Doctor Web: panoramica sull'attività di virus in II trimestre 2026

1 luglio 2026

Secondo le statistiche di rilevamento dell'antivirus Dr.Web, nel II trimestre 2026 il numero totale di minacce rilevate è aumentato del 5,72% rispetto al I trimestre. Il numero di minacce uniche è cresciuto del 95,32%. Venivano prevalentemente rilevati sui dispositivi protetti le applicazioni pubblicitarie e i trojan pubblicitari, i programmi malevoli cryptominer e i trojan che vengono utilizzati per l'avvio di altre minacce.

Nel traffico email venivano rilevati con maggiore frequenza gli script malevoli e le varie applicazioni trojan, tra cui downloader, dropper, password stealer e cryptominer. Erano diffusi anche i backdoor, i documenti di phishing e i vari exploit.

Gli utenti i cui file sono stati colpiti dai trojan ransomware di criptazione nella maggior parte dei casi riscontravano Trojan.Encoder.35534, Trojan.Encoder.41868 e Trojan.Encoder.37400. Allo stesso tempo, il numero di richieste di decriptazione pervenute al Servizio di supporto tecnico Doctor Web è diminuito leggermente rispetto al trimestre precedente.

Nel II trimestre 2026 gli analisti internet dell'azienda Doctor Web osservavano una crescita del numero di attacchi di phishing agli utenti del programma di messaggistica MAX. Inoltre, i malintenzionati sfruttavano le tematiche delle notizie attuali e adattavano di conseguenza i popolari schemi fraudolenti.

Ad aprile è emerso che uno degli aggiornamenti di Microsoft Visual Studio Code conteneva codice malevolo. Era uno script trojan facente parte della libreria pubblica JavaScript es5-ext, la quale era stata inclusa nel software aggiornato. Questo script viene avviato a condizione di corrispondenza del fuso orario di alcune città russe e visualizza un appello con una posizione anti-russa nella console dello sviluppatore.

A maggio abbiamo avvertito della diffusione del programma malevolo JobStealer, mirato agli utenti di Mac e Windows. I cybercriminali lo spacciavano per software per colloqui di lavoro online. Il trojan JobStealer ruba varie informazioni riservate, tra cui i dati da circa 300 estensioni di browser di portafogli di criptovalute, i file del programma di messaggistica Telegram, le password e i dati di carte bancarie salvati nei browser, nonché i file cookie.

A giugno gli specialisti del laboratorio antivirus dell'azienda Doctor Web hanno segnalato un nuovo trojan pubblicitario Android.MagicAd.1, che è capace di visualizzare annunci in modalità background grazie alla possibilità di aggirare le restrizioni del sistema operativo Android. A questo scopo, il trojan sfrutta applicazioni di terze parti selezionando la tecnica adatta a seconda del produttore del dispositivo target.

Tra le applicazioni malevole per dispostivi Android, sono rimasti leader per il numero di rilevamenti sui dispositivi protetti i trojan bancari Android.Banker. Allo stesso tempo, gli attori di minacce hanno continuato a utilizzare attivamente i vari strumenti per il modding di programmi Android per proteggere i software malevoli dal rilevamento tramite antivirus. Inoltre, durante il II trimestre i nostri analisti dei virus hanno rilevato sullo store di app Google Play una serie di nuovi programmi trojan creati per iscrivere utenti a servizi mobili a pagamento.

Secondo i dati del servizio delle statistiche Doctor Web

Minacce più diffuse di II trimestre 2026

Adware.Downware.20091

Adware.Downware.20766

Software pubblicitario utilizzato come installer intermedio di programmi pirata.

Trojan.Siggen31.34463

Trojan scritto nel linguaggio di programmazione Go e studiato per caricare nel sistema di destinazione vari cryptominer e software pubblicitari. Il programma malevolo è un file DLL e si trova in %appdata%\utorrent\lib.dll. Per avviarsi, sfrutta la vulnerabilità di classe DLL Search Order Hijacking nel client torrent uTorrent.

Trojan.BPlug.4268

Rilevamento di un componente malevolo di un'estensione browser WinSafe. Questo componente rappresenta uno script JavaScript che visualizza pubblicità invadenti nei browser.

Trojan.Starter.8319

Rilevamento di script XML malevoli che avviano il trojan Trojan.AutoIt.289 e i suoi componenti.

Statistiche delle applicazioni malevole nel traffico email

Minacce più diffuse nel traffico email di II trimestre 2026

X97M.DownLoader.2343

File XLSX (formato di fogli di calcolo Microsoft Excel) con un oggetto OLE che scarica un file malevolo sul computer attaccato.

W97M.DownLoader.2938

Famiglia di trojan downloader che utilizzano vulnerabilità in documenti Microsoft Office. Sono studiati per scaricare altri programmi malevoli sul computer attaccato.

Exploit.CVE-2017-11882.123

Exploit.CVE-2018-0798.4

Exploit per l'utilizzo di vulnerabilità nel software Microsoft Office, che consentono di eseguire codice arbitrario.

JS.Muldrop.1171

Script malevolo in formato JavaScript, che avvia il malware in esso nascosto nel sistema target.

Ransomware di criptazione

Rispetto al I trimestre 2026, nel II trimestre il numero di richieste di decriptazione dei file colpiti dai trojan ransomware di criptazione è leggermente diminuito — del 2,67%.

Dinamica del numero di richieste di decriptazione pervenute al Servizio di supporto tecnico Doctor Web:

Ransomware di criptazione più diffusi di II trimestre 2026

• Trojan.Encoder.35534 — 14,47% di richieste utente
• Trojan.Encoder.41868 — 5,26% di richieste utente
• Trojan.Encoder.37400 — 3,95% di richieste utente
• Trojan.Encoder.35209 — 3,29% di richieste utente
• Trojan.Encoder.44197 — 2,63% di richieste utente

Frode online

Una delle tendenze osservate dagli analisti internet di Doctor Web nel II trimestre 2026 è stata la cresciuta attività degli attacchi dei malintenzionati agli utenti del servizio di messaggistica istantanea russo MAX a fronte della crescita del suo pubblico. I malintenzionati utilizzano schemi noti che in precedenza erano orientati agli utenti di altri servizi di messaggistica istantanea, come Telegram e WhatsApp. Ad esempio, i nostri specialisti hanno rilevato numerosi siti fraudolenti creati allo scopo di rubare account MAX utilizzando il pretesto di svariate votazioni. La potenziale vittima viene invitata a votare in un determinato concorso, ma per fare questo, deve entrare nel proprio account fornendo il numero di cellulare e il codice di verifica arrivato dopo il suo inserimento. Quando l'utente inserisce tutti i dati, gli attaccanti ottengono l'accesso al suo account.

Esempio di uno dei siti di phishing tramite il quale i truffatori ottengono l'accesso all'account dell'app di messaggistica MAX della vittima

Durante il II trimestre, gli analisti internet di Doctor Web segnalavano la comparsa di ulteriori siti fraudolenti relativi a investimenti. I cybercriminali seguono le moderne tendenze e continuano a sfruttare attivamente la tematica dell'intelligenza artificiale. Ad esempio, su alcune risorse internet loro invitavano le potenziali vittime ad aderire a un nuovo progetto di investimento, presumibilmente legato a maggiori istituti di credito russi. I malintenzionati promettevano l'accesso a un chatbot specializzato basato sull'AI ChatGPT, che fornirebbe l'assistenza negli investimenti. Per diventare partecipanti al "progetto", i visitatori del sito dovevano registrarsi indicando le proprie informazioni personali.

Sito fraudolento che suggerisce di registrarsi in un progetto di investimento, presumibilmente legato a una banca russa, e ottenere l'accesso a un chatbot finanziario specializzato basato su AI ChatGPT

Allo stesso tempo, i truffatori cercavano di attirare gli utenti di lingua russa non solo con i nomi delle banche russe, ma anche con quelli di istituti creditizi di altri paesi. Ad esempio, i cybercriminali presentavano una serie di siti web di pseudo investimento come servizi legati a banche sudcoreane.

Uno dei siti fraudolenti che invitava gli utenti di lingua russa ad aderire a un certo progetto di investimento di una delle banche sudcoreane e prometteva un reddito a partire da 2.000.000 won sudcoreani

Nel II trimestre continuavano ad essere attivi i truffatori che cercavano di rubare dati di account di vari servizi. Tra i numerosi siti di phishing c'erano false risorse internet di compagnie di trasporto. Una delle risorse era mirata ai clienti di uno dei servizi di consegna espressa russi. Alle potenziali vittime veniva suggerito di entrare nel proprio account in base al numero di cellulare legato all'account, o autenticarsi tramite il servizio web statale russo Gosuslugi. In particolare, dopo "l'accesso" all'account nel primo modo, il sito visualizzava comunque il secondo modulo di phishing con il pretesto di autenticazione tramite il servizio web Gosuslugi.

