Virus informatico: cos’è, come funziona e come eliminarlo

“Ho preso un virus”: è la frase con cui da quarant’anni si racconta qualsiasi infezione informatica. Eppure il virus informatico in senso proprio è una categoria precisa di minaccia, definita da un meccanismo tecnico che la distingue da tutte le altre: la capacità di replicarsi inserendo il proprio codice all’interno di altri file e programmi.

In questa guida analizziamo cos’è un virus informatico dal punto di vista tecnico, se virus e malware sono la stessa cosa, come funziona il ciclo di infezione, quali tipologie esistono e come operano, come si diffondono, come riconoscere un’infezione e come eliminarla e prevenirla.

1. Cos’è un virus informatico
2. Virus informatici e malware sono la stessa cosa?
3. Come funziona un virus: il ciclo di infezione
4. Tipi di virus informatici
5. Breve storia dei virus informatici
6. Come si diffondono i virus
7. I sintomi di un’infezione da virus
8. Come eliminare un virus informatico
9. Come prevenire le infezioni
10. Conclusioni

Cos’è un virus informatico

Un virus informatico è un programma o un frammento di codice malevolo che si replica inserendo copie di sé stesso all’interno di altri file, programmi o aree del sistema. Tecnicamente, il virus non è un eseguibile autonomo: è codice parassita che ha bisogno di un ospite — un file eseguibile, un documento con macro, il settore di avvio di un disco — a cui agganciarsi, e di un’esecuzione da parte dell’utente o del sistema che lo attivi.

L’aggancio all’ospite avviene tipicamente per appending (il codice virale viene accodato al file e il punto di ingresso del programma viene dirottato verso di esso) o per prepending (il codice viene anteposto, così da eseguirsi per primo). In entrambi i casi, dopo l’esecuzione del payload virale il controllo torna al programma originale: l’utente vede il software funzionare normalmente, e l’infezione passa inosservata.

Da quel momento il ciclo si ripete: ogni file contagiato diventa a sua volta un vettore, dentro lo stesso sistema e verso altri dispositivi. Questa replicazione tramite ospite è la proprietà che definisce il virus in senso proprio.

Virus informatici e malware sono la stessa cosa?

No, virus informatici e malware non sono la stessa cosa: il malware è la categoria generale che comprende tutti i software malevoli, mentre il virus è una specifica tipologia di malware, caratterizzata dalla capacità di replicarsi infettando altri file. In ambito informatico, quindi, i virus sono un tipo di malware — ogni virus è un malware, ma non ogni malware è un virus.

Il termine malware — da malicious software — copre ransomware, trojan, spyware, worm, adware, rootkit e, appunto, virus. Ciò che distingue tecnicamente il virus dalle altre famiglie sono due requisiti:

La dipendenza da un ospite. Il codice virale non esiste come file autonomo: vive innestato in altri file o strutture del disco. Il worm, per contrasto, è un programma standalone che si propaga autonomamente sfruttando la rete e le vulnerabilità dei servizi, senza bisogno di infettare file.

La dipendenza dall’esecuzione. Un virus resta inerte finché l’ospite non viene eseguito: un file infetto su una chiavetta USB non produce alcun effetto finché non viene aperto. Il worm, di nuovo per contrasto, non richiede alcuna interazione umana.

L’uso di “virus” come sinonimo di qualunque infezione è un retaggio degli anni Novanta, quando i virus dominavano il panorama delle minacce. Oggi rappresentano una quota minoritaria del malware in circolazione — ransomware e trojan hanno preso il sopravvento — ma il loro meccanismo di replicazione sopravvive integrato nelle minacce ibride moderne.

