5.400 siti del tutto ordinari mostrano ai visitatori un finto CAPTCHA

Il sito era quello di un fioraio, di un negozio di biciclette o di un piccolo produttore trovato con una ricerca. Esiste da anni. Non è un falso. È stato semplicemente violato, e adesso mostra ad alcuni visitatori un riquadro che chiede di dimostrare di essere umani.

Netskope ha pubblicato i numeri il 5 settembre: oltre 5.400 siti compromessi, in prevalenza WordPress e PrestaShop, di cui circa 300 o 400 distribuiscono attivamente un carico in un dato giorno, con un picco di 536 siti in una sola giornata ad agosto. Sono state toccate più di 2.200 organizzazioni. La parte ingegnosa è dove risiede il codice malevolo. Lo script iniettato in ogni sito recupera le istruzioni da uno smart contract sulla testnet della BNB Smart Chain, una tecnica chiamata EtherHiding. Agli aggressori non costa nulla, non c'è nessun hosting a cui protestare, e solo il portafoglio che ha pubblicato il contratto può cambiarne il contenuto. Basta riscrivere quell'unico contratto e tutti i siti violati iniziano a servire qualcosa di nuovo.

Quello che vede il visitatore è la solita routine: una richiesta di verifica che invita a premere Windows e R, incollare il contenuto degli appunti e dare Invio. La settimana scorsa abbiamo raccontato una versione dello stesso trucco che passa da Windows Terminal. Il riquadro cambia, la richiesta no. Nessun controllo che verifichi davvero se siete umani ha mai avuto bisogno che eseguiate un comando, e nessun sito legittimo ve lo chiederà. Se una pagina vi dice di incollare qualcosa dentro Windows per proseguire, chiudete la scheda. È tutto lì l'attacco.

Se lo avete già fatto e volete sapere che cosa è atterrato, il controllo di sicurezza di Tendvane per i software indesiderati elenca ciò che si è installato di nascosto, che è un punto di partenza e non una cura.