali.
- Comparsa di note di riscatto o richieste di pagamento.
- Segnalazioni EDR/XDR relative a persistence, credential access, lateral movement o command-and-control.
Cosa fare se si sospetta un malware in azienda
Su un endpoint aziendale potenzialmente compromesso, la priorità non è eseguire operazioni casuali di pulizia. Occorre contenere l’incidente senza distruggere informazioni utili all’analisi e senza permettere alla minaccia di propagarsi.
- Isolare il dispositivo — Disconnettere o isolare l’endpoint con gli strumenti EDR disponibili, evitando che continui a comunicare con altri sistemi.
- Attivare l’Incident Response — Coinvolgere il team competente quando ci sono segnali di compromissione reale, ransomware, furto di credenziali o movimento laterale.
- Preservare le evidenze — Raccogliere log, alert, timeline, processi, hash, connessioni e altre informazioni utili prima di operazioni invasive.
- Verificare identità e sessioni — Se esiste rischio di credential theft, revocare sessioni e token e reimpostare le credenziali secondo la procedura di risposta.
- Eradicare la minaccia — Rimuovere persistence e componenti malevoli, correggere la vulnerabilità o il vettore iniziale e verificare che non esistano altri asset compromessi.
- Ripristinare in sicurezza — Ripristinare sistemi e dati da fonti affidabili, applicare aggiornamenti e controllare l’ambiente prima del ritorno in produzione.
- Monitorare — Aumentare il monitoraggio dopo il ripristino per individuare eventuali tentativi di persistenza o ricomparsa dell’attaccante.
Come difendersi dai malware in azienda
Una difesa efficace è stratificata. Nessun singolo prodotto elimina da solo il rischio malware.
Controllo | Obiettivo |
Endpoint Protection / EDR | Protezione di nuova generazione, analisi comportamentale, isolamento e capacità di risposta sugli endpoint. |
Riduzione della superficie di attacco | Regole ASR, controllo applicazioni, protezione browser e blocco di comportamenti ad alto rischio. |
Tamper Protection | Protezione delle impostazioni di sicurezza da tentativi di disabilitazione o modifica da parte dell’attaccante. |
Patch e vulnerability management | Riduzione delle vulnerabilità sfruttabili su sistemi operativi, browser, applicazioni e appliance. |
Least privilege | Riduzione dei privilegi locali e amministrativi per limitare esecuzione, persistence e movimento laterale. |
MFA e Identity Security | Protezione degli account per ridurre l’uso di credenziali rubate come vettore di ingresso. |
Email e DNS Security | Blocco di allegati, URL e domini malevoli prima che raggiungano l’endpoint. |
Backup protetti | Backup isolati, versionati e testati per rendere possibile il ripristino senza dipendere dal sistema compromesso. |
Security Awareness | Formazione continua degli utenti sui vettori più comuni: phishing, allegati, link, richieste anomale e social engineering. |
Monitoraggio e Incident Response | Rilevamento tempestivo, correlazione degli eventi e procedure definite per contenimento, eradicazione e recovery. |
Malware e ransomware: quando il problema diventa continuità operativa
Il ransomware è una famiglia di malware, ma negli attacchi aziendali moderni la cifratura può essere solo la fase finale. Prima possono avvenire accesso iniziale, escalation dei privilegi, ricognizione, movimento laterale, disabilitazione delle difese ed esfiltrazione dei dati.
La risposta deve quindi distinguere tra bonifica dell’endpoint e gestione di un incidente esteso. In presenza di cifratura, propagazione o compromissione di server e backup, servono procedure coordinate di contenimento, analisi, eradicazione e ripristino.
Approfondimento — Ransomware Recovery Nexsys
Security Awareness: ridurre i malware che entrano attraverso l’utente
Una quota rilevante degli attacchi continua a sfruttare interazioni umane: email, link, allegati, falsi aggiornamenti, richieste urgenti o pagine di login contraffatte. La formazione non sostituisce EDR, patching o protezione email, ma riduce la probabilità che l’utente abiliti il vettore iniziale.
Approfondimento — Corso Cyber Security Awareness per utenti aziendali
FAQ sui malware
Che cos’è un malware?
Un malware è software o codice progettato per compromettere sistemi, dati, identità o disponibilità dei servizi. Il termine comprende famiglie diverse come virus, trojan, ransomware, spyware, rootkit e infostealer.
Virus e malware sono la stessa cosa?
No. Un virus è una specifica tipologia di malware con capacità di infettare file o programmi e replicarsi. Malware è il termine generale che comprende molte altre famiglie di minacce.
Quali sono i malware più comuni?
Tra le principali categorie rientrano ransomware, trojan, worm, spyware, infostealer, keylogger, rootkit, backdoor, cryptominer e adware. Le tecniche cambiano nel tempo e più famiglie possono essere usate nello stesso attacco.
Come si diffondono i malware?
I vettori più comuni includono phishing, allegati e link malevoli, vulnerabilità non corrette, software proveniente da fonti non affidabili, credenziali compromesse, siti infetti, dispositivi rimovibili e supply chain.
Un antivirus è sufficiente contro i malware?
No. L’antivirus resta un controllo importante, ma negli ambienti aziendali la difesa moderna combina protezione di nuova generazione, EDR/XDR, riduzione della superficie di attacco, patching, Identity Security, backup, monitoraggio e Incident Response.
Che cos’è un malware fileless?
È un termine usato per tecniche che riducono la dipendenza da file malevoli persistenti sul disco e sfruttano memoria, script o strumenti già presenti nel sistema. Il rilevamento comportamentale è quindi particolarmente importante.
Cosa bisogna fare se un PC aziendale è infetto?
La prima priorità è contenere il dispositivo e valutare l’estensione dell’incidente. In presenza di segnali seri è opportuno isolare l’endpoint, preservare le evidenze, verificare identità e sessioni, eradicare la minaccia e ripristinare il sistema in sicurezza.
Ransomware e malware sono la stessa cosa?
Il ransomware è una specifica categoria di malware. Negli attacchi aziendali può essere associato anche a furto di dati, movimento laterale e tentativi di compromettere backup e sistemi critici.
Come si prevengono i malware in azienda?
La prevenzione richiede più livelli: Endpoint Protection, EDR/XDR, patching, controllo dei privilegi, MFA, sicurezza email e DNS, backup protetti, Security Awareness e procedure di Incident Response.