Mostra sommario Nascondi sommario
Un attacco alla catena di distribuzione ha colpito due programmi molto usati per controllare l’hardware del PC. Gli autori hanno manipolato i link sul sito ufficiale, inducendo gli utenti a scaricare installer malevoli. La scoperta ha allertato ricercatori e la comunità, e lo sviluppatore ha poi rimosso i file compromessi.
Come è emersa la compromissione del sito
La vicenda è partita da una segnalazione pubblica. Un utente ha provato a scaricare HWMonitor e ha ottenuto un file diverso dal previsto. Il nome del pacchetto e la sua origine hanno subito sollevato dubbi.
Galaxy H1: in arrivo le cuffie over-ear di Samsung
Lenovo a IFA 2026: due notebook super sottili, uno con display OLED espandibile
- Il file scaricato si chiamava
HWiNFO_Monitor_Setup.exe. - Era ospitato su Cloudflare R2, non sui server ufficiali di CPUID.
- L’installer mostrava la lingua russa, comportamento anomalo per quella pagina.
Dettagli tecnici dell’infezione
I ricercatori che hanno analizzato il pacchetto hanno individuato un malware avanzato. Non si trattava di un semplice file dannoso, ma di un’operazione studiata per eludere controlli e lasciare poche tracce.
Caratteristiche del malware
- Multi-stadio, con moduli caricati successivamente.
- Funzionamento prevalentemente in memoria per ridurre i residui su disco.
- Uso di tecniche anti-detection per evitare i rilevamenti automatici.
Molti motori antivirus lo hanno identificato con nomi diversi. Circa 30 soluzioni lo classificano come Tedy Trojan o Artemis Trojan.
Chi ha confermato l’attacco
Gruppi e ricercatori della comunità di sicurezza hanno condiviso le loro analisi pubbliche. In particolare, il team vx-underground ha collegato questo episodio a precedenti compromissioni.
- Secondo gli analisti, gli stessi operatori avrebbero diffuso una versione infetta di FileZilla all’inizio di marzo.
- Lo schema ripeteva l’uso di siti o risorse di hosting terze per distribuire installer malevoli.
Tempistica e risoluzione del problema sul sito
La modifica dei link sul portale ufficiale è avvenuta in un intervallo di tempo ristretto. Lo sviluppatore ha poi aggiornato i collegamenti e rimosso i file sospetti.
- La sostituzione dei link è stata individuata tra il 9 e il 10 aprile.
- Successivamente il team di CPUID ha ripristinato i file originali e dichiarato la risoluzione dell’incidente.
- Non sono al momento disponibili cifre ufficiali sui download del pacchetto infetto.
Indicatori per riconoscere un installer compromesso
Chi scarica software dovrebbe controllare alcuni elementi prima di eseguire un installer. Piccoli indizi possono prevenire infezioni.
- Verificare il dominio e la URL del download.
- Controllare il provider di hosting del file (servizi esterni possono essere sospetti).
- Osservare la lingua dell’installer rispetto a quella attesa.
- Scansionare il file con più antivirus prima dell’esecuzione.
Consigli pratici per utenti e amministratori
Per ridurre il rischio di compromissione si possono adottare misure semplici ma efficaci.
- Aggiornare regolarmente sistemi e strumenti di sicurezza.
- Scaricare sempre dai link ufficiali verificati e dalla pagina di download certificata.
- Usare sandbox o macchine virtuali per testare installer sospetti.
- Eseguire scansioni con motori multipli e controlli comportamentali.
- Monitorare la comunità e i canali di sicurezza per segnalazioni tempestive.
Impatto e scenari futuri
Un attacco alla supply chain colpisce la fiducia degli utenti. Anche software legittimo può diventare vettore di minacce se i processi di distribuzione vengono violati.
Gli analisti sottolineano che minacce simili potrebbero ripetersi. È fondamentale che gli sviluppatori rinforzino le misure di sicurezza intorno alle release e ai sistemi di gestione dei file.
