Sembrava pubblicità, invece era malware

Problemi di sicurezza per le piattaforme pubblicitarie di Google e Microsoft: come riportato sul blog di Armorize, gruppo attivo nel settore della sicurezza informatica, nei giorni scorsi un attacco esterno ha provocato l’introduzione nei due circuiti pubblicitari di codice maligno che ha causato il download e l’installazione automatica di malware sui computer delle ignare vittime.

Ad essere coinvolti sono diversi siti che nelle proprie pagine mostravano banner pubblicitari provenienti da DoubleClick e rad.msn.com. La semplice visualizzazione di tali pagine ha avuto in molti casi come conseguenza l’esecuzione di codice JavaScript in grado di sfruttare falle già note e di lavorare silenziosamente al fine di installare malware e backdoor sui vari computer nei quali era riuscito a fare breccia. Tra i vari software installati, quello che ha permesso di individuare il problema è stato HDD Plus, un malware che segnala all’utente un improbabile problema al PC in uso e chiede l’acquisto di una licenza di un fantomatico antivirus per risolverlo.

Il codice JavaScript si è scoperto poi provenire dal dominio AdShufffle.com, che ricorda molto da vicino quello in realtà utilizzato da numerose società per i propri servizi pubblicitari. Le infezioni hanno avuto modo di colpire bug e vulnerabilità nella maggior parte dei casi già scoperte dai team di sicurezza delle varie aziende sviluppatrici, per cui molti utenti hanno potuto visitare in piena tranquillità le pagine contenenti tale codice maligno grazie all’installazione delle ultime versioni dei software coinvolti (tra i quali figurano anche Adobe Reader e la Java Virtual Machine) ed un antivirus aggiornato.

Immediatamente allertate, Google e Microsoft hanno subito messo all’opera i propri addetti alla sicurezza per rintracciare l’origine del problema e per porre rimedio in breve tempo. Nel caso del colosso di Mountain View, il portavoce Jay Nancarrow ha tenuto a sottolineare come i sistemi di filtraggio presenti in DoubleClick siano riusciti per proprio conto ad individuare alcune delle minacce e a porvi rimedio automaticamente. Entrambe le società hanno comunque chiesto appoggio ad Armorize per analizzare il quadro della situazione al fine di individuare una soluzione. Il pericolo sembra comunque essere scampato, in quanto gli attacchi hanno avuto inizio lo scorso 5 dicembre e sono terminati pochi giorni più tardi.