Cos'è un malware trojan? Guida completa a rischi e protezione

I trojan sono un tipo di malware che induce le vittime a scaricare il proprio carico di dati (payload) pericoloso mascherandosi da software o file sicuri. A seconda della minaccia specifica, un trojan può celatamente raccogliere i tuoi dati personali sensibili, bloccare i tuoi file per poi chiederti un riscatto, scaricare ulteriori minacce o causare danni in diversi altri modi.

In questa guida, esploreremo cosa sono i trojan, come funzionano e quali specifiche minacce rappresentano per te e i tuoi dispositivi. Tratteremo inoltre i possibili segnali di un'infezione da trojan a cui prestare attenzione e come rimuoverne uno dal proprio computer o dispositivo mobile.

Cos'è un trojan?

I trojan sono una delle tante sottocategorie di malware. Tutti dovrebbero sapere cosa sono, come nozione fondamentale di sicurezza informatica.

Definizione di malware trojan

I trojan (talvolta definiti in modo non del tutto corretto "virus trojan") sono un tipo di malware caratterizzato dal fatto che si presenta come un software o un file legittimo. Dietro questa apparenza di sicurezza, i trojan contengono in realtà del codice dannoso e, una volta scaricati o installati, possono causare danni al dispositivo.

Per quanto riguarda l'aspetto, i trojan possono sembrare un aggiornamento di un tuo programma esistente, un software gratuito o file come documenti e film. All'insaputa della vittima, però, il download include parti di codice dannoso.

Un trojan è un virus o un malware?

Tecnicamente parlando, i trojan e i virus sono due distinte tipologie di malware. A differenza dei virus, i trojan non tendono a replicarsi o a iniettare codice dannoso in altri file.

Inoltre, a seconda della minaccia che rappresenta, un certo trojan rientrerà probabilmente in un'altra categoria di malware. Ad esempio, un trojan potrebbe anche essere un cryptojacker, un ransomware o uno spyware.

Detto questo, molte persone usano il termine "virus" per indicare ogni genere di malware, non solo le minacce che possono autoreplicarsi. In questo senso, meno tecnico, un trojan può definirsi un virus.

Differenze principali tra trojan e virus

Sia i trojan che i virus sono considerati vettori di malware. I due termini descrivono il modo in cui viene diffusa una minaccia, non l'effetto generato sul dispositivo della vittima. Infatti, dietro le quinte i trojan e i virus operano in maniera diversa.

I trojan sono progettati per apparire come file o app utili, con l'obiettivo di indurre gli utenti al loro download e installazione. Una volta installati, la maggior parte dei trojan restano silenti, senza alcuna apparenza immediata di pericolosità. Possono anche fornire un'utilità, al fine di indurre la vittima a non disinstallare il software. Inoltre, molti trojan alterano il dispositivo di destinazione per rendere più difficile la loro disinstallazione.

Al contrario, i virus eseguono spesso il loro attacco non appena l'utente apre il file infetto. A differenza dei trojan, i virus possono riprodursi infettando altri file sul dispositivo, diffondendosi secondo la loro programmazione. Se i virus richiedono in genere che sia l'utente a inizializzare l'infezione e poi possono operare con maggiore autonomia, di solito per attivare i trojan è necessario che l'utente completi l'intero processo di installazione.

In quanto vettori di malware piuttosto che minacce specifiche, i danni causati da trojan e virus si sovrappongono notevolmente.

Breve storia dei trojan

L'utilizzo del termine "trojan" per descrivere un malware ingannevole deriva dalla leggendaria battaglia di Troia, quando gli eserciti greci donarono ai loro nemici troiani un grande cavallo di legno come presunta offerta di pace. Poche ore dopo che il cavallo fu introdotto in città dai troiani, i soldati greci nascosti al suo interno uscirono e conquistarono Troia. Come simbolo di inganno, il termine "trojan" è stato associato a file informatici che sembrano sicuri ma che in realtà contengono minacce nascoste.

