PUP o Potentially Unwanted Program, cosa devi sapere

Un Potentially Unwanted Program, abbreviato in PUP, è un programma potenzialmente indesiderato che arriva sul dispositivo insieme a qualcos’altro. Non può essere definito malware in senso stretto, ma può comunque compromettere il funzionamento e le prestazioni della macchina su cui si installa.

In questo articolo vediamo che cosa sono, perché la distinzione dal malware è più giuridica che tecnica, e come riconoscerli e rimuoverli.

1. Che cos’è un PUP
2. Che cosa lo differenzia da un malware
3. Perché si scarica software da siti terzi
4. Bloatware: i PUP preinstallati
5. Quali conseguenze comporta
6. Come rimuoverli dal dispositivo

Che cos’è un PUP

Con Potentially Unwanted Program si indica qualunque software inserito nel pacchetto di installazione di un programma legittimo.

Il punto a cui prestare attenzione è il portale da cui si scarica l’applicativo. Se il download avviene su un sito di terze parti anziché sul canale ufficiale del produttore, la probabilità che insieme al programma arrivi altro è alta.

La definizione tecnica del fenomeno è download in bundle: il file di installazione che l’utente vuole davvero è impacchettato insieme ad altri file. Proprio per questa caratteristica i PUP vengono chiamati anche:

• bundleware
• crapware
• junkware
• Potentially Unwanted Application.

Possono avere due nature. Raramente si tratta di componenti effettivamente utili, come guide o kit di installazione. Molto più spesso sono programmi di scarsa o nulla utilità per chi li ha scaricati senza saperlo, e da qui l’aggettivo “indesiderati”.

Nei casi peggiori sono veicoli di codice malevolo: spyware che raccolgono informazioni, adware che inseriscono pubblicità, file spazzatura che occupano risorse. I canali di diffusione più comuni sono le barre degli strumenti per il browser, i programmi di ottimizzazione del sistema e le versioni non ufficiali di applicativi molto noti.

Che cosa lo differenzia da un malware

Prima che l’installazione di un software venga avviata, l’utente ha la possibilità di leggere e accettare un contratto di licenza, noto come EULA, End User Licence Agreement.

Il problema è che quasi nessuno lo legge.
Chi lo facesse scoprirebbe che fra le clausole finali è spesso indicata l’autorizzazione allo scaricamento e all’esecuzione automatica di componenti aggiuntivi.

C’è poi una seconda tecnica, altrettanto efficace. Durante l’installazione i componenti facoltativi vengono presentati con caselle già selezionate, e un utente poco esperto li interpreta come parti essenziali del programma. Se non fossero preselezionate, nessuno le sceglierebbe di propria iniziativa.

Il fattore che distingue un programma potenzialmente indesiderato da un malware è quindi il consenso che l’utente accorda sottoscrivendo la licenza.
È una differenza giuridica prima che tecnica, e serve esattamente a questo: rende molto più difficile agire per via legale contro chi lo distribuisce.

Perché si scarica software da siti terzi

I veicoli più comuni dei PUP sono programmi conosciutissimi e di per sé legittimi. La domanda utile è perché li si scarichi da siti diversi da quello del produttore.

Le ragioni sono tre. La prima è che i siti aggregatori di download investono molto in posizionamento e comparsa a pagamento, quindi occupano le prime posizioni dei risultati di ricerca accanto al sito ufficiale. La seconda è che presentano recensioni, valutazioni e pulsanti di download molto visibili, mentre i siti dei produttori sono spesso più scarni e difficili da navigare. La terza è che in azienda capita di cercare una versione specifica o più vecchia di un programma, e quella sui canali ufficiali non c’è più.

Va detto anche che un sito clone del portale ufficiale ottiene lo stesso risultato con meno sforzo, ed è uno dei motivi per cui vale la pena sapere come si verifica l’affidabilità di un sito prima di scaricare qualcosa.

Bloatware: i PUP preinstallati

Fin qui abbiamo parlato di software scaricato volontariamente. Passa più spesso inosservata un’altra categoria: i componenti che si ereditano acquistando un dispositivo nuovo.

Non sono solo i distributori terzi a riempire i pacchetti di installazione con programmi non richiesti. Lo fanno anche i produttori di dispositivi, e in quel caso si parla di bloatware.

Il meccanismo è commerciale. Il bloatware è una fonte di ricavo per chi vende il dispositivo e una vetrina per chi produce il software, che paga per essere preinstallato. L’auspicio dichiarato è che quegli applicativi risultino utili e vengano usati. Nella pratica occupano spazio, consumano risorse in background e in alcuni casi raccolgono dati.

In ambito aziendale il tema ha un risvolto concreto: un dispositivo consegnato a un dipendente con quindici programmi preinstallati che nessuno ha censito è quindici superfici in più da aggiornare, e quasi sempre nessuno le aggiorna. È lo stesso problema che abbiamo descritto parlando di inventario degli asset.

Quali conseguenze comporta

Quando il programma scaricato accidentalmente si rivela di natura malevola, gli effetti ricorrenti sono questi.

• Esecuzione costante in background, con consumo di memoria e processore anche quando l’utente non sta facendo nulla
• Tracciamento dell’attività, quando il componente si comporta come spyware
• Pubblicità intrusiva iniettata nelle pagine visitate, tipica dell’adware
• Dirottamento della navigazione verso siti non richiesti, fenomeno che abbiamo trattato parlando di dirottamento del browser
• Modifica del motore di ricerca predefinito, con risultati che portano verso portali non affidabili
• Rallentamento generale e instabilità del dispositivo

C’è poi un aspetto che riguarda le aziende più dei privati. Un programma che gira in background su una postazione di lavoro, installato senza che nessuno lo sappia, è un componente non censito e non aggiornato all’interno del perimetro. Le sue vulnerabilità non compaiono in nessun processo di patch management, perché nessuno sa che esiste.

Come rimuoverli dal dispositivo

La prima opzione, per chi non vuole procedere a mano, sono gli strumenti antimalware aggiornati, che riconoscono la maggior parte dei PUP più diffusi.

Per la rimozione manuale su Windows il percorso è breve. Si accede alle Impostazioni dal menu Start, si apre la sezione App e poi App e funzionalità, e si scorre l’elenco cercando programmi di cui non si ricorda l’installazione. Conviene ordinare per data: i componenti arrivati insieme a un altro software hanno la stessa data di quello.

Dopo la disinstallazione restano due passaggi che vengono quasi sempre saltati. Le estensioni installate nel browser vanno rimosse separatamente, perché non spariscono con il programma. E le impostazioni del browser, in particolare pagina iniziale e motore di ricerca predefinito, vanno riportate ai valori originali, perché la modifica resta anche quando il componente non c’è più.

La misura che evita tutto questo è una sola: scaricare software esclusivamente dai siti ufficiali dei produttori, e durante l’installazione scegliere sempre la modalità personalizzata invece di quella rapida. È in quella schermata che compaiono le caselle preselezionate.