I siti web italiani sono sotto attacco da sabato scorso. Trend Micro ha individuato un nuovo malware che si sta diffondendo in modo totalmente incontrollato e che agisce con la stessa modalità di LINKOPTIM, il malware che sfruttava un certo numero di siti Web italiani legittimi per diffondere esemplari di codice JavaScript pericoloso.

Individuato da Trend Micro come HTML_IFRAME.CU, il nuovo script maligno reindirizza verso siti Web illegali l'utente che sta navigando su siti italiani assolutamente legittimi. Questi siti vengono in realtà manomessi per inserire dei tag IFRAME maligni che, in maniera automatica, connettono l'ignaro utente a un server che ospita programmi malware. Accade quindi che l'utente scarichi inconsapevolmente codice pericoloso sul proprio computer. Trend Micro ha identificato il malware scaricato come JS_DLOADER.NTJ, TROJ_PAKES.NC, e TROJ_AGENT.UHL, che sfrutta la vulnerabilità MS04-040 per eseguire la routine di download.

La maggior parte dei siti Web legali oggetto di violazione ricade nei settori del turismo, dell'industria automobilistica, dei film e della musica, dei servizi al cittadino, oltre ad alcuni siti di comuni italiani e di hotel. A quanto pare, molti dei siti in questione sono gestiti da uno dei più importanti Web provider italiani.

In una fase di analisi preliminare è emerso che gli autori del malware sono riusciti a violare i server Web facendo leva su alcune vulnerabilità di Microsoft Internet Information Services (IIS) e cpanel. È comunque verosimile che per sferrare gli attacchi siano stati sfruttati anche altri tipi di vulnerabilità.

“Nelle ultime 48 ore oltre 2.000 siti italiani sono stati attaccati e il numero delle vittime raddoppia ogni sei-otto ore”, ha dichiarato Ivan Macalintal, Senior TreLabs Threat Researcher di Trend Micro. ”Questo tipo di minaccia web è invisibile ai visitatori non protetti e quindi sono più pericolosi dei virus normali. Gli hacker stanno utilizzando numerosi tipi di malware per non essere scoperti e raggiungere l’obiettivo finale di installare un keylogger per sottrarre informazioni personali come numero di conto corrente o password”.

Ma perché prendere di mira dei siti italiani? Il motivo è semplice: luglio è alle porte e per l'Italia si apre la stagione del turismo e delle vacanze. Vi è anche la probabilità che questi episodi siano in realtà solo una fase preparatoria per un attacco ben più strutturato, da compiere durante l'imminente stagione italiana delle vacanze.