La truffa perfetta

Non molto tempo dopo che il principe William e Kate Middleton si sono scambiati i voti il ​​29 aprile, un ritratto di matrimonio del 1981 della defunta madre dello sposo, la principessa Diana, è apparso come una delle prime tre immagini per le persone che digitavano il termine di ricerca più popolare su Google quella mattina: matrimonio reale copertura. Ma il collegamento era un filo di viaggio. Gli artisti della frode avevano truccato un sito Web dannoso tramite l'algoritmo di Google. Il collegamento portava a una pagina hackerata su un fumetto Web chiamato Kiwiblitz.com, che reindirizzava il browser a un altro sito, uno con un nome di dominio proveniente da un'oscura isola australiana e ospitato in Svezia. Quel sito mostrava un programma dall'aspetto realistico chiamato XP Anti-Spyware che emetteva avvisi fasulli: Il tuo computer è infetto! Pochi clic hanno portato a una presunta soluzione, per $ 59,95: il download di una correzione che in realtà non esisteva.

Dolore reale: Un'immagine avvelenata della principessa Diana è arrivata al terzo posto nelle ricerche di immagini di Google per la copertura del matrimonio reale nel giorno di primavera in cui suo figlio, il principe William, si è sposato.

Ricalca un altro successo per quella che è generalmente conosciuta come la truffa del falso antivirus. Gli investigatori federali e gli esperti di sicurezza stimano che le sue varie iterazioni abbiano estratto almeno 1 miliardo di dollari dalle vittime negli ultimi anni, ed è diventata la manifestazione più visibile di un aumento complessivo del software dannoso, o malware, distribuito online (vedi grafici sotto) . Il danno va oltre il furto di denaro contante: anche se non tiri fuori il portafoglio, a volte il semplice clic sulle entrate fasulle può fornire altre forme di malware che possono rubare le tue password o arruolare il tuo computer in una banda controllata a distanza chiamata una rete bot. Poiché generalmente si basa sull'inganno delle persone nell'installazione volontaria di malware, una strategia chiamata attacco di ingegneria sociale, può finire per infettare anche macchine ben tenute, sia PC che Mac. Come atto di inganno a livello umano, è semplicemente classicamente bello, afferma David Clark, ricercatore presso il Computer Science and Artificial Intelligence Laboratory del MIT, che è stato il principale architetto del protocollo di Internet negli anni '80.

Questa storia faceva parte del nostro numero di luglio 2011

• Vedi il resto del problema
• sottoscrivi

Questa minaccia è il prodotto di una tecnologia agile e di un modello di business che premia l'innovazione. I truffatori hanno realizzato migliaia di varianti del falso antivirus in dozzine di lingue, escogitato mezzi automatizzati per infettare siti Web ordinari e inventato molti vettori o metodi per fornire collegamenti Web con il loro nefasto carico utile. I risultati della ricerca giocata sono solo un metodo. Gli annunci online sono un altro vettore, così come le e-mail di spam, i collegamenti sui social network e persino le chiamate automatiche via Skype o telefono che consigliano alle persone di visitare i siti Web che provocano l'attacco. È una minaccia davvero dominante per gli utenti di computer che persiste nel tempo e continua a evolversi e crescere, afferma Maxim Weinstein, direttore di StopBadware, un'organizzazione no-profit di Cambridge, nel Massachusetts, che aiuta i siti Web a liberarsi dagli attacchi di malware e spinge a chiudere i siti dannosi . Il successo della truffa mette in luce l'impreparazione di molti dei principali attori di Internet, che non sono stati in grado di coordinare una strategia per affrontarla.

Ci sono state vittime in almeno 60 paesi. Ho passato ore a ripulire un sistema che è stato infettato perché un dipendente ha fatto clic su uno di questi avvisi, afferma Brian D'Arcangelo, tecnico informatico presso il Lynn Community Health Center, a Lynn, nel Massachusetts. Sta succedendo con maggiore frequenza qui. Un produttore di gioielli di Toronto, che voleva usare solo il suo cognome, Moser, ha trovato il suo PC Windows bloccato con avvisi lampeggianti l'anno scorso dopo aver cercato articoli relativi al suo mestiere, quindi è andato avanti e ha acquistato la soluzione per $ 79,95. Doveva pulire il computer. Le ricerche di termini banali come i palloncini hanno portato a siti di attacco. I forum di Apple si sono accesi con suppliche di clienti che cercavano di districarsi da truffe come quella che li esortava ad acquistare un software Mac Defender inesistente. La madre di Melissa Hathaway, che è stata consigliere per la sicurezza informatica del presidente Obama nel 2009, ha fatto clic per installare un falso prodotto antivirus lo scorso dicembre. Gli esperti di sicurezza informatica avvertono che molte vittime non si rendono nemmeno conto di essere state truffate.

