Hola Browser per Windows compromesso da cryptominer: non si tratta della solita estensione sospetta installata per errore o di un programma scaricato da un sito poco affidabile. In questo caso il problema ha interessato direttamente la catena di distribuzione del software, trasformando un’applicazione apparentemente legittima in un possibile veicolo per l’installazione di un miner di criptovalute.
La vicenda è particolarmente interessante perché mostra uno dei problemi più difficili da gestire nella sicurezza informatica: cosa succede quando il software che scarichiamo da una fonte considerata attendibile viene compromesso prima di arrivare sul nostro computer?
Nel giugno 2026 alcuni controlli di sicurezza hanno individuato nella versione Windows di Hola Browser un eseguibile non dichiarato, successivamente collegato a un cryptominer Monero. Vediamo quindi cosa è successo, quali componenti sono stati individuati e, soprattutto, come verificare se un PC Windows mostra ancora tracce della compromissione.
Hola Browser per Windows compromesso da cryptominer: il caso in breve
- Software coinvolto: Hola Browser per Windows.
- Versione analizzata: 1.251.91.0.
- Tipo di incidente: compromissione della supply chain.
- File sospetto:
C:\Program Files\Hola\me.exe. - Payload individuato: miner di criptovaluta Monero.
- Persistenza: copia denominata
HolaMonitorService.exee servizio Windowshola_monitor_svc. - Difesa aggirata: aggiunta di un’esclusione a Microsoft Defender.
- Utenti coinvolti secondo Hola: circa lo 0,1% della base utenti.
- Furto di dati: Hola ha dichiarato che le indagini non hanno trovato evidenze di accesso o esfiltrazione dei dati degli utenti.
Questi elementi sono importanti anche per evitare un equivoco: possedere o aver installato Hola Browser non significa automaticamente avere un PC infetto. Anche la presenza della versione 1.251.91.0 rappresenta un indicatore da verificare, non una prova definitiva della compromissione.
Cosa è successo a Hola Browser
Il caso di Hola Browser per Windows compromesso da cryptominer è emerso durante i controlli periodici previsti dal programma di certificazione Windows Certified Application di AppEsteem. Durante queste verifiche, Sophos X-Ops ha individuato un file che non faceva parte dei componenti precedentemente dichiarati e certificati del browser.
L’eseguibile si chiamava me.exe e poteva comparire nella directory:
C:\Program Files\Hola\
Il file presentava diverse caratteristiche anomale. Non risultava firmato digitalmente, non disponeva di un timestamp, conteneva codice offuscato e possedeva funzionalità di scrittura nella memoria. Nessuno di questi elementi, considerato singolarmente, dimostra necessariamente la presenza di malware; la combinazione di tutti questi segnali all’interno di un’applicazione certificata ha però giustamente attirato l’attenzione dei ricercatori.
Un dettaglio ancora più importante riguardava la distribuzione: me.exe non compariva in tutte le installazioni analizzate. Questo comportamento ha suggerito che il problema non fosse semplicemente un installer contenente un file indesiderato, ma potesse interessare uno specifico punto della pipeline di distribuzione.
Hola ha successivamente confermato la compromissione della propria supply chain.
Se vuoi approfondire, qui c’è l’analisi tecnica di Sophos X-Ops sull’incidente Hola Browser
Come funzionava il cryptominer installato sul PC
Un cryptominer utilizza CPU o GPU per eseguire i calcoli necessari al mining di criptovalute. Il mining, naturalmente, non rappresenta di per sé un’attività malevola quando il proprietario del computer decide consapevolmente di eseguirlo.
Il problema nasce quando qualcuno installa e utilizza il miner senza il consenso dell’utente. In questo scenario si parla comunemente di cryptojacking: l’attaccante ottiene il beneficio economico, mentre il proprietario del computer paga in termini di consumo energetico, carico hardware e prestazioni.
Nel caso di Hola Browser per Windows compromesso da cryptominer, l’analisi ha collegato me.exe al mining di Monero.