Come funziona un virus: il ciclo di infezione

Il ciclo di vita di un virus si articola in quattro fasi tecniche ricorrenti:

1. Ingresso (delivery). Il file ospite infetto raggiunge il dispositivo: allegato email, download, supporto rimovibile, condivisione di rete.
2. Attivazione (trigger). L’esecuzione dell’ospite trasferisce il controllo al codice virale. Alcuni virus si attivano immediatamente; altri implementano una logic bomb, una condizione di innesco differita: una data precisa, un numero di esecuzioni, un evento di sistema. La fase dormiente serve a massimizzare la diffusione prima che l’infezione si manifesti.
3. Replicazione (propagation). Il virus enumera i bersagli disponibili — eseguibili, documenti, settori di avvio, condivisioni — e vi innesta copie del proprio codice. I virus più evoluti marcano i file già infettati per evitare reinfezioni che ne aumenterebbero la dimensione in modo sospetto.
4. Esecuzione del payload. Il virus compie l’azione per cui è stato scritto: corruzione o cancellazione di file, degrado delle prestazioni, disattivazione delle difese, apertura di una backdoor per malware successivi.

Tipi di virus informatici

Le famiglie si classificano in base a cosa infettano e a come eludono il rilevamento.

Virus da file (file infector)

Si innestano negli eseguibili (.exe, .com, librerie) dirottandone il punto di ingresso. Ad ogni avvio del programma infetto, il codice virale viene eseguito per primo e cerca nuovi bersagli.

Virus del settore di avvio (boot sector e MBR)

Infettano il Master Boot Record o il settore di avvio delle partizioni, caricandosi in memoria prima del sistema operativo — e quindi prima di gran parte delle difese. Dominanti nell’era dei floppy, sopravvivono in varianti che colpiscono i supporti USB avviabili.

Macro virus

Scritti nei linguaggi macro delle suite da ufficio (VBA in particolare), si annidano in documenti Word ed Excel e si attivano all’apertura del file. Sono tornati centrali perché i documenti da ufficio sono il vettore preferito delle campagne email malevole: è il motivo per cui le macro da fonti non attendibili andrebbero sempre mantenute disabilitate.

Virus residenti in memoria

Si installano nella RAM e agganciano (hooking) le chiamate di sistema: intercettano le operazioni di apertura e scrittura dei file e infettano ogni ospite toccato, anche dopo che il file originario è stato rimosso.

Virus polimorfici e metamorfici

La famiglia tecnicamente più evoluta. I polimorfici cifrano il proprio corpo e rigenerano a ogni replicazione la routine di decifratura tramite un motore di mutazione, così che nessuna copia abbia la stessa firma; i metamorfici vanno oltre e riscrivono il proprio codice a ogni generazione. Entrambi nascono per eludere il rilevamento basato su firme: ne abbiamo parlato nell’articolo sul malware polimorfo.

È questa evoluzione ad aver reso insufficiente l’antivirus tradizionale: contro codice che cambia forma a ogni infezione servono analisi euristica e comportamentale, che non cercano una firma nota ma osservano cosa il codice fa — scritture anomale su eseguibili, modifiche al settore di avvio, hooking delle API di sistema.

Breve storia dei virus informatici

Il concetto di programma auto-replicante viene formalizzato dal matematico John von Neumann nel 1949, con la teoria degli automi capaci di riprodurre il proprio codice — decenni prima di qualsiasi virus reale. Il primo virus diffuso “in natura” su personal computer è Elk Cloner (1982), un boot sector virus per Apple II; nel 1986 arriva Brain, primo virus per PC IBM, anch’esso da settore di avvio, capace di diffondersi in tutto il mondo attraverso i floppy disk.

Gli anni Novanta sono l’età dell’oro: Michelangelo (1992) implementa una logic bomb con attivazione a data fissa, CIH/Chernobyl (1998) arriva a sovrascrivere il BIOS delle macchine infette, Melissa (1999) inaugura l’era dei macro virus di massa veicolati via email. Con gli anni Duemila il virus classico cede il passo a worm, trojan e ransomware, più adatti al nuovo scopo del cybercrime: il profitto. Abbiamo raccolto i casi più celebri nella nostra classifica dei peggiori virus informatici.

