[NEWS] Attacchi Drive-By Pharming "in-the-wild"

[c.m.g]

23 gennaio 2008 alle 18.01



A febbraio 2007 avevamo segnalato uno studio congiunto condotto dai ricercatori di Symantec e della Indiana University School of Informatics che descriveva un nuovo tipo di attacco informatico, chiamato Drive-By Pharming. Questa tecnica cybercriminale prevede la creazione di un sito web che, quando visualizzato dall'utente vittima, si occupa di modificare la configurazione dei dispositivi router, home broadband o wireless, vulnerabili. L'attacco può essere sferrato anche tramite messaggio di posta elettronica, tramite l'integrazione di codice nocivo HTML o JavaScript in grado di modificare le impostazioni DNS dei dispositivi utilizzati per accedere ad Internet. Un attacker è quindi in grado di guadagnare il controllo completo sulle sessioni di navigazione Web dell'utente attaccato, e quindi di dirigere le vittime ai siti malintenzionati di loro creazione (indipendentemente dall'indirizzo web digitato nel browser) per rubare informazioni personali. Ulteriori dettagli sono disponibili nell'articolo precedente.

Router a Rischio Drive-By Pharming

Ieri Symantec ha pubblicato un nuovo intervento dedicato a questo problema di sicurezza, evidenziando di aver isolato per la prima volta questo tipo di attacchi "in-thewild". Precedentemente la tecnica di Drive-By Pharming era stata studiata solo come concetto teorico.

Dal blog ufficiale del Symantec Security Response: "Abbiamo recentemente visto esempi di attacker che tentano di mettere in pratica una versione basilare di drive-by pharming. Data la semplicità dell'attacco e le potenziali implicazioni su vasta scala, abbiamo sempre ritenuto che fosse questione di tempo prima checiò potesse accadere … In una variante real-life che abbiamo osservato, gli attacker hanno integrato codice nocivo all'interno di un messaggio di posta che affermava di avere per voi una e-card in attesa sul sito gusanito.com. Purtroppo la e-mail conteneva anche un tag IMG HTML che includeva una richiesta HTTP GET verso un router (un modello di marca popolare in Mexico). La richiesta GET modificava le impostazioni DNS del router in modo tale che la URL di un popolare sito di banking messicano (oltre ad altre location) veniva mappato su un sito web controllato dall'attacker. A questo punto, tutti coloro che tentavano di connettersi a questo particolare sito web di banking (una delle banche più importanti in Messico) utilizzando lo stesso computer venivano direzionati sul sito dell'attacker. Tutti coloro che effettuavano una transazione tramite questo sito fasullo subivano un furto delle credenziali bancarie".

A rendere questo primo anticipato attacco di drive-by pharming ancor più devastante del previsto ha contribuito anche una vulnerabilità più seria che affligge la particolare marca di router presa di mira dai cybercriminali. Se nella sua incarnazione originale l'attacco si basava sulla necessità di indovinare la password amministrativa di accesso ai router (che molti utenti non modificano rispetto a quella predefinita), nello specifico caso isolato in-the-wild questo non era necessario.

Symantec evidenzia alcune "best practice" per gli utenti che desiderano proteggersi da questo nuovo tipo di minaccia che potrebbe diventare sempre più diffusa in rete.

1. Prima di tutto, la raccomandazione di base è quella di modificare la password predefinita del router scegliendo una parola chiave complessa e difficile da indovinare. Questa operazione è in grado di proteggere dagli attacchi di drive-by pharming per la maggior parte delle marche dei router. Symantec consiglia inoltre di eseguire un reset del router prima di modificare la password in modo da annullare eventuali compromissioni già esistenti.

2. Il suggerimento generale è quello di seguire un buon Internet "street smarts", ossia navigare solo su siti che sono fidati e prestare cautela nel seguire link ricevuti da persone, conosciute e non.

3. Installare una suite di sicurezza Internet comprensiva di antivirus, antispyware, firewall PC-level, soluzioni di intrusion detection e prevention e anti-phishing.

netquik


Link correlati:

Symantec Security Response Blog
Router a Rischio Drive-By Pharming



Fonte: SSR Blog via Tweakness