Repository GitHub falsi che diffondono malware
✓ Scheda corretta il 3 ottobre 2026 dopo un nuovo confronto con la fonte. Come teniamo aggiornate le schede
Cosa sta succedendo
Dei criminali hanno creato oltre 7.600 finti depositi di software su GitHub (un sito dove i programmatori condividono programmi) per far scaricare programmi pericolosi a utenti ignari. I finti depositi imitano strumenti conosciuti come Gmail, WhatsApp, Docker o Jenkins, con descrizioni e documentazione dall’aspetto credibile, e invitano a scaricare archivi ZIP presentati come programmi di installazione. Dentro ci sono invece SmartLoader e StealC, programmi che servono a rubare password, dati bancari e informazioni personali. È come un negozio contraffatto: la confezione sembra autentica ma dentro c’è qualcosa di dannoso. Il rischio riguarda chi scarica e installa questi file sul computer.
Esempio concreto
Immagina di cercare online un programma gratuito e di arrivare su una pagina GitHub che sembra autentica: descrizione curata, molte stelle di apprezzamento, nome di uno sviluppatore vero. Le istruzioni ti invitano a scaricare un archivio ZIP presentato come installatore. Lo apri e lo avvii: in realtà avvia un programma nascosto che si installa sul computer e comincia a copiare le password salvate nel browser, comprese quelle della banca e della email, per inviarle ai criminali.
Cosa fare se hai un iPhone (Apple)
1. Scarica app SOLO dall’App Store ufficiale Apple: apri l’App Store (icona blu con la A bianca) e cerca l’app direttamente lì, mai da link trovati online. 2. Controlla i permessi delle app già installate: vai in Impostazioni, poi Privacy e sicurezza, e scorri l’elenco per vedere quali app hanno accesso a fotocamera, microfono e posizione. Rimuovi quelle sospette. 3. Attiva il blocco schermo sicuro: vai in Impostazioni, poi Face ID e codice (o Touch ID e codice) e assicurati di avere un codice di 6 cifre attivo. 4. Controlla le password salvate: vai in Impostazioni, poi Password, e verifica se appare qualche avviso di password compromessa. Cambia subito quelle segnalate. 5. Tieni iOS aggiornato: vai in Impostazioni, poi Generali, poi Aggiornamento software, e installa tutti gli aggiornamenti disponibili.
Cosa fare se hai un Android
1. Disattiva l’installazione da fonti sconosciute: vai in Impostazioni, poi Sicurezza e privacy, poi Installa app sconosciute, e assicurati che tutte le app presenti abbiano il permesso disattivato. Scarica solo dal Google Play Store ufficiale. 2. Esegui una scansione con Play Protect: apri il Google Play Store, tocca la tua foto profilo in alto a destra, poi Play Protect, poi Scansione. Se trova minacce, segui le istruzioni per rimuoverle. 3. Controlla le app installate di recente: vai in Impostazioni, poi App, poi Vedi tutte le app. Cerca quelle installate di recente e disinstalla qualsiasi app che non ricordi di aver scaricato tu. 4. Cambia le password importanti: se hai scaricato programmi o app da fonti non ufficiali negli ultimi mesi, cambia subito le password di email, banca e social network. Usa password diverse per ogni servizio. 5. Mantieni Android aggiornato: vai in Impostazioni, poi Informazioni sul telefono, poi Aggiornamento software, e installa tutti gli aggiornamenti disponibili.
Cosa NON fare
- Non scaricare mai programmi o app da link trovati su forum, gruppi WhatsApp o siti non ufficiali, anche se sembrano consigliati da persone fidate.
- Non cliccare su link diretti a siti di programmatori come GitHub se non sai esattamente cosa stai scaricando: questi siti sono pensati per sviluppatori, non per chi usa il telefono o il computer nella vita di tutti i giorni.
- Non ignorare gli avvisi del tuo telefono o del tuo antivirus quando scarichi un file: se appare un messaggio di avviso, fermati e non procedere.
- Non usare la stessa password per più servizi: se i criminali rubano una password, con password diverse non possono accedere a tutto il resto.
- Non installare mai file APK su Android (cioè file di installazione scaricati da siti esterni): usa sempre e solo il Google Play Store ufficiale.
Domande frequenti su questa truffa
Le risposte alle domande che ci arrivano più spesso.
Come riconosco un repository GitHub falso che diffonde malware?
Cosa rischio se scarico e installo uno di questi file?
Da dove dovrei scaricare le app per stare sicuro?
Cosa faccio se temo di aver installato un'app pericolosa su Android?
Devo cambiare le mie password dopo un sospetto di infezione?
Posso installare file APK su Android se vengono da un sito che sembra affidabile?
Come scegliamo le fonti e come nasce ogni scheda: il nostro metodo.
🔗 Fonte: BleepingComputer, testata specializzata — articolo originale →
