Pubblicità Malevole: Malvertising (T1583.008)
Il Malvertising rappresenta l'acquisto deliberato di spazi pubblicitari online da parte di attori malevoli con lo scopo di distribuire codice ostile o dirottare le vittime verso infrastrutture di attacco. La tecnica è catalogata da MITRE ATT&CK come T1583.008 e appartiene alla tattica TA0042 (Resource Development), la fase in cui l'avversario costruisce o acquisisce le risorse necessarie a sostenere le operazioni successive.
L'attaccante sfrutta il modello economico self-service delle piattaforme pubblicitarie — motori di ricerca, social network, ad network programmatici — per posizionare in modo prominente annunci che imitano brand legittimi, aggiornamenti software o strumenti popolari. Il click porta la vittima verso domini