Aggiornamenti recenti Luglio 26th, 2024 2:16 PM
Lug 31, 2018 Marco Schiaffino Attacchi, In evidenza, Intrusione, Malware, News, RSS, Vulnerabilità 0
L’utilizzo di pubblicità online per indurre i visitatori ad aprire pagine che contengono malware o Exploit Kit non è di certo una novità. Fino a oggi, però, gli episodi registrati erano strutturati esattamente come ci si potrebbe aspettare: falsi annunci pubblicati su siti Internet legittimi, che rimanevano online fino a quando qualcuno non si accorgeva del problema.
Quello a cui si sono trovati di fronte i ricercatori di Check Point (questo è il report originale) è però qualcosa di diverso e (anche) molto inquietante. Si tratterebbe, infatti, di un vero e proprio circuito in cui le infiltrazioni dei cyber-criminali vanno ben oltre ciò che normalmente si immagina.
Le indagini dei ricercatori sono partite dalla scoperta di una campagna di distribuzione di vari malware che utilizza RIG, uno degli Exploit Kit più famosi del momento.
Analizzando la campagna, dalle parti di Check Point si sono accorti che l’architettura dell’attacco era però piuttosto anomala. Prima di tutto perché il reindirizzamento a RIG avveniva da una pagina pubblicitaria gestita da Ads Terra, un network piuttosto conosciuto. In secondo luogo perché a questa pagina si arrivava da ben 10.000 siti Internet diversi.
Come spiegano i ricercatori, i 10.000 siti individuati hanno due caratteristiche in comune: la prima è che sono tutti gestiti con WordPress 4.7.1. Una versione vecchiotta (attualmente siamo alla 4.9.7) che ha numerose vulnerabilità che consentono l’esecuzione di codice in remoto.
La seconda è che tutti contengono un JavaScript che reindirizza i visitatori a un unico server (IP 134.249.116.78) che gli analisti di Check Point hanno ribattezzato Master134. Il server, a sua volta, reindirizza a una pagina pubblicitaria gestita da Ads Terra.
La stranezza di tutto questo si capisce se si analizza il modo in cui gli spazi pubblicitari vengono “trattati” su Internet. In sintesi, il processo vede in campo quattro tipi di soggetti: ai due estremi ci sono i gestori dei siti su cui vengono pubblicate le pubblicità e gli inserzionisti che vogliono pubblicizzare il loro prodotto.
Nel mezzo due tipi di intermediari. I network pubblicitari, che si occupano di comprare gli spazi pubblicitari e rivenderli tramite una sorta di asta, e i classici rivenditori, che di solito contattano gli inserzionisti e poi si rivolgono ai network per “piazzare” le pubblicità negli spazi che il network mette all’asta.
Trattandosi di Web, tutto questo avviene praticamente in tempo reale: quando un visitatore accede al sito, lo spazio pubblicitario che gli comparirà davanti viene venduto a un inserzionista sulla base delle sue esigenze. Banalizzando, possiamo dire che il sito non vende tanto uno spazio come siamo abituati a immaginarlo su una rivista o in TV, quanto il visitatore (il traffico) che è approdato sul suo sito.
In questo sistema, se un pirata informatico piazza delle pubblicità che contengono codice pericoloso, prima o poi viene scoperto. Se non altro, per le segnalazioni dai gestori dei siti Internet.
Nello schema individuato da Check Point, però, i cyber-criminali si sono piazzati esattamente ai due estremi dello schema: oltre ad acquistare gli spazi pubblicitari per attirare le potenziali vittime, gestiscono anche gli spazi stessi.
In pratica, nel sistema ci sono due gruppi di criminali. Uno che si occupa di violare i siti Internet e deviarne il traffico sul server Master134, vendendo poi questo traffico al network pubblicitario.
Un altro gruppo acquista invece gli spazi pubblicitari attraverso rivenditori legittimi per distribuire ransomware, trojan e altre amenità.
Nel report i ricercatori non fanno accuse dirette nei confronti di Ads Terra e dei rivenditori, che in tutto questo giro potrebbero anche agire in buona fede. Si limitano a far notare che, nella migliore delle ipotesi, il network non dimostra una grande “attenzione” a ciò che gli succede sotto il naso.
Quello che è certo, è che tutto il sistema pubblicitario dimostra un livello di fragilità e di permeabilità al cyber-crimine piuttosto scioccante. E chissà quanti altri circuiti simili ci sono in circolazione…
Giu 03, 2024 0
Mag 30, 2024 0
Mag 28, 2024 0
Feb 28, 2024 0
Lug 26, 2024 0
Lug 26, 2024 0
Lug 25, 2024 0
Lug 25, 2024 0
Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa per...Lug 24, 2024 0
Con l’obiettivo di assicurare un adeguato livello di...Lug 23, 2024 0
Le password sono ormai universalmente riconosciute come un...Lug 23, 2024 0
Sembra un numero fin troppo elevato, ma è tutto vero:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 26, 2024 0
Tanti videogiocatori si affidano ai cheat per avere più...Lug 25, 2024 0
I ricercatori di ESET hanno scoperto EvilVideo, una...Lug 25, 2024 0
Daggerfly, gruppo di cybercriminali cinesi conosciuto anche...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa...