Scoperti Domini di Attivazione Windows Falsi che Diffondono Malware Devastanti

Il Prezzo Nascosto del Software “Gratis”

“Perché pagare una licenza Windows quando posso attivarla gratis con uno script?”. Questa è la domanda che milioni di utenti si pongono ogni giorno. La risposta, purtroppo, è arrivata sotto forma di una nuova campagna malware scoperta dai ricercatori di sicurezza.

È stata individuata una vasta rete di domini che fingono di essere server KMS (Key Management Services) legittimi o portali per il download di attivatori. La trappola è perfetta: l’utente cerca di risparmiare i soldi della licenza, disabilita l’antivirus per far funzionare il “crack” e, così facendo, apre volontariamente la porta di casa a trojan bancari e spyware capaci di svuotare conti correnti e wallet di criptovalute.

🧠 La Trappola del KMS: Come Funziona l’Inganno

Per capire l’attacco, bisogna capire la preda. Il sistema KMS è una tecnologia legittima usata da Microsoft per attivare volumi di licenze nelle grandi aziende. Tuttavia, i pirati hanno creato da anni emulatori KMS per attivare Windows illegalmente.

La dinamica dell’infezione:

• 🕷️ Typosquatting e SEO Poisoning: I cybercriminali registrano domini che assomigliano molto a quelli ufficiali o a quelli di famosi tool pirata (es. kms-windows-activator[.]com o varianti simili). Grazie a tecniche di ottimizzazione sui motori di ricerca, questi siti appaiono in cima ai risultati quando un utente cerca “attivare windows 11 gratis”.

• 🕷️ Il Download “Pulito”: Il sito offre un pacchetto che promette di attivare Windows o Office. Spesso, il software funziona davvero, attivando il sistema operativo. Questo serve a rassicurare la vittima.

• 🕷️ Il Payload Nascosto: Mentre l’attivazione avviene, in background viene scaricato ed eseguito uno script PowerShell offuscato o un eseguibile che installa il malware vero e proprio.

🦠 Cosa si Nasconde nel Codice: BitRAT e InfoStealer

Non stiamo parlando di semplici adware che mostrano pubblicità. I ricercatori hanno trovato malware di classe enterprise nascosti in questi falsi attivatori.

Le minacce principali identificate:

• 🚫 BitRAT: Un trojan ad accesso remoto (RAT) estremamente potente. Una volta installato, permette all’hacker di prendere il controllo totale del PC, accendere la webcam, ascoltare dal microfono e vedere lo schermo in tempo reale.

• 🚫 RedLine Stealer: Un malware specializzato nel furto rapido. Scansiona tutti i browser alla ricerca di password salvate, cookie di sessione (per entrare su Facebook o Amazon senza password), dati delle carte di credito e file specifici presenti sul desktop.

• 🚫 Crypto-Clippers: Software che monitorano gli appunti. Se copi un indirizzo di un portafoglio Bitcoin per fare un pagamento, il malware lo sostituisce istantaneamente con l’indirizzo dell’hacker. Se non controlli prima di inviare, i soldi sono persi per sempre.

🛡️ Perché gli Antivirus non li Bloccano?

La parte più ironica e tragica di questa storia è che spesso è l’utente stesso a garantire il successo dell’attacco.

Il paradosso della sicurezza:

1. Istruzioni Suicide: 💣 Quasi tutti i siti di attivatori pirata contengono istruzioni scritte in rosso: “Disabilita Windows Defender prima di estrarre il file”. L’utente, credendo che sia un “falso positivo”, spegne l’unica difesa che lo proteggeva.

2. Esclusioni Permanenti: 💣 Gli script malevoli spesso aggiungono l’intera cartella C:\Windows o la cartella dei download alle “Esclusioni” dell’antivirus, garantendosi che anche se l’utente riattiva la protezione in futuro, il virus non verrà mai scansionato.

3. Persistenza nel Registro: 💣 Il malware si annida nelle chiavi di registro di avvio automatico o nell’Utilità di Pianificazione, rinominandosi come processi di sistema (es. svchost.exe o winlogon.exe) per confondersi nel Task Manager.

🏢 Il Rischio per le Aziende

Questo tipo di attacco non riguarda solo il ragazzino che vuole giocare ai videogiochi senza pagare Windows. Spesso, in piccole e medie imprese, tecnici IT poco professionali utilizzano questi script KMS per attivare rapidamente decine di postazioni risparmiando sul budget.

Il risultato è catastrofico: un intero parco macchine aziendale diventa parte di una Botnet, utilizzata per lanciare attacchi DDoS contro altri obiettivi o per minare criptovalute sfruttando l’elettricità dell’azienda, il tutto mentre i dati sensibili dei clienti vengono esfiltrati silenziosamente.

⚖️ Conclusioni: Il Gioco non vale la Candela

La scoperta di questi domini malevoli conferma una vecchia regola della cybersecurity: se non paghi per il prodotto, il prodotto sei tu (o i tuoi dati).

Oggi, le licenze Windows originali (spesso chiavi OEM legali) si trovano online a prezzi irrisori, spesso sotto i 15-20 euro. Il rischio di distruggere la propria vita digitale, perdere l’accesso ai propri conti o vedere le proprie foto private rubate è infinitamente superiore al costo di una licenza legittima.

Se avete usato uno di questi attivatori negli ultimi mesi, il consiglio degli esperti è drastico ma necessario: non basta una scansione antivirus. Formattate tutto, cambiate tutte le password da un dispositivo pulito e ricominciate da zero.