Tramite un sito fraudolento, i malintenzionati potevano rubare le credenziali di più account alla volta: dell'area personale della compagnia di trasporto e del portale web Gosuslugi

I nostri esperti hanno individuato, inoltre, nuovi siti web di phishing di istituti creditizi di diversi paesi. Così, ai depositanti di una delle banche statunitensi i truffatori suggerivano di entrare nell'account e controllare la disponibilità di un tasso di interesse aumentato per i "clienti fedeli":

In un altro caso, il sito di phishing imitava l'aspetto esteriore di una delle banche di Ecuador e chiedeva agli utenti le credenziali dell'account di home banking:

Un altro schema di phishing era orientato agli utenti britannici. I cybercriminali creavano falsi siti di servizi pubblici, dove suggerivano di pagare una multa per parcheggio irregolare.

Alle potenziali vittime venivano chieste informazioni personali dettagliate — presumibilmente per l'identificazione, dopodiché gli utenti venivano reindirizzati alla pagina di pagamento della "multa".

Uno dei popolari schemi fraudolenti rimane quello di suggerire l'ottenimento di vari bonus spettanti ai cittadini. I cybercriminali lo adattano però costantemente agli eventi attuali. Così, in previsione della Giornata della Russia, comparivano falsi siti di istituti di credito russi, su cui i malintenzionati promettevano ai visitatori pagamenti in occasione della festa. Su uno dei siti, agli utenti presumibilmente spetterebbero per la partecipazione a un sondaggio da 5.000 a 300.000 rubli russi:

In un'altra variante dello schema, gli utenti, dopo aver partecipato a un sondaggio, presumibilmente potrebbero aspettarsi di ricevere un "sussidio" di 5.000 rubli russi:

Mentre sullo sfondo delle notizie speculative sulla carenza di carburante in alcune regioni russe, una serie di siti truffa prometteva buoni per ricevere gratis da 20 a 100 litri di benzina:

Dopo che i visitatori di questi siti rispondevano ad alcune semplici domande, per ottenere il premio promesso, veniva suggerito loro di effettuare "l'identificazione". Per fare ciò, dovevano indicare il nome e cognome, il numero di cellulare, nonché il numero della carta bancaria. In seguito, i malintenzionati erano in grado di utilizzare queste informazioni per rubare denaro alle vittime.

Tra i siti indesiderati rilevati nel II trimestre si riscontavano anche falsi portali internet di Federazione internazionale di calcio FIFA, sui quali gli utenti presumibilmente potrebbero acquistare ufficialmente biglietti per le partite del Campionato mondiale di calcio del 2026, articoli regalo di marca, nonché vari servizi premium. Similmente al sito vero, agli utenti di queste falsificazioni veniva suggerito di accedere all'account FIFA ID, tuttavia, il modulo di inserimento di login e password in questo caso accettava qualsiasi dato.

Falso modulo di accesso all'account FIFA ID

Dopo che gli appassionati di calcio selezionavano una merce a cui erano interessati, veniva suggerito loro di formalizzare l'acquisto ed effettuare il pagamento. Durante il processo di pagamento, gli utenti giungevano al sito di un servizio che è presente nel database delle risorse internet non raccomandati dall'antivirus Dr.Web.

Falso sito di Federazione internazionale di calcio che presumibilmente consentirebbe di acquistare ufficialmente prodotti e servizi in licenza

I nostri esperti hanno inoltre registrato una serie di campagne di spam studiate per distribuire link di falsi siti di marketplace russi, dove i malintenzionati invitavano le potenziali vittime a partecipare a "un'estrazione a premi correlata all'anniversario". I truffatori promettevano la possibilità di ottenere sia premi in denaro — fino a 1.000.000 di rubli russi, che apparecchiature informatiche e dispositivi mobili:

Per partecipare alla "promozione", gli utenti dovevano cliccare sul pulsante corrispondente su tali siti, dopodiché su di essi veniva simulata un'estrazione a premi. Dopo diversi tentativi, la potenziale vittima vedeva in una notifica che avesse vinto più regali, e che presumibilmente avesse la possibilità di scegliere se ricevere i premi stessi in un punto di ritiro del marketplace, o l'equivalente in denaro tramite bonifico al conto bancario:

Per partecipare alla "promozione", gli utenti dovevano cliccare sul pulsante corrispondente su tali siti, dopodiché su di essi veniva simulata un'estrazione a premi. Dopo diversi tentativi, la potenziale vittima vedeva in una notifica che avesse vinto più regali, e che presumibilmente avesse la possibilità di scegliere se ricevere i premi stessi in un punto di ritiro del marketplace, o l'equivalente in denaro tramite bonifico al conto bancario:

Dopo l'inserimento, i siti richiedevano il pagamento di una tassa statale — per la "formalizzazione ufficiale della vincita":

In realtà, le vittime dei truffatori non ricevevano alcun premio. Non solo trasferivano ai malintenzionati i dati delle proprie carte bancarie, ma anche donavano loro i propri soldi.

Software malevoli e indesiderati per dispositivi mobili

Secondo i dati delle statistiche di rilevamento di Dr.Web Security Space per dispositivi mobili, nel II trimestre 2026 gli utenti riscontavano meno spesso i trojan bancari Android.Banker, tuttavia, queste applicazioni trojan sono ancora il malware più diffuso. Inoltre, si osservava un altro calo dell'attività dei trojan pubblicitari Android.HiddenAds e Android.MobiDash.

I programmi potenzialmente pericolosi più frequentemente rilevati nel II trimestre sono state le applicazioni Tool.Obfuscator.TrashCode e Tool.NPMod, che sono modificate tramite l'utility per il modding NP Manager. Gli attori di minacce utilizzano questo strumento per la protezione dei software malevoli dal rilevamento dagli antivirus. I programmi indesiderati più diffusi sono stati i falsi antivirus Program.FakeAntiVirus. Per "risolvere" le presunte minacce trovate, richiedono di acquistare una versione completa.

I più attivi software pubblicitari sono stati i moduli Adware.AdPush, che visualizzano notifiche fuorvianti e raccolgono dati riservati. Si sono diffuse di nuovo le applicazioni di ottimizzazione del funzionamento del SO Android Adware.Bastion.1.origin. Creano notifiche di presunti memoria operativa insufficiente ed errori di sistema al fine di visualizzare la pubblicità durante "l'ottimizzazione". Rimanevano altamente attivi anche i programmi pubblicitari Adware.Opensite.15. I malintenzionati li distribuiscono con il pretesto di programmi di cheat, tramite i quali gli utenti presumibilmente potrebbero ottenere varie risorse all'interno di un gioco. In realtà, questi programmi solo caricano siti con annunci pubblicitari.

A giugno gli specialisti dell'azienda Doctor Web hanno avvertito del trojan Android.MagicAd.1, che è capace di aggirare le restrizioni del sistema operativo Android e visualizzare la pubblicità in background. Android.MagicAd.1 utilizza a questo scopo applicazioni di terze parti, nonché una serie di tecniche che esso seleziona a seconda del produttore del dispositivo target.

Durante il II trimestre i nostri analisti dei virus hanno rilevato sullo store di app Google Play ulteriori programmi trojan delle famiglie Android.Joker e Android.Subscription, che iscrivono gli utenti a servizi a pagamento. In totale, sono stati scaricati almeno 2.600.000 volte.

Eventi più importanti relativi alla sicurezza "mobile" in II trimestre

• I trojan bancari Android.Banker continuano ad essere leader per il numero di rilevamenti di malware sui dispositivi protetti tramite Dr.Web.
• I malintenzionati continuano a impiegare attivamente gli strumenti specializzati per il modding di programmi Android allo scopo di proteggere i trojan bancari dal rilevamento tramite antivirus.
• Diminuisce di nuovo l'attività dei trojan pubblicitari Android.MobiDash e Android.HiddenAds.
• Gli analisti dei virus Doctor Web individuano Android.MagicAd.1, un trojan che sfrutta programmi di terze parti per aggirare le restrizioni di SO Android e visualizzare pubblicità in background.
• Sullo store di app Google Play sono rilevate nuove applicazioni trojan che iscrivono utenti a servizi a pagamento.

Per maggiori informazioni sulla situazione di virus per dispositivi mobili nel II trimestre 2026 leggete la nostra panoramica.