Falso supporto Windows, dietro l’aggiornamento si nasconde il malware che svuota i conti

14/04/2026 SCIENZA E TECNOLOGIA Preferisci Informazione.News su Google

Redazione Scienza e Tecnologia   -   Non c’è nulla di più ordinario, per chi vive una vita digitale, della notifica che segnala un aggiornamento del sistema operativo. Un clic, un breve tempo di attesa, e si riparte: una routine talmente consolidata da abbassare qualunque livello di allerta. Ed è proprio su questa abitudine, su questa fiducia quasi meccanica, che i criminali informatici hanno deciso di costruire la loro nuova, insidiosa trappola. Gli esperti di Malwarebytes hanno infatti scoperto una campagna malevola che sfrutta un falso sito di supporto Microsoft per distribuire un malware capace di sottrarre password, dati di pagamento e credenziali di accesso. La pagina, che si presenta con una veste grafica curata nei minimi dettagli, spinge l’utente a scaricare quello che all’apparenza sembra un banale aggiornamento cumulativo per Windows 11.

L’ingegneria del raggiro: così il falso update raggira la sicurezza

L’attacco, che sembra prendere di mira in particolare gli utenti francofoni stando alle prime ricostruzioni, sfrutta il dominio “microsoft-update.support”. Una differenza di una sola lettera, un semplice trattino, che può facilmente trarre in inganno chi naviga di fretta. La procedura è tanto semplice quanto efficace: una volta cliccato il pulsante di download, la vittima si ritrova sul proprio hard disk un file chiamato “WindowsUpdate 1.0.0.msi” di circa 83 Megabyte. I metadati del file sono stati falsificati con cura, tanto da attribuirne la paternità a Microsoft, rendendo l’esca praticamente indistinguibile da un software legittimo. E qui viene il bello, o meglio, il preoccupante: a differenza di altri malware più grossolani, questo è stato studiato per passare sotto la traccia dei tradizionali software antivirus. Al momento dell’analisi, nessuno dei 69 motori presenti su VirusTotal è riuscito a rilevare l’anomalia.

Architettura letale: il malware che si nasconde nel guscio dell’innocenza

La ragione di questa elusività non è frutto del caso, ma di una scelta progettuale precisa da parte degli sviluppatori del codice malevolo. L’installatore è stato costruito utilizzando il “WiX Toolset”, uno strumento open-source assolutamente legittimo. Il malware, una volta eseguito, non si limita a rubare dati in modo grossolano, ma scatena una reazione a catena. Dietro la facciata di un’applicazione basata su Electron (un framework utilizzato da migliaia di app ufficiali, come Discord o Spotify), gli attaccanti hanno nascosto script in JavaScript offuscato e componenti Python rinominati. In pratica, il guscio è trasparente agli occhi dei controlli di sicurezza, che vedono un programma “pulito”, mentre all’interno scorre il veleno. La logica malevola viene eseguita a scatti, scaricando i vari moduli ladri in fase di esecuzione.

Persistenza e furto di identità: le conseguenze sul computer infetto

Una volta che l’infezione è attecchita, il malware agisce su più fronti. Da un lato, si mette subito al lavoro per raccogliere la posta in gioco: password salvate nei browser, cookie di sessione, dettagli delle carte di credito e persino token di accesso a piattaforme come Discord. Dall’altro, deve assicurarsi di sopravvivere al riavvio del computer. Per farlo, modifica il registro di sistema (specifcamente la chiave “Run”) camuffandosi da componente di sicurezza di Windows chiamato “SecurityHealth”. Ma c’è di più: per una sorta di ironia tecnica, crea anche un collegamento fasullo con il nome di “Spotify” nella cartella di avvio automatico. Così, ogni volta che il sistema si riaccende, il computer esegue la trappola pensando di avviare un semplice lettore musicale, quando in realtà sta spalancando la porta di casa ai ladri di dati.

L’assenza di sintomi e la bonifica necessaria

La pericolosità di questa minaccia risiede anche nella sua capacità di non dare nell’occhio. Non ci sono finestre pop-up moleste né rallentamenti evidenti che possano mettere in allarme l’utente. Il processo, scritto in VBS (Visual Basic Script), agisce in background, in silenzio. Per chi sospettasse di essere caduto nella rete, gli esperti suggeriscono una serie di controlli manuali piuttosto tecnici: dalla verifica nel registro di sistema (alla ricerca della chiave “SecurityHealth” nella cartella Run) all’ispezione della directory di avvio, dove non dovrebbe esserci alcun collegamento “Spotify.lnk” creato dall’utente. La rimozione manuale è complessa, ma necessaria per interrompere la catena di esfiltrazione dei dati, anche se ormai, una volta che il malware ha agito, la priorità diventa la sostituzione immediata di tutte le password compromesse.