13 luglio 2017

Gli specialisti Doctor Web hanno scoperto sul portale dei servizi per il cittadino della Federazione Russa (gosuslugi.ru) un codice potenzialmente malevolo che è stato iniettato da una sorgente sconosciuta. A causa della mancanza di risposta dall'amministrazione del sito gosuslugi.ru siamo costretti a informare il pubblico circa la minaccia.

Al momento non è possibile accertare la data di inizio dell'infezione e le attività precedenti su questo vettore di attacco. Il codice malevolo forza il web browser di qualsiasi visitatore a connettersi furtivamente con uno di almeno 15 indirizzi di dominio registrati a una persona privata sconosciuta. Da questi domini può arrivare in risposta qualsiasi documento indipendente, cominciando da un falso modulo di immissione dei dati carta di credito e finendo alla selezione a dizionario delle vulnerabilità per ottenere l'accesso al computer del visitatore del sito.

Durante la generazione dinamica di una pagina del sito che viene richiesta dall'utente, al codice del sito viene aggiunto un container <iframe> che permette di caricare qualsiasi dato di terzi o richiedere qualsiasi dato dal browser dell'utente. Al momento gli esperti hanno rilevato almeno 15 domini, tra cui: m3oxem1nip48.ru, m81jmqmn.ru e altri indirizzi con dei nomi consapevolmente poco informativi. In caso di almeno 5 di loro l'intervallo di indirizzi appartiene ad aziende registrate nei Paesi Bassi. Nel corso delle ultime ventiquattro ore le richieste verso questi domini non vengono completate con successo in quanto i certificati di sicurezza della maggior parte di questi siti sono scaduti, oppure la risposta non contiene un codice malevolo, tuttavia nulla impedisce ai proprietari dei domini di aggiornare i certificati in qualsiasi momento e di collocare un codice software dannoso su questi domini.

Al momento il sito gosuslugi.ru rimane compromesso, le informazioni sono state passate al supporto tecnico del sito, ma non è stata ricevuta alcuna conferma di quello che verranno adottate le misure necessarie per prevenire indicenti in futuro e che viene condotta un'investigazione sul fatto accaduto. Doctor Web consiglia di usare cautela quando si visita il portale dei servizi per il cittadino della Federazione Russa fino alla risoluzione della situazione. Doctor Web, Ltd consiglia all'amministrazione del sito gosuslugi.ru e agli organi competenti di effettuare un controllo di sicurezza del sito.

Ogni utente può verificare in autonomo la presenza del codice utilizzando un servizio di ricerca e impostando una richiesta di ricerca della seguente stringa:

site:gosuslugi.ru "A1996667054"