Cos'è il malware polimorfo? L'evoluzione che mette alla prova anche gli antivirus più moderni

È un software malevolo che cambia pelle a ogni esecuzione per eludere i controlli basati su firme. Stessa finalità, aspetto diverso. Ecco come riconoscerlo e come arginarlo senza perdere tempo.

Definizione operativa in 10 secondi

• Cos'è: codice nocivo con engine di mutazione che altera incessantemente porzioni non essenziali.
• Cosa varia: chiavi di Crittografia, packer, stub di decrittazione, ordine delle istruzioni, stringhe e import.
• Perché sfugge: rende inutili hash e firme statiche; sopravvive ai controlli “a fotografia”.
• Dove si trova: loader di ransomware, trojan bancari, malvertising, allegati e link in phishing.

Da non confondere

Polimorfo non è sinonimo di metamorfico. Il primo cambia la “confezione” mantenendo lo stesso payload; il secondo riscrive il proprio corpo, alterando anche la logica del codice.

Come inganna gli antivirus tradizionali

L’obiettivo è rompere l’associazione univoca tra file e firma. Ecco gli stratagemmi ricorrenti.

• Packer e crypter personalizzati, con stub che cambiano chiave e ordine delle istruzioni a ogni build.
• Offuscamento delle stringhe (XOR, base64 variabile, RC4 per-chunk) e API hashing per celare le chiamate di sistema.
• Import spoofing e late binding per evitare IAT stabili.
• Code padding con NOP, junk e blocchi morti per alterare l’entropia senza toccare il comportamento.
• Process injection e fileless: payload in memoria, uso di LOLBins (rundll32, regsvr32, mshta).
• Evasione dinamica: anti-sandbox, stalli temporali, controllo input/utente.
• Infrastruttura mutevole: DGAs, fast-flux, rotazione certificati.

Cosa funziona oggi nella difesa

La chiave è passare dal confronto statico all’osservazione del comportamento su endpoint e rete.

• EDR/XDR con telemetria di processo, memoria e rete; blocco su indicatori comportamentali.
• Analisi in sandbox con profili realistici, user simulation, varianti di tempo e locale.
• Modelli ML su sequenze API e grafo dei processi, non su byte crudi.
• Memory scanning (sezioni eseguibili RWX, shellcode, entropia anomala) e hooking controllato.
• Regole YARA generiche su strutture (stubs, PE, packer), non su stringhe fragili.
• Reputazione cloud e analisi certificate: blocco di binari poco diffusi con comportamenti sospetti.
• Segmentazione e zero trust: contenere laterali e ridurre superficie d’attacco.
• Hardening script: blocco macro by default, AMSI, ASR, Constrained Language Mode.

Segnali comportamentali da monitorare

• Creazione di thread remoti, section mapping, riflessione e unhooking delle DLL di sicurezza.
• Scritture su Run Keys, Scheduled Tasks, WMI Event Consumer.
• Drop in AppData/Temp seguito da esecuzione e cancellazione o rinomina.
• Beaconing verso domini effimeri, JA3/JA3S rari, SNI incoerenti.

Impatto su PMI e ambienti industriali

Nelle PMI e nei contesti OT/SCADA, dove coesistono sistemi legacy e finestre di manutenzione strette, il polimorfismo sfrutta patch tardive e controlli superficiali.

• Asset misti: HMI e PC d’ufficio condividono segmenti; un loader via phishing diventa varco verso la produzione.
• Dipendenza da fornitori: aggiornamenti driver e tool di diagnostica possono essere veicolo di supply-chain.
• Chiavette e laptop di assistenza aprono corridoi offline difficili da tracciare.

Qui la governance conta: policy e processi allineati a ISO/IEC 27001 riducono l’entropia organizzativa che il malware sfrutta.

Checklist pragmatica (da stampare)

1. Inventario e controllo esecuzione: allowlist per sistemi critici, blocco binari sconosciuti.
2. EDR con regole di blocco su injection, persistence e LOLBins.
3. Sandboxing per allegati ed eseguibili da email e web; detonazione automatica.
4. YARA/Sigma su gateway, SIEM e storage; ricerca proattiva di stubs polimorfici.
5. Hardening script: macro firmate, restrizioni PowerShell, blocco MSHTA/WSCRIPT dove possibile.
6. Patch management con SLA (≤14 giorni critici); priorità ai componenti di esecuzione codice.
7. Segmentazione e egress filtering: DNS/HTTP(S) solo verso resolver/proxy aziendali.
8. Backup 3-2-1-1-0 con copie immutabili e test di ripristino mensile.
9. Telemetria centralizzata (SIEM) e playbook SOAR per contenimento rapido.
10. Threat emulation con ATT&CK: esercizi su loader polimorfi e catene di esecuzione reali.

Domande rapide per il tuo fornitore di sicurezza

• Il motore rileva modelli comportamentali o si affida a firme?
• Ci sono regole YARA generiche mantenute e testate regolarmente?
• Come gestisce fileless e injection senza rompere applicativi business?
• Qual è il tempo medio di contenimento dalla prima anomalia?
• Supporta analisi in memoria e telemetria di rete arricchita (JA3, SNI, DGA)?