Il comportamento individuato era particolarmente interessante perché il programma non si limitava ad avviare un processo in background. Il miner poteva:
- aggiungere un’esclusione all’antivirus Microsoft Defender;
- copiarsi nella cartella di Hola con il nome
HolaMonitorService.exe; - creare un servizio Windows persistente denominato
hola_monitor_svc; - avviarsi automaticamente;
- attivare il mining soprattutto quando il computer risultava inattivo.
Quest’ultimo comportamento rende il miner meno evidente. Un malware che porta immediatamente la CPU al 100% mentre lavoriamo attirerebbe rapidamente l’attenzione. Attivarsi nei momenti di inattività rende invece più facile confondere il consumo di risorse con normali attività di manutenzione di Windows.
Perché un attacco alla supply chain è particolarmente insidioso
La parte più interessante del caso Hola Browser per Windows compromesso da cryptominer non è in realtà il miner. Il problema più serio è il meccanismo utilizzato per distribuirlo.
Normalmente consigliamo di scaricare software esclusivamente dai siti ufficiali. È una buona regola e continua a esserlo. Un attacco alla supply chain, tuttavia, colpisce proprio questo rapporto di fiducia.
L’utente può comportarsi correttamente, utilizzare il sito del produttore e installare un’applicazione apparentemente legittima, ma ricevere comunque un componente alterato se un attaccante riesce a compromettere la pipeline di compilazione, aggiornamento o distribuzione.
Per questo motivo firme digitali, certificazione dei componenti, controllo degli aggiornamenti e monitoraggio continuo assumono un ruolo fondamentale. Dopo l’incidente, Hola ha dichiarato di aver ricostruito la propria pipeline di distribuzione e introdotto controlli più severi sulla firma del codice, sugli accessi e sui componenti distribuiti agli utenti.
Come capire se il PC può essere stato coinvolto
Se hai utilizzato Hola Browser per Windows nel periodo interessato, non conviene basarsi esclusivamente sulla sensazione che il computer sia più lento. Un sistema Windows può consumare CPU per moltissimi motivi: aggiornamenti, indicizzazione, antivirus, sincronizzazione cloud o normali applicazioni in background.
Nel caso di Hola Browser per Windows compromesso da cryptominer esistono però alcuni elementi più specifici che meritano un controllo.
Controlla la cartella di installazione di Hola
Verifica innanzitutto la presenza della directory C:\Program Files\Hola\. La presenza della cartella è normale se Hola Browser è installato; quello che interessa è verificare se compaiono file sospetti come me.exe o HolaMonitorService.exe.
Non limitarti però a cancellarli manualmente. Se il malware ha creato un servizio persistente o modificato le esclusioni di Microsoft Defender, rimuovere semplicemente l’eseguibile potrebbe lasciare altre modifiche sul sistema.
Controlla CPU e GPU
Apri Gestione attività con CTRL + SHIFT + ESC e osserva il consumo di CPU e GPU, soprattutto dopo alcuni minuti di inattività.
Ventole che aumentano improvvisamente di velocità, temperature elevate o un utilizzo consistente della CPU quando non stai eseguendo programmi pesanti rappresentano segnali da approfondire. Non costituiscono, da soli, la prova della presenza del cryptominer.
Controlla i servizi di Windows
Poiché nell’incidente è stato individuato il servizio hola_monitor_svc, la sua presenza costituisce un indicatore molto più specifico.
Puoi aprire la gestione dei servizi premendo WIN + R, digitando services.msc e premendo Invio.
Se trovi hola_monitor_svc, evita di considerare sufficiente la semplice disattivazione. Procedi con una scansione completa del computer e con la verifica degli altri indicatori.
Verifica le esclusioni di Microsoft Defender
Questo controllo è particolarmente importante perché il miner individuato dai ricercatori cercava di aggiungere un’esclusione a Microsoft Defender.
Apri Sicurezza di Windows → Protezione da virus e minacce → Gestisci impostazioni → Esclusioni e controlla la presenza di cartelle, file o processi che non riconosci.
