In questo articolo Indice dei contenuti 2 sezioni
Una rete di 41 siti di download truffa è finita sotto i riflettori dei ricercatori di Malwarebytes, e il motivo è tanto semplice quanto sgradevole: passando il mouse sopra il pulsante di download compare un link vero, pulito, quello del sito ufficiale del software cercato. Poi si clicca e si finisce da tutt’altra parte. Il meccanismo è studiato per sfruttare esattamente l’abitudine che da anni viene insegnata a chi naviga, ovvero controllare l’indirizzo prima di aprirlo. Qui quel controllo non serve a niente, perché l’indirizzo mostrato e quello effettivamente raggiunto sono due cose diverse.
Il punto d’arrivo, in tutti i casi analizzati, è sempre lo stesso: un programma di installazione chiamato Download Studio. Non importa cosa si stesse cercando, il risultato non cambia. E la lista di ciò che viene pubblicizzato da questi portali è lunga davvero. Ci sono i videogiochi, da Counter Strike a Half Life, passando per Fallout, Roblox, PUBG e The Witcher, e ci sono i software di uso quotidiano come VLC, 7 Zip, Paint.NET, VMware, Total Commander e Foxit PDF. Roba che milioni di persone scaricano ogni giorno senza pensarci troppo.
Perché questi siti sembrano credibili
La parte più insidiosa riguarda la cura maniacale dell’apparenza. I ricercatori hanno sottolineato come i portali facciano di tutto per sembrare legittimi, con informazioni accurate sui prodotti, immagini e materiali presi direttamente dagli sviluppatori originali e persino link di download reali ben visibili. Un utente medio, arrivato lì da una ricerca su Google, non ha praticamente modo di accorgersi che qualcosa non torna. La grafica è quella giusta, le descrizioni tecniche pure, le versioni indicate corrispondono.
C’è però un dettaglio che aiuta a capire il senso dell’operazione. Il reindirizzamento verso Download Studio contiene un tracciamento degli affiliati, il che lascia intuire un ritorno economico per chi gestisce la rete. In altre parole, ogni installazione portata a termine vale qualcosa. Non è malware nel senso classico del termine, almeno non stavolta: gli esperti hanno verificato che il programma non nasconde infezioni e fa esattamente quello che dichiara di fare. Il problema è un altro, e cioè che chi cercava VLC si ritrova sul disco un software che non aveva mai chiesto.
Il precedente del 2020 e gli indicatori tecnici
Definire tutto questo innocuo sarebbe però un errore, e c’è un motivo preciso. Nel 2020 i ricercatori di Avast avevano documentato come gli aggiornamenti automatici di Download Studio fossero stati sfruttati per distribuire in silenzio FakeMBAM, una backdoor camuffata da installer di Malwarebytes. Il canale di aggiornamento, in quel caso, era diventato il veicolo perfetto per far entrare qualcosa di molto meno benevolo. Un software che si installa da solo e si aggiorna da solo resta una porta aperta, indipendentemente da cosa contenga oggi.
Per chi volesse verificare eventuali tracce sui propri sistemi, sono stati diffusi gli indicatori di compromissione legati alla campagna. L’hash del file dell’installer, DS Setup.exe, è 9a3f6e69c12cb814c45862219ecb17e9ab7744877c9da1c49f3ea046437f8fca. Sul fronte rete compaiono domini come r.byteengineering[.]net, apis.downloadstud[.]io, downloadstudio[.]net, dstudio[.]app e getdownloadstudio[.]net.
A questi si aggiunge la costellazione di portali civetta, quasi tutti con estensione .ru: 4kvideodownloader[.]ru, acronisportal[.]ru, cristalixmine[.]ru, crystaldisk24[.]ru, csgodownload[.]ru, cupheadplay[.]ru, fallout24[.]ru, farcryplay[.]ru, faststoneportal[.]ru, formatf[.]ru, foxitpdf[.]ru, get7zip[.]ru, getaf[.]ru, getaimp[.]ru, getavast[.]ru, getbandicam[.]ru, getbluestacks[.]ru, getmovavi[.]ru, getrecuva[.]ru, getultraiso[.]ru, getvmware[.]ru, getvuescan[.]ru, gogetter24[.]ru, memuemulator[.]ru, paintdotnet[.]ru, pdfxchange[.]ru, poppyplaytimeplay[.]ru, pubgplay[.]ru, rdrplay[.]ru, regorganize[.]ru, tcommander[.]ru, tf2play[.]ru, thewitcherplay[.]ru, uninstalltooll[.]ru, vlcmp[.]ru, windowsmp[.]ru e yandereplay[.]ru. Nell’elenco figurano anche alcuni indirizzi dedicati a Grand Theft Auto, Half Life, Roblox e Rust, costruiti con la stessa logica. Il consiglio che emerge dall’analisi resta quello di sempre, applicato però con più rigore: scaricare i programmi soltanto dal sito ufficiale dello sviluppatore, digitando l’indirizzo a mano invece di affidarsi ai risultati dei motori di ricerca, perché in questa campagna l’anteprima del link non è più una garanzia.
