Un miliardo di impressioni rischiose: cose da imparare dall’attacco subito da Adform

Adform, una delle principali piattaforme pubblicitarie, è rimasta compromessa per circa 24 ore dalla fine del 26 luglio alla sera del 27 luglio dopo aver subito un attacco da sconosciuti. Poche persone al di fuori del settore riconoscono questo nome, ma Adform pubblica circa 1,5 miliardi di impressioni di annunci ogni giorno su decine di migliaia di siti web. Ciò significa che chiunque abbia visitato qualsiasi sito che esegue annunci Adform avrebbe potuto essere preso di mira.

Gli hacker non hanno tentato di installare un malware. Al contrario, hanno eseguito uno script nel browser della vittima che controllava gli appunti ogni tre secondi e, se rilevava che l’indirizzo di un portafoglio di criptovalute era stato copiato, lo sostituivano con l’indirizzo del portafoglio degli hacker. Pertanto, se qualcuno aveva un sito con l’annuncio dannoso aperto in una scheda del browser e stava effettuando una transazione in criptovalute in un’altra scheda o in un’app dedicata, i fondi sarebbero potuti finire nelle tasche degli hacker. I proprietari di Adform hanno individuato l’attacco e risolto il problema, ma non vi è alcuna garanzia che un incidente simile non possa ripetersi, motivo per cui ogni utente dovrebbe difendersi dal malvertising. Dai un’occhiata ai nostri suggerimenti alla fine di questo post.

Cosa sappiamo dell’attacco subito da Adform

Non abbiamo molte informazioni a disposizione, dal momento che il comunicato ufficiale dell’azienda si limita a rendere noto cosa è successo e quando, senza spiegare troppo la causa principale dell’incidente. Una ricerca indipendente ha portato alla luce dettagli tecnici sul modo in cui sono stati presi di mira gli utenti ordinari, ma nulla di tutto ciò spiega come si sia svolto in primo luogo l’attacco ad Adform.

Quello che è chiaro è che gli hacker hanno inserito il proprio codice nel JavaScript caricato in ogni sito che esegue annunci Adform. Ogni volta che un annuncio stava per essere visualizzato, lo script veniva caricato dal server Adform, selezionava l’annuncio corretto e lo mostrava, ma gli hacker avevano aggiunto una serie di funzioni dannose: monitoraggio degli appunti, invio di dati sul sito in cui si è verificato l’incontro e l’indirizzo IP della vittima al proprio server, nonché lo scambio degli indirizzi dei wallet Bitcoin, Ethereum e Tron.

Per farlo funzionare era sufficiente avere qualsiasi sito con annunci pubblicati da Adform aperti in una scheda del browser. Non importava che tipo di sito fosse, che aspetto avesse l’annuncio o a quale inserzionista appartenesse. L’unica cosa che contava era se il sito funzionava tramite HTTP o HTTPS. Secondo Adform, l’attacco falliva se un sito veniva caricato tramite HTTPS, poiché la connessione al server degli hacker in questo caso veniva bloccata.

L’azienda non ha condiviso informazioni sul numero di utenti interessati o sul numero di siti che pubblicano ancora i propri contenuti e annunci su HTTP.

Gli annunci dannosi sono all’ordine del giorno

Sfortunatamente, gli annunci online pericolosi sono diventati un problema sistemico. E non stiamo parlando solo di annunci imprecisi di integratori o promozioni di giochi a distanza, ci riferiamo agli annunci che diffondono malware o rimandano a siti progettati per rubare dettagli di pagamento e altri dati preziosi. A tale scopo, gli aggressori hanno creato un’infrastruttura su scala industriale e utilizzano diversi approcci.

• Hacking e compromissione dei server di annunci. Adform non è un caso isolato: gli hacker hanno violato in precedenza Revive Adserver e diffuso malware tramite gli annunci su PornHub.
• Attacco ai danni degli account pubblicitari di marchi legittimi e rinomati. Tutto ciò che serve è rubare una password da qualcuno nel marketing. Da lì, i criminali informatici pubblicano annunci spacciandosi per l’azienda che hanno violato, pubblicando aggiornamenti di app falsi, promozioni false e truffe simili. Nei casi peggiori, come le violazioni dell’account all’indirizzo adtech.de e adxpansion.com, gli aggressori sono riusciti a pubblicare annunci che reindirizzavano le vittime direttamente verso installazioni automatiche di malware (drive-by download).
• Acquisto diretto degli annunci. Esatto: gli aggressori devono semplicemente creare i propri account inserzionista e pubblicare annunci per i propri siti di phishing e malware, proprio come qualsiasi altra attività commerciale online.

Poiché gli annunci vengono visualizzati praticamente ovunque, sui siti web, nelle app e sui social media, queste minacce possono apparire praticamente in qualsiasi contesto. Inoltre, saranno disponibili varianti di questa minaccia sia nei computer che nei dispositivi mobili.

Come proteggersi dalle pubblicità dannose

L’unico modo per ridurre seriamente i rischi è bloccare quanta più pubblicità possibile e aggiungere una protezione dagli attacchi informatici in tutti i dispositivi:

• Utilizza un servizio DNS sicuro con filtraggio dei contenuti integrato. Si tratta di una soluzione efficace nel bloccare la maggior parte delle reti pubblicitarie conosciute. L’idea è semplice: ogni volta che il dispositivo tenta di connettersi a un server, il servizio DNS blocca le richieste verso i domini pubblicitari noti. Questa operazione disattiva gli annunci ovunque contemporaneamente: sulle smart TV, in ogni browser e nelle app mobile. Alcuni provider di Internet offrono questo servizio, ma una soluzione più efficace e universale consiste nel configurare autonomamente un DNS sicuro nel router di casa seguendo la nostra guida.
• Attiva i blocchi di annunci e tracker nella tua soluzione completa per la sicurezza informatica. Raccomandiamo Kaspersky Premium, che chiama questa funzionalità Anti-Banner. Questo tipo di protezione è particolarmente importante durante i viaggi, poiché il DNS sicuro a volte può causare problemi di connessione in hotel, ristoranti e aeroporti.
• Utilizza la protezione del browser. Il software di protezione di base può impedire il download e l’esecuzione del malware, ma un piccolo script ladro come quello utilizzato nell’attacco ai danni di Adform può comunque passare inosservato. Per proteggersi da questo, è necessario utilizzare una protezione in grado di analizzare effettivamente cosa sta succedendo all’interno del browser. In Kaspersky Premium, questa funzionalità è fornita dall’estensione del browser Kaspersky Protection. Protegge dalla raccolta di dati online, blocca i banner pubblicitari, protegge i pagamenti, protegge le sequenze di tasti e blocca il phishing.

Vuoi sapere quali altri rischi si nascondono negli annunci online e in che modo puoi proteggerti? Consigliamo altri post:

• Inserzionisti che condividono i tuoi dati con… le agenzie di intelligence
• Perché i broker di dati creano dossier su di te e come impedirgli di farlo
• In che modo gli smartphone creano un dossier sugli utenti
• Come scoprire chi vi sta tracciando online ed in che modo
• Come sparire da Internet