Non eliminare automaticamente ogni esclusione: alcuni programmi legittimi potrebbero averne configurate. Un’esclusione relativa a Hola o a uno degli eseguibili citati, invece, richiede sicuramente un’analisi più approfondita.
Come rimuovere il cryptominer e controllare Windows
Se trovi indicatori riconducibili a Hola Browser per Windows compromesso da cryptominer, conviene procedere in modo ordinato invece di cancellare file casualmente.
1. Disconnetti temporaneamente il PC dalla rete
In presenza di indicatori concreti di compromissione puoi scollegare temporaneamente Wi-Fi o Ethernet. Questa precauzione limita eventuali comunicazioni del software indesiderato mentre completi i controlli.
2. Disinstalla Hola Browser se non ti serve
Se non utilizzi più il browser, rimuovilo da Impostazioni → App → App installate. Successivamente esegui comunque le scansioni antivirus: la disinstallazione dell’applicazione non garantisce automaticamente la rimozione di tutti i componenti introdotti durante una compromissione.
3. Aggiorna Microsoft Defender
Prima della scansione verifica che le informazioni di sicurezza di Microsoft Defender siano aggiornate. Le definizioni recenti migliorano la capacità di riconoscere malware e componenti indesiderati.
4. Esegui un’analisi completa
Da Sicurezza di Windows → Protezione da virus e minacce → Opzioni di analisi seleziona Analisi completa.
Una scansione completa richiede più tempo rispetto a quella rapida, ma controlla file e programmi presenti sul dispositivo.
5. Esegui Microsoft Defender Offline
Se hai trovato uno degli indicatori della compromissione, personalmente aggiungerei anche un controllo con Microsoft Defender Offline.
Questa modalità riavvia il computer ed esegue la scansione senza caricare normalmente Windows. Un malware persistente dispone quindi di minori possibilità di nascondersi o interferire con l’antivirus.
6. Riavvia e ripeti i controlli
Dopo la bonifica verifica nuovamente servizi, processi, consumo di CPU e GPU ed esclusioni antivirus. L’obiettivo non è soltanto ricevere il messaggio “nessuna minaccia rilevata”, ma accertarsi che gli indicatori precedentemente individuati siano effettivamente scomparsi.
Devo cambiare anche le password?
Qui è importante evitare allarmismi. Nel caso di Hola Browser per Windows compromesso da cryptominer, Hola ha dichiarato che le indagini non hanno rilevato prove di accesso, furto o esfiltrazione dei dati degli utenti.
Il payload descritto pubblicamente era un cryptominer, non un infostealer.
Non esistono quindi elementi pubblici che giustifichino l’affermazione secondo cui tutti gli utenti coinvolti abbiano subito un furto delle credenziali.
Tuttavia, se oltre al miner hai riscontrato accessi anomali agli account, sessioni sconosciute, modifiche delle password o altri malware, cambia le credenziali importanti utilizzando un dispositivo già verificato come pulito e abilita l’autenticazione a più fattori dove disponibile.
Gli errori da evitare durante la bonifica
- Terminare il processo e considerare risolto il problema: un servizio persistente può riavviarlo.
- Cancellare soltanto me.exe: potrebbero rimanere altri componenti o configurazioni.
- Ignorare le esclusioni di Defender: una modifica introdotta dal malware può ridurre la protezione antivirus.
- Scaricare “tool di pulizia” casuali: rischieresti di aggiungere un secondo problema al primo.
- Formattare immediatamente il PC: prima verifica l’entità della compromissione e, soprattutto in azienda, conserva eventuali informazioni utili all’analisi.
- Concludere che ogni rallentamento sia un miner: CPU alta e ventole rumorose sono sintomi generici, non indicatori definitivi.
Controllare anche i programmi in avvio automatico
Una buona bonifica non dovrebbe limitarsi al singolo elemento segnalato. Controllare periodicamente ciò che Windows avvia insieme al sistema permette di individuare programmi dimenticati, software non più necessario e comportamenti anomali.
