Adware, backdoor, trojan, spyware: i termini della sicurezza informatica sono spesso confusi fra loro. Eppure descrivono fenomeni diversi. Alcuni indicano il comportamento del software, altri il modo in cui viene distribuito o una tecnica usata per eludere le difese.
Adware: pubblicità indesiderata
Un adware visualizza pubblicità, può alterare il browser e talvolta raccoglie informazioni sulla navigazione. La semplice presenza di banner non significa infezione: diventano sospetti installazioni senza consenso, reindirizzamenti non richiesti, estensioni invasive e modifiche persistenti alle impostazioni.
Se noti questi sintomi, controlla le estensioni installate e la loro origine, i programmi aggiunti di recente e i permessi concessi. Un singolo popup, invece, non dimostra da solo la presenza di malware.
Backdoor: ingresso nascosto
Una backdoor è un meccanismo che consente accesso a un sistema bypassando il normale processo di autorizzazione, o comunque senza il controllo previsto. Può essere inserita in software, configurazioni o server compromessi.
Un attaccante potrebbe ottenere persistenza tramite una web shell, un account nascosto, un servizio o un'attività pianificata. La backdoor non deve per forza apparire come un programma visibile all'utente.
F-Hack ha anche un approfondimento dedicato alle backdoor.
Trojan: programma ingannevole
Un trojan si presenta come software legittimo ma svolge azioni nascoste o indesiderate. Il termine descrive principalmente un modello di distribuzione e inganno: un trojan può installare spyware, rubare credenziali oppure predisporre una backdoor. Non è necessario che si replichi autonomamente.
Spyware e keylogger
Lo spyware raccoglie informazioni sul dispositivo o sull'utente senza autorizzazione adeguata. Un keylogger registra i tasti digitati, eventualmente per intercettare password. Registratori e strumenti di telemetria possono avere usi legittimi in contesti controllati; diventano un problema quando operano occultamente o senza consenso.
Virus, worm e botnet
Un virus informatico si associa ad altri programmi o file e si diffonde quando questi vengono eseguiti. Un worm può invece propagarsi tra sistemi sfruttando reti o vulnerabilità, senza richiedere necessariamente l'intervento dell'utente.
Una botnet è una rete di dispositivi compromessi controllati da un operatore. Le botnet possono essere usate per inviare spam, diffondere malware, effettuare attacchi DDoS o gestire altre attività illecite. Il termine indica l'infrastruttura di controllo, non un unico tipo di malware.
Ransomware e infostealer
Il ransomware limita l'accesso ai dati o ai sistemi, frequentemente attraverso cifratura, per estorcere un pagamento. Alcuni gruppi sottraggono dati prima di cifrarli e minacciano di pubblicarli.
Un infostealer mira soprattutto a credenziali, cookie di sessione e informazioni riservate. Può produrre danni anche quando la vittima non nota rallentamenti o messaggi di allarme.
Rootkit, dropper e vulnerabilità
Un rootkit raccoglie tecniche volte a nascondere processi, file o attività del sistema e a mantenere persistenza. Un dropper o downloader serve principalmente a installare o recuperare ulteriori componenti malevoli.
Una vulnerabilità, invece, non è un malware: è un difetto o una debolezza che può consentire comportamenti non previsti. Un exploit è un modo di sfruttare tale debolezza. L'attaccante può combinare vulnerabilità, exploit e software malevolo nella stessa operazione.
Come interpretare una segnalazione
Una singola etichetta del prodotto antivirus raramente racconta tutta la vicenda. Per valutare un evento occorre capire che cosa è stato osservato: origine e hash del file, comportamento del processo, persistenza, connessioni di rete, accessi riusciti e modifiche ai dati.
Non eseguire file sospetti per curiosità. Preserva le evidenze, isola il dispositivo quando necessario, verifica eventuali credenziali esposte e aggiorna i sistemi coinvolti. Se l'evento interessa un'azienda o dati sensibili, attiva le procedure di risposta agli incidenti.
Fonti per approfondire
- MITRE ATT&CK: tecniche usate durante le intrusioni.
- CISA: avvisi e consigli di difesa.
- Microsoft Security Intelligence: terminologia e informazioni sulle minacce.
Da ricordare: un trojan può installare una backdoor, un infostealer può usare tecniche da spyware e un ransomware può operare dopo un accesso ottenuto con credenziali rubate. Le categorie si sovrappongono; la classificazione serve a capire i comportamenti, non a sostituire l'indagine.