Economia

Il fascino del falso software antivirus, spesso chiamato scareware, è radicato nella paura. Questa frode non si basa sul convincere la vittima di qualcosa di assurdo, ad esempio che un principe nigeriano ha bisogno di aiuto per trasferire i suoi soldi. Invece, la consegna è calibrata per capitalizzare i veri avvertimenti che abbiamo ricevuto tutti. Le persone che non sanno esattamente cosa sta succedendo - e a cui è stato detto 'Esegui la protezione antivirus, lavati i denti informatici ogni giorno' - saranno spinte a provare a rispondere a questo, afferma Vint Cerf, un coinventore dei protocolli originali di Internet, che ora è chief Internet evangelist di Google. Gli attacchi generalmente provengono da paesi in cui le leggi sulla criminalità informatica sono lassiste (o non applicate) e i trattati che obbligano alla cooperazione con altre nazioni non sono in vigore. Molte bande criminali gestiscono reti in particolare dall'Europa orientale. (Alcuni malware controllano se il computer di una potenziale vittima è impostato per le impostazioni internazionali dell'Europa orientale o ha una tastiera in lingua russa, dopodiché uscirà con grazia.)

In generale: Shaileshkumar Jain (in alto a sinistra) e Bjorn Daniel Sundin (a destra) sono stati accusati di frode telematica e colpiti con una sentenza da 163 milioni di dollari dopo aver presumibilmente ingannato i consumatori vendendo prodotti antivirus falsi attraverso la loro società ormai defunta Innovative Marketing, con sede a Kiev.

È facile capire perché la truffa del falso antivirus è così popolare tra i criminali. Il guadagno è immediato e i profitti grandi. Qualcuno che ruba altri tipi di bottino digitale, come numeri di carta di credito o password, deve fare ulteriori passi per incassare. Ma un falso prodotto antivirus mette i soldi nelle tasche del truffatore. Ad esempio, nel 2008 la Federal Trade Commission degli Stati Uniti ha citato in giudizio i responsabili di Innovative Marketing, che è stata costituita in Belize e all'epoca aveva uffici vicino a Kiev, in Ucraina. La FTC ha affermato che la società ha incassato oltre 163 milioni di dollari dal 2004 al 2008 inducendo i consumatori a fare clic per scaricare software fasullo con titoli intelligenti come Winfixer, WinAntivirus, Drivecleaner, SystemDoctor e XP Antivirus 2008. L'anno scorso un giudice federale del Maryland ha imposto una sentenza di tale importo contro i dirigenti della società Shaileshkumar Sam Jain e Bjorn Daniel Sundin, che sono stati successivamente colpiti da accuse di frode telematica presso la corte federale di Chicago. Rimangono a piede libero. Anche un terzo imputato, James Reno di Amelia, Ohio, che si era stabilito con la FTC, è stato incriminato; è accusato di gestire un call center in cui gli operatori hanno cercato di respingere le persone che si sono lamentate, anche se il personale a volte ha anche fornito rimborsi ai clienti arrabbiati per rimanere fuori dai radar delle società di carte di credito. Il suo avvocato non ha risposto ai messaggi lasciati da Revisione della tecnologia .

Il danno causato da questa organizzazione potrebbe essere stato anche peggiore di quanto affermato dalla FTC. Un ricercatore per la società di sicurezza McAfee è stato in grado di determinare che Innovative Marketing aveva circa 600 dipendenti e 34 server che diffondevano malware, la maggior parte dei quali operava da un tradizionale complesso di uffici a Kiev. L'impero aziendale includeva divisioni che gestivano i pagamenti con carta di credito, il call center in Ohio e diversi siti Web per adulti che fungevano anche da vettori per il falso software antivirus. McAfee ha notato che Innovative Marketing ha registrato 4,5 milioni di ordini in un periodo di 11 mesi nel 2008; a $ 35 per ordine, le entrate annuali apparentemente si avvicinavano a $ 180 milioni. È meglio dei 150 milioni di dollari che Twitter incasserà quest'anno, secondo una stima della società di ricerche di mercato eMarketer.

