Le 15 principali estensioni di file utilizzate nelle e-mail massive dannose<\/p>\n<\/div>\n
Vediamo cosa fanno davvero questi file dietro le quinte.<\/p>\n
File eseguibili<\/h2>\n
Un file eseguibile \u00e8 un programma per computer compilato, pronto per l\u2019esecuzione. Una volta avviato, un eseguibile dannoso pu\u00f2 scaricare payload aggiuntivi (ovvero ulteriori componenti dannosi), modificare le impostazioni di sistema, rubare i dati dell\u2019utente, connettere il dispositivo a server esterni controllati dagli autori degli attacchi e molto altro ancora. Queste sono le estensioni eseguibili pi\u00f9 comuni riscontrate nelle campagne e-mail dannose:<\/p>\n
- \n
- .exe<\/li>\n
- .dll<\/li>\n
- .com<\/li>\n
- .scr<\/li>\n<\/ul>\n
.exe<\/h3>\n
La classica estensione eseguibile di Windows. Alimenta tutti i programmi che usi ogni giorno, dai browser Web ai giochi, dalle suite per ufficio ai programmi di installazione del software.<\/p>\n
I criminali spesso nascondono il malware EXE in doppie estensioni: fattura.docx.exe, report.pdf.exe o persino photo.jpg.exe. Sfruttano cos\u00ec un\u2019impostazione predefinita di Windows, che nasconde le estensioni per i tipi di file noti. Poich\u00e9 questa impostazione \u00e8 attiva per impostazione predefinita, gli utenti vedono solo la prima parte del nome del file (fattura.docx, report.pdf o photo.jpg) e pensano che si tratti di un normale documento o immagine. Ma non appena il file viene aperto\u2026 scatta la trappola e il malware si attiva.<\/p>\n
.dll<\/h3>\n
Un\u2019altra estensione comune utilizzata in modo improprio nelle campagne dannose \u00e8 .dll (dynamic-link library). Queste librerie contengono funzioni che i programmi Windows richiedono spesso durante l\u2019esecuzione, come la stampa di un documento. Questa architettura modulare evita la ridondanza del codice consentendo a pi\u00f9 applicazioni di richiamare la stessa libreria per attivit\u00e0 specifiche. Tuttavia, se un malintenzionato sostituisce una libreria legittima con una infetta, l\u2019esecuzione di un normale programma che la richiama pu\u00f2 attivare codice dannoso.<\/p>\n
.com<\/h3>\n
Sebbene i file con estensione .com non abbiano assolutamente nulla a che fare con l\u2019omonimo dominio Web, i criminali informatici probabilmente contano sul fatto che le vittime scambino questi file per collegamenti in un formato insolito. In realt\u00e0, si tratta di un formato eseguibile legacy di Windows.<\/p>\n
Sebbene le versioni moderne di Windows non si basino pi\u00f9 su questo tipo di file, il sistema operativo pu\u00f2 ancora avviarlo ed eseguirlo, quindi \u00e8 meglio evitare di aprire questo tipo di file.<\/p>\n
.scr<\/h3>\n
I file SCR sono screensaver, ovvero le animazioni che compaiono sullo schermo di Windows quando \u00e8 inattivo, con motivi astratti, il celebre logo che rimbalza o altro ancora. Nonostante la loro reputazione di file innocui, gli screensaver sono essenzialmente eseguibili, proprio come i file EXE: una volta aperti, possono installare componenti extra o modificare le impostazioni di sistema, proprio come farebbe un EXE. Nelle campagne dannose, questi file sono generalmente mascherati da immagini, schermate o documenti.<\/p>\n
Script<\/h2>\n
Gli script sono file di testo contenenti una sequenza di comandi che il computer esegue automaticamente uno dopo l\u2019altro. Possono scaricare file, installare e avviare programmi, modificare le impostazioni di sicurezza e molto altro ancora. Gli autori degli attacchi via e-mail si avvalgono in genere dei seguenti tipi di script:<\/p>\n
- \n
