Nuove informazioni emergono sull'attacco che ha compromesso i sistemi di refrigerazione di centinaia di supermercati europei, collegandolo a sofisticate tecniche di spyware veicolate tramite annunci pubblicitari online.
L'ondata di attacchi informatici che ha recentemente causato il deterioramento di ingenti quantità di prodotti alimentari e persino incendi in circa 700 supermercati europei, continua a rivelare dettagli inquietanti. Le autorità francesi avevano inizialmente indicato che l'attacco aveva preso di mira i controller di refrigerazione connessi a Internet, sfruttando vulnerabilità note per attivare cicli di sbrinamento prolungati e innalzare le temperature interne a livelli critici.
Le indagini successive avevano messo in luce debolezze specifiche nei controller di marchi noti come Danfoss e Dixell (Copeland). Nel caso dei controller Danfoss, una vulnerabilità legata alla password giornaliera generata dal firmware, prevedibile tramite analisi del codice, ha permesso agli aggressori di accedere a numerosi dispositivi con la stessa credenziale. Similmente, i controller Dixell/Copeland erano afflitti da falle che consentivano un accesso remoto non autorizzato, corretti solo di recente.
Questi incidenti hanno evidenziato le gravi conseguenze della scarsa cybersecurity nei sistemi di controllo industriale (ICS), con impatti che vanno oltre la perdita di dati, includendo danni materiali, perdite economiche e rischi per la sicurezza fisica.
Nuove connessioni con lo spyware 'AdFection'
Recenti analisi condotte dal Citizen Lab hanno gettato nuova luce sulla sofisticazione degli attacchi, collegando indirettamente tecniche simili a quelle impiegate in questo caso a un nuovo metodo di infezione da spyware mercenario denominato "AdFection". Questo attacco, sebbene distinto, dimostra come la pubblicità online possa essere sfruttata per veicolare malware.
"AdFection" sfrutta le aste in tempo reale per la compravendita di spazi pubblicitari online. Durante queste transazioni, che avvengono in frazioni di secondo, vengono scambiati dati sensibili sui dispositivi degli utenti, come ID, indirizzi IP e informazioni sulla posizione. Gli inserzionisti possono quindi utilizzare questi dati per indirizzare specifici individui.
L'attacco "AdFection" funziona inserendo codice malevolo all'interno degli annunci pubblicitari. Questo codice, una volta eseguito nel browser o nell'app dell'utente, scarica ulteriore codice JavaScript che può a sua volta avviare un exploit del browser, installando infine lo spyware sul dispositivo. Un aspetto cruciale di questa tecnica è la sua capacità di operare in modo "zero-click", ovvero senza richiedere alcuna interazione da parte dell'utente per avviare l'infezione.
Il ruolo di Discover-Tech e Candiru/Integrity Labs
Il Citizen Lab ha documentato un caso in cui annunci pubblicitari gestiti da una società israeliana di ad-tech chiamata Discover-Tech sono stati utilizzati per distribuire lo spyware Candiru (ora noto come "Integrity Labs") su dispositivi di Al Jazeera. Gli annunci contenevano script che comunicavano con un server "NOAS", inviando identificativi del dispositivo. Il server rispondeva con JavaScript malevolo solo ai bersagli designati, basandosi su indirizzi IP e identificatori pubblicitari, mentre inviava risposte vuote agli altri per eludere il rilevamento da parte dei fornitori di pubblicità.
Le analisi dei log di rete hanno rivelato una sequenza tipica: il dispositivo contattava l'infrastruttura di Discover-Tech, poi un server di validazione Candiru e infine un server di comando e controllo (C&C) di Candiru. Da un dispositivo compromesso è stata recuperata una DLL di Windows che conteneva riferimenti a server C&C specifici e utilizzava tecniche di offuscamento simili a quelle di Candiru nel 2021.
Discover-Tech gestisce una piattaforma chiamata Controlium, che consente ai clienti di selezionare vittime tramite ID pubblicitari, ID cookie o indirizzi IP per inviare loro "annunci controllati". La piattaforma supporta diversi sistemi di gestione della pubblicità, tra cui Beeswax, Eskimi e la stessa Discover-Tech.
I ricercatori hanno anche identificato debolezze nella piattaforma Controlium, come l'uso improprio di Auth0, che potrebbe permettere a un hacker di falsificare token di autenticazione, e un endpoint non autenticato che ha esposto log di accesso, consentendo al Citizen Lab di recuperare dati su centinaia di utenti.
Implicazioni per la cybersecurity e la protezione dei dati
Queste scoperte evidenziano una crisi crescente nella cybersecurity e nella privacy legate alla pubblicità online. La capacità di attori malevoli di sfruttare le infrastrutture pubblicitarie per attacchi mirati e infezioni da spyware, anche "zero-click", rappresenta una minaccia significativa. La facilità con cui gli inserzionisti possono raccogliere e utilizzare dati degli utenti per il targeting solleva serie preoccupazioni sulla protezione dei dati personali.
Google, IAB Europe e altri attori del settore pubblicitario hanno preso provvedimenti tagliando i collegamenti con Discover-Tech. Tuttavia, la vastità del problema, con miliardi di record di offerte pubblicitarie che coinvolgono migliaia di siti web e app, suggerisce che la minaccia persiste.
Gli esperti raccomandano di monitorare il traffico verso domini pubblicitari sospetti, seguito da connessioni a server di validazione o C&C. Per gli utenti ad alto rischio, come giornalisti o attivisti, è fondamentale mantenere browser e sistemi operativi costantemente aggiornati e utilizzare strumenti di blocco degli annunci e degli script per ridurre l'esposizione.
L'incidente dei supermercati, sebbene non direttamente collegato a "AdFection", condivide la preoccupazione per la sicurezza dei dispositivi connessi e la necessità di una maggiore vigilanza contro attacchi che sfruttano debolezze note o nuove tecniche per causare danni tangibili e diffusi.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
