Avviso Malware Winos 4.0: Proteggi il tuo PC da Falsi Installatori NSIS
La subdola variante di malware Winos 4.0 sta utilizzando installatori NSIS ingannevoli per scatenare attacchi a più fasi. Può persino modificare la sicurezza basata su Windows Defender per creare un’eccezione, dandogli spazio per operare. I risultati finali sono furto di dati, manomissione del registro e sorveglianza del PC. Scopri le nostre soluzioni verificate per fermare questo malware persistente sul nascere.
Perché il Malware Winos 4.0 è Pericoloso
Winos 4.0 è una famiglia di malware sofisticata, originariamente derivata da Gh0st RAT. Il “4.0” è solo un nome, e non una versione specifica del malware. È presente da oltre un anno. Il 22 maggio 2025, Rapid 7 ha annunciato una variante di Winos 4.0 che utilizza installatori VPN e browser per iniettare il payload.
Il malware viene rilasciato come una reazione a catena, iniziando con un’applicazione NSIS falsa, che è un file EXE corrotto. I nomi degli installatori sono ingannevoli, come QQBrowser_Setup_x64.exe o Lets.15.0.exe. Ciò che rende pericoloso questo malware sono queste tattiche di inganno esperte che molti utenti non metteranno in dubbio.
Mentre installi l’applicazione desiderata, vengono scaricati file extra come un launcher VBScript, un caricatore PowerShell, una DLL malevola e file di configurazione. Rapid7 ha dato un nome al payload a più fasi: Catena loader. Per persistenza, un comando PowerShell silenzioso aggiunge esclusioni per proteggere il payload. È notevole che il malware Winos 4.0 possa rimanere inattivo per settimane, scatenandosi molto più tardi.
In definitiva, il malware Winos 4.0 cattura password e dettagli sulle criptovalute, esegue modifiche al registro e monitora screenshot, webcam e microfono. Operando esclusivamente in memoria, come abbiamo visto con Remcos RAT, non lascia tracce sul tuo disco, eludendo la rilevazione da parte degli antivirus.
Verifica le Firme Digitali di Tutti gli Installatori
Controllare le firme digitali di qualsiasi applicazione che intendi installare mantiene il tuo PC al sicuro. Per questo, fai clic destro sull’applicazione, vai su Proprietà -> Firme Digitali. Clicca su Dettagli -> Visualizza Certificato per controllare l’autenticità dell’installatore.
Qui, stiamo controllando la firma digitale di QQBrowser, le cui varianti malware con falsi installatori NSIS sono disponibili. Questo, però, ha una firma valida genuina di Tencent Technology, l’azienda dietro QQBrowser.
Correlati: controlla come verificare le firme digitali nel software Linux.
Abilita le Protezioni dell’App Sicurezza di Windows
Mentre il malware Winos 4.0 inganna Windows Defender, ci sono alcuni passaggi di sicurezza che puoi adottare all’interno dell’app Sicurezza di Windows.
Puoi impedire l’esecuzione degli installatori NSIS. Per questo, apri PowerShell in modalità amministratore e esegui il seguente comando per ridurre l’Area di Superficie di Attacco (ASR). Questo è un comando eccellente che non impone un divieto generale, ma elimina solo gli installatori malevoli.
Set-MpPreference -AttackSurfaceReductionRules_Ids 3B576869-A4EC-4529-8536-B80A7769E899 -AttackSurfaceReductionRules_Actions Enabled
Successivamente, apri l’app Sicurezza di Windows. Vai su Protezione da Virus e Minacce -> Impostazioni di Protezione da Virus e Minacce -> Gestisci Impostazioni. Controlla per assicurarti che la Protezione in Tempo Reale sia attivata.
Inoltre, sotto Protezione da Virus e Minacce, scorri verso il basso per selezionare Gestisci Protezione da Ransomware. Se l’Accesso a Cartelle Controllate è disattivato, riattivalo. Puoi anche cliccare su Consenti un’App attraverso l’Accesso a Cartelle Controllate per autorizzare app fidate.
Fare queste protezioni minime di Sicurezza di Windows è sufficiente. Gli utenti avanzati di Windows possono anche configurare il firewall per vietare il malware Winos 4.0.
Prevenire il Malware Winos 4.0 dall’Aggiungere Esclusioni a Windows Defender
Un modo subdolo in cui il malware Winos 4.0 si sviluppa nel sistema è aggiungendo un’esclusione dalla scansione di Windows Defender. Puoi prevenirlo in anticipo.
Apri PowerShell in modalità amministratore. Usa il seguente comando per aggiungere la politica di esecuzione per script dannosi. Clicca su A per confermare.
Set-ExecutionPolicy-Scope CurrentUser -ExecutionPolicy Restricted
Puoi anche impedire a tutte le esclusioni non autorizzate di essere eseguite in PowerShell. Questo viene fatto utilizzando il seguente comando, che copre tutte le lettere di unità.
Remove-MpPreference -ExclusionPath C:\,D:\,E:\,F:\,G:\,H:\,I:\,J:\,K:\,L:\,M:\,N:\,O:\,P:\,Q:\,R:\,S:\,T:\,U:\,V:\,W:\,X:\,Y:\,Z:\
Correlati: Autoruns è utilizzato in Windows per gestire molti compiti pianificati.
Usa Autoruns per Rilevare Voci Falsi NSIS
Un programma Microsoft chiamato Autoruns può essere utilizzato per tenere traccia di programmi di avvio dannosi, comprese le voci NSIS false. Questo è uno dei modi più semplici per catturare il malware Winos 4.0 e le sue varianti prima che possano eseguire i loro payload.
Scarica il file ZIP di Autoruns dalla pagina web di Sysinternals. Non è necessaria alcuna installazione. Basta estrarre il file e fare doppio clic sul file Autoruns64 (per sistemi Windows a 64 bit). Qui, ottieni una vista d’insieme di tutti i logon attivi, i compiti pianificati e i processi. Potresti notare voci contrassegnate in rosso. Fai attenzione a eventuali voci relative a NSIS, che saranno correttamente contrassegnate.
Raramente sospettiamo installatori di app Windows legittimi. Una volta che superano SmartScreen (che non dovresti disabilitare) e i controlli di Sicurezza di Windows, spesso assumiamo che l’app sia sicura, sia essa un VPN o un browser. Questo è il punto in cui gli autori del malware Winos 4.0 hanno trovato un facile accesso.
Ecco perché raccomandiamo di verificare la credibilità del tuo installatore utilizzando i metodi sopra. Proteggere la tua finestra PowerShell dalle esecuzioni di script garantisce un grande livello di sicurezza. Puoi utilizzare VirusTotal e altri siti web per scansionare malware nei pacchetti di installazione.
