Cancellare questo malware non lo rimuove. Si è trasferito dentro Chrome.
Quasi tutti i malware vogliono sopravvivere a un riavvio. Questo vuole sopravvivere alla propria cancellazione. I ricercatori di Ontinue hanno pubblicato l'analisi di una piattaforma di furto dati chiamata Lunex, e il dettaglio che colpisce è dove si parcheggia: registrato in Chrome come host di messaggistica nativa, con il nome com.lunex.explorer, con la facoltà di leggere e scrivere file ed eseguire comandi. Si elimina il programma che l'ha installato e quel canale resta lì.
L'ingresso è la solita routine. Un sito compromesso mostra quella che sembra una verifica Cloudflare, e la pagina vi chiede di copiare un comando e di eseguirlo. Dello stesso trucco abbiamo scritto quando è comparso su un dominio usato in mille esempi di codice. Il comando scarica un installer, che aggira in silenzio la richiesta di autorizzazione di Windows e poi fa qualcosa di più elegante che spegnere l'antivirus. Carica un driver AMD per la gestione dell'alimentazione, autentico e regolarmente firmato, con un difetto noto, e lo usa per azzerare le notifiche del kernel su cui contano fino a venti prodotti di sicurezza. Tutto sembra ancora in funzione. Semplicemente, nessuno gli racconta più niente.
Poi svuota i cassetti: password salvate e cookie di sessione di sette browser Chromium, tra cui Chrome, Edge, Brave, Opera e Vivaldi, oltre ai portafogli di criptovalute installati e alle loro estensioni.
L'unico passaggio che dipende da voi è il copia e incolla. Nessun sito legittimo ha mai chiesto a qualcuno di incollare un comando nella finestra Esegui per dimostrare di essere umano, e questa sola regola fa cadere l'intera catena. Se pensate di averlo fatto, date per scontato che siano andati anche i cookie: cambiare le password non basta, bisogna disconnettere tutte le sessioni sugli account importanti. Tendvane non è un antivirus e non ripulisce un'infezione, ma il suo controllo di sicurezza elenca le estensioni del browser e i programmi che partono all'avvio, cioè proprio i posti in cui queste cose amano sistemarsi.