La tua casella di posta è un campo minato. Non si tratta solo di spam e newsletter; è un sistema di consegna per agenti patogeni digitali. Cavalli di Troia. Vermi. Virus. Questi attaccamenti non restano lì. Aspettano.
La maggior parte dei malware trasmessi via e-mail non è un “vero” virus in senso biologico. Non può replicarsi da solo. Ha bisogno di te. Ha bisogno del cursore per spostarsi, del dito per fare clic e del tuo permesso per eseguire. Ma l’interazione umana è esattamente ciò che li rende così devastanti per i principali sistemi di posta elettronica.
All’interno di un involucro apparentemente innocuo si nasconde un cavallo di Troia. Pensa al cavallo di legno dell’Iliade. L’allegato sembra normale. Potrebbe provenire da un contatto che conosci o da uno sconosciuto con un oggetto intelligente. Il nome del file potrebbe essere fuorviante. Lo apri. Funziona. All’improvviso i tuoi file vengono cancellati, il tuo desktop viene modificato e il malware si copia su chiunque sia presente nella tua rubrica. È una reazione a catena. E inizia con un clic.
I meccanismi degli allegati dannosi
Per comprendere la minaccia, è necessario vedere come funzionano questi programmi in natura. Symantec ha documentato numerosi esempi noti che illustrano la gamma di danni possibili.
Prendi Worm.ExploreZip. Questo non è solo un fastidio. È un worm con un carico utile distruttivo. È destinato a Microsoft Outlook, Outlook Express ed Exchange. Non aspetta che tu apra un messaggio specifico. Risponde ai messaggi non letti nella tua casella di posta, diffondendosi verso l’esterno. Esegue la scansione delle unità mappate e dei computer collegati in rete per le installazioni Windows. Una volta trovata una destinazione, si copia nella directory di Windows e modifica il file WIN.INI per garantire che venga eseguito all’avvio.
Il carico utile è brutale. Cerca file con estensioni come .h, .c, .cpp, .asm, .doc, .ppt e .xls. Li distrugge. Sul tuo disco rigido. Su unità mappate. Su qualsiasi macchina di rete può accedere. Questo non è un evento occasionale. Succede ogni volta che il worm viene eseguito finché non viene rimosso.
Potresti riceverlo come allegato denominato “zipped_files.exe”. Si maschera da file zip autoestraente standard. Ma quando lo esegui, si copia nella directory di sistema di Windows come “Explore.exe” o nella directory di Windows come “_setup.exe”. Modifica il registro o “WIN.INI” in modo che “Explore.exe” venga avviato automaticamente all’avvio di Windows.
Ecco come funzionano i virus di posta elettronica. Sfruttano la fiducia. Sfruttano la comodità. E sfruttano il fatto che ti aspetti che gli allegati siano sicuri.
Quando non devi nemmeno cliccare
Alcuni malware sono più aggressivi. Non è necessario che tu scolleghi ed esegua un file. Ha solo bisogno che tu apra l’e-mail.
VBS.BubbleBoy è un ottimo esempio. Funziona su Windows 98 e Windows 2000. Può funzionare su Windows 95 se è installato Windows Scripting Host. Si rivolge alle versioni inglese e spagnola del sistema operativo. Non funziona su Windows NT.
La chiave è Microsoft Outlook (o Express) abbinato a Internet Explorer 5. Il worm sfrutta una nota falla di sicurezza in questa combinazione. Quando visualizzi l’e-mail, il worm inserisce un file di script chiamato “UPDATE.HTA”. Non è necessario fare clic su nulla. Non è necessario salvare un allegato. Il semplice atto di visualizzare il messaggio innesca l’infezione.
UPDATE.HTA viene inserito nella cartella Program-StartUp del menu Start. La routine di infezione non viene eseguita immediatamente. Attende fino al riavvio del computer. Una volta fatto, lo script utilizza MS Outlook per inviare il worm a chiunque sia presente nella tua rubrica. L’applicazione della patch alla falla di sicurezza in Outlook/IE5 interrompe la propagazione. Ma quanti utenti utilizzano ancora browser e client obsoleti?
Microsoft dispone di informazioni dettagliate su questo worm. Ma leggerlo non ti proteggerà. L’azione sarà.
Fermare la diffusione
Le definizioni dei virus sono inutili se sono vecchie. Mantieni aggiornato il tuo software antivirus. Scarica le firme antivirus più recenti dal fornitore. Il software antivirus non è in grado di rilevare nuovi virus senza questi aggiornamenti.
Se utilizzi Norton AntiVirus, assicurati che Auto-Protect sia abilitato. Le versioni attuali ti avvisano quando i file delle firme risalgono a più di 30 giorni fa. LiveUpdate di Norton può automatizzare questo processo. Ma l’automazione funziona solo se glielo permetti.
Se sospetti che il tuo PC sia infetto, se noti che la tua email invia messaggi a persone che non hai contattato, agisci velocemente. Chiama quelle persone. Digli di non aprire i messaggi. Digli di non aprire gli allegati. Questo è l’unico modo efficace per fermare la diffusione. Diventi parte del protocollo di contenimento.
Cosa devi sapere sui vermi
Il termine “verme” è spesso usato in modo approssimativo. Chiariamo cosa significa in cybersecurity.
Un worm di condivisione file è un malware progettato per diffondersi tramite reti di condivisione file. Si copia in tutte le cartelle condivise a cui può accedere. Una volta infettato, tenta di diffondersi ad altri computer sulla stessa rete. Questi worm causano danni significativi perché si muovono rapidamente su reti di grandi dimensioni.
Un worm online si diffonde automaticamente inviando copie ad altri computer sulla stessa rete. Non è necessario un file host o un utente su cui fare clic. Ha solo bisogno di una connessione.
Un worm nella sicurezza informatica è qualsiasi malware in grado di replicarsi e causare danni. Non ha bisogno di collegarsi a un programma. Sta da solo.
I worm possono essere inviati tramite posta elettronica? SÌ. Alcuni worm si diffondono tramite allegati di posta elettronica. Altri si diffondono tramite collegamenti presenti nei messaggi di posta elettronica. Possono anche diffondersi tramite messaggi istantanei o post sui social media. Il vettore cambia. L’intento rimane lo stesso.
Mantieni aggiornato il tuo software. Mantieni aggiornate le tue definizioni. E ricorda che la tua casella di posta non è un ambiente affidabile. Ogni allegato è un potenziale Trojan. Ogni collegamento è una potenziale trappola. L’unica domanda è se hai aggiornato le tue difese in tempo.
