# NeptuneRAT: il malware che svuota i PC Windows con una falsa fattura URL: https://menteinformatica.it/sicurezza-privacy/phishing-false-fatture-malware-italia/ Autore: Giorgio Perillo Aggiornato: 2026-10-01 Categoria: Sicurezza e Privacy --- **Dal mese di febbraio 2026 è attiva in Italia una campagna di phishing che usa false fatture per installare un malware chiamato [NeptuneRAT sui PC Windows](https://www.punto-informatico.it/phishing-italiano-false-fatture-distribuire-malware/) delle vittime: accesso remoto totale, furto di password e, nel caso peggiore, il sistema operativo da reinstallare da zero.** ## Come funziona la truffa: un’email, un ZIP e un disastro L’email arriva scritta in **italiano corretto** e chiede di aprire un allegato che sembra una fattura. L’allegato è in realtà un **file HTML** che apre una pagina di phishing nel browser, con un pulsante “Scarica file” che fa sembrare tutto legittimo. Se sei su Windows e clicchi, scarichi un **archivio ZIP** con dentro un file JavaScript. Eseguito quel file, inizia la catena: gli script PowerShell disattivano **Microsoft Defender**, verificano se ci sono tool di analisi in esecuzione, e caricano in memoria un loader chiamato UpCrypter. Se sei su Mac o Android, ti arriva un PDF innocuo da Google Drive: sei fuori pericolo, ma solo perché non sei il bersaglio. ⚠️ **Attenzione:** il file JavaScript va eseguito manualmente dalla vittima. Il malware si installa solo se tu clicchi e confermi l’esecuzione: non basta aprire l’email o visitare la pagina. ## Cosa fa NeptuneRAT una volta dentro il tuo PC NeptuneRAT è un **Remote Access Trojan**: apre una connessione verso un server di controllo dei cybercriminali, da cui possono operare sul tuo PC come se fossero seduti davanti alla tastiera. I ricercatori di **D3Lab**, che hanno documentato la campagna, sottolineano che il malware è noto da tempo nel panorama delle minacce. Il payload è pesante: NeptuneRAT **ruba password e dati da oltre 270 applicazioni**, sostituisce gli indirizzi dei wallet crypto con quelli degli attaccanti (se usi qualche exchange), e può installare ransomware. Il colpo finale, se i criminali lo decidono, è la modifica del **Master Boot Record**: a quel punto il PC non si avvia più e l’unica strada è reinstallare Windows da zero. La situazione italiana è monitorabile anche nel contesto più ampio delle [campagne di phishing attive nel paese](https://menteinformatica.it/sicurezza-privacy/phishing-significato-come-difendersi/). ## Cosa fare adesso, in concreto 💡 **L’analisi:** Disattivare Defender è il primo passo della catena: se ricevi una fattura via email da un mittente sconosciuto e il tuo antivirus smette di rispondere dopo averla aperta, spegni il PC e chiedi aiuto a qualcuno prima di fare altro. I danni peggiori di NeptuneRAT (ransomware + MBR) richiedono tempo per attivarsi. La regola pratica è semplice: **nessun fornitore legittimo** ti manda una fattura come file HTML. I PDF, i fogli Excel, anche i link a portali di fatturazione elettronica sono normali. Un allegato HTML che ti porta su un sito a cliccare un pulsante non lo è. Se hai già aperto qualcosa di sospetto, la priorità è **non eseguire file scaricati** e fare una scansione con uno strumento alternativo a Defender, che la campagna disattiva esplicitamente. La seconda cosa da fare è avvisare chi gestisce la posta in ufficio. Questa campagna è costruita per colpire contesti aziendali, dove le fatture arrivano ogni giorno e la soglia di attenzione si abbassa. Per chi lavora con la gestione di credenziali aziendali, il rischio di esfiltrazione massiva è concreto. Secondo me questa campagna è più pericolosa della media proprio perché è localizzata: l’italiano corretto abbassa la guardia in modo che le email generiche in inglese non riescono più a fare. Stay tech 🦾