Il marketing innovativo non esiste più. Ma ciò non ha rallentato il business mondiale dei falsi antivirus. Negli ultimi cinque anni, diverse bande di malware hanno operato costantemente su truffe antivirus canaglia, afferma Eric Howes, analista di ricerca presso GFI Software, a Clearwater, in Florida. Per mantenere il ritmo delle operazioni, i fornitori di questa e altre forme di malware adattano una tecnica commerciale utilizzata da aziende come Amazon: il modello di affiliazione. Proprio come il sito Web di chiunque può includere un collegamento a un modulo di acquisto Amazon e riscuotere una commissione per qualsiasi vendita, i truffatori antivirus arruolano terze parti note come affiliate, che possono ottenere una commissione per ogni installazione, ovvero ogni volta che qualcuno apre la porta al malware facendo clic sul falso avviso, più una commissione su ogni vendita risultante del prodotto fasullo. Un distributore, Avprofit.com, ha promesso sul suo sito Web che avrebbe pagato tra $ 300 e $ 750 per ogni 1.000 installazioni negli Stati Uniti, in Canada, in Gran Bretagna o in Australia, dove è più alta la possibilità di incontrare vittime che possono permettersi di pagare quanto la richiesta di falsi avvertimenti. Esperienza richiesta: Avprofit cercava hacker con una media minima di 250 installazioni al giorno.

Molti degli affiliati fanno molto bene. SecureWorks, un'unità di Dell, ha analizzato la distribuzione di un falso programma antivirus chiamato Antivirus XP 2008 tramite una società chiamata Bakasoftware, con sede in Russia. Secondo i documenti forniti dall'hacker dietro Bakasoftware, soprannominato Krab, uno dei suoi principali affiliati è riuscito a ingannare 154.825 persone facendole installare copie di malware sui loro computer in 10 giorni, con 2.772 vittime che hanno poi inserito la loro carta di credito numeri. Se i documenti sono accurati, l'affiliata di Krab è fuggita con $ 146.524 in quel breve periodo.

Innovazione

Gli affiliati hanno generato un impressionante corpo di oscure innovazioni per creare nuovi modi di infettare i computer sul Web. Uno strumento chiave è un sito Web legittimo che è stato surrettiziamente compromesso. Se visiti un sito del genere, vieni spesso reindirizzato automaticamente a un sito che visualizza gli avvisi lampeggianti, tentando di ingannarti facendo clic sull'approvazione per scaricare il falso programma antivirus. Spesso, altri malware cercano falle senza patch in software comuni come Java e Adobe Flash, buchi attraverso i quali può installare altri payload dannosi, come il malware che ruba le password memorizzate sul tuo computer. Questo è noto come download drive-by.

Avvisi fasulli simili a quello sopra, in dozzine di lingue, sono uno spettacolo familiare a milioni di utenti di computer in tutto il mondo.

Una tecnologia straordinaria è alla base dell'intero processo. Per mantenere una fornitura costante di siti Web infetti, i criminali scrivono codice che esegue la scansione del Web alla ricerca di vulnerabilità note in piattaforme di pubblicazione comuni come Wordpress o in software di hosting Web come cPanel, afferma Weinstein. (Ogni mese, la sua organizzazione StopBadware aiuta a ripulire 1.200 siti Web, una piccola frazione delle centinaia di migliaia che si ritiene siano infettati in qualsiasi momento.) In alternativa, i criminali possono utilizzare password rubate per accedere a siti Web e aggiungere codice dannoso. Per semplificare questo lavoro, le botnet svolgono gran parte del lavoro automaticamente.

I siti Web di trappole esplosive sono solo un passo. Il codice dannoso deve evitare di essere scoperto se questi siti devono rimanere utili ai criminali. Per superare in astuzia i programmi antivirus reali che vengono aggiornati quotidianamente, i criminali apportano modifiche estetiche al codice, spesso con trucchi di crittografia semplici e ampiamente disponibili. (Il codice dannoso dietro l'immagine di Princess Di, ad esempio, era molto simile a quello utilizzato in altre truffe di falso antivirus, ma è stato mancato da 38 su 42 scanner antivirus reali.) E per stare al passo con le liste nere che le società di sicurezza e Le società Web continuano a bloccare gli indirizzi Web noti per ospitare software dannoso, sfruttano tecniche per registrare e modificare rapidamente migliaia di indirizzi.

