Perché i siti web conosciuti possono infettarti?

TL;DR

Visitare siti conosciuti non garantisce sicurezza, perché pagine legittime compromesse e pubblicità infette possono reindirizzare silenziosamente il browser verso exploit e malware. Le infezioni descritte rubano credenziali, contaminano altri domini e sfruttano infrastrutture intercambiabili, mentre la fiducia nel sito può indurre gli utenti a ignorare gli avvisi dell'antivirus.

Transcript

Ciao, sono Lukas e lavoro come direttore del controllo qualità nel nostro software. Accanto a me c'è il mio collega Jiri Sidak che lavora anche lui come analista senior dei virus e ricercatore nel nostro software, nel nostro software. Il nostro software è il fornitore di Avast Antivirus, l'antivirus con oltre 130 milioni di utenti, eh. Oggi parlere... Read More

Key Insights

• I siti web legittimi possono diffondere malware senza mostrare cambiamenti visibili ai loro visitatori abituali.
• Tag iFrame o script inseriti nelle pagine compromesse possono deviare il browser verso exploit e malware.
• La fiducia in un sito già visitato può indurre l'utente a disattivare la protezione dopo un avviso antivirus.
• La famiglia ILL è chiamata infezione della porta 8080 perché le iniezioni puntano a server su tale porta.
• Il malware ILL ruba credenziali dei siti e le usa per compromettere nuovi domini e ampliare la botnet.
• Oltre tremila domini furono colpiti da cinque o più varianti, mostrando ripetute compromissioni degli stessi siti.
• Croxou usa siti compromessi per ogni parte della catena e mantiene intercambiabili i ruoli dei domini.
• La durata media dei domini usati da Croxou è stimata in circa novanta giorni, equivalenti a tre mesi.
• TaxiPorno sfrutta annunci infetti e servizi pubblicitari falsi per condurre gli utenti agli exploit kit.

Questions & Answers

Q: Perché visitare siti web conosciuti non garantisce sicurezza?

Un sito conosciuto può essere compromesso dai malintenzionati pur mantenendo lo stesso aspetto e gli stessi contenuti visibili. Nel codice della pagina possono essere inseriti tag iFrame o script che reindirizzano il browser verso domini capaci di distribuire exploit e malware. L'utente, abituato a visitare quel sito senza problemi, può interpretare l'avviso dell'antivirus come un falso positivo e disattivare la protezione. In questo modo apre una falla nel sistema proprio mentre il contenuto dannoso tenta di raggiungere il computer.

Q: Come funziona il fenomeno di fiducia nelle infezioni web?

Il fenomeno di fiducia nasce quando una persona considera affidabile un sito perché lo visita regolarmente o perché appartiene a un'azienda conosciuta. Se l'antivirus segnala un pericolo durante la navigazione, l'utente può fidarsi più del sito che del software di sicurezza e pensare a un falso positivo. La presentazione osserva anche che alcuni proprietari si lamentano con le aziende antivirus quando il loro dominio viene bloccato, prima di controllare il codice HTML. Questa fiducia facilita l'infezione quando la protezione viene ignorata o disattivata.

Q: Come si diffonde il malware della famiglia ILL?

La famiglia ILL usa un normale flusso di infezione basato su siti legittimi compromessi. Quando una persona visita una pagina infetta, viene reindirizzata verso un dominio che invia exploit e malware al computer. Il programma installato può rubare le credenziali del suo sito e trasmetterle a un server di comando e controllo. I malintenzionati impiegano poi le credenziali sottratte per infettare altri siti innocenti e creare nuovi domini di distribuzione. Il processo si ripete, coinvolgendo sia l'utente sia il suo sito nella crescita della botnet.

Q: Perché la famiglia ILL è associata alla porta 8080?

La famiglia ILL è comunemente chiamata infezione della porta 8080 perché le sue iniezioni indirizzano le vittime verso server dannosi che operano su quella porta. L'attacco iniziò con semplici tag HTML e iFrame usati per reindirizzare i browser ai domini di distribuzione del malware. Nelle generazioni successive, i responsabili aggiunsero forme di offuscamento e ampliarono progressivamente il codice iniettato. Le iniezioni arrivarono a circa quattro KB di testo, diventando più evidenti nel codice HTML ma modificabili per ostacolare le regole di rilevamento.

Q: Perché alcuni siti vengono compromessi ripetutamente dalla famiglia ILL?

I dati presentati indicano che più di tremila domini furono infettati da cinque o più varianti della famiglia ILL. Secondo i relatori, questa ripetizione suggerisce che proprietari e amministratori spesso non sappiano che i loro siti vengono sfruttati per distribuire malware. Se la compromissione non viene riconosciuta e rimossa, il dominio può rimanere infetto e tornare utile ai malintenzionati. La persistenza del problema consente quindi di colpire nuovi visitatori e di continuare il ciclo di furto delle credenziali e contaminazione di altri siti.

Q: Che cos'è l'infezione indiretta usata da Croxou?

L'infezione indiretta di Croxou è una forma particolare di download drive-by nella quale tutte le parti del vettore di infezione sono intercambiabili. Un dominio impiegato un giorno per distribuire malware può diventare in seguito il punto iniziale di reindirizzamento. Inoltre, le varie parti della catena sono ospitate su siti legittimi compromessi, non soltanto su infrastrutture create appositamente dai malintenzionati. Questa organizzazione rende difficile neutralizzare l'attacco bloccando un singolo dominio, perché il ruolo e la direzione dei componenti possono cambiare nel tempo.

Q: Come alimenta Croxou la crescita della propria botnet?

Croxou viene descritta come una botnet multistrato e autoproduttiva che usa esclusivamente siti web compromessi per ospitare i propri componenti. Distribuisce programmi capaci di rubare password, poi riutilizza le credenziali sottratte per sostenere l'espansione della rete. I domini della catena possono assumere ruoli diversi, rendendo meno efficace il semplice blocco del punto che distribuisce malware. La durata media stimata per ciascun dominio impiegato da Croxou è di circa novanta giorni, cioè tre mesi, e più di trecento domini rimasero attivi oltre tale periodo.

Q: Come diffonde malware la campagna TaxiPorno?

TaxiPorno adotta un approccio basato su pubblicità infette. Quando l'utente apre un giornale online che usa servizi pubblicitari, il browser si collega anche a tali servizi. Questi possono condividere contenuti con servizi pubblicitari falsi, creati per distribuire annunci dannosi. Attraverso le false inserzioni, la vittima viene reindirizzata verso uno o più domini di distribuzione del malware, che vengono ruotati e per questo sono definiti rotatori. Da tali domini, un exploit kit consegna il contenuto dannoso. La base utenti citata registrò oltre cinque milioni di annunci infetti bloccati.

Summary & Key Takeaways

• Un sito legittimo compromesso può conservare lo stesso aspetto mentre tag iFrame o script nascosti reindirizzano i visitatori verso exploit. La fiducia preesistente può spingerli a considerare falso l'avviso antivirus.

• La famiglia ILL, nota come infezione della porta 8080, ruba credenziali e le invia a un server di comando e controllo. Le password sottratte permettono di compromettere nuovi siti e ampliare la botnet.

• Croxou usa esclusivamente siti compromessi e può scambiare il ruolo dei domini nella catena infettiva. TaxiPorno sfrutta invece pubblicità infette, servizi pubblicitari falsi e domini di malware a rotazione.