// TOM'S HARDWARE ITALIA — CYBERSECURITY
41 siti clone mostrano URL veri ma poi installano un malware
Un pulsante può mostrare l’indirizzo ufficiale di Steam o VideoLAN al passaggio del mouse e portare altrove quando viene premuto. È il meccanismo rilevato da Malwarebytes ThreatLabs in una campagna composta da 41 domini contraffatti, costruiti per offrire falsi download di giochi e applicazioni Windows. Al clic, il visitatore riceve invece l’installer di Download Studio.
I siti sfruttano nomi molto conosciuti per rendere credibile l’offerta. Tra le pagine individuate compaiono copie dedicate a Counter-Strike, Half-Life, Fallout, Roblox, PUBG, The Witcher e GTA 6, insieme a software come VLC, 7-Zip, Paint.NET, VMware, Total Commander e Foxit PDF. L’aspetto della pagina e il collegamento visibile spingono quindi l’utente a credere di trovarsi davanti al download richiesto.
La sostituzione avviene attraverso JavaScript. Il collegamento inserito nel pulsante può essere realmente quello del sito ufficiale, così il browser lo visualizza nell’anteprima. Lo script intercetta però l’azione dell’utente, annulla la navigazione prevista e avvia una catena di reindirizzamenti dotata di tracciamento affiliato. La verifica dell’URL prima del clic, da sola, diventa quindi insufficiente.
Il campione esaminato è DS-Setup.exe, un installer Windows di circa 73 MB con una firma digitale valida intestata a Grand Media, TOV. La firma conferma l’identità dichiarata dal firmatario e permette di verificare che il file non sia stato modificato dopo la sottoscrizione. Come chiarisce anche la documentazione Microsoft su Authenticode, questa verifica riguarda provenienza e integrità: non garantisce che il programma corrisponda al software cercato dall’utente o che sia affidabile.
Una volta eseguito, il pacchetto installa Download Studio con un’interfaccia e diversi componenti per la gestione dei torrent. Il programma registra inoltre le associazioni per i file torrent e i collegamenti magnet, quindi abilita il proprio sistema di aggiornamento automatico. Sono funzioni estranee ai giochi e alle applicazioni pubblicizzati dalle pagine contraffatte, che sfruttano così nomi noti per distribuire un prodotto differente.
Malwarebytes precisa di non avere trovato prove che il campione analizzato sia attualmente malware. Il comportamento accertato riguarda la distribuzione ingannevole e la sostituzione del download richiesto. Esiste però un precedente documentato: nel 2020 Avast rilevò che l’aggiornamento automatico di Download Studio era stato abusato per distribuire la backdoor FakeMBAM e miner di criptovalute. Quel caso non dimostra che l’installer odierno contenga le stesse minacce, ma delimita il rischio associato a un software ottenuto attraverso una catena di redirect non dichiarata.
Aggiungi Tom's Hardware alle tue fonti preferite su Google