Uno sguardo a un registro di dominio mostra quanto sia facile. Un'azienda in Corea del Sud è specializzata nella vendita di milioni di indirizzi nel dominio nazionale .cc, quello delle Isole Cocos (Keeling), un territorio australiano. Il negozio coreano ha registrato co.cc. A questo può aggiungere un numero infinito di nomi. Per $ 1.000, infatti, te ne darà 15.000. Si vanta di avere 57 milioni di siti co.cc indicizzati da Google, dimostrando quanto sia facile raggiungere un'ampia fascia di vittime. E i servizi di hosting Web gratuiti in tutto il mondo semplificano la messa in servizio di questi siti.

Vettori

Per mostrare i loro link alle vittime che possono vederli e cliccarci sopra, i truffatori antivirus hanno bisogno di vettori e ne hanno usati molti: siti porno, pubblicità online, risultati di ricerca, software scambiato su siti di condivisione di file e link su Facebook e Twitter. Sempre più spesso, i siti Web dannosi che utilizzano questi vettori vengono creati giornalmente o addirittura ogni ora per anticipare gli sforzi per bloccarli e spegnerli.

Infettare la pubblicità online è abbastanza semplice: i malintenzionati acquistano annunci e li truccano con codici o collegamenti dannosi. Secondo la FTC, i rappresentanti di Innovative Marketing si sono spacciati per rappresentanti di aziende e organizzazioni reali, tra cui Travelocity, Priceline e Oxfam International, e hanno acquistato pubblicità presumibilmente per loro conto. Quegli annunci online utilizzavano una variante ingegnosa del targeting basato sulla posizione. Sembravano legittimi se visualizzati dagli indirizzi IP dei dipendenti della rete pubblicitaria, ma i visualizzatori di altri indirizzi venivano reindirizzati a siti fraudolenti. Più di recente, secondo un rapporto della società di sicurezza Websense, annunci pubblicitari infetti, inseriti da reti pubblicitarie che non avevano controllato a fondo i client, sono apparsi su Gizmodo, TechCrunch e sul sito web del New York Times .

Ingrandire i grafici.

Ma ora i motori di ricerca potrebbero essere il vettore predominante, afferma Stefan Savage, informatico dell'Università della California, a San Diego. Gli artisti della truffa utilizzano una serie di trucchi per l'ottimizzazione della ricerca per ingannare gli algoritmi utilizzati da Google, Bing e altri motori per determinare quali collegamenti Web mostrare in risposta alle richieste di ricerca. In genere, una pagina su un sito infetto (come Kiwiblitz.com) è silenziosamente piena di termini di ricerca alla moda e collegamenti alle immagini. Quindi i giocatori malintenzionati collegano le pagine, centinaia o migliaia di esse, in modo che i programmi di scansione del Web dei motori di ricerca classifichino la pagina infetta vicino alla parte superiore per popolarità e pertinenza apparente. Denis Sinegubko, un ricercatore di malware in Russia, ritiene che i criminali siano riusciti a dirottare i risultati di ricerca nelle prime pagine della ricerca di immagini di Google per milioni di parole chiave. Di conseguenza, stima, la scorsa primavera le persone hanno cliccato sui risultati di ricerca di immagini avvelenate 15 milioni di volte al mese. Google afferma di aver ridotto del 90% il numero di collegamenti dannosi nelle ricerche di immagini rispetto ai livelli di picco e un portavoce ha sottolineato che continua a tappare buchi nei suoi algoritmi per evitare nuovi metodi di attacco. Google afferma che lo 0,5 percento delle ricerche restituisce risultati che includono almeno un sito Web dannoso noto. Potrebbe sembrare poco, ma dato che Google gestisce più di un miliardo di ricerche ogni giorno, significa che cinque milioni di risultati di ricerca ogni giorno contengono un collegamento dannoso.

