Reindirizzamenti verso siti indesiderati: quando e perché si verificano

• Business

Trent’anni fa quando Tim Berners-Lee presentò il suo World Wide Web mai si sarebbe immaginato che il web sarebbe potuto diventare anche un luogo intrinsecamente insicuro, con un vastissimo numero di pagine che veicolano codice dannoso.

Nell’articolo Browser apre pagine da solo o annunci pubblicitari indesiderati abbiamo visto che quando all’interno del browser web in uso si aprono frequentemente pagine indesiderate e schede dai contenuti sconvenienti, è probabile che sul sistema in uso vi sia qualche tipo di infezione.
Massima attenzione deve essere riposta sulle estensioni per il browser evitando di installare quelle realizzate da soggetti sconosciuti. Chrome, da tempo, integra anche un antivirus (realizzato in collaborazione con ESET) in grado di rilevare e bloccare comportamenti sospetti (Antivirus integrato in Chrome: cos’è e come si utilizza).
Purtroppo non è leggerissimo e talvolta interferisce negativamente con le altre attività in corso sul sistema (tanto che alcuni utenti decidono di disabilitarlo).

I browser hijacker sono componenti malevoli che alterano il normale funzionamento del browser, monitorano la sessione di navigazione e spesso sottraggono dati personali. Si installano sul sistema in vari modi: utilizzando un browser non aggiornato e visitando un sito dannoso oppure compromesso; installando applicazioni che contengono o scaricano componenti aggiuntivi (vedere Software indesiderati si installano anche quando si esprime il proprio diniego); installando estensioni pericolose (anche se all’apparenza del tutto legittime).
L’ottimo e ormai conosciutissimo AdwCleaner aiuta a sradicare dal sistema eventuali hijacker: Rimuovere malware con il nuovo AdwCleaner 7.0.

I reindirizzamenti verso siti indesiderati contenenti malware, materiale sgradevole, phishing e così via non sono però ricollegabili solamente alla presenza di un’infezione sul dispositivo che si sta adoperando. Talvolta, infatti, il problema ha a che fare proprio con il sito web che si sta visitando.

Vi sarà spesso successo di ritrovarvi su una pagina web che non ha nulla a che vedere con il sito di proprio interesse. Talvolta può succedere addirittura di cliccare su un link nei risultati delle ricerche su Google (SERP) e ritrovarsi su pagine dal contenuto dubbio o truffaldino.
Come possono verificarsi queste situazioni se il sistema in uso è assolutamente “pulito” e non contiene alcun tipo di minaccia?

La risposta è semplice: i criminali informatici sono costantemente alla ricerca di siti web che possono essere attaccati, di solito usando vulnerabilità note.
Così, chi amministra un sito realizzato in WordPress, Joomla, Drupal o con qualunque altro CMS opensource e non installa tempestivamente gli aggiornamenti di sicurezza via a via rilasciati, può esporre il proprio sito e i dati conservati nei database collegati a notevoli rischi.
Non solo. Molti webmaster installano plugin per il proprio CMS capaci di modificare o estendere le funzionalità della piattaforma: talvolta non si riflette sulla provenienza di ogni singolo plugin e non si riflette sul fatto che i componenti aggiuntivi sviluppati da programmatori meno esperti possono essi stessi contenere vulnerabilità più o meno gravi.

Quando si amministra un sito web, indipendentemente dal CMS utilizzato, è quindi importante mantenere aggiornata non soltanto la piattaforma in sé (WordPress, Joomla, Drupal,…) ma anche ogni singolo plugin eventualmente installato. Inoltre, è fondamentale installare solo plugin sviluppati da fonti affidabili, che siano supportati (e non abbandonati) e per i quali vengano rilasciati regolarmente degli aggiornamenti.
Chiunque abbia un minimo di nozioni di programmazione PHP può ad esempio sviluppare un plugin per WordPress e interagire con tutte le funzionalità del CMS, comprese quelle di base. Appare evidente quanto sia importante prediligere sempre plugin di elevata qualità.

L’obiettivo dei criminali informatici è infatti aggredire i siti web, soprattutto se piuttosto popolari, per caricarvi codice malevolo. Molto spesso gli aggressori attivano reindirizzamenti indesiderati verso siti web che pongono in essere attività truffaldine oppure predispongono il caricamento di codice congegnato per sfruttare vulnerabilità conclamate di ciascun browser web.
In alcuni casi il fine ultimo è quello di provocare la visualizzazione di messaggi pubblicitari la cui esposizione implica un vantaggio economico per gli aggressori; in altri vengono attivati componenti software per il mining di crittovalute; in altri ancora, si prova ad attivare il download automatico di componenti dannosi (drive-by download).

Limitandosi solamente a WordPress, basti pensare che il National Vulnerability Database ha registrato – nel corso del tempo – la scoperta di oltre 1.700 vulnerabilità (vedere queste pagine): è ovvio che se il CMS e i plugin installati vengono raramente aggiornati da parte degli utenti, gli aggressori possono avere gioco facile.
Anche perché di solito gli aggressori utilizzano dei bot ovvero dei sistemi automatizzati per effettuare la scansione della rete e individuare i siti WordPress (o realizzati con altri CMS) che soffrono di qualche vulnerabilità nota.

Una volta avvenuta l’aggressione, il codice dannoso viene generalmente nascosto usando diverse tecniche di offuscamento così da renderne difficoltosa l’individuazione da parte del gestore del sito.
Di solito i criminali informatici dispongono la modifica dei file index.php, .htaccess, footer.php, header.php, functions.php