Un falso controllo CAPTCHA su un sito compromesso o un messaggio ingannevole su Microsoft Teams possono bastare per avviare un attacco su un PC Windows. È questo il punto chiave emerso il 24 agosto 2026: due nuove famiglie di malware, WordlistLoader e SynkLoader, stanno mostrando quanto sia sottile il confine tra una normale azione dell’utente e un’infezione che può portare al furto di password o aprire la strada a gruppi ransomware.
Per un’azienda, il tema non riguarda solo “il virus del giorno”. Riguarda processi quotidiani: navigazione web, uso di Teams, fiducia negli avvisi a schermo e capacità dell’organizzazione di bloccare comandi anomali prima che un dipendente li esegua.
Cosa è successo
Secondo le ricerche pubblicate da Gen Digital e rilanciate il 24 agosto 2026, gli analisti hanno individuato due nuove famiglie malevole usate come stadi intermedi di attacco: WordlistLoader e SynkLoader. Il loro ruolo non è soltanto infettare un computer, ma consegnare altri componenti dannosi oppure raccogliere credenziali, con un possibile obiettivo finale molto concreto: vendere l’accesso a gruppi ransomware o preparare attacchi successivi.
Il primo caso, WordlistLoader, è stato osservato in campagne ClearFake che usano la tecnica ClickFix, nota anche come FakeCaptcha. In pratica, l’utente visita un sito legittimo ma compromesso, vede apparire una schermata che simula un controllo “Non sono un robot” e viene guidato a eseguire un comando sul proprio computer. L’azione sembra un passaggio tecnico necessario per visualizzare il contenuto, ma in realtà avvia la catena di infezione.
Il secondo caso, SynkLoader, è stato invece distribuito attraverso una campagna di phishing su Microsoft Teams, rilevata da Expel a metà agosto 2026. Qui l’obiettivo è diverso ma altrettanto pericoloso: sottrarre le credenziali di accesso a Windows mostrando una falsa schermata di blocco del sistema.
Come funziona l’inganno del ClickFix
La tecnica ClickFix è efficace perché non sfrutta una vulnerabilità “misteriosa”, ma il comportamento umano. Invece di forzare il computer con exploit complessi, induce la vittima a eseguire volontariamente un comando.
Nel caso analizzato, il visitatore clicca su una casella tipo CAPTCHA e riceve istruzioni per incollare un comando nella finestra Esegui di Windows. Quel comando scarica WordlistLoader e porta poi all’esecuzione di Amatera Stealer, noto anche come ACR Stealer o AcridRain Stealer.
Un aspetto importante è il contesto: i prompt fraudolenti non compaiono solo su siti palesemente sospetti. Vengono visualizzati su siti reali compromessi, alterati con JavaScript malevolo. Il codice iniziale, secondo i ricercatori, può essere nascosto in un blob codificato in Base64 e recuperare ulteriore codice da uno smart contract su blockchain, tecnica chiamata EtherHiding. In altri casi recenti, le campagne ClearFake hanno anche abusato di cdn.jsdelivr.net, cioè di un’infrastruttura legittima di distribuzione contenuti, per ospitare componenti malevoli.
Questo dettaglio è rilevante per le aziende: non sempre il traffico verso domini legittimi è sinonimo di sicurezza. Gli attaccanti sfruttano servizi affidabili proprio per passare più facilmente inosservati.
Perché WordlistLoader preoccupa
WordlistLoader non è solo un “download di passaggio”. È un componente progettato per ricostruire uno shellcode che funge da punto di ingresso per gli stadi successivi dell’attacco. Secondo Gen Digital, impiega anche un metodo basato su hardware breakpoint per aggirare Event Tracing for Windows (ETW) e ridurre le tracce dell’attività malevola.
Il nome deriva da una caratteristica tecnica curiosa ma significativa: lo shellcode viene conservato in forma codificata come sequenza di parole inglesi comuni, dove ogni parola rappresenta un byte. I ricercatori hanno inoltre individuato una variante che sostituisce questa lista di parole con blocchi codificati come UUID da 16 byte.
In termini semplici: il malware viene confezionato in modo da sembrare meno riconoscibile e più difficile da analizzare. Questo rende meno efficaci i controlli troppo basilari, specialmente su postazioni non aggiornate o prive di strumenti di protezione moderni.
Alla fine della catena, WordlistLoader carica Amatera 4.3.3-alpha1, una versione del malware stealer che, sempre secondo i ricercatori, include tecniche di offuscamento statico aggiornate, meccanismi più robusti per richiamare funzioni di sistema e un bypass ridisegnato dell’Application-Bound Encryption (ABE), apparentemente ispirato a Remus Stealer.
Per un imprenditore, la traduzione pratica è semplice: non si tratta di un malware “rumoroso” che blocca subito lo schermo. Si tratta di strumenti concepiti per restare discreti, rubare dati e preparare compromissioni più gravi.
