Mappare il Web dannoso

Negli ultimi due anni, i criminali informatici si sono sempre più concentrati sulla ricerca di modi per iniettare codice dannoso in siti Web legittimi. In genere lo hanno fatto incorporando il codice in una parte modificabile di una pagina e utilizzando questo codice per fornire contenuti dannosi da un'altra parte del Web. Ma questa attività può essere difficile da individuare perché anche i siti web attirano sempre più contenuti legittimi, come annunci pubblicitari, video o frammenti di codice, da siti esterni.

Rete malvagia: FireShark trova server potenzialmente dannosi determinando quali stanno servendo contenuti a più siti web.

Ora un ricercatore presso Websense , una società di sicurezza con sede a San Diego, ha sviluppato un modo per monitorare automaticamente tale attività dannosa.

Parlando al Conferenza sulla sicurezza RSA a San Francisco la scorsa settimana, Stephan Chenette, uno dei principali ricercatori sulla sicurezza di Websense, ha descritto un sistema sperimentale che esegue la scansione del Web, identificando la fonte dei contenuti incorporati nelle pagine Web e determinando se un codice su un sito agisce in modo dannoso.

Il software di Chenette, chiamato FireShark, crea una mappa di siti Web interconnessi ed evidenzia contenuti potenzialmente dannosi. Ogni giorno, il software mappa le connessioni tra quasi un milione di siti Web e i server che forniscono contenuti a tali siti.

Quando grafici più siti, puoi vedere le loro comunità di contenuti, dice Chenette. Mentre alcuni degli hub di contenuti che collegano diverse comunità potrebbero essere legittimi, come i server che forniscono annunci a molti siti diversi, altre fonti di contenuto potrebbero indicare che un utente malintenzionato sta distribuendo codice dannoso, afferma. Secondo uno studio pubblicato da Websense, l'uso di siti legittimi da parte degli aggressori online per diffondere software dannoso è aumentato del 225% nell'ultimo anno.

Tuttavia, anche gli hub legittimi possono rappresentare una minaccia. A settembre, ad esempio, il New York Times ha riconosciuto che i criminali online, mascherati da inserzionisti legittimi, avevano inserito contenuti sul suo sito tramite una rete pubblicitaria.

Attaccare una rete di questo tipo può essere molto più redditizio che attaccare un singolo sito. Supponiamo che la sicurezza del sito sia di prim'ordine. Come può un utente malintenzionato raggiungere l'utente? Chenette dice. Una rete pubblicitaria sarebbe una buona scelta.

Telecomando: FireShark ha scoperto che alcuni contenuti del sito howtofindmyIP.com provengono da siti dubbi ospitati in Ucraina.

I ricercatori di Websense intendono rilasciare un plug-in per il browser Firefox che rivelerà gli hub di contenuti a cui è collegato un sito.

La cosa interessante di tutto questo è quando gli aggressori utilizzano, ad esempio, DoubleClick come vettore di attacco, afferma Tom Pinckney, cofondatore della società di sicurezza Web SiteAdvisor, che è stata acquistata da McAfee nel 2006 e ora vicepresidente dell'ingegneria per il sito di raccomandazione Intuizione. Per molti attacchi, qualcuno acquista il contenuto sulla rete pubblicitaria, ma il tizio che fornisce effettivamente il contenuto sulla pagina, Dio sa chi è.

SiteAdvisor offre un plug-in che fornisce un servizio simile a quello offerto da FireShark. McAfee ha utilizzato un data center pieno di PC virtuali per trollare il Web alla ricerca di siti dannosi, valutando i collegamenti e inviando indirizzi e-mail univoci che vengono quindi monitorati per lo spam.

FireShark approfondisce SiteAdvisor decodificando HTML, Javascript e altro codice incorporato in ogni pagina Web che analizza, cercando l'ultima fonte di contenuto, anche se viene reindirizzato più volte. FireShark offre una visione più approfondita di ciò che sta accadendo, afferma Chenette.

Maxim Weinstein, direttore esecutivo di Stop Badware , un'organizzazione senza scopo di lucro che aiuta a creare elenchi di siti Web dannosi, afferma che FireShark potrebbe essere uno strumento interessante per i ricercatori. L'avvertenza, dice, è che il comportamento anomalo non è sempre dannoso. I modelli che sembrano cattivi sono spesso cose buone, solo anomale, dice.

Tenere traccia del modo in cui i siti sono collegati nel tempo potrebbe anche aiutare a identificare modifiche dannose ai siti, afferma Chenette. Aggiunge che il plug-in del browser FireShark potrebbe eventualmente consentire agli utenti di fornire informazioni sui siti che visitano a Websense.

nascondere