VirusTotal non è il tuo antivirus locale: cosa succede ai file che carichi

Quando un file sembra sospetto, il primo riflesso di quasi tutti è lo stesso: “lo carico su VirusTotal”. È gratuito, è di proprietà di Google, risponde in pochi secondi e mostra una lista rassicurante (o allarmante) di verdetti verdi e rossi. Lo uso anche io e lo considero uno strumento eccellente.

Però c’è una cosa che troppe persone dimenticano: VirusTotal non è un antivirus locale. Un antivirus locale guarda il file sulla tua macchina e il file resta lì. VirusTotal prende il tuo file, lo manda a decine di terze parti e ne tiene una copia. Sono due cose molto diverse, e la differenza pesa parecchio sulla privacy.

⛔ Considera ogni upload come pubblico

Tutto ciò che carichi su VirusTotal va considerato pubblicato. Anche se non lo rivedrai mai, delle copie possono arrivare a vendor, clienti e ricercatori di cui non sai nulla.

Cosa fa VirusTotal

VirusTotal è un servizio di aggregazione. Secondo la sua documentazione analizza file, URL, domini e indirizzi IP con “over 70 antivirus scanners and URL/domain blocklisting services”, cioè oltre 70 scanner antivirus e servizi di blocklist per URL e domini. In pratica:

Funzione	Cosa ottieni
Scansione di file e URL	Il verdetto di decine di motori e blocklist in un’unica pagina
Ricerca per hash	Cerchi uno SHA-256 e vedi se il file è già noto, senza caricarlo
Community	Commenti e voti degli altri utenti su file, domini e IP
Relazioni e comportamento	File correlati, domini contattati, report di comportamento in sandbox
Hunting	Per gli utenti premium, ricerca e monitoraggio di campioni (per esempio con regole YARA)
API ed estensioni	Integrazione in script, strumenti e browser

Per un ricercatore, per chi gestisce un incidente o per chi ha ricevuto un allegato strano da un mittente sconosciuto è molto utile. Il problema non è cosa fa, ma come lo fa.

L’elefante nella stanza: non è il tuo antivirus locale

Con un antivirus locale il file non lascia mai il tuo disco. Con VirusTotal lo carichi. Da quel momento:

il file viene inviato ai motori e alle sandbox dei partner, che ne hanno bisogno per dare un verdetto;
una copia viene conservata dal servizio;
il file può essere messo a disposizione di altri soggetti.

Non è un segreto, la documentazione lo dice chiaramente. Nella pagina “How it works” si legge: “The contents of submitted files or pages may also be shared with premium VirusTotal customers”, e i partner che esaminano il campione possono usare i risultati per migliorare i propri sistemi.

L’informativa sulla privacy (ultimo aggiornamento 30 novembre 2022, in vigore dal 1° gennaio 2023) va nella stessa direzione: i campioni vengono dati ai partner antivirus e sandbox per ottenere i verdetti e vengono resi disponibili a professionisti della sicurezza, aziende e ricercatori verificati, molti dei quali sono clienti o partner, per il rilevamento delle minacce e la ricerca.

Cosa significa in pratica

Non sai chi siano questi partner e clienti, in quali paesi si trovino i loro server, né per quanto tempo conservino la loro copia. Quindi l’ipotesi più sensata è che il file sia pubblicato. Una volta che un file è stato copiato in giro, cancellarlo è difficile. VirusTotal rimuove i contenuti su richiesta: in un caso raccontato da ThreatDown, un documento caricato per errore, con nomi ed email di persone di agenzie di difesa e intelligence, è stato rimosso entro un’ora. Lo stesso articolo mostra quanto sia facile trovare materiale di questo tipo: una ricerca premium di “invoice.pdf” ha restituito 17,68 mila risultati, in gran parte probabilmente mai destinati a essere pubblici.

Non è una novità. Nel 2019 la ricerca di Otorio, riportata da Claims Journal, trovò su VirusTotal migliaia di file non protetti di aziende farmaceutiche, industriali, automobilistiche e alimentari. I ricercatori non trovarono documenti caricati usati in un attacco, e VirusTotal rispose di selezionare i propri clienti e di rimuovere i caricamenti fatti per errore. Resta il fatto che quei file erano lì, a portata di ricerca.

