LOGIN
Negli scorsi mesi oltre 4.000 portali web, tra i quali alcuni siti governativi statunitensi e britannici, sono stati vittima di un attacco hacker molto particolare, noto ai più con il nome di criptojacking. Si tratta, nello specifico, di uno script realizzato in JavaScript (il più famoso dei quali è realizzato da CoinHive) che sfrutta le risorse informatiche dei PC collegati al sito per minare Monero e altre criptovalute. Una pratica che ha avuto inizio – almeno ufficialmente – con The Pirate Bay, ma che ha trovato immediatamente moltissimi altri seguaci.
Una pratica molto controversa, dato che molti ritengono possa essere il futuro della monetizzazione online. Anziché riempire ogni spazio di banner pubblicitari, i webmaster e gestori di siti web potrebbero chiedere agli internauti di sfruttare la potenza inutilizzata della CPU per "ripagare" la loro visita. Va detto, però, che nella gran parte dei casi (almeno fino a oggi) né i gestori, né tanto meno gli utenti sanno che il loro sito (e la loro visita) sono utilizzati per creare criptovalute.
Come funziona l'attacco con criptojacker
Per mettere a segno il loro attacco, gli hacker sfruttano a loro vantaggio una pratica molto comune tra gestori di portali di grandi dimensioni e con grande volume di traffico. Per snellire il codice sorgente delle pagine e velocizzarne il caricamento, si preferisce caricare script JavaScript da portali esterni, creati appositamente per questo scopo. Una comodità tutt'altro che priva di rischi, però: in questo modo ci si espone ad attacchi di tipo injection (ossia, un attacco a "iniezione", nel corso del quale un portale o un utente viene iniettato con del codice malevolo mentre naviga online).
Questo è esattamente quello che accade nel caso degli attacchi criptojacking. Gli hacker compromettono i sistemi degli hosting di script e altri strumenti per siti web e li sfruttano a loro vantaggio per "distribuire" codice malevolo tra i vari portali che usufruiscono di servizi di questo genere.
Cosa può essere fatto per evitare gli attacchi criptojacking
Una delle contromisure proposte da alcuni esperti di sicurezza è quella di monitorare il traffico e il caricamento degli script aggiungendo gli attributi Subresource integrity. Questo strumento valida asset forniti da terze parti, come Content Delivery Network, e controlla che nessuno abbia compromesso a fini malevoli gli script o i file utilizzati. Una tattica, quella appena descritta, che ha però dei punti deboli, soprattutto se le risorse fornite da terze parti sono aggiornate frequentemente: potrebbe accade che gli hacker riescano a intromettersi nel processo e caricare ugualmente il loro codice malevolo.
Monitoraggio in tempo reale
Non essendoci un metodo infallibile per evitare che il portale sia vittima di attacchi injection, la difesa del proprio sito web deve passare attraverso altri strumenti. Uno dei più efficaci sembrerebbe essere quello di un monitoraggio in tempo reale sfruttando caratteristiche e potenzialità del Document Object Model, una serie di API nelle quali ogni elemento della pagina web è trattato come se fosse un "oggetto" a sé stante. Questo consente di monitorare il caricamento del portale tramite un'apposita interfaccia di gestione.
In caso di anomalie, il DOM invierà segnalazioni e notifiche al webmaster, che potrà stoppare temporaneamente il caricamento dello script in attesa di trovare una soluzione definitiva al problema. Si tratta di un approccio estremamente utile, dal momento che permette di identificare non solo quale malware sia stato "iniettato", ma anche in quale punto preciso della pagina. Permette dunque di risalire alle modalità di lavoro degli hacker e prendere così le adeguate contromisure.
11 marzo 2018