Si ritiene che John Walker abbia programmato il primo trojan nel 1975. Noto come PERVADE, creava copie aggiuntive di un gioco chiamato ANIMAL per aiutare altri utenti a trovare il software. Sebbene intrinsecamente non fosse dannoso, questo modello sarebbe stato poi copiato dai criminali informatici per generare danni reali.

Uno dei primi esempi di trojan dannoso risale al 1989. Un programmatore informatico inviò dei floppy disk ai partecipanti di un convegno medico, con delle lettere di accompagnamento in cui indicava che il disco conteneva informazioni sull'epidemia di AIDS in corso. Aprendo il file, alle vittime veniva presentato un innocuo questionario. Tuttavia, dopo l'interazione con il dischetto, il dispositivo si riavviava 90 volte e veniva criptato l'intero disco rigido, con conseguente perdita di dati. Inoltre, sullo schermo appariva un messaggio che invitava le vittime a inviare denaro contante all'indirizzo indicato, se volevano recuperare i propri file.

Questo è un ottimo esempio di trojan. Per un certo periodo sembrava del tutto legittimo, ma in realtà conteneva codice ransomware nascosto. Molti trojan futuri avrebbero impiegato strategie simili.

Negli anni successivi, i trojan si sono dimostrati un metodo altamente efficace per diffondere ogni tipo di malware. Ormai sono comuni per ogni genere di dispositivo: le applicazioni mobili apparentemente legittime rappresentano un problema particolarmente diffuso. Ad esempio, xHelper, un trojan per Android, ha potuto infettare circa 131 dispositivi al giorno durante i primi sette mesi dalla sua diffusione. Sebbene i trojan che prendono di mira i sistemi iOS tendano a causare meno danni rispetto ai loro equivalenti per Android, gli iPhone non sono di certo immuni a questo genere di minaccia.

Come funzionano i trojan?

I criminali informatici distribuiscono trojan con una varietà di metodi: dalla pubblicazione su siti per la condivisione di file, alla diffusione di link tramite email, SMS e social media.

Per far sì che gli utenti scarichino e installino un trojan, vengono utilizzate tattiche di ingegneria sociale, ossia un ampio insieme di pratiche che fanno leva sulle emozioni umane per indurre le persone ad agire in modo avventato. Si sfruttano spesso la paura e l'avidità insieme a richieste di azione immediata.

Una volta che la vittima installa il carico di dati dannoso, ciò che accade dopo dipende dalla finalità per la quale il trojan specifico è stato creato. Potrebbe stabilire immediatamente un controllo del dispositivo da remoto, spiare la vittima con discrezione o sottrarre informazioni sensibili. In alternativa, il dispositivo potrebbe funzionare normalmente fino a quando non trascorre un certo periodo di tempo o viene eseguita un'azione specifica.

Conseguenze di lungo termine delle infezioni da trojan

Le infezioni da trojan possono generare una serie di conseguenze di lungo periodo, che vanno da una perdita finanziaria una tantum al furto dell'identità. I trojan di accesso remoto (Remote Access Trojan, RAT) possono fornire a un criminale informatico il controllo totale del dispositivo di un utente senza che se ne accorga durante mesi o persino anni. L'estrazione di dati personali tramite trojan e la successiva pubblicazione sul dark web possono creare problemi alla vittima per il resto della sua vita. Allo stesso modo, i dati distrutti da un trojan possono essere irrecuperabili, con conseguente perdita di mesi o anni di lavoro.

Come si diffondono i trojan tra i dispositivi

I trojan si basano sull'inganno: i criminali informatici utilizzano una varietà di tecniche per convincere gli utenti a scaricare, eseguire e mantenere il malware installato sui propri dispositivi. Prima di entrare in dettaglio, vale la pena descrivere brevemente le tattiche di ingegneria sociale utilizzate per convincere le persone a scaricare i file.

