{"id":31016,"date":"2026-09-21T15:15:18","date_gmt":"2026-09-21T13:15:18","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=31016"},"modified":"2026-09-21T15:15:18","modified_gmt":"2026-09-21T13:15:18","slug":"exotic-file-formats-detection-gaps-iso-one-xll-svg","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/exotic-file-formats-detection-gaps-iso-one-xll-svg\/31016\/","title":{"rendered":"File insoliti: fonti impreviste di minacce informatiche"},"content":{"rendered":"

Gli autori delle minacce sviluppano costantemente nuovi schemi di attacco, dal furto di token OAuth<\/a> agli attacchi agli agenti di IA<\/a>, ma i classici non lasciano mai il loro playbook. In un dato giorno, un dipendente pu\u00f2 ricevere malware allegato direttamente a un\u2019e-mail o in agguato dietro un collegamento incorporato in un\u2019e-mail. Il successo di questi attacchi richiede ancora un certo grado di creativit\u00e0 e negli ultimi anni gli autori degli attacchi hanno adottato sempre pi\u00f9 formati di file insoliti. Gli utenti non percepiscono questi formati come pericolosi; cosa ancora pi\u00f9 importante, molte soluzioni EDR e di protezione della posta elettronica ignorano completamente la scansione. Tuttavia si sono dimostrati estremamente efficaci per la distribuzione di malware o la raccolta delle credenziali.<\/p>\n

Di seguito sono riportati i tipi di file che potrebbero essere punti ciechi nella strategia di rilevamento dell\u2019organizzazione, nonostante vengano utilizzati negli attacchi nel mondo reale.<\/p>\n

Immagini disco<\/h2>\n

Questa \u00e8 la categoria di allegati pi\u00f9 ampia e pericolosa. Un\u2019immagine disco pu\u00f2 contenere un set di file completamente preparato e strutturato correttamente, adattato a un\u2019ampia gamma di scenari di attacco. Viene montato come volume separato (disco virtuale indipendente) e, in tal caso, utilizza spesso gli strumenti integrati nel sistema operativo. La vittima non ha bisogno di estrarre nulla o creare cartelle sospette sul disco.<\/p>\n

Il formato pi\u00f9 versatile \u00e8 ISO, che risale ai tempi d\u2019oro dei CD multimediali. Le immagini ISO vengono montate in modo nativo in tutti i principali sistemi operativi senza utilit\u00e0 aggiuntive, sia tramite strumenti semplici come Esplora file che tramite l\u2019interfaccia della riga di comando. Questo \u00e8 esattamente il motivo per cui gli autori delle minacce non esitano a inviare file ISO come allegati e-mail<\/a>.<\/p>\n

Un po\u2019 meno comuni sono i contenitori IMG, che possono essere montati anche senza strumenti aggiuntivi in macOS o Linux, ma richiedono l\u2019installazione di una piccola utilit\u00e0 gratuita come OSFMount in Windows o l\u2019utilizzo di WSL2 (Windows Subsystem for Linux), integrato nelle versioni recenti di Windows. Un file con contenuto identico pu\u00f2 anche avere un\u2019estensione DD.<\/p>\n

Gli autori delle minacce utilizzano inoltre VHD<\/a>, un formato di disco virtuale nativo in Windows, che generalmente funziona anche nei computer Linux (tramite qemu-nbd o guestmount). In macOS per montarlo \u00e8 necessaria un\u2019utilit\u00e0 aggiuntiva, ancora una volta qemu-nbd \u00e8 una scelta comune. Si noti che nei sistemi Windows senza patch, la vittima non deve intraprendere ulteriori azioni dopo il montaggio del disco: CVE-2025-24993<\/a> \u2014 una vulnerabilit\u00e0 sfruttata attivamente negli attacchi nel mondo reale \u2014 attiva l\u2019esecuzione del codice dell\u2019autore dell\u2019attacco subito dopo il montaggio dell\u2019immagine.<\/p>\n

Per completezza, vale la pena rilevare anche VMDK, il formato di immagine disco utilizzato da VMware, sebbene sia in gran parte inefficace negli attacchi agli utenti regolari poich\u00e9 ogni sistema operativo popolare richiede software aggiuntivo per montarlo.<\/p>\n

Tutti questi formati di immagine possono essere visualizzati e decompressi non solo con strumenti specializzati, ma con utilit\u00e0 di archiviazione standard come 7-Zip o RAR. Di conseguenza, le probabilit\u00e0 che l\u2019utente cada nell\u2019esca sono pi\u00f9 elevate di quanto si possa sperare.<\/p>\n

Oltre a non essere un formato noto e potenzialmente pericoloso, i file di immagine offrono agli autori dell\u2019attacco un ulteriore vantaggio: i file estratti dalle immagini disco in Windows spesso non dispongono del contrassegno Flag del Web e pertanto possono essere avviati senza attivare avvisi di sistema aggiuntivi.<\/p>\n

