Stream.ts che si scarica da solo: cause e soluzioni definitive

Un download automatico di un file denominato Stream.ts può spaventare, ma nella maggior parte dei casi si tratta solo di un frammento video o di testo TypeScript scaricato per errore dal server: basta eliminarlo e seguire alcune semplici buone pratiche di sicurezza per dormire sonni tranquilli.

Indice

Cos’è `Stream.ts` e perché appare all’improvviso

Il suffisso .ts indica due famiglie di file molto diverse:

MPEG Transport Stream (MPEG‑TS) – lo standard impiegato nei flussi video HTTP Live Streaming (HLS) di Apple, nei video on‑demand e in molte dirette online. Un video HLS viene “spezzettato” in decine o centinaia di piccoli segmenti (tipicamente da 2 a 10 secondi), ciascuno salvato con estensione .ts.
TypeScript – linguaggio tipizzato che si compila in JavaScript. Un file sorgente TypeScript ha estensione .ts ma non è eseguibile finché non viene tradotto in JavaScript; aperto in un editor di testo mostra puro codice.

Quando il server o il CDN sbagliano a inviare l’intestazione Content‑Type (per esempio application/octet-stream invece di video/mp2t) o, peggio, impongono Content-Disposition: attachment, il browser interpreta la risorsa come file da scaricare e la salva nella cartella Download senza alcun clic dell’utente.

Analisi delle origini possibili

Ipotesi	Dettagli	Intestazioni HTTP tipiche	Rischio stimato
Segmento video HLS	Frammento da 2–10 s in MPEG‑TS; il player JS tenta di riprodurlo, ma il server impone il download.	`Content‑Type: video/mp2t` `Content‑Disposition: attachment`	Basso (file non eseguibile)
File sorgente TypeScript	Pagine SPA scaricano dinamicamente moduli TS per debug; un proxy mal configurato li rende allegati.	`Content‑Type: text/plain`	Basso
Errore lato server / CDN	Cache intermedia sostituisce MIME‑Type o fornisce header fuorvianti.	Variabile	Basso–Medio
Estensione del browser	Add‑on di download manager o ad‑block interferisce con la risposta HTTP.	—	Variabile
Man‑in‑the‑Middle (MITM)	Solo se il sito non usa HTTPS o presenta certificati sospetti; l’attaccante sostituisce parti dello stream con un payload dannoso.	—	Medio (scenario raro)

Rischi reali contro rischi percepiti

Un file .ts non è un eseguibile Windows, macOS o Linux. Anche qualora contenesse codice malevolo, verrebbe considerato un semplice blocco di dati a meno che l’utente non:

lo apra con un programma capace di eseguirlo (es. ffplay) e che sfrutti una vulnerabilità nel parser MPEG‑TS;
lo rinomini manualmente in .exe o simili (cosa improbabile);
lo importi in un progetto TypeScript e lo compili inconsapevolmente.

In altre parole, il pericolo concreto è ridotto: il file potrebbe contenere exploit steganografici contro player video o IDE, ma l’evento è statisticamente trascurabile. L’allarme principale riguarda la scarsa igiene del sito che lo distribuisce.

Come verificare che il file sia innocuo

Non aprirlo; spostatelo subito nel cestino.
Scansione antivirus: Windows Defender, ClamAV o qualunque antivirus residente è sufficiente.
Controllo signature del file: aprite il file con un editor esadecimale. Se i primi byte sono 47 40 o 47 41 (la sync byte di MPEG‑TS), si tratta di un frammento video.
Usare ffprobe: ffprobe -v error -showformat -showstreams Stream.ts Se il tool restituisce parametri audio/video (codec, durata), è un segmento HLS.
Usare il comando file (Linux/macOS): file Stream.ts L’output “MPEG transport stream data” conferma la natura video.
Analizzare le intestazioni di risposta in DevTools → Network per capire perché il browser effettua il download.

Contromisure rapide

Eliminate il file e svuotate il cestino.
Eseguite una scansione antivirus completa.
Verificate che il sito usi HTTPS con certificato valido.
Aggiornate browser, sistema operativo ed estensioni.
Disattivate estensioni non essenziali; riavviate il browser.
Svuotate cache e cookie.
Cambiate la password dell’account legato al sito e abilitate la 2FA dove possibile.
Segnalate l’anomalia al gestore del sito o al CDN.
Evitate di accedere di nuovo al sito da dispositivi mobili finché il problema non è risolto.
Tenete d’occhio la cartella Download per eventuali nuovi file sospetti.

Procedure avanzate di diagnosi

Sniffare il traffico con Wireshark

Filtrate il dominio incriminato (ip.addr == X.X.X.X) e salvate il pacchetto HTTP/2 che include il download: controllate le intestazioni content-type e content-disposition.

Test con `curl -I`

Da terminale:

curl -I https://example.com/stream/segment_00001.ts

Valutate i valori di Content-Type e Content-Disposition.

Usare un server proxy locale (Fiddler, mitmproxy)

Instradate il browser attraverso il proxy per registrare e ispezionare le risposte HTTP in tempo reale; individuate rapidamente chi forza il download.

Buone pratiche di sicurezza per i browser

Isolate i siti dubbi in un profilo separato o, meglio, in un container browser (Firefox Multi‑Account Containers, Edge Workspaces).
Utilizzate la sandbox integrata di Chrome/Edge e disattivate l’apertura automatica di file scaricati.
Separate i download: preferite una cartella diversa da quella predefinita, in modo da notare file inattesi.
Abilitate l’analisi SmartScreen o Safe Browsing per bloccare URL noti per distribuire malware.
Eseguite backup regolari; in caso di infezione potrete ripristinare lo stato precedente.

Domande frequenti

Se il file torna a scaricarsi, il PC è infetto? Non necessariamente. Probabilmente è ancora il sito o un’estensione ad avviare il download. Ripetete le operazioni di pulizia e disattivate tutte le estensioni per testare un profilo “pulito”. Posso semplicemente ignorare il file? È preferibile rimuoverlo, pur sapendo che il rischio è basso. I download indesiderati occupano spazio e, in casi rarissimi, potrebbero celare exploit zero‑day. Un firewall può prevenire la ricomparsa? Sì, bloccando l’URL specifico del manifesto HLS o dell’intero dominio, ma di solito è un blocco eccessivo: aspettate che il gestore del sito risolva il problema.

Conclusioni

Il download involontario di Stream.ts è quasi sempre il risultato di un’impostazione errata del server o di un’estensione troppo zelante. Poiché un file .ts non contiene codice eseguibile, il pericolo concreto di infezione è minimo. Tuttavia, la prudenza rimane d’obbligo: eliminate il file, effettuate una scansione antivirus, verificate che il sito impieghi HTTPS corretto e informate il gestore del servizio. Se osservate di nuovo lo stesso comportamento, tenete un log dei pacchetti o delle intestazioni HTTP e inoltratelo all’assistenza del sito: fornirete prove tecniche utili a risolvere definitivamente il disservizio.

Seguendo le pratiche di cyber‑igiene illustrate, manterrete il vostro browser (e i vostri dati) al riparo da sorprese.