E poi c’è l’automazione. Script, prodotti EDR o pipeline CI che caricano file su VirusTotal in automatico possono far uscire cose che nessuno ha controllato: ThreatDown spiega perché è una pessima idea.

I test con i canary file

Non volevo basarmi solo su quello che scrivono gli altri, così ho fatto un esperimento mio con i canary file: documenti ed eseguibili esca che contengono un token di tracciamento, il quale “chiama casa” quando il file viene aperto (si generano con strumenti come Canarytokens di Thinkst). Li ho caricati su VirusTotal e ho aspettato per vedere chi li apriva.

Il risultato, in termini qualitativi:

le segnalazioni sono arrivate subito, a pochi istanti dal caricamento;
le segnalazioni hanno continuato ad arrivare anche dopo mesi, da paesi diversi.

Come leggerlo:

le segnalazioni immediate sono quasi certamente le sandbox dei vendor, che aprono il file in automatico per vedere cosa fa;
quelle tardive sono più interessanti: sono coerenti con file riscansionati, riaperti o scaricati in un secondo momento, per esempio tramite gli strumenti di hunting premium. Alcune possono venire da software, altre potenzialmente da persone: analisti e ricercatori.

Una precisazione onesta: un hit del token non dimostra chi abbia aperto il file. Ottengo solo un indirizzo IP, uno user agent e una geolocalizzazione approssimativa, che possono appartenere a un sistema automatico, a un proxy o a una macchina in cloud. Quello che il test dimostra senza dubbi è che il file non resta dove l’hai messo: viene aperto da terzi, subito e per molto tempo dopo.

Un post del 2019 aveva osservato lo stesso schema: un documento Word con un token è scattato appena caricato su VirusTotal, e altri hit sono arrivati per oltre un’ora.

Cosa fare

Una checklist pratica.

Non caricare mai:

documenti, contratti, fatture;
codice sorgente, file di configurazione, .env;
chiavi, token e credenziali;
dump di database e backup;
dati dei clienti;
strumenti interni o installer che possono contenere segreti;
qualsiasi cosa coperta da NDA.

Sul fronte GDPR, caricare dati personali presso una terza parte è un trasferimento di dati che devi saper giustificare. “Volevo controllare se c’era un virus” non è una base giuridica.

Alternative migliori:

Controlla prima l’hash. Calcolalo con sha256sum file e cercalo su VirusTotal. Se il file è noto, hai la risposta senza caricare nulla.
Usa un antivirus o un EDR locale, oppure una sandbox locale. Aiutano anche gli strumenti open source: ClamAV per la scansione e YARA per le tue regole.
Private Scanning se hai davvero bisogno del motore di VirusTotal su file sensibili: secondo la documentazione, i file caricati così non vengono condivisi fuori dalla tua organizzazione e sono conservati solo per poco tempo. Richiede una licenza.
Non automatizzare i caricamenti in script o pipeline CI.

Se hai caricato qualcosa per errore:

contatta VirusTotal e chiedi la rimozione;
ruota ogni segreto che era nel file;
parti dal presupposto che sia trapelato, perché potrebbe esserlo.

⚠ Un risultato pulito non significa sicuro

Una pagina tutta verde su VirusTotal non è una garanzia: un malware nuovo o mirato può non essere ancora rilevato. Al contrario, poche rilevazioni su settanta motori non sono una certezza: i falsi positivi su packer e installer sono frequenti. VirusTotal è un indizio, non un verdetto.

Conclusione

VirusTotal è un ottimo strumento e continuerò a usarlo, per hash, URL e file già pubblici o senza valore. Ma è una piattaforma di condivisione, non un antivirus locale, e caricare un file significa consegnarne una copia a un intero ecosistema di vendor, clienti e ricercatori. I miei canary file sono stati aperti subito e per mesi dopo: mi basta per trattare ogni upload come una pubblicazione.

Prima di cliccare su “Upload” fatti una domanda: mi andrebbe bene che questo file fosse pubblico? Se la risposta è no, controlla l’hash oppure scansionalo in locale.

Un ultimo consiglio: compra e paga un antivirus vero. Un buon AV a pagamento analizza i file sul tuo computer, senza che nessuna copia ne esca, ed è mantenuto da persone pagate per tenerlo aggiornato. Anche il controllo gratuito “carica e vediamo” ha un costo, e quel costo sono i tuoi dati.