- .js e .jse<\/li>\n
- .bat<\/li>\n
- .cmd<\/li>\n
- .vbs<\/li>\n
- .wsf<\/li>\n
- .vbe<\/li>\n
- .au3<\/li>\n<\/ul>\n
.js e .jse<\/h3>\n
Le estensioni .js e .jse sono utilizzate dai file JavaScript. La maggior parte degli utenti associa JavaScript esclusivamente ai siti Web e non si rende conto che questi file possono essere eseguiti localmente sul computer come programmi indipendenti.<\/p>\n
Di recente abbiamo scritto di CrystalX RAT, un Trojan di accesso remoto<\/a> che registra i tasti premuti, ruba il contenuto degli appunti e inietta componenti dannosi nei browser Web al momento dell\u2019installazione. I suoi script JS monitoravano <\/a>indirizzi di portafogli di criptovaluta e li scambiavano silenziosamente con quelli dell\u2019autore dell\u2019attacco per dirottare le transazioni in tempo reale.<\/p>\n
.cmd e .bat<\/h3>\n
I file BAT e CMD sono progettati per automatizzare le attivit\u00e0 in Windows e possono eseguire praticamente qualsiasi comando nel sistema operativo. Avviare un file di questo tipo pu\u00f2 infettare il computer con un malware.<\/p>\n
.vbs<\/h3>\n
I file con estensione .vbs (Visual Basic Script) sono da sempre tra i preferiti dai criminali informatici. Gli autori degli attacchi usano spesso doppie estensioni per mascherare i file .vbs come documenti di testo normale, ad esempio fatture, guide all\u2019installazione di app o e-mail. All\u2019inizio degli anni 2000, ad esempio, l\u2019iconico worm ILOVEYOU si diffuse tramite uno script VBS, infettando milioni di computer in tutto il mondo<\/strong><\/a>. Le vittime ricevevano un\u2019e-mail con l\u2019oggetto \u201cILOVEYOU\u201d, ma invece di una dolce dichiarazione d\u2019amore l\u2019allegato conteneva uno script dannoso. Al suo apice, questo worm \u201cromantico\u201d aveva infettato fino al 10% di tutti i computer connessi a Internet.<\/p>\n
File Web<\/h2>\n
Questa categoria include principalmente file .html, .htm, .hta e .svg. Spesso si tratta di pagine di phishing camuffate, progettate per imitare i moduli di accesso a e-mail, servizi cloud, app bancarie e altre piattaforme. Naturalmente, le credenziali inserite in queste pagine false finiscono direttamente nelle mani degli malintenzionati a caccia di account e di denaro. I file Web possono inoltre attivare script dannosi e scaricare payload aggiuntivi nel sistema.<\/p>\n
Archivi<\/h2>\n
I criminali informatici comprimono regolarmente i file dannosi all\u2019interno di archivi (di solito con estensione .zip, .rar e .7z). Questi archivi sono spesso protetti da password o criptati per ostacolare la scansione del contenuto. Inoltre, gli autori degli attacchi a volte creano intenzionalmente archivi corrotti<\/a> con strutture dati danneggiate: i filtri di sicurezza di base spesso inciampano sui file danneggiati e saltano del tutto la scansione, mentre i gestori di archivi possono comunque ripararli e decomprimerne automaticamente il contenuto.<\/p>\n
Ecco perch\u00e9 ti consigliamo di utilizzare soluzioni di sicurezza avanzate<\/a><\/strong>\u00a0in grado di individuare le e-mail di phishing e impedirti di avviare eventuali file pericolosi nascosti negli archivi.<\/p>\n
File PDF (.pdf)<\/h2>\n
Per molte persone, PDF sembra un formato di file completamente innocuo: dopotutto, cosa potrebbe andare storto con biglietti aerei, documenti e presentazioni? Ma oltre a immagini e testi statici, i PDF possono contenere collegamenti cliccabili, moduli e persino script.<\/p>\n