Come si diffondono i virus

• La prima causa di diffusione dei virus informatici è l’apertura di allegati email infetti: documenti e archivi veicolati da messaggi costruiti per sembrare legittimi restano il vettore statisticamente dominante. Gli altri canali principali:
• Download da fonti non affidabili. Software pirata, crack, programmi fuori dai canali ufficiali: l’utente esegue volontariamente l’ospite infetto.
• Supporti rimovibili. Chiavette USB e dischi esterni, il metodo più antico e ancora attuale negli ambienti aziendali e industriali, anche come veicolo dei boot sector virus moderni.
• Condivisioni di rete e cloud sincronizzato. Un file infetto in una cartella condivisa si propaga automaticamente su tutti i dispositivi che la sincronizzano.
• Messaggistica istantanea. Link e file malevoli distribuiti via chat, facendo leva sulla fiducia tra contatti.

I sintomi di un’infezione da virus

I segnali che devono insospettire:

1. Rallentamento improvviso del dispositivo o dei programmi
2. File che scompaiono, si corrompono o cambiano dimensione senza motivo
3. Messaggi di errore anomali o finestre indesiderate
4. Programmi che si chiudono o si avviano da soli
5. Riduzione inspiegabile dello spazio su disco
6. Antivirus o difese disattivate senza intervento dell’utente
7. Problemi o anomalie all’avvio del sistema
8. Attività di rete anomala a dispositivo inattivo

Un sintomo isolato non è una diagnosi: per stabilire se si tratta di un virus, di un altro malware o di un problema di natura diversa servono verifiche tecniche.

Come eliminare un virus informatico

Se l’infezione è confermata o fortemente sospetta:

Isolare il dispositivo. Scollegarlo dalla rete, cablata e Wi-Fi, per impedire la propagazione — passaggio critico in azienda.

Eseguire una scansione completa in modalità provvisoria. L’avvio minimale impedisce ai virus residenti in memoria di caricarsi e ostacolare la bonifica; un software di sicurezza aggiornato individua e mette in quarantena la maggior parte delle minacce note.

Rivolgersi a specialisti nei casi complessi. Virus polimorfici, infezioni del settore di avvio o compromissioni estese richiedono intervento professionale: la rimozione di un virus può arrivare a richiedere formattazione e ripristino da backup.

Cambiare le credenziali dopo la bonifica. Se il virus ha fatto da apripista ad altri malware, le password usate sul dispositivo infetto vanno considerate compromesse.

Come prevenire le infezioni

La prevenzione resta l’arma più efficace, e passa da poche regole costanti:

1. Non aprire allegati inattesi o da mittenti sconosciuti
2. Mantenere disabilitate le macro nei documenti da fonti non attendibili
3. Scaricare software solo da fonti ufficiali
4. Aggiornare tempestivamente sistema operativo e applicazioni
5. Diffidare di chiavette USB e supporti di provenienza incerta
6. Effettuare backup regolari, con una copia isolata dalla rete
7. Limitare i privilegi degli account di uso quotidiano
8. Adottare una protezione endpoint professionale con analisi comportamentale, gestita e centralizzata
9. Formare le persone: la prudenza di chi usa il dispositivo vale quanto la tecnologia che lo protegge

Conclusioni

Il virus informatico è la minaccia che ha dato il nome a un’intera epoca della sicurezza, e capirne il meccanismo — l’ospite, l’innesco, la replicazione, l’elusione — significa capire le fondamenta tecniche su cui si è evoluto tutto il malware moderno. Oggi non è più la minaccia dominante, ma resta attivo, si ibrida con le tecniche più recenti e continua a sfruttare lo stesso punto debole di sempre: un’esecuzione concessa con troppa leggerezza.

Riconoscere presto i sintomi e disporre di difese capaci di analisi comportamentale fa la differenza tra un fastidio contenuto e un incidente serio.