Qui sul blog, trovi anche una guida dedicata alla gestione dell’avvio automatico dei programmi in Windows 11, utile per completare questo tipo di controllo. Puoi leggerla da qui
Il caso Hola insegna qualcosa anche alle aziende
Il caso Hola Browser per Windows compromesso da cryptominer merita attenzione anche in ambito professionale. Il vero problema di una supply chain compromessa è che il software può entrare nell’organizzazione attraverso un percorso apparentemente legittimo.
Per un’azienda non basta quindi dire ai dipendenti di “non scaricare programmi strani”. Conviene sapere quali software sono installati sugli endpoint, da quali fonti provengono e quali applicazioni possono essere eseguite.
Inventario software, EDR, privilegi utente limitati, applicazioni autorizzate, controllo dei servizi, logging e gestione centralizzata degli endpoint riducono notevolmente il tempo necessario per individuare comportamenti fuori norma.
Se un computer aziendale mostra indicatori compatibili con l’incidente, evita inoltre di cancellare immediatamente tutto. Conservare log, date, file identificati, cronologia delle rilevazioni antivirus e altre informazioni può aiutare chi dovrà ricostruire l’accaduto.
Perché il problema non è “solo” il consumo della CPU
Un cryptominer può sembrare meno grave di ransomware, spyware o malware specializzati nel furto delle credenziali. In termini di conseguenze immediate, spesso lo è.
Tuttavia, concentrarsi esclusivamente sulla criptovaluta rischia di far perdere di vista il punto principale del caso Hola Browser per Windows compromesso da cryptominer: un attaccante è riuscito a inserire codice non autorizzato all’interno di una catena di distribuzione considerata affidabile.
Oggi il payload può essere un miner. In un altro incidente potrebbe trattarsi di un infostealer, di una backdoor o di un ransomware.
La sicurezza della supply chain serve proprio a impedire che la fiducia concessa a un software legittimo venga utilizzata come scorciatoia per eseguire codice indesiderato.
Cosa ricordare prima di considerare chiuso il problema
Il caso Hola Browser per Windows compromesso da cryptominer dimostra bene perché installare software da fonti conosciute rimane necessario, ma non può rappresentare l’unica difesa.
Se hai utilizzato Hola Browser su Windows, controlla la versione installata, verifica la presenza degli indicatori descritti, esamina servizi ed esclusioni di Microsoft Defender ed esegui una scansione completa. Se trovi elementi sospetti, aggiungi anche una scansione con Defender Offline.
Allo stesso tempo, evita conclusioni non supportate dai fatti: secondo le informazioni pubblicate finora, Hola ha dichiarato che circa lo 0,1% degli utenti è stato interessato e che non sono emerse evidenze di accesso o sottrazione dei dati personali.
Hola Browser per Windows compromesso da cryptominer rappresenta quindi soprattutto una lezione sulla fiducia nel software: aggiornamenti, firme digitali, controllo della supply chain e monitoraggio del sistema devono lavorare insieme. È così che una notizia di sicurezza smette di essere semplice allarmismo e diventa prevenzione concreta.
Se vuoi approfondire questi temi e trasformare la sicurezza dei dati in una strategia concreta, nel mio libro “Backup e protezione dei dati” trovi un percorso completo che parte dai concetti fondamentali e arriva alla pratica: backup locali e remoti, NAS, cloud, regola 3-2-1-1-0, ransomware, cifratura, versioning, Disaster Recovery e procedure di ripristino. Una parte del volume è inoltre dedicata all’utilizzo di strumenti come Cobian Reflector, Acronis True Image, Uranium Backup e rsync, con esempi applicabili su Windows, Linux e macOS.
L’obiettivo è semplice: non limitarsi ad avere una copia dei propri file, ma costruire un sistema che permetta davvero di recuperare dati e tornare operativi quando qualcosa va storto. Il libro è disponibile su Amazon ed è leggibile anche tramite Prime Reading.