Nei PDF, il codice dannoso in genere nascosto dietro elementi visivi o incorporato come testo nascosto. Inoltre, il rischio non deriva solo dal file in s\u00e9, ma anche dal software usato per visualizzarlo: ad esempio, alcuni criminali hanno impiegato mesi a sfruttare<\/a> una vulnerabilit\u00e0 di Adobe Acrobat che consentiva loro di eseguire file PDF dannosi in remoto. Se lavori regolarmente con documenti PDF, assicurati che la funzionalit\u00e0 JavaScript sia disabilitata in Adobe Acrobat. Per farlo, vai a Preferenze<\/em> \u2192 JavaScript<\/em> nel menu.<\/p>\n
A proposito, chi fa largo uso di agenti IA e chatbot dovrebbe tenere presente che l\u2019IA spesso cade vittima delle prompt injection<\/a>: comandi nascosti all\u2019interno di immagini, testo e pagine Web che l\u2019IA interpreta come istruzioni legittime ed esegue a tua insaputa.<\/p>\n
Collegamenti rapidi LNK (.lnk)<\/h2>\n
I file con estensione .lnk sono collegamenti rapidi standard di Windows che usiamo ogni giorno per accedere rapidamente ad app e cartelle. Di per s\u00e9, i collegamenti rapidi non contengono software: indicano semplicemente a Windows quale file aprire o quale comando eseguire.<\/p>\n
Tuttavia, un malintenzionato pu\u00f2 assegnare a un collegamento rapido un\u2019icona e un nome qualsiasi, nascondendone completamente la destinazione reale. Nel momento in cui una vittima fa clic sul collegamento rapido, si mette in moto la catena dell\u2019infezione. Il codice dannoso viene in genere eseguito silenziosamente in background, senza lasciare praticamente alcun indizio visivo che qualcosa sia andato storto.<\/p>\n
I criminali informatici amano anche nascondere i file LNK dietro doppie estensioni<\/a>, contando sul fatto che gli utenti non si accorgano di che tipo di file stanno effettivamente per aprire. Ecco un classico esempio:<\/p>\n
![\"Gli](\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/89\/2026\/08\/13140920\/dangerous-extensions-in-email-01.jpg\" "\\"Gli")
<\/a>In Esplora file di Windows viene visualizzata solo la prima parte dell\u2019estensione: .docx. Il tipo di file \u00e8 chiaramente indicato come collegamento rapido, ma pochissime persone notano questo dettaglio<\/p><\/div>\n
La soluzione migliore \u00e8 evitare del tutto di fare clic sui file LNK in entrata: nessuno sano di mente avrebbe motivo di inviarti un collegamento rapido da desktop via e-mail.<\/p>\n
A proposito, se \u00e8 da un po\u2019 che non aggiorni Windows, c\u2019\u00e8 una brutta notizia per te: il codice dannoso pu\u00f2 essere eseguito automaticamente<\/a> senza che tu faccia mai clic, perch\u00e9 \u00e8 sufficiente aprire la cartella in cui si trova il file LNK per attivarlo. Nel dicembre 2025 Microsoft ha finalmente rilasciato una patch<\/a> per questa vulnerabilit\u00e0 sfruttata a lungo. Quindi non rimandare gli aggiornamenti di sistema: installali regolarmente per colmare le falle di sicurezza sfruttate dagli autori degli attacchi.<\/p>\n
Documenti Microsoft Office<\/h2>\n
.xls e .xlsx<\/h3>\n
L\u2019estensione .xls \u00e8 utilizzata dalle versioni precedenti di Microsoft Excel. Milioni di persone usano fogli di calcolo Excel ogni giorno e molte eseguono ancora software obsoleto, il che rende i file XLS le esche preferite dai criminali informatici. Budget, elenchi di dipendenti, documenti finanziari, rapporti urgenti e altri fogli di calcolo smettono di essere innocui nel momento in cui l\u2019utente fa clic su Abilita contenuto<\/em>, consentendo al programma di eseguire le macro, ovvero script e comandi personalizzati di Microsoft Office integrati nei file. Una volta consentita, la macro dannosa \u00e8 libera di scaricare file, avviare programmi, raccogliere dati di sistema e modificare le impostazioni.<\/p>\n
