I ricercatori dirottano una botnet drive-by

Infiltrandosi in una rete informatica criminale con lo scopo di infettare i visitatori di siti Web legittimi, i ricercatori universitari hanno ottenuto informazioni di prima mano sulla portata e la portata del cosiddetto download drive-by. Hanno trovato più di 6.500 siti Web che ospitano codice dannoso che hanno reindirizzato quasi 340.000 visitatori a siti dannosi.

Il download drive-by comporta l'hacking in un sito legittimo per installare di nascosto software dannoso sui computer dei visitatori o reindirizzarli a un altro sito.

In un articolo non pubblicato, i ricercatori dell'Università della California a Santa Barbara descrivono uno studio di quattro mesi in cui hanno collegato i loro server a una raccolta di computer compromessi nota come botnet Mebroot. Tra le loro scoperte, i ricercatori hanno scoperto che, mentre i siti più squallidi su Internet, quelli che ospitano porno e download illegali, erano più efficaci nel reindirizzare gli utenti a un sito di download dannoso, i siti aziendali erano più comuni tra i referrer compromessi.

C'era una volta, pensavi che se non avessi sfogliato il porno, saresti stato al sicuro, dice Giovanni Vigna , un professore di informatica della University of California e uno degli autori dell'articolo. Ma stare lontano dai luoghi squallidi di Internet non è più una garanzia di stare al sicuro.

Scoperta per la prima volta dai ricercatori alla fine del 2007, la rete Mebroot utilizza siti Web compromessi per reindirizzare i visitatori a server di download centralizzati che tentano di infettare il computer della vittima. Il software dannoso, chiamato per la sua tattica di infettare il record di avvio principale (MBR) di un computer Windows, mostra segni di programmazione professionale, incluso un rapido ciclo di debug, affermano i ricercatori.

È sicuramente una delle botnet più avanzate e professionali in circolazione, afferma Kimmo Kasslin, direttore della risposta alla sicurezza per la società di antivirus F-Secure, con sede a Helsinki, in Finlandia.

Utilizzando una varietà di metodi, i criminali dietro Mebroot infettano i server Web legittimi con codice Javascript. Il codice reindirizza i visitatori a un dominio Internet diverso, che cambia ogni giorno, e dove un server dannoso tenta di compromettere il loro computer con un programma che fornisce ai proprietari della botnet il controllo remoto su quella macchina.

La tecnica di generazione del dominio personalizzato è un modo relativamente sofisticato per sventare i tentativi di spegnere definitivamente la rete, affermano i ricercatori. I vecchi schemi di download drive-by hanno reindirizzato le vittime a un indirizzo Web codificato. Piuttosto che un indirizzo statico, il Javascript utilizzato da Mebroot genera ogni giorno un nuovo indirizzo, simile all'algoritmo di dominio utilizzato da un altro piaga informatico chiamato Conficker. Tuttavia, poiché l'algoritmo si basa su input noti, vale a dire la data, i domini possono essere precalcolati, aiutando i difensori. Il Conficker Working Group, ad esempio, ha tentato di prenotare domini futuri con almeno un mese di anticipo.

Durante i quattro mesi in cui i ricercatori hanno studiato Mebroot, la rete di infezione ha utilizzato tre diversi algoritmi di generazione del dominio, due dei quali hanno utilizzato solo la data del giorno come input. L'ultima variante, però, aggiunge una variabile non facilmente intuibile con largo anticipo: i secondi caratteri del termine di ricerca più popolare del giorno su Twitter.

Loro (i creatori di Mebroot) hanno usato una variabile che non aveva il controllo dei cattivi o dei buoni, afferma Marco Cova, uno studente della UCSB e coautore del documento.

Dopo aver decodificato l'algoritmo di generazione del dominio, i ricercatori hanno temporaneamente dirottato Mebroot rispecchiando i passaggi che i siti Web compromessi adottano per calcolare il dominio del giorno corrente e registrando quei domini stessi. Ma i ricercatori hanno notato che quando registravano un dominio per i loro server sinkhole, la banda di Mebroot avrebbe reagito registrando i domini futuri più velocemente.

I ricercatori sono stati anche in grado di profilare la vittima tipica della rete. Quasi il 64 percento dei visitatori reindirizzati ai server dei ricercatori utilizzava Windows XP, mentre il 23 percento utilizzava Windows Vista. I successivi due sistemi operativi più popolari erano Mac OS X 10.4 Tiger e Mac OS X 10.5 Leopard, che rappresentavano il 6,4% di tutti i visitatori.

I ricercatori non hanno mai compromesso i sistemi dei visitatori. Ma sono stati in grado di trovare le prove che erano stati infettati analizzando due tipi di informazioni inviate attraverso la rete. Uno suggeriva che il 6,5 percento dei visitatori fosse stato infettato da malware. L'altro ha indicato che 13.3. la percentuale dei sistemi è stata modificata da file dannosi o indesiderati. Inoltre, più della metà, circa il 54%, utilizzava una sorta di software antivirus. I ricercatori hanno scoperto che anche circa il 12% di coloro che eseguono il software di sicurezza sono stati infettati da malware.

I ricercatori hanno anche scoperto che quasi il 70% di quelli reindirizzati da Mebroot, classificati in base all'indirizzo Internet, erano vulnerabili a una delle quasi 40 vulnerabilità utilizzate regolarmente dai più popolari toolkit di infezione progettati per compromettere i sistemi informatici. Circa la metà di quel numero era vulnerabile alle sei vulnerabilità specifiche utilizzate dal toolkit Mebroot.

La ricerca suggerisce che gli utenti devono aggiornare più spesso, afferma Vigna della UCSB.

Le patch sono molto brave a ridurre l'esposizione degli utenti finali, ma gli utenti non sono molto bravi ad aggiornare il proprio sistema, dice.

nascondere