Sfruttare la psicologia umana per diffondere trojan si basa spesso sui seguenti elementi.

• Far leva sulla curiosità. Una tattica comune consiste nel fare un'affermazione scandalosa o promettere di condividere informazioni molto ambite. Il forte desiderio di scoprire qualcosa può indurre le persone ad abbassare la guardia.
• Fingersi una celebrità o un'azienda. Proprio come i trojan imitano i software legittimi, spesso i malfattori che li distribuiscono fingono di essere personaggi famosi o aziende. Ad esempio, un messaggio che apparentemente proviene dalla tua compagnia telefonica potrebbe includere una bolletta fasulla o promettere uno sconto se scarichi una nuova app, ma in realtà sono trojan creati per spiarti.
• Utilizzare l'account violato di qualcun altro. I criminali informatici utilizzano spesso account hackerati per causare ulteriori danni. Se un amico o un collega ha subito una violazione di uno dei propri account, potrebbe inviarti messaggi per convincerti a scaricare un trojan.
• Sfruttare l'avidità della gente. Spesso i trojan si diffondono mediante la promessa di fornire gratis qualcosa che normalmente non lo è. Per convincere gli utenti a scaricare software dannoso, i criminali informatici utilizzano una varietà di piattaforme dove offrono denaro, lavori redditizi o software e contenuti multimediali gratuiti.
• Creare un falso senso di urgenza. In genere, in combinazione con le strategie precedenti, i malfattori inviano messaggi che richiedono un'azione urgente. Spingendo le vittime ad agire in fretta, riescono a convincerle a fare cose che altrimenti non farebbero.

Per diffondere i trojan, i criminali informatici utilizzano le tattiche sopradescritte su diverse piattaforme.

Siti di condivisione di file e torrent

Gli utenti che cercano versioni gratuite di applicazioni, programmi e contenuti multimediali a pagamento si rivolgono spesso ai siti di condivisione di file e torrent, che pullulano di trojan anche quando la piattaforma in sé è legittima. Ad esempio, i trojan diffusi su Telegram e Discord spesso si mascherano come giochi e film gratuiti.

Non sempre gli amministratori di questi siti e canali eseguono una scansione dei file caricati alla ricerca di codice dannoso, condizione che consente ai criminali informatici di fare liberamente un upload di file contenenti trojan. I siti senza un'adeguata attività di moderazione e controllo potrebbero non rimuovere mai questi file dalla loro piattaforma.

Allegati email e link di phishing

I criminali informatici possono inviare trojan come allegato email o diffondendo link a pagine che ospitano malware camuffato da qualcos'altro. I malfattori sanno che le persone sono meno propense ad aprire allegati email e link provenienti da un mittente sconosciuto, quindi spesso ricorrono all'usurpazione dell'identità di personaggi pubblici o aziende legittime.

Messaggi contraffatti e falsi avvisi

Per diffondere trojan, sui siti web possono essere utilizzati avvisi dannosi in formato popup, realizzati in modo da sembrare delle notifiche del dispositivo o finestre di messaggi relativi a piattaforme note. Di solito, affermano che hai vinto qualcosa o che il tuo dispositivo è stato compromesso (questo è noto come attacco scareware, ossia basato sulla paura). Tali notifiche popup contengono solitamente un link a una pagina da cui è possibile scaricare un falso antivirus o altro programma gratuito che in realtà è un trojan.

Siti web infetti e download drive-by

I trojan possono anche essere distribuiti tramite download drive-by, ovvero file che vengono scaricati senza che l'utente clicchi su un pulsante di download o esegua azioni simili. I malfattori possono diffondere le minacce mediante download drive-by su siti web in loro controllo, che potrebbero anche essere siti legittimi, ma compromessi.

È sempre meglio considerare come sospetto qualsiasi file scaricato senza la propria autorizzazione, indipendentemente dall'affidabilità del sito visitato.

Reti Wi-Fi compromesse e dannose

È noto che i criminali informatici creano reti dannose per diffondere trojan e altre minacce. Ad esempio, molte reti Wi-Fi pubbliche prive di password richiedono agli utenti di visitare una pagina di autorizzazione prima di poter accedere alla connessione Internet. In genere queste pagine sono pienamente sicure, ma i malfattori potrebbero crearne una che reindirizzi gli utenti al download di un file apparentemente necessario per accedere alla connessione, ma che in realtà è un altro mezzo per la distribuzione di trojan.

Tipi di malware trojan

Sebbene tutti i trojan si mascherino come file e programmi sicuri, la natura dell'effettiva minaccia varia in modo alquanto significativo. Ecco alcuni dei tipi di trojan più comuni oggigiorno in circolazione:

• Trojan spia. I criminali informatici utilizzano spyware per registrare l'attività degli utenti, acquisire screenshot, raccogliere email e monitorare la navigazione.
• Keylogger. Pericoloso tipo di spyware, i keylogger raccolgono tutto ciò che viene digitato sulla tastiera del dispositivo infetto, solitamente inviando i dati ai malfattori.
• Trojan falsi antivirus. Imitando gli avvisi di antivirus legittimi, questi trojan fanno leva sulla paura avvertendo gli utenti di una minaccia già presente sul dispositivo, invitandoli a risolvere la situazione scaricando un falso antivirus.
• Trojan di accesso remoto (RAT). I malfattori utilizzano i RAT per controllare il dispositivo infetto da qualsiasi luogo ogni volta che è connesso a Internet. Possono così modificare le impostazioni del dispositivo (ad esempio, disabilitando l'antivirus), alterare file e installare malware aggiuntivo.
• Trojan ransomware. Queste minacce si attivano spesso molto tempo dopo l'installazione del malware, bloccando i dati di un dispositivo e chiedendo alle vittime un riscatto per riottenerne il controllo.
• Trojan cryptojacker. I cryptojacker dirottano le risorse di calcolo di un dispositivo per minare criptovaluta, che viene poi inviata al wallet dei malfattori.
• Trojan botnet. Sfruttando le funzionalità di rete di un dispositivo, i trojan botnet reclutano i computer delle vittime come partecipanti a una rete di dispositivi infetti, che utilizzano per lanciare attacchi DDoS (Distributed Denial of Service) e compiere ulteriori azioni illecite. Pertanto, un'infezione da trojan potrebbe portare all'utilizzo del tuo dispositivo per colpire altre vittime.
• Trojan wiper. I trojan wiper esistono esclusivamente per cancellare dati critici da un sistema, senza cercare di rubare nulla, per finalità di sabotaggio, coercizione o vandalismo.
• Trojan prank. Alcuni trojan imitano software legittimi, senza danneggiare il dispositivo né spiare la vittima. Spesso si limitano ad apportare semplici modifiche visive al dispositivo. Possono risultare fastidiosi, ma nulla più: sono relativamente innocui.

Segnali di un'infezione da trojan

I segnali di un'infezione da trojan sono simili ai campanelli d'allarme associati ad altri tipi di malware. Siccome i trojan possono generare un'ampia varietà di effetti, i possibili sintomi a cui prestare attenzione sono molti.

Indicatori chiave sul dispositivo

• Basse prestazioni e arresti anomali: il malware consuma risorse di sistema e ogni dispositivo dispone di una quantità limitata di RAM. Ciò può comportare un rallentamento delle prestazioni complessive e tempi di risposta insoddisfacenti durante l'uso delle consuete applicazioni.
• Popup o programmi insoliti: i trojan possono causare la comparsa di programmi o popup insoliti sul dispositivo, quindi presta attenzione a ogni elemento che non riconosci e a eventuali notifiche che ti richiedono un'azione immediata.
• Disattivazione degli strumenti di sicurezza: alcuni trojan potrebbero disattivare il software di sicurezza del dispositivo per lanciare ulteriori attacchi. Se noti che Windows Defender o altro software simile è stato disabilitato, la causa potrebbe trovarsi nella presenza di un trojan.
• Strani effetti del browser: spesso i trojan interferiscono con i browser. Se si verificano reindirizzamenti a siti web che non intendi visitare o noti nuove estensioni o barre degli strumenti che non hai installato consapevolmente, potrebbe trattarsi dell'opera di un trojan.

