Come capire se un file EXE è sicuro prima di aprirlo

Aprire un file eseguibile scaricato da internet è una delle azioni più rischiose che si possano fare su un computer, perché un .exe può contenere codice legittimo oppure payload malevoli in grado di installare ransomware, keylogger, trojan o backdoor con un solo doppio clic. La sensazione di sicurezza che dà un nome familiare o un sito che sembra ufficiale non basta, perché gli attacchi moderni usano siti clonati, campagne di phishing e pacchetti compressi che mascherano l’eseguibile dentro un archivio. Prima di eseguire qualsiasi programma, quindi, la regola è trattare il file come prova tecnica e non come un oggetto di fiducia: documentare da dove arriva, cosa contiene a livello strutturale e se la sua impronta digitale corrisponde a quella pubblicata dal produttore. Questo approccio non garantisce al 100% che il software sia innocuo, perché la sicurezza è un contesto, ma riduce drasticamente il rischio e crea una traccia verificabile. È proprio in questo spazio tra sospetto e verifica che entra la documentazione tecnica: estrarre metadati, leggere firme digitali, calcolare hash crittografici e registrare un timestamp. FilesAudit nasce per questo tipo di flusso di lavoro, permettendo di caricare un file e ottenere in pochi secondi un report forense con hash SHA-256, MD5, CRC32 e l’estrazione dei metadati più rilevanti, utile per chi deve archiviare prove, confrontare versioni o semplicemente capire cosa sta per aprire senza eseguirlo.

La prima domanda non è tecnica, è umana: da dove proviene il file. Un eseguibile scaricato dal sito ufficiale dell’editore, da un repository verificato come Microsoft Store, Steam o GitHub Releases con release firmate, ha un livello di affidabilità intrinsecamente superiore rispetto a un link trovato su un forum, un drive condiviso o un motore di ricerca. Se la provenienza è incerta, la risposta corretta è non aprire.

Un eseguibile Windows è un file PE, Portable Executable, con una struttura interna che contiene informazioni preziose anche senza lanciarlo. La firma digitale è il primo elemento da controllare: un .exe correttamente firmato riporta il nome del publisher, il numero di serie del certificato, la data di scadenza e l’algoritmo di firma. In Windows basta fare clic destro, Proprietà, scheda Firma digitale, e verificare che il certificato sia valido, non revocato e rilasciato da un’autorità riconosciuta. Attenzione però alle firme self-signed o a certificati emessi a nome di individui poco identificabili: sono tecnicamente presenti ma non offrono la stessa garanzia di una firma aziendale verificata. Anche la sezione Dettagli del file mostra versione del prodotto, copyright, nome dell’azienda e hash originale. Un eseguibile privo di firma, con campi vuoti o con incongruenze tra nome file e publisher dichiarato, è un segnale di allarme. In parallelo è utile esaminare il percorso di download e il nome del file: estensioni camuffate come .exe.txt, spazi finali o caratteri simili possono ingannare l’utente medio. Questi controlli visivi sono rapidi ma non sufficienti da soli, perché un malware può essere firmato con un certificato rubato o un certificato economico acquistato con identità fittizie.

Il controllo più solido e indipendente è l’impronta crittografica. Ogni file ha un hash univoco che cambia anche se si modifica un singolo bit. I produttori seri pubblicano gli hash SHA-256, spesso anche MD5, nella pagina di download o in un file checksum separato. Confrontare l’hash calcolato localmente con quello ufficiale è l’unico modo rapido per sapere se il file è identico all’originale e non è stato alterato in transito. Un esempio concreto: scarichi un installer di VLC da videolan.org, calcoli lo SHA-256 con uno strumento affidabile e lo confronti con il valore pubblicato nella sezione “Checksums”. Se combacia, hai una prova tecnica che il file non è stato manomesso dopo la pubblicazione. Se non combacia, non aprire nulla. Questa verifica è particolarmente importante per software open source, driver, aggiornamenti firmware e pacchetti di sviluppo. FilesAudit rende questo passaggio documentabile, calcolando automaticamente SHA-256, MD5 e CRC32 e producendo un PDF forense con timestamp, utile quando serve conservare la prova del controllo per audit, compliance o contenzioso. La piattaforma supporta oltre duecento formati, dagli eseguibili agli archivi, e permette di verificare rapidamente anche file annidati dentro ZIP o RAR prima di estrarli, consultando l’elenco dei formati supportati per capire cosa può essere analizzato. Per chi lavora in modo ricorrente, l’app desktop offre analisi illimitate in locale senza caricare i file su server esterni.

Oltre all’hash, i metadati del PE raccontano molto. Data di compilazione, versione del linker, presenza di risorse sospette, numero di sezioni, import di librerie rare sono indizi che un analista può valutare. Un eseguibile legittimo di un’azienda nota ha solitamente metadati coerenti, lingua del produttore corretta e una catena di risorse ordinata. Un file creato ad hoc per un attacco può mostrare timestamp recenti, compilatore poco comune o assenza totale di informazioni descrittive. L’estrazione di questi dati non richiede l’esecuzione del programma e permette di creare una scheda tecnica che resta nel tempo.

Un flusso pratico e ripetibile può essere questo. Ricevi un file setup.exe da un fornitore. Prima di tutto blocchi l’esecuzione tramite l’antivirus e Windows SmartScreen. Controlli la provenienza: email ufficiale, dominio corretto, richiesta concordata. Apri le proprietà e verifichi la firma digitale, il publisher e la data. Calcoli lo SHA-256 con uno strumento affid