SynkLoader e il rischio nascosto in Teams
L’altra novità è SynkLoader, distribuito tramite phishing su Microsoft Teams. In questo caso l’attacco punta a sottrarre le credenziali di accesso al sistema mostrando una finta schermata di blocco di Windows.
Il messaggio da portare in azienda è chiaro: anche gli strumenti di collaborazione interna, percepiti come “più sicuri dell’email”, sono ormai un canale di attacco credibile. Se Teams è usato con partner, fornitori, consulenti o contatti esterni, il rischio aumenta ulteriormente.
Molte organizzazioni hanno investito sulla posta elettronica sicura, ma hanno sottovalutato la governance delle piattaforme di collaborazione. Eppure, per un attaccante, un account Teams compromesso o un messaggio ben costruito possono essere efficaci quanto una classica email di phishing.
Perché queste campagne interessano anche le PMI
Potrebbe sembrare una minaccia “da grandi aziende”, ma le PMI sono spesso un bersaglio ideale per tre motivi.
Primo: gli utenti sono abituati a risolvere da soli piccoli problemi operativi. Se vedono un messaggio che chiede di copiare un comando per “sbloccare” un contenuto, qualcuno potrebbe farlo senza chiamare l’IT.
Secondo: molte postazioni Windows in azienda hanno ancora configurazioni troppo permissive. Se un utente può eseguire facilmente script, richiami a PowerShell o componenti come rundll32, l’attaccante trova meno ostacoli.
Terzo: il furto di credenziali e gli stealer sono spesso il preludio a incidenti più costosi, inclusi accessi non autorizzati a email, gestionali, VPN, file server e servizi cloud.
Per questo il tema va affrontato sia sul piano tecnico sia su quello organizzativo.
Cosa significa per la tua azienda
La lezione pratica di questo caso è che la sicurezza non può dipendere solo dall’attenzione del singolo dipendente. Servono controlli che limitino il danno anche quando qualcuno sbaglia.
Ecco le priorità operative più utili per una PMI italiana:
- Vieta procedure improvvisate sui PC: nessun utente dovrebbe eseguire comandi copiati da pagine web, chat o messaggi di supporto non verificati.
- Riduci la superficie di attacco su Windows: monitora e limita l’uso di strumenti come PowerShell, mshta e rundll32 quando non sono necessari al lavoro quotidiano.
- Rivedi le impostazioni di Microsoft Teams: controlla chi può contattare gli utenti, soprattutto dall’esterno, e definisci regole chiare per la gestione dei messaggi sospetti.
- Forma il personale su scenari concreti: non solo “non cliccare sui link”, ma anche “non incollare comandi in Esegui”, “non fidarti di CAPTCHA anomali”, “non inserire password in schermate inattese”.
- Proteggi gli endpoint in modo centralizzato: una gestione ordinata dei PC aziendali aiuta a distribuire aggiornamenti, applicare policy e rilevare comportamenti anomali. Su questo fronte può essere utile una strategia di desktop IT management.
- Prepara il dopo-incidente: se un account viene rubato o un PC compromesso, bisogna poter ripristinare rapidamente file e operatività. Un piano di remote backup riduce l’impatto degli attacchi successivi, incluso il ransomware.
- Verifica la protezione dei dati personali: se il malware intercetta credenziali o informazioni aziendali, può nascere anche un problema di conformità e gestione del data breach. Vale la pena collegare la risposta tecnica agli adempimenti previsti dal GDPR.
Il punto decisivo è questo: un buon assetto difensivo non si limita a “mettere l’antivirus”, ma crea barriere multiple tra l’errore dell’utente e il danno per l’azienda.
Come riconoscere i segnali di allarme
Alcuni indicatori meritano attenzione immediata da parte di chi gestisce l’ufficio o coordina i fornitori IT:
- dipendenti che segnalano CAPTCHA insoliti o istruzioni per aprire la finestra Esegui di Windows;
- comparsa di schermate di blocco inattese o richieste improvvise di reinserire la password Windows;
- messaggi Teams anomali con tono urgente, specialmente se chiedono azioni tecniche;
- accessi sospetti ad account Microsoft 365 o cambi di comportamento degli endpoint;
- attività anomale su file condivisi o servizi cloud dopo una possibile compromissione.
Intervenire nelle prime ore è essenziale: isolamento della postazione, reset delle credenziali, verifica dei log e controllo di eventuali movimenti laterali.
Domande frequenti
ClickFix è un virus o una truffa?
È soprattutto una tecnica di ingegneria sociale. L’inganno convince l’utente a eseguire un comando che poi scarica il malware vero e proprio.
Se usiamo Teams siamo più esposti?
Non necessariamente, ma Teams è ormai un canale di attacco reale. Va gestito con regole, controlli e formazione, come già si fa con la posta elettronica.
Un backup basta a proteggere l’azienda?
No. Il backup è fondamentale per il ripristino, ma non impedisce il furto di credenziali o dati. Serve insieme a protezione degli endpoint, monitoraggio e procedure interne chiare.