Come individuare e rimuovere un'infezione da trojan

Se riscontri uno dei sintomi sopraindicati o hai qualsiasi altro motivo per ritenere di avere un trojan, dovrai verificare la situazione.

Utilizzo di scanner anti-malware

Scarica un antivirus affidabile o utilizza gli strumenti di sicurezza già integrati nel dispositivo. Una volta verificato che il software è aggiornato, esegui una scansione completa. Si consiglia di eseguire la scansione in modalità provvisoria e senza connessione Internet, in modo da impedire a un eventuale RAT di interferire con il tentativo di rimozione della minaccia.

Se il programma utilizzato rileva un malware, di solito fornisce anche informazioni circa la sua natura. Potrebbe identificare un trojan come responsabile, ma a prescindere da cosa trovi, segui sempre la raccomandazione di messa in quarantena e rimozione della minaccia.

Monitoraggio delle prestazioni del sistema

Il monitoraggio di attività insolite può rivelare la presenza di un trojan. Questo metodo è però meno efficace contro i trojan progettati per mantenersi dormienti.

La maggior parte dei sistemi operativi dispone di strumenti integrati per il monitoraggio delle prestazioni e dei processi attivi. Su PC Windows, premi contemporaneamente i tasti Ctrl+ Alt + Canc, quindi seleziona Gestione attività. Su Mac, cerca e apri Monitoraggio Attività per visualizzare l'elenco dei processi attivi.

È sempre meglio eseguire questi passaggi senza che vi siano altri programmi aperti. Esamina la lista presentata e cerca qualsiasi cosa ti sembri sospetta, prestando particolare attenzione ai processi che stanno utilizzando molte risorse. Se individui qualcosa di insolito, potrebbe essere correlato a un trojan. Cerca poi ulteriori informazioni usando il nome dell'elemento sospetto.

Verifica dei programmi installati

Controlla l'elenco dei programmi installati sul tuo dispositivo per individuare eventuali elementi che non riconosci. Se trovi qualcosa di sospetto, disinstallalo. Su dispositivi mobili, controlla l'elenco delle app installate. Sia Android che iOS consentono agli utenti di visualizzare liste di app filtrate in base alle autorizzazioni di cui dispongono, un'opzione utile se ritieni di avere un'infezione da trojan. Cerca app sospette, con autorizzazioni potenzialmente pericolose come l'accesso a SMS/chiamate, localizzazione, servizi di accessibilità e privilegi di amministratore.

A prescindere dal dispositivo in questione, prova a disinstallare manualmente qualsiasi app o programma che ti risulta sospetto. Per eliminare la minaccia potrebbero essere necessari strumenti aggiuntivi, ma con i trojan di base può bastare una semplice disinstallazione.

Monitoraggio dell'attività di rete

Tenere sott'occhio il proprio traffico di rete può favorire l'individuazione di trojan e altri malware. Picchi insoliti nell'utilizzo dei dati, connessioni a indirizzi IP sconosciuti o traffico in uscita inatteso possono essere indice del fatto che un trojan sta inviando informazioni dal tuo dispositivo o comunicando con un server remoto.

È possibile monitorare l'attività di rete utilizzando strumenti integrati come Monitoraggio risorse su Windows e la scheda Rete di Monitoraggio attività su Mac, entrambi accessibili compiendo una semplice ricerca sul proprio dispositivo.

Individua eventuali processi che consumano una larghezza di banda insolitamente elevata o che stabiliscono connessioni esterne con frequenza. Controllare regolarmente l'attività di rete può avvisarti di minacce nascoste che potrebbero altrimenti passare inosservate.

