Mar 01, 2021 Marco Schiaffino Attacchi, In evidenza, Malware, News, RSS 0

La tecnica prevede l’uso di siti Internet compromessi per diffondere i malware sfruttando i motori di ricerca come vettore di attacco.

Le ricerche su Internet come esca per indurre le potenziali vittime a scaricare e installare malware sul proprio computer: è questa la nuova tecnica adottata dai pirati informatici secondo i ricercatori di Sophos, che hanno intercettato una campagna malware battezzata con il nome di Gootloader.

Come spiegano gli autori del post pubblicato sul blog ufficiale della società di sicurezza, la tecnica di attacco è un mix che sfrutta le caratteristiche delle strategie di SEO (Seach Engine Optimization) e un po’ di psicologia spicciola.

Secondo i ricercatori, sarebbe stata sviluppata dai pirati informatici del gruppo REvil e dai loro “colleghi” responsabili della diffusione del trojan Gootkit.

Ma come funziona Gootloader? Il punto di partenza è rappresentato dalla disponibilità di siti Internet compromessi (gli autori del report stimano che sia necessario avere a disposizione almeno 400 server) il cui contenuto viene modificato attraverso l’iniezione di pagine Web che corrispondono a chiavi di ricerca estremamente specifiche.

Le pagine in questione vengono inserite spesso in siti che non hanno nulla a che fare con i temi trattati (uno degli esempi citati nel report riguarda informazioni sul mercato immobiliare inserite in un sito che tratta temi legati al settore medicale) ma che corrispondono a ricerche spesso effettuate dagli utenti.

Se la potenziale vittima fa click sul collegamento, viene dirottata su una pagina che, a prima vista, appare essere un classico message board o la sezione di commento di un blog in cui il contenuto (creato ad hoc per il visitatore) sembra trattare il tema oggetto della ricerca.

All’avvio della visualizzazione, la pagina propone però il download di un file in formato ZIP con lo stesso nome della ricerca effettuata e il cui contenuto è un file che, ancora una volta, è nominato con il testo della ricerca.

Lo stratagemma, in pratica, mira a ingannare il visitatore per fargli credere di aver scovato un documento che risponde alla sua domanda. In realtà, il file contenuto al suo interno è un JavaScript che avvia il payload (può trattarsi di un ransomware come di un trojan) scelto dai pirati.

La campagna di diffusione malware individuata dai ricercatori di Sophos, stando al rapporto, è per il momento rivolta a Stati Uniti, Germania, Francia e Corea del Sud.