La truffa dello schermo bloccato che immobilizza il browser: come funziona CypherLoc e come difendersi

Gli esperti informatici di Barracuda Research hanno scoperto CypherLoc, un sofisticato kit scareware basato sul Web, che avrebbe già registrato circa 2,8 milioni di attacchi. L'obiettivo dei truffatori è usare questi elementi per manipolare psicologicamente la vittima fino a spingerla a chiamare un falso numero di assistenza tecnica, dove operatori che si spacciano per supporto Microsoft tenteranno di estorcerle denaro e finalizzare così l’attacco. A differenza dei malware tradizionali, che infettano i file del computer, questo sistema opera interamente all'interno del browser, sfruttando codice crittografato che si attiva solo in condizioni di navigazione molto specifiche, il che lo rende difficile da rilevare per i comuni sistemi di sicurezza.

Una volta in esecuzione, trasforma una normale pagina Web in una schermata d'errore a tutto schermo: blocca il browser, riproduce suoni allarmanti e mostra l'indirizzo IP dell'utente per dare l'impressione di un controllo attivo sul dispositivo. Compaiono anche finti moduli di accesso che, pur non raccogliendo alcun dato, rendono la schermata più credibile e aumentano il senso di panico quando le credenziali inserite non risolvono nulla.

Come funziona il malware CypherLoc

Siamo abituati a pensare che le minacce informatiche arrivino sempre da un file infetto scaricato sul computer. CypherLoc dimostra che non sempre le cose stanno così. In questo caso, l’attacco vive interamente nel browser, senza lasciare tracce sul sistema. Si tratta di uno scareware, ovvero un software progettato non per danneggiare il dispositivo, ma per spaventare l'utente e spingerlo a compiere azioni avventate.

Tutto parte da un'e-mail di phishing con un collegamento a una pagina all'apparenza innocua. Al suo interno si nasconde il payload, il cuore operativo dell'attacco, che rimane cifrato e invisibile finché non vengono soddisfatte determinate condizioni. Il meccanismo si chiama hash-gating: il codice si decifra solo se nell'indirizzo URL è presente un frammento specifico e se il contenuto cifrato supera una verifica di integrità crittografica tramite HMAC. Se la pagina viene aperta da uno scanner o in una sandbox (gli ambienti virtuali usati dagli analisti di sicurezza) il payload non si attiva e la pagina mostra semplicemente una schermata vuota, rendendo l'attacco invisibile agli strumenti di analisi.

Quando invece tutte le condizioni vengono soddisfatte, viene mostrata un'interfaccia a schermo intero. Da questo momento, ogni clic, ogni passaggio a schermo intero e ogni ricaricamento della pagina fa scattare suoni di allarme. Non c'è alcun danno reale al computer, ma l'insieme di questi effetti – visivi, sonori e interattivi – crea una convincente illusione di crash del sistema.

Se l'utente cerca di esaminare la pagina con gli strumenti per sviluppatori del browser, CypherLoc risponde avviando un ciclo continuo di ricaricamento degli asset, riavvio dei flussi multimediali e ricalcoli del layout, mandando in tilt il browser e rafforzando l'impressione che qualcosa di grave stia realmente accadendo. L'unica via d'uscita apparente è il numero di supporto tecnico ben visibile sullo schermo. Chi lo chiama trova dall'altra parte un truffatore che finge di essere un operatore Microsoft, pronto a completare l'inganno cercando di estorcere denaro.

Come difendersi dalla truffa del browser bloccato

Difendersi da questo tipo di attacco presuppone l’uso sia di strumenti tecnici adeguati, sia di una buona dose di consapevolezza. Sul fronte tecnologico, è fondamentale dotarsi di soluzioni anti-phishing efficaci, affiancate da sistemi di sicurezza per la navigazione Web e per la protezione dei dispositivi connessi alla rete.

Sul fronte puramente psicologico, la regola più importante è quella di ignorare presunti avvisi di sicurezza che bloccano il browser, chiedono di telefonare a un numero di assistenza o richiedono l’invio di dati personali (come quelli di una carta di credito o di debito) per risolvere il problema.

non perderti questo articolo

Come fa un software antivirus a riconoscere una minaccia informatica e come funziona