Quando Google identifica un risultato di ricerca potenzialmente dannoso dopo le segnalazioni di utenti o società di sicurezza, lo contrassegna con messaggi di avviso. E se un sito ha ingannato il motore di ricerca e non avrebbe dovuto essere consegnato in primo luogo, Google lo rimuoverà dai risultati di ricerca. Google rivela anche il suo elenco di siti dannosi alle società di sicurezza Internet e alle società di browser Web, che possono inviare i propri avvisi se si tenta di digitare gli indirizzi. Il nostro tempo di risposta è passato da settimane o giorni a ore e persino minuti, afferma Panayiotis Mavrommatis, ricercatore di malware presso Google.

Ma l'industria del Web non è ancora stata in grado di tenere il passo con il problema. Facebook, ad esempio, impedisce ai propri utenti di accedere ai siti web della blacklist di Google e a quelli identificati internamente e da altre fonti come dannosi. Tuttavia, questo e altri siti di social network, come Twitter, sono ancora i principali vettori, in parte perché i criminali creano account fasulli o hackerano quelli legittimi. Circa il 40% degli aggiornamenti di stato di Facebook contiene collegamenti; di questi, il 10% porta a spam o siti Web dannosi, secondo un rapporto di novembre di Websense. Mavrommatis, come altri ricercatori sulla sicurezza, ammette che la sfida è alta. Con la rotazione dei domini, i filtri basati su URL diventano meno potenti. E con i filtri basati sul contenuto, ancora una volta, la crittografia li rompe, dice. Ecco perché è così difficile.

Volare alla cieca

I ricercatori affermano che porre fine alla piaga del falso malware antivirus o di qualsiasi altro tipo di malware sarà quasi impossibile a meno che le società di sicurezza e Web non raccolgano e condividano più informazioni su tutto, dai vettori che predominano in una determinata settimana alle banche che sono i truffatori utilizzando per accettare pagamenti. Le aziende private rivelano solo dati limitati sulle violazioni sui loro siti o sui collegamenti dannosi nelle loro reti. Ci sono sorprendentemente meno informazioni nel settore di quanto si possa pensare, afferma Michael Barrett, capo della sicurezza presso il servizio di pagamento online PayPal.

Ciò è in parte dovuto al fatto che disporre di informazioni proprietarie sul malware fornisce un vantaggio competitivo per le società di sicurezza Internet. Ci deve essere più di uno sforzo di condivisione della comunità, che l'industria della sicurezza non è abituata a fare, afferma Philippe Courtot, CEO di Qualys, una società di sicurezza. Poiché nessuna azienda può avere una visione completa degli attacchi e delle vulnerabilità, solo uno sforzo più ampio e guidato dalla comunità può risolvere il problema.

StopBadware sta lavorando a una soluzione parziale: un sistema di segnalazione a cui spera che una massa critica di società Internet contribuisca a segnalare i siti Web infetti. Verificherà l'accuratezza dei rapporti, passerà le informazioni alle società di hosting Web in modo che possano rimuovere i siti e pubblicizzare quali società di hosting non stanno reprimendo. Una maggiore pressione su quelle aziende potrebbe costringere i criminali a cambiare tattica, aggiungendo costi per loro.

Un altro modo per infastidire i criminali potrebbe essere quello di esaminare più da vicino le banche che elaborano i pagamenti con carta di credito. Savage suggerisce che le società di carte di credito e le forze dell'ordine non devono prendere di mira molte banche per avere un grande impatto. Lui e i suoi colleghi hanno recentemente studiato un campione casuale di 120 prodotti pubblicizzati tramite spam e hanno stabilito che il 95% delle loro vendite è passato attraverso solo tre banche, in Azerbaigian, Lettonia, e St. Kitts e Nevis, Indie occidentali. Savage ritiene che uno studio sui pagamenti per software antivirus fasullo produrrebbe risultati comparabili.

Nel frattempo, in qualsiasi momento, almeno diverse centinaia di migliaia di siti web— conosciuto quelli: stanno distribuendo malware attraverso falsi antivirus e altre truffe. I criminali stanno facendo un lavoro migliore nel coordinare il loro attacco rispetto a quello che stanno facendo i buoni nel coordinare la nostra difesa, dice Weinstein. Ciò significa che i falsi avvisi lampeggianti— Il tuo computer è infetto! - riflettere sempre più la verità.

David Talbot è Revisione della tecnologia il principale corrispondente.

nascondere