C\u2019\u00e8 un motivo in pi\u00f9 per cui le soluzioni EPP\/EDR<\/a>devono eseguire la scansione di macchine virtuali e immagini disco: questi formati vengono utilizzati anche durante le fasi successive di un attacco. Per nascondere l\u2019attivit\u00e0 del file system attiva agli strumenti di monitoraggio, i gruppi di ransomware a volte eseguono l\u2019intero processo di criptaggio all\u2019interno di una macchina virtuale distribuita nel computer della vittima. Il ceppo ransomware RagnarLocker ha utilizzato<\/a> VirtualBox per questo scopo, mentre la campagna CRON#TRAP si \u00e8 basata su un<\/a> ambiente QEMU.<\/p>\n

File MS Office<\/h2>\n

No, non si tratta di file DOC con macro. Microsoft \u00e8 diventata cos\u00ec stanca di questo classico vettore di attacco che le macro nei documenti scaricati vengono ora bloccate completamente<\/a> e abilitarle richiede uno sforzo considerevole da parte dell\u2019utente. Tuttavia, Office si basa su decine di formati di file e alcuni di quelli meno comuni occasionalmente offrono comunque un vantaggio agli autori dell\u2019attacco.<\/p>\n

Meno familiari sia agli utenti che alle soluzioni di protezione sono i file OneNote (.one). Si tratta essenzialmente di note semplici, ma possono contenere allegati incorporati, compresi non solo immagini e collegamenti, ma anche script VBS\/WSF\/BAT. All\u2019interno della nota un allegato viene normalmente visualizzato come icona, ma gli autori dell\u2019attacco lo sovrappongono a un\u2019immagine<\/a> che mostra un messaggio con un pulsante \u201cVisualizza\u201d.<\/p>\n

Un altro formato di Office famoso tra gli autori dell\u2019attacco \u00e8 il componente aggiuntivo per Excel. Questi file utilizzano l\u2019estensione .xll ma sono, in effetti, librerie a collegamento dinamico (DLL) di Windows complete e pertanto possono disporre di funzionalit\u00e0 estese. Le vittime ricevono un\u2019e-mail dannosa con quella che sembra una fattura; l\u2019icona suggerisce che il file verr\u00e0 aperto in Excel. Ignorare l\u2019avviso di protezione pu\u00f2 causare un\u2019infezione da Infostealer<\/a>.<\/p>\n

\u201cgrafica\u201d SVG<\/h2>\n

La descrizione del formato SVG (Scalable Vector Graphics) suona del tutto innocua. In effetti, il 99% dei file SVG sono loghi e icone di interfaccia. Ma a differenza di PNG o JPG, i file SVG sono fondamentalmente documenti XML e, oltre a punti, linee e riempimenti, possono contenere JavaScript. In termini di potenziale dannoso, SVG non \u00e8 molto indietro rispetto a una pagina Web completa. Negli attacchi nel mondo reale<\/a>, i file SVG possono reindirizzare un utente a una pagina di phishing subito dopo l\u2019apertura o eseguire il rendering della pagina di phishing direttamente decomprimendo un blocco con codifica Base64 in HTML completo.<\/p>\n

I file SVG rappresentano un rischio particolare per i portali aziendali che accettano il caricamento dei file degli utenti. Se il criterio di sicurezza dei contenuti (CSP) di un portale non \u00e8 sufficientemente restrittivo e consente a un utente di caricare un file SVG dannoso, il JavaScript incorporato pu\u00f2 rubare i cookie dalla pagina, iniettare contenuto non autorizzato ed eseguire attacchi simili.<\/p>\n

File poliglotti<\/h2>\n

I formati di file poliglotti sono di per s\u00e9 meno insoliti, ma i file contengono pi\u00f9 di quanto sembri. Sono chiamati poliglotti perch\u00e9 gli autori dell\u2019attacco costruiscono un file che pu\u00f2 essere interpretato validamente in diversi modi: ad esempio pu\u00f2 essere un archivio ZIP valido e un file eseguibile valido allo stesso tempo. Lo scopo \u00e8 puramente quello di eludere il rilevamento da parte delle soluzioni di protezione e ingannare l\u2019utente. Abbiamo trattato i poliglotti in dettaglio in un post del blog separato<\/a>.<\/p>\n

Il chiaro elemento di spicco nella nostra carrellata \u00e8 una campagna dannosa che distribuisce l\u2019infostealer IcedID<\/a>. Le vittime ricevono e-mail con un allegato ZIP, che viene decompresso in un\u2019immagine disco ISO. Questo viene ulteriormente decompresso in un file CHM (il formato della Guida di Windows) che viene correttamente elaborato anche come applicazione mshta (host dell\u2019applicazione Microsoft HTML), che quindi scarica il carico utile del malware primario.<\/p>\n

Difendersi dai file insoliti<\/h2>\n

Questi attacchi si basano sul presupposto che le soluzioni di protezione non eseguano la scansione di formati di file insoliti o la eseguano solo superficialmente. La prevenzione della minaccia inizia con il non operare in base a questo presupposto per quanto riguarda la propria infrastruttura:<\/p>\n