Dirottamento del browser, in cosa consiste

Il dirottamento del browser si verifica quando malware e script dannosi presenti in plug-in ed estensioni riescono a deviare la navigazione web verso pagine fraudolente.

In questo articolo vediamo come distinguere sintomi e manifestazioni della minaccia, e quali misure adottare per fronteggiarla.

1. Da cosa è causato il dirottamento del browser
2. Conseguenze e sintomi dell’infezione
3. Differenze fra browser hijacking e dirottamento TCP/IP
4. Misure preventive
5. Che cosa fare in caso di infezione

Da cosa è causato il dirottamento del browser

Il dirottamento del browser, noto anche come browser hijacking, è una tecnica di attacco ad opera dei PUP, i Potentially Unwanted Program presenti in plug-in ed estensioni installate sul browser.

Un PUP è un programma malizioso che arriva nei pacchetti di download di app e programmi scarsamente attendibili, e della cui presenza l’utente è spesso del tutto ignaro.

Nel caso specifico del dirottamento del browser questi script prendono il nome di browser hijacker, perché sono quelli che materialmente prendono il controllo del motore di ricerca, reindirizzano le ricerche verso siti contraffatti, aprono finestre di pop-up indesiderate, iniettano annunci pubblicitari infetti nelle pagine e intercettano informazioni personali della vittima, compresa la cronologia e i cookie di navigazione.

Vengono compromesse anche le impostazioni del browser e del motore di ricerca predefinito. Il che porta a visualizzare schermate di avvio e nuove schede diverse da quelle abituali, e a utilizzare servizi di navigazione mai richiesti.

Arrivano di solito insieme a componenti aggiuntivi e plug-in fintamente attendibili. Il meccanismo è sempre lo stesso: un’estensione che promette una funzione utile e popolare, il cui nome ricalca quello di un prodotto legittimo e noto, oppure che offre gratuitamente un servizio che di norma si paga. Fra i casi più documentati ci sono finte estensioni per il blocco della pubblicità, che sostituiscono le inserzioni originali con adware proprio, plug-in che promettono una connessione VPN gratuita mentre sfruttano la connessione della vittima per instradare traffico di terzi, ed estensioni presentate come strumenti per la privacy che raccolgono i dati di ricerca e li rivendono.

Conseguenze e sintomi dell’infezione

I segnali che dovrebbero far nascere il sospetto sono pochi e riconoscibili.

• Modifica anomala del browser e del motore di ricerca: se non avete memoria di aver cambiato quelle impostazioni, conviene controllare se le estensioni installate siano effettivamente attendibili
• Barre degli strumenti e plug-in sconosciuti: funzionalità comparse senza che nessuno le abbia impostate sono un segnale chiaro
• Rallentamento della navigazione: indica che l’attività dell’hijacker sta consumando risorse a scapito di quella dell’utente legittimo
• Comparsa improvvisa di pop-up sospetti: finestre anomale durante la navigazione ordinaria suggeriscono adware derivante dall’hijacking
• Processi sconosciuti in esecuzione, visibili dal Task Manager e attribuibili a codice malevolo attivo in background.

Differenze fra browser hijacking e dirottamento TCP/IP

Sono due cose che vengono confuse con facilità, e vale la pena separarle. Il dirottamento TCP/IP l’abbiamo trattato in un approfondimento dedicato.

• La prima differenza è nella tipologia. Il dirottamento del browser comporta l’installazione di un software malevolo sul computer dell’utente, mentre il TCP/IP hijacking interviene sui pacchetti di dati trasmessi attraverso il protocollo omonimo.
• La seconda è nell’obiettivo. Il dirottamento del browser mira a reindirizzare l’utente verso pagine indesiderate o pubblicità invasive, intercettandone dati e informazioni. Il dirottamento TCP/IP punta invece a captare o modificare i dati trasmessi fra due dispositivi.
• La terza è nella modalità di esecuzione. Il browser hijacking passa dall’installazione di software malevolo o da tecniche di phishing. Il dirottamento TCP/IP richiede l’intercettazione dei pacchetti attraverso analisi del traffico di rete, e una volta intercettati l’attaccante può modificarne il contenuto.
• La quarta è nella difficoltà di rilevamento, e qui la differenza pesa. Il dirottamento del browser è spesso reso evidente dai cambiamenti nella pagina di avvio o nel motore di ricerca. L’intercettazione dei pacchetti avviene senza che l’utente se ne accorga, il che rende quella minaccia più insidiosa.

Misure preventive

Le pratiche che riducono il rischio sono poche e tutte alla portata di chiunque.

1. Aggiornate browser ed estensioni. Gli aggiornamenti correggono le vulnerabilità di sicurezza note, e un’estensione ferma a una versione vecchia è un punto di ingresso che resta aperto.
2. Rimuovete le estensioni che non usate. Non basta disattivarle: molte continuano a essere caricate in background, e comunque un’estensione installata può cambiare comportamento con un aggiornamento. Vale la pena aprire l’elenco una volta ogni tanto e togliere tutto quello che non serve più.
3. Controllate i permessi richiesti al momento dell’installazione. Un’estensione che chiede di leggere e modificare i dati su tutti i siti visitati ha accesso a qualunque cosa passi dal browser, comprese le pagine di accesso ai servizi aziendali e all’home banking. Il permesso si concede perché è l’unico modo di installarla, e nessuno lo legge.
4. Installate estensioni solo dagli archivi ufficiali dei browser, e guardate quanti utenti le usano e da quanto tempo esistono. Non è una garanzia, perché anche negli archivi ufficiali finiscono estensioni malevole, ma riduce parecchio la probabilità.
5. Usate un browser che riceva aggiornamenti regolari e verificate che si aggiorni davvero, perché su molte postazioni l’aggiornamento automatico è disattivato da anni.
6. Eseguite scansioni periodiche del sistema con strumenti antimalware aggiornati.

Che cosa fare in caso di infezione

Una delle caratteristiche dei plug-in che causano il dirottamento è che non prevedono quasi mai una procedura di disinstallazione ordinaria. La rimozione va quindi fatta a mano, e prima bisogna capire dove si trova il componente.

I tre posti da controllare sono questi. Nel Pannello di controllo, alla sezione App e funzionalità, dove si disinstallano programmi sconosciuti. Nel Task Manager, per individuare processi sospetti e arrestarli. Nell’elenco delle estensioni del browser, da cui si rimuovono i componenti aggiuntivi di dubbia natura.

Dopo la rimozione conviene ripristinare le impostazioni del browser ai valori iniziali, perché pagina di avvio e motore di ricerca predefinito restano modificati anche quando l’estensione non c’è più.

E vale la pena cambiare le password dei servizi a cui si accede da quel browser. Un’estensione con permesso di lettura su tutti i siti ha potuto vedere quello che avete digitato, comprese le credenziali, ed è una conseguenza che in genere nessuno considera.