Una singola violazione presso un'azienda di tecnologia di marketing ha ancora una volta dimostrato quanto possa essere fragile la catena di approvvigionamento del web. Secondo quanto riportato da PCMag, gli aggressori hanno compromesso Brevo, un fornitore di marketing online, e hanno sfruttato quell'accesso per lanciare un attacco malware in stile ClickFix su numerosi siti web in un solo giorno. L'incidente è un chiaro esempio di come un attacco malware ClickFix non debba necessariamente prendere di mira direttamente le vittime. Può invece arrivare attraverso un servizio di terze parti considerato affidabile.

Come l'hack di Brevo ha aperto la porta

Brevo fornisce strumenti di marketing che molte aziende integrano direttamente nei propri siti web, come moduli di iscrizione via email, widget di chat o script di tracciamento. Quando un fornitore come questo viene compromesso, gli aggressori non ottengono accesso a un solo sito. Ottengono un punto d'appoggio in ogni sito web che ha integrato il codice del fornitore. In questo caso, la violazione di Brevo ha creato un percorso per gli aggressori per iniettare un attacco in stile ClickFix in un'ampia gamma di siti contemporaneamente, trasformando un singolo punto di vulnerabilità in un canale di distribuzione di massa per il malware.

Questo è ciò che rende le violazioni lato fornitore così pericolose dal punto di vista della privacy e della sicurezza. I proprietari dei siti spesso hanno scarsa visibilità sulle modifiche apportate dal fornitore, e i visitatori non hanno modo di sapere che uno script in esecuzione in background su un sito web familiare è improvvisamente diventato malevolo.

Cosa fanno effettivamente gli attacchi ClickFix

ClickFix è una tecnica di ingegneria sociale che è diventata sempre più comune. Invece di sfruttare una vulnerabilità tecnica in un browser o in un sistema operativo, si basa sull'ingannare la persona seduta alla tastiera. Tipicamente, sulla pagina web appare un falso avviso, spesso camuffato da verifica CAPTCHA, messaggio di errore o passaggio necessario per risolvere un presunto problema con la pagina. L'avviso istruisce il visitatore a copiare un pezzo di testo e incollarlo in una finestra di comando o nella casella di esecuzione del proprio computer.

Quel testo incollato è in realtà un comando malevolo. Una volta eseguito, può installare malware senza che l'utente abbia mai scaricato un file nel senso tradizionale o cliccato su un link evidente. Poiché l'attacco si basa sull'azione dell'utente anziché su una falla software, può aggirare molte delle difese tecniche progettate per intercettare i metodi convenzionali di diffusione del malware. Questo è in parte il motivo per cui ClickFix è diventato una tattica preferita dagli aggressori che cercano di compromettere rapidamente un gran numero di dispositivi.

Un modello crescente di compromissione della catena di approvvigionamento

L'incidente di Brevo si inserisce in un modello più ampio in cui gli aggressori prendono di mira gli strumenti e le piattaforme da cui dipendono altre aziende, invece di attaccare direttamente gli utenti finali o persino singole imprese. È una dinamica simile a quella che si è verificata quando ShinyHunters ha rivendicato un hack di Metabase, una piattaforma di analisi aziendale utilizzata da oltre 100.000 organizzazioni, mettendo un numero enorme di utenti a valle a potenziale rischio a causa di una singola violazione. Echeggia anche le preoccupazioni sollevate riguardo alle vulnerabilità non corrette in piattaforme ampiamente utilizzate come GeoServer, dove una singola falla non risolta in un'infrastruttura condivisa può essere sfruttata contemporaneamente in molte organizzazioni.

Questi incidenti condividono un filo conduttore comune: più il web diventa interconnesso, con le aziende che si affidano a script, plugin e piattaforme di terze parti, più un singolo fornitore compromesso può propagarsi verso l'esterno in un attacco diffuso.

Cosa significa questo per te

Per gli utenti Internet di tutti i giorni, la lezione da trarre da questo attacco malware ClickFix non è che un particolare sito web sia inaffidabile. È che anche i siti web legittimi e familiari possono essere temporaneamente trasformati in armi senza alcuna colpa da parte loro, semplicemente perché un fornitore su cui si affidano è stato compromesso. La vera difesa in questo caso si riduce a riconoscere il pattern ClickFix stesso. Nessun sito web legittimo ti chiederà mai di aprire un prompt dei comandi o una casella di esecuzione e incollare del testo per "verificare" che sei umano o per "risolvere" un problema di visualizzazione. Quell'istruzione, ovunque appaia, dovrebbe essere considerata un campanello d'allarme ogni volta.

Consigli pratici

Se ti imbatti in un avviso che ti chiede di copiare e incollare un comando nel tuo computer, chiudi immediatamente la pagina invece di seguire le istruzioni. Mantieni aggiornati il sistema operativo e il browser, poiché le patch a volte possono ridurre l'impatto degli script che riescono comunque a passare. Considera l'uso di estensioni del browser o strumenti di sicurezza che segnalano comportamenti sospetti degli script sulle pagine web che visiti. E se gestisci un sito web che si affida a strumenti di marketing o analisi di terze parti, monitora attentamente queste integrazioni e sii pronto a disconnetterle rapidamente se un fornitore divulga una violazione. Incidenti come l'hack di Brevo sono un promemoria del fatto che la vigilanza non dovrebbe fermarsi alla propria porta di casa. Deve estendersi a ogni fornitore e script che tocca i siti che usi ogni giorno.