A differenza di XLS, XLSX \u00e8 il moderno formato Excel, che non supporta le macro incorporate per impostazione predefinita. Sfortunatamente, questo non garantisce una sicurezza completa: il foglio di calcolo pu\u00f2 comunque estrarre dati in tempo reale da fonti esterne e connettersi automaticamente a destinazioni Web in background.<\/p>\n
.docx<\/h3>\n
Sebbene i moderni file DOCX non supportino le macro per impostazione predefinita, gli autori degli attacchi hanno da tempo trovato altri modi per trasformare questi documenti in un\u2019arma. In genere, i file DOCX dannosi contengono collegamenti incorporati o istruzioni che costringono Word a contattare server esterni e scaricare payload dannosi. Nel 2023, ad esempio, alcuni ricercatori hanno scoperto una vulnerabilit\u00e0<\/a> di Microsoft Office che consentiva ai criminali di attivare strumenti del sistema Windows integrati e scaricare malware direttamente dal Web.<\/p>\n
Per ridurre i rischi durante l\u2019utilizzo delle app di Microsoft Office, ti consigliamo di attivare la Visualizzazione protetta<\/a>, bloccare le connessioni esterne<\/a> e disabilitare tutte le macro senza notifica<\/a>.<\/p>\n
Supporto delle macro nelle versioni moderne di Microsoft Office<\/h3>\n
Le macro sono sequenze di comandi che automatizzano attivit\u00e0 complesse e ripetitive in Excel, Outlook, Word e PowerPoint. Nelle versioni moderne di Microsoft Office, i documenti contenenti macro incorporate vengono salvati in formati di file specializzati con estensioni come .xlsm, .xltm, .xlsb, .docm e .pptm. Sebbene Microsoft Office includa controlli di sicurezza integrati (come il blocco dei file scaricati dal Web<\/a> e gli avvisi<\/a> sulle macro potenzialmente pericolose), se non usi le macro e non hai un motivo specifico per eseguirle, tratta i file con queste estensioni con cautela.<\/p>\n
Come verificare se un file \u00e8 sicuro<\/h2>\n
- \n
- Usa una suite di protezione completa<\/a><\/strong> che esegue automaticamente la scansione dei file alla ricerca di malware, previene le infezioni, blocca le visite ai siti sospetti e rimuove completamente i file dannosi dai tuoi dispositivi. Se hai bisogno di disinfettare urgentemente il computer o di eseguire la scansione di un file alla ricerca di virus, puoi usufruire di una prova di 30 giorni di Kaspersky Premium<\/a><\/strong>.<\/li>\n
- Non aprire gli allegati inviati da mittenti sconosciuti.<\/strong> La curiosit\u00e0 pu\u00f2 costare cara, dato che molte famiglie di malware cercano specificamente dati di carte di credito e portafogli di criptovaluta. Lascia il lavoro pesante alla funzionalit\u00e0 Anti-Virus posta<\/a> inclusa nelle nostre soluzioni di sicurezza<\/a><\/strong>: filtra automaticamente le e-mail dannose o sospette e ti protegge dagli attacchi di phishing.<\/li>\n
- Esamina attentamente le e-mail in entrata<\/strong>: i criminali informatici sono diventati abili nel mascherare i messaggi dannosi. Verifica sempre gli indirizzi e-mail con quelli ufficiali e impara a riconoscere i segnali di phishing<\/a> e spam<\/a>. Gli autori degli attacchi potrebbero tentare di spaventarti sostenendo che il tuo account \u00e8 stato violato, attirarti su siti loschi con \u201cofferte imbattibili\u201d o indurti a consultare un documento di lavoro allegato all\u2019e-mail. Qualsiasi tentativo di manipolare le tue emozioni \u00e8 un segnale d\u2019allarme importante che qualcuno sta cercando di ingannarti.<\/li>\n
- Non aprire mai file con doppie estensioni. <\/strong>Quasi sempre si tratta di una trappola.<\/li>\n