Strategie preventive contro i trojan

I trojan si basano sull'inganno e possono compiere un'ampia varietà di attacchi. Per mantenersi al sicuro, è sempre meglio conoscere le strategie più comuni utilizzate dai criminali informatici e i luoghi in cui i trojan vengono solitamente distribuiti, nonché proteggersi con software di sicurezza e adottare pratiche che riducano il proprio livello di rischio.

Le best practice di sicurezza informatica

Per proteggersi al meglio da trojan e altre minacce, è opportuno adottare alcune misure.

Mantenere aggiornati i software

Aggiornare regolarmente il sistema operativo del dispositivo e tutti i programmi è una pratica fondamentale per la sicurezza informatica, in quanto ti renderà meno vulnerabile a trojan e altre minacce. Per diffondere malware, i criminali informatici sfruttano spesso le vulnerabilità dei software obsoleti, dunque mantenere tutto aggiornato colma queste lacune. Dal sistema operativo al browser, passando per l'antivirus e la VPN, installa sempre gli aggiornamenti non appena sono disponibili.

Utilizzo di password complesse

Un trojan keylogger può violare anche gli accessi più sicuri, ma l'uso di password robuste è un passo importante per proteggere i propri account. Le credenziali devono avere sufficiente lunghezza e contenere una combinazione di numeri, lettere e simboli. Un'ottima strategia è l'uso di stringhe di caratteri casuali e in questo può aiutarti un generatore di password, uno strumento per creare password complesse e sicure per tutti i tuoi account.

Per maggiore comodità e sicurezza, un gestore di password come ExpressKeys è in grado di generare, memorizzare e compilare in modo automatico e sicuro password potenti su tutti i tuoi dispositivi. In questo modo, si riducono i rischi derivanti dal riutilizzo delle stesse password o della loro esposizione ai malware.

È inoltre consigliabile combinare l'uso di password complesse con l'autenticazione a due fattori (2FA). In questo modo, anche se un trojan dovesse compromettere una delle tue password, gli aggressori dovrebbero comunque superare un'altra barriera prima di poter accedere ai tuoi account.

Abitudini di navigazione sicura

Dato che principalmente i trojan si diffondono online, è necessario prestare particolare attenzione durante la navigazione.

Evitare le email di phishing

È fondamentale prestare attenzione alle email: controlla sempre due o tre volte l'indirizzo del mittente, prima di aprire allegati o cliccare su link. Verifica inoltre con i tuoi contatti, tramite canali alternativi come una telefonata, eventuali email ricevute da parte loro ma inattese o sospette. Essere in grado di riconoscere i tentativi di phishing è una competenza fondamentale per qualsiasi utente Internet.

Identificare i link dannosi

Evita di visitare siti web dannosi, mantieniti alla larga dai provider di servizi freeware e presta particolare cautela se intendi scaricare file via torrent. Gli utenti ExpressVPN possono trarre vantaggio dai suoi strumenti di protezione avanzata, che aggiungono ulteriori difese contro una varietà di minacce sul web. Le funzionalità variano a seconda del piano di abbonamento, ma in generale ExpressVPN è in grado di bloccare annunci pubblicitari, domini pericolosi e altre minacce.

Formazione in materia di sicurezza informatica

Le aziende che trattano dati sensibili dovrebbero considerare di investire in attività formative sulla sicurezza informatica, in modo da fornire ai dipendenti una conoscenza aggiornata delle minacce note, insegnare strategie per identificare attività sospette e rafforzare abitudini che minimizzino la probabilità di subire infezioni da trojan.

Esempi reali di attacchi trojan

A differenza del mitico cavallo di Troia, i trojan informatici sono una minaccia reale che può colpire tutti, da singoli utenti a grandi aziende e governi. La tabella seguente evidenzia i dettagli chiave di vari attacchi trojan degni di nota.

Domande frequenti sui trojan