Malware mascherato da utility PC: l’allarme di Microsoft

Aggiornato a giugno 2026

Cercate “download HWMonitor” su Google o lo chiedete a un chatbot AI? Da oggi serve molta più attenzione. Microsoft Defender ha documentato una campagna di malware mascherato da utility PC che, da marzo 2026, ha messo in piedi oltre 150 domini contraffatti per distribuire falsi installer di CrystalDiskInfo, HWMonitor, FurMark e altri tool amatissimi dagli appassionati di hardware (fonte: Microsoft Security Blog, 26 maggio 2026). La vera novità non è il malware in sé, ma il canale di distribuzione: per la prima volta Microsoft ha osservato utenti indirizzati verso i siti malevoli direttamente dalle risposte generate dai chatbot AI. Vediamo come funziona l’attacco e come difendersi.

Indice

1. La campagna scoperta da Microsoft
2. Il ruolo inedito dei chatbot AI
3. La catena d’infezione tecnica
4. Come difendersi

La campagna di malware mascherato da utility PC scoperta da Microsoft

Il cryptojacking è l’uso non autorizzato delle risorse hardware di un computer per minare criptovalute a vantaggio dell’attaccante. Questa campagna, documentata dai team Microsoft Defender Experts e Defender Security Research, si distingue per la selezione chirurgica delle vittime. Le utility imitate sono:

La scelta non è casuale: chi installa FurMark o Display Driver Uninstaller quasi certamente possiede una GPU ad alte prestazioni, l’unico hardware che rende il mining economicamente conveniente. Invece di massimizzare il numero di infezioni, gli operatori massimizzano il rendimento per macchina compromessa.

Il ruolo inedito dei chatbot AI

L’elemento che rende questa campagna un caso di scuola è l’AI poisoning. Ad aprile 2026 Microsoft ha osservato utenti arrivati sui domini malevoli non dai risultati di ricerca, ma da risposte generate da chatbot basati su LLM: chiedendo “dove scarico HWMonitor”, il chatbot citava domini controllati dagli attaccanti come fonti affidabili.

È l’evoluzione naturale del SEO poisoning: se i contenuti avvelenati scalano le SERP, prima o poi finiscono anche nei dati che i modelli consultano per rispondere. Per ridurre il rischio conviene imparare a formulare prompt AI per risposte precise chiedendo esplicitamente il dominio ufficiale del produttore — e verificandolo comunque a mano.

La catena d’infezione: DLL sideloading e ScreenConnect

Il DLL sideloading è una tecnica in cui un programma legittimo carica automaticamente una libreria malevola posizionata nella stessa cartella, senza exploit e senza anomalie visibili. La catena osservata da Microsoft funziona così:

1. Lo ZIP scaricato contiene l’eseguibile autentico dell’utility più una autorun.dll malevola (nove varianti identificate)
2. All’avvio, il programma legittimo carica la DLL, che installa silenziosamente via msiexec.exe una seconda libreria camuffata da vcredist_x64.dll
3. Quel file è in realtà un installer di ScreenConnect, software commerciale di gestione remota, che apre un canale persistente verso il server degli attaccanti
4. Via ScreenConnect viene poi caricato un dropper con process hollowing che si maschera da RuntimeHost.exe e avvia il miner GPU

L’accesso remoto persistente è il rischio più sottovalutato: oltre al mining, può abilitare furto di dati, movimenti laterali o ransomware. Su un PC compromesso, anche le credenziali salvate nel browser sono a rischio, come abbiamo visto analizzando il credential dumping su Microsoft Edge. Il malware integra inoltre tecniche anti-analisi: termina l’esecuzione se rileva strumenti come Wireshark, ProcMon o Ghidra.

Come difendersi dal malware mascherato da utility

Le contromisure efficaci sono comportamentali prima che tecniche:

• Scaricate solo dai siti ufficiali dei produttori, digitando l’URL a mano o usando segnalibri verificati
• Diffidate dei link suggeriti da chatbot AI per i download: verificate sempre il dominio prima di cliccare
• Controllate il contenuto degli ZIP: un installer ufficiale non arriva mai con una autorun.dll sciolta accanto all’eseguibile
• Attivate la protezione cloud di Microsoft Defender e le regole di riduzione della superficie d’attacco
• Cercate i segnali di compromissione: processi ScreenConnect non autorizzati, cartella nascosta %LocalAppData%\Microsoft\Windows\Caches\D3F4E2A1, ventole GPU al massimo a PC inattivo

La manipolazione psicologica resta il motore di questi attacchi, esattamente come nelle campagne di ingegneria sociale via WhatsApp: cambia il canale, non il principio. Il report completo con gli indicatori di compromissione è disponibile sul Microsoft Security Blog.

Domande frequenti

Come capire se un download di utility PC è infetto?

Un download è sospetto se il dominio non è quello ufficiale del produttore, se l’archivio ZIP contiene file DLL sciolti accanto all’eseguibile (come autorun.dll) o se il sito è stato raggiunto da un link sponsorizzato o suggerito da un chatbot. Verificate sempre l’URL, confrontate gli hash quando pubblicati dal produttore e analizzate i file con Microsoft Defender prima dell’esecuzione.

Cos’è il DLL sideloading?

Il DLL sideloading è una tecnica d’attacco in cui un’applicazione legittima carica una libreria DLL malevola collocata nella stessa cartella, sfruttando l’ordine di ricerca delle librerie di Windows. Non richiede exploit né vulnerabilità: il programma autentico esegue il codice ostile in modo trasparente, rendendo l’infezione invisibile all’utente e difficile da rilevare per gli antivirus basati solo su firme.

Perché i chatbot AI possono consigliare siti con malware?

I chatbot AI possono citare domini malevoli perché attingono a contenuti web manipolati tramite SEO poisoning: se i siti contraffatti scalano i risultati di ricerca e accumulano riferimenti online, i modelli possono presentarli come fonti legittime. Microsoft ha osservato questo comportamento ad aprile 2026, definendolo un’estensione del SEO poisoning ai sistemi di intelligenza artificiale.

Come verificare se il PC è già compromesso?

Controllate la presenza di processi ScreenConnect.ClientService.exe non autorizzati, della cartella nascosta D3F4E2A1 in %LocalAppData%\Microsoft\Windows\Caches e di attività GPU anomala a sistema inattivo. Eseguite una scansione completa con Microsoft Defender con protezione cloud attiva. In caso di riscontro positivo, considerate compromesse le credenziali salvate e cambiatele da un dispositivo pulito.

Conclusione

Questa campagna segna un punto di svolta: gli attaccanti non avvelenano più solo i motori di ricerca, ma le risposte dell’intelligenza artificiale che usiamo ogni giorno. La fiducia cieca nei suggerimenti di un chatbot è diventata una superficie d’attacco. La difesa, però, resta nelle abitudini: fonti ufficiali, verifica dei domini, zero automatismi. Voi avete mai ricevuto da un’AI un link di download che si è rivelato sospetto? Raccontatemelo nei commenti.

#tuttelevitediunmaker