- Se ti imbatti in un file con un\u2019estensione sconosciuta, prenditi un momento per cercarlo online<\/strong>. Ricorda: una foto o un documento di testo normale non avr\u00e0 mai l\u2019estensione .lnk o .vbs.<\/li>\n<\/ul>\n
Dai un\u2019occhiata agli altri nostri post sulla sicurezza delle e-mail e dei file:<\/p>\n
- \n
- Spam per principianti: cos\u2019\u00e8 lo spam e come liberarsene<\/a><\/li>\n
- Cosa fare se si riceve un\u2019e-mail di phishing<\/a><\/li>\n
- Gli autori degli attacchi mascherano il phishing da notifiche di Google AppSheet<\/a><\/li>\n
- Controllo dei codici QR nelle e-mail<\/a><\/li>\n
- Come convertire i file in modo sicuro\u00a0<\/a><\/li>\n<\/ul>\n<\/blockquote>\n\n","protected":false},"excerpt":{"rendered":"
] I nostri esperti hanno condotto uno studio sulle estensioni di file utilizzate pi\u00f9 spesso dai criminali informatici nelle e-mail massive. Di seguito vediamo una panoramica dei tipi di allegati pi\u00f9 pericolosi e di come proteggere i dispositivi dai file dannosi.<\/p>\n","protected":false},"author":2706,"featured_media":30917,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2641],"tags":[2207,3551,638,116],"class_list":["post-30914","post","type-post","status-publish","format-standard","has-post-thumbnail","category-threats","tag-e-mail","tag-macro","tag-minacce","tag-phishing"],"hreflang":[{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/dangerous-extensions-in-email\/30914\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/dangerous-extensions-in-email\/42464\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/dangerous-extensions-in-email\/56238\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/dangerous-extensions-in-email\/30929\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.it\/blog\/tag\/e-mail\/","name":"e-mail"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/30914","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/users\/2706"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/comments?post=30914"}],"version-history":[{"count":4,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/30914\/revisions"}],"predecessor-version":[{"id":30920,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/30914\/revisions\/30920"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/media\/30917"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/media?parent=30914"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/categories?post=30914"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/tags?post=30914"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
- Cosa fare se si riceve un\u2019e-mail di phishing<\/a><\/li>\n
- Non aprire gli allegati inviati da mittenti sconosciuti.<\/strong> La curiosit\u00e0 pu\u00f2 costare cara, dato che molte famiglie di malware cercano specificamente dati di carte di credito e portafogli di criptovaluta. Lascia il lavoro pesante alla funzionalit\u00e0 Anti-Virus posta<\/a> inclusa nelle nostre soluzioni di sicurezza<\/a><\/strong>: filtra automaticamente le e-mail dannose o sospette e ti protegge dagli attacchi di phishing.<\/li>\n
- Usa una suite di protezione completa<\/a><\/strong> che esegue automaticamente la scansione dei file alla ricerca di malware, previene le infezioni, blocca le visite ai siti sospetti e rimuove completamente i file dannosi dai tuoi dispositivi. Se hai bisogno di disinfettare urgentemente il computer o di eseguire la scansione di un file alla ricerca di virus, puoi usufruire di una prova di 30 giorni di Kaspersky Premium<\/a><\/strong>.<\/li>\n