Trojan informatico: perché il più antico inganno funziona ancora

Il trojan informatico prende il nome da un mito antico perché conserva una struttura sorprendentemente stabile: qualcosa appare legittimo, utile o desiderabile; viene accolto; solo dopo l’ingresso rivela la propria funzione nascosta. La tecnologia cambia, ma il principio rimane riconoscibile.

Nel linguaggio della sicurezza informatica, un trojan è un tipo di malware che tenta di apparire innocuo o affidabile. A differenza di un virus o di un worm, non si diffonde necessariamente da solo: spesso ha bisogno che qualcuno lo scarichi, lo apra o lo installi. Microsoft lo definisce infatti come una minaccia che cerca di sembrare legittima per indurre l’utente ad accettarla. Questa dipendenza dall’azione umana rende il trojan meno simile a una forza che sfonda una porta e più vicino a un oggetto che viene invitato a entrare.

Perché il nome viene dal Cavallo di Troia

Nel mito, il Cavallo non supera le mura con la forza. Viene trascinato dentro la città dai Troiani. L’inganno funziona perché la minaccia è contenuta in una forma che appare compatibile con il desiderio della vittima: la guerra sembra finita, il nemico sembra ritirato, l’oggetto può essere interpretato come dono, trofeo o segno religioso.

Il trojan digitale ripete questa logica. Il file può presentarsi come un documento, un aggiornamento, un’applicazione, un allegato, un archivio compresso o un programma utile. La superficie visibile promette una funzione; il contenuto nascosto ne prepara un’altra. MITRE ATT&CK descrive il masquerading come la manipolazione del nome, della posizione o dell’aspetto di un oggetto per farlo apparire legittimo o innocuo agli utenti e agli strumenti di sicurezza.

La metafora è precisa perché il problema non riguarda soltanto il codice. Riguarda la credibilità della forma. Il malware deve essere abbastanza plausibile da superare una soglia tecnica e mentale.

Un trojan non è semplicemente un virus

Nel linguaggio quotidiano, “virus” viene spesso usato per indicare qualunque software dannoso. Dal punto di vista tecnico, però, le categorie non coincidono. Un virus è progettato per replicarsi inserendo il proprio codice in altri file o programmi. Un worm può propagarsi autonomamente attraverso reti e sistemi. Un trojan, invece, si concentra sulla presentazione ingannevole e sull’esecuzione ottenuta tramite fiducia, errore o collaborazione involontaria.

Questo non significa che un trojan svolga una sola funzione. Una volta eseguito, può scaricare altro malware, rubare credenziali, registrare ciò che viene digitato, esfiltrare dati, modificare il sistema, aprire una backdoor o consentire il controllo remoto del dispositivo. Microsoft osserva che i trojan possono agire come downloader, strumenti di furto, sistemi di accesso o piattaforme per ulteriori compromissioni.

La parola descrive quindi soprattutto il modo in cui la minaccia entra o si presenta, più che un singolo effetto finale.

La soglia decisiva è l’azione dell’utente

Molti attacchi dipendono dalla cosiddetta user execution. MITRE ATT&CK include una tecnica specifica per i file malevoli che richiedono all’utente di essere aperti. Il documento può avere un’estensione comune, un’icona credibile, un nome coerente con il lavoro della persona o un testo che crea urgenza.

L’utente non è semplicemente “distratto”. Spesso riceve una scena costruita per sembrare normale: una fattura, una comunicazione interna, un curriculum, un file condiviso, un avviso di sicurezza o un aggiornamento. L’attacco funziona perché usa abitudini reali e contesti riconoscibili.

La sicurezza informatica incontra qui l’ingegneria sociale. Il codice malevolo viene preceduto da una narrazione: bisogna aprire subito, verificare un pagamento, confermare un accesso, leggere un documento, aggiornare un programma. Come Sinone nel mito, il messaggio assegna un significato rassicurante o urgente all’oggetto.

Phishing, allegati e link

I trojan vengono spesso distribuiti attraverso campagne di phishing o spearphishing. Un messaggio induce il destinatario ad aprire un allegato o a seguire un link. CISA ha descritto famiglie come Emotet e TrickBot come trojan avanzati diffusi principalmente tramite email, allegati e collegamenti malevoli.

Il phishing generico punta sulla quantità. Lo spearphishing cerca invece una maggiore precisione: il testo, il mittente apparente e il contenuto vengono adattati al bersaglio. Più il contesto sembra pertinente, meno l’utente percepisce l’oggetto come estraneo.

La forza dell’attacco non deriva sempre da una perfetta imitazione. Può bastare una coincidenza plausibile: un nome noto, un logo, una scadenza, un tema già presente nelle attività della vittima. L’oggetto malevolo si presenta come parte del flusso ordinario.

Il mascheramento non riguarda solo il nome del file

MITRE usa il termine masquerading per indicare tecniche che fanno apparire legittimi file, servizi, attività o risorse. Un eseguibile può usare il nome di un programma noto; un file può essere collocato in una directory credibile; un’estensione può essere nascosta; un’icona può suggerire che si tratti di un PDF o di un documento.

La somiglianza agisce su più livelli. Esiste una somiglianza grafica, una semantica e una contestuale. Il nome deve sembrare giusto, l’aspetto deve essere familiare, il momento deve apparire opportuno. L’attaccante costruisce una piccola scenografia digitale.

Per questo il trojan è anche un problema di design. La superficie dell’oggetto organizza il comportamento dell’utente. Colori, icone, nomi, testi e percorsi diventano elementi di persuasione.

Che cosa può fare dopo l’ingresso

Dopo l’esecuzione, il trojan può svolgere funzioni molto diverse. Alcuni cercano credenziali e informazioni finanziarie. Altri installano componenti aggiuntivi. I remote access trojan permettono a un attaccante di controllare a distanza il sistema compromesso. Altri ancora preparano il terreno per ransomware, spionaggio o movimenti laterali all’interno di una rete.

CISA ha descritto Emotet come un trojan modulare capace di funzionare anche come downloader o dropper di ulteriori minacce. TrickBot è stato associato a campagne di spearphishing e a funzioni di furto, ricognizione e compromissione successiva. Questi esempi mostrano che il trojan può essere il primo ambiente dell’attacco, non il suo risultato conclusivo.

Il contenuto nascosto nel “ventre” digitale può quindi cambiare. Ciò che rimane costante è il principio dell’accesso ottenuto attraverso una forma accettabile.

Il trojan nella catena di fiducia

La fiducia digitale non dipende soltanto dall’utente finale. Dipende da fornitori, aggiornamenti, firme, repository, app store e sistemi di distribuzione. Un attacco alla supply chain software può manipolare codice, meccanismi di aggiornamento o pacchetti prima che arrivino all’utilizzatore. MITRE ATT&CK considera la compromissione della catena di fornitura una tecnica specifica di accesso.

In questi casi l’oggetto non sembra legittimo perché imita una fonte affidabile: può provenire davvero da un canale normalmente affidabile, già compromesso. La metafora del Cavallo si amplia. La città non accoglie soltanto un oggetto ben mascherato; accoglie qualcosa che possiede credenziali, percorso e provenienza apparentemente validi.

Questo rende il problema più difficile, perché la fiducia non può essere eliminata. I sistemi digitali funzionano attraverso deleghe e dipendenze. La sicurezza deve quindi verificare continuamente ciò che, fino a quel momento, era considerato affidabile.

Perché il più antico inganno funziona ancora

Il trojan continua a funzionare perché sfrutta una necessità. Gli utenti devono aprire file, installare programmi, seguire link, condividere documenti e fidarsi di infrastrutture che non possono controllare integralmente. Un sistema totalmente chiuso sarebbe inutilizzabile; un sistema totalmente aperto sarebbe vulnerabile.

L’attacco si colloca nello spazio tra queste due esigenze. Non inventa la fiducia: la utilizza. Non crea il desiderio di efficienza, velocità o riconoscimento: lo intercetta. Il file viene aperto perché promette di completare un’attività già prevista.

La minaccia è quindi efficace quando appare come continuità e non come interruzione. Il trojan migliore non sembra straordinario. Sembra normale.

Come ridurre il rischio senza trasformare tutto in sospetto

La difesa non può basarsi soltanto sull’invito generico a “fare attenzione”. Richiede più livelli: aggiornamenti regolari, protezione endpoint, filtri email, autenticazione multifattore, privilegi minimi, backup, segmentazione delle reti e formazione costruita su situazioni realistiche.

È utile verificare il mittente effettivo, diffidare delle richieste inattese, controllare le estensioni, evitare software da fonti non ufficiali e non disabilitare protezioni per eseguire un file. In un’organizzazione, la possibilità di segnalare rapidamente un messaggio sospetto è importante quanto la capacità di riconoscerlo.

La formazione più efficace non colpevolizza l’utente. Mostra come viene costruita la credibilità. Spiega che urgenza, autorità, familiarità e paura sono materiali progettuali dell’attacco.

Dal Cavallo di legno all’involucro digitale

Il mito permette di vedere la sicurezza informatica come un problema spaziale. Esiste un fuori e un dentro, una soglia, un involucro, un contenuto nascosto e una decisione di accesso. Il trojan è un’architettura minima dell’inganno.

La sua superficie deve essere leggibile come innocua; il suo interno deve restare invisibile fino al momento utile; il passaggio deve avvenire con il consenso o attraverso un processo autorizzato. La forma non contiene soltanto codice: organizza fiducia.

Nel libro Il cavallo di Troia — Atlante della bella menzogna, il Cavallo viene esplorato come macchina, architettura, città, simbolo e reliquia. Il trojan informatico mostra quanto quella struttura sia ancora produttiva. L’oggetto cambia materia, ma conserva il rapporto tra apparenza, soglia e programma nascosto.

La domanda decisiva non è soltanto “è falso?”

Nella cultura digitale, il problema non consiste unicamente nel distinguere il vero dal falso. Occorre capire che cosa rende credibile un oggetto, quale desiderio intercetta, quale autorità imita e quale azione richiede.

Il Cavallo di Troia non ha successo perché è perfettamente realistico. Ha successo perché arriva nel momento in cui la città vuole credere che l’assedio sia terminato. Allo stesso modo, il trojan digitale entra quando la sua promessa coincide con un’attesa: un file da aprire, un pagamento da controllare, un aggiornamento da installare.

Il più antico inganno funziona ancora perché non dipende da una tecnologia precisa. Dipende dal modo in cui costruiamo fiducia attorno agli oggetti che decidiamo di accogliere.