Il modo in cui si installa un programma in una piccola azienda è quasi sempre lo stesso. Serve un software, si cerca il nome su Google, si clicca il primo risultato, si scarica, si installa. Nessuno legge l’indirizzo. Nessuno controlla se quel primo risultato è un annuncio a pagamento o il sito vero.
La ricerca pubblicata il 25 luglio dalla società di sicurezza pubblicitaria Confiant, ripresa lo stesso giorno da BleepingComputer e The Hacker News, spiega perché quell’abitudine oggi è il problema. E introduce un dettaglio che cambia le carte in tavola: il file infetto non viaggia mai su internet. Viene costruito sul computer della vittima, pezzo per pezzo, mentre lei aspetta che il download finisca.
Come funziona la campagna
Si chiama SourTrade ed è attiva dalla fine del 2024. È una campagna di pubblicità malevola — annunci veri, comprati sui circuiti pubblicitari — che porta a pagine che imitano tre marchi noti nel mondo degli investimenti: TradingView, Solana e Luno. Non è artigianato: la campagna è localizzata in 25 lingue su 12 Paesi, concentrati soprattutto in Asia-Pacifico e America Latina.
Finora, il copione. La novità è quello che succede dopo il clic sul pulsante di download.
La pagina non serve un programma infetto. Manda al browser le istruzioni di assemblaggio. Poi scarica, da un’infrastruttura separata, un componente pulito e perfettamente legittimo — il runtime Bun, uno strumento usato da migliaia di sviluppatori onesti. Nel frattempo il browser genera in locale i byte mancanti, cifrati in AES-CTR, e li combina con il materiale eseguibile fornito dall’attaccante seguendo il modello ricevuto. Il lavoro sporco lo fanno due componenti standard del browser, SharedWorker e ServiceWorker, che esistono in ogni Chrome e in ogni Edge e servono normalmente a far girare gli script in background.
Il risultato è un file eseguibile montato nella memoria della macchina della vittima. E, dettaglio decisivo, diverso per ogni vittima: ogni download produce un file con un’impronta digitale unica.
La localizzazione della campagna. Non un attacco mirato a poche vittime, ma un'infrastruttura industriale costruita per funzionare in mercati diversi.
Fonte: Confiant, ripreso da BleepingComputer e The Hacker News, 25 luglio 2026
Perché l’antivirus qui non può funzionare
Questa è la parte che vale la lettura, ed è il motivo per cui la notizia riguarda anche chi non ha mai comprato una criptovaluta in vita sua.
Gran parte della protezione su cui contano le piccole imprese si basa sul riconoscimento per firma: l’antivirus tiene un elenco di impronte digitali di file già identificati come pericolosi e, quando ne incontra uno, lo blocca. È un metodo che funziona benissimo — a una condizione, che il file cattivo sia già esistito da qualche parte e qualcuno l’abbia analizzato.
Qui quella condizione non si verifica mai. Il file viene generato al momento del download, con byte pseudocasuali diversi ogni volta. Non c’è nessuna impronta da avere in elenco, perché quel file specifico non era mai esistito prima. Non è che l’antivirus sia configurato male: è il metodo a essere inapplicabile per costruzione.
Sul contenuto finale le fonti convergono: il payload è ricondotto alle famiglie tracciate come JSCEAL e WeevilProxy, e le capacità documentate sono quelle di un ladro completo — intercettazione del traffico di rete, furto di cookie e password salvate nel browser, registrazione di quello che si digita, screenshot, furto di wallet e accesso remoto persistente alla macchina. Le password salvate nel browser dell’ufficio sono quelle della banca, del gestionale, del pannello del sito e della posta.
Cosa c’entra la tua azienda, che non è un bersaglio
Vale la pena dirlo subito, per non far leggere male la notizia: i Paesi indicati dai ricercatori non comprendono l’Italia, e non risultano campagne localizzate in italiano. Nessuno sta sostenendo che il vostro ufficio sia stato colpito.
Ma il perimetro qui non è geografico, è comportamentale. L’ingresso è il gesto più banale che si compie in un ufficio qualsiasi: cercare il nome di un programma e cliccare il primo risultato. Una campagna localizzata in 25 lingue è, per definizione, un’infrastruttura pensata per essere replicata su nuovi mercati e nuovi marchi. Il metodo è il prodotto; i brand imitati sono intercambiabili.
Riconoscere il file cattivo: inefficace, perché il file viene creato al momento e non è mai esistito prima. Non arrivare mai su quella pagina: efficace, perché il metodo dipende interamente dal fatto che la vittima clicchi un annuncio.
Le tre cose da fare, in ordine di fatica
1. La regola in una riga, da comunicare a tutti. I programmi si scaricano solo dal sito ufficiale, con l’indirizzo digitato a mano nella barra del browser. Mai da un annuncio, mai dal primo risultato di una ricerca senza aver letto l’indirizzo. Non serve un corso: serve una frase in chat di gruppo e la stessa frase ripetuta quando entra qualcuno di nuovo.
In pratica: se sopra il risultato c’è scritto «Sponsorizzato» o «Annuncio», quello non è il sito ufficiale, è uno spazio comprato. Chiunque può comprarlo, incluso chi ha interesse a farsi passare per il produttore del software che stai cercando.
2. Il blocco della pubblicità sulle postazioni, che qui è sicurezza. Un filtro DNS a livello di rete o un blocco degli annunci sui browser aziendali smette di essere una comodità e diventa una contromisura: se l’annuncio non compare, la pagina finta non viene mai raggiunta. È una configurazione che un consulente informatico applica in mezza giornata su tutte le macchine, e che non richiede licenze costose.
3. Un controllo su chi ha installato qualcosa di recente. Se negli ultimi mesi qualcuno in azienda ha installato un client di trading, un wallet o un qualsiasi programma trovato tramite ricerca, quella postazione va isolata e controllata — cambiando poi le password salvate nel browser, non solo quelle dell’account principale.
La lezione scomoda
La formazione sulla sicurezza che le piccole imprese hanno fatto negli ultimi anni si regge quasi tutta su un principio: imparare a riconoscere ciò che è pericoloso. L’email strana, il mittente falso, l’allegato che non torna.
Questa campagna non offre niente da riconoscere. La pagina è ben fatta, il marchio è quello giusto, il download parte regolarmente e l’antivirus resta zitto perché non ha nulla da dire. L’unico momento in cui la catena si poteva spezzare era prima: nella scelta di dove andare a scaricare.
È una difesa meno rassicurante, perché non si basa sull’attenzione ma su un’abitudine. Però è l’unica che qui regge, e costa zero.