Aggiornamenti recenti Marzo 21st, 2023 9:30 AM
Lug 31, 2018 Marco Schiaffino Attacchi, In evidenza, Intrusione, Malware, News, RSS, Vulnerabilità 0
L’utilizzo di pubblicità online per indurre i visitatori ad aprire pagine che contengono malware o Exploit Kit non è di certo una novità. Fino a oggi, però, gli episodi registrati erano strutturati esattamente come ci si potrebbe aspettare: falsi annunci pubblicati su siti Internet legittimi, che rimanevano online fino a quando qualcuno non si accorgeva del problema.
Quello a cui si sono trovati di fronte i ricercatori di Check Point (questo è il report originale) è però qualcosa di diverso e (anche) molto inquietante. Si tratterebbe, infatti, di un vero e proprio circuito in cui le infiltrazioni dei cyber-criminali vanno ben oltre ciò che normalmente si immagina.
Le indagini dei ricercatori sono partite dalla scoperta di una campagna di distribuzione di vari malware che utilizza RIG, uno degli Exploit Kit più famosi del momento.
Analizzando la campagna, dalle parti di Check Point si sono accorti che l’architettura dell’attacco era però piuttosto anomala. Prima di tutto perché il reindirizzamento a RIG avveniva da una pagina pubblicitaria gestita da Ads Terra, un network piuttosto conosciuto. In secondo luogo perché a questa pagina si arrivava da ben 10.000 siti Internet diversi.
Come spiegano i ricercatori, i 10.000 siti individuati hanno due caratteristiche in comune: la prima è che sono tutti gestiti con WordPress 4.7.1. Una versione vecchiotta (attualmente siamo alla 4.9.7) che ha numerose vulnerabilità che consentono l’esecuzione di codice in remoto.
La seconda è che tutti contengono un JavaScript che reindirizza i visitatori a un unico server (IP 134.249.116.78) che gli analisti di Check Point hanno ribattezzato Master134. Il server, a sua volta, reindirizza a una pagina pubblicitaria gestita da Ads Terra.
La stranezza di tutto questo si capisce se si analizza il modo in cui gli spazi pubblicitari vengono “trattati” su Internet. In sintesi, il processo vede in campo quattro tipi di soggetti: ai due estremi ci sono i gestori dei siti su cui vengono pubblicate le pubblicità e gli inserzionisti che vogliono pubblicizzare il loro prodotto.
Nel mezzo due tipi di intermediari. I network pubblicitari, che si occupano di comprare gli spazi pubblicitari e rivenderli tramite una sorta di asta, e i classici rivenditori, che di solito contattano gli inserzionisti e poi si rivolgono ai network per “piazzare” le pubblicità negli spazi che il network mette all’asta.
Trattandosi di Web, tutto questo avviene praticamente in tempo reale: quando un visitatore accede al sito, lo spazio pubblicitario che gli comparirà davanti viene venduto a un inserzionista sulla base delle sue esigenze. Banalizzando, possiamo dire che il sito non vende tanto uno spazio come siamo abituati a immaginarlo su una rivista o in TV, quanto il visitatore (il traffico) che è approdato sul suo sito.
In questo sistema, se un pirata informatico piazza delle pubblicità che contengono codice pericoloso, prima o poi viene scoperto. Se non altro, per le segnalazioni dai gestori dei siti Internet.
Nello schema individuato da Check Point, però, i cyber-criminali si sono piazzati esattamente ai due estremi dello schema: oltre ad acquistare gli spazi pubblicitari per attirare le potenziali vittime, gestiscono anche gli spazi stessi.
In pratica, nel sistema ci sono due gruppi di criminali. Uno che si occupa di violare i siti Internet e deviarne il traffico sul server Master134, vendendo poi questo traffico al network pubblicitario.
Un altro gruppo acquista invece gli spazi pubblicitari attraverso rivenditori legittimi per distribuire ransomware, trojan e altre amenità.
Nel report i ricercatori non fanno accuse dirette nei confronti di Ads Terra e dei rivenditori, che in tutto questo giro potrebbero anche agire in buona fede. Si limitano a far notare che, nella migliore delle ipotesi, il network non dimostra una grande “attenzione” a ciò che gli succede sotto il naso.
Quello che è certo, è che tutto il sistema pubblicitario dimostra un livello di fragilità e di permeabilità al cyber-crimine piuttosto scioccante. E chissà quanti altri circuiti simili ci sono in circolazione…
Feb 22, 2023 0
Gen 30, 2023 0
Feb 02, 2022 0
Gen 28, 2022 0
Mar 21, 2023 0
Mar 20, 2023 0
Mar 17, 2023 0
Mar 17, 2023 0
Mar 20, 2023 0
L’affermazione del lavoro ibrido e remoto ha...Mar 17, 2023 0
Il team Security Intelligence di Microsoft ha recentemente...Mar 17, 2023 0
Akamai ha pubblicato un nuovo report della serie State of...Mar 17, 2023 0
Nuove regolamentazioni all’orizzonte: dopo il GDPR,...Mar 16, 2023 0
Trend Micro ha diffuso i risultati della nuova ricerca What...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Mar 21, 2023 0
Pochi giorni fa è stata rilasciata Kali Purple, la...Mar 16, 2023 0
Mandiant, insieme al team Product Security e Incident...Mar 14, 2023 0
GitGuardian ha pubblicato il nuovo report The State of...Mar 13, 2023 0
Palo Alto Networks ha pubblicato il report State of...Mar 13, 2023 0
IBM Security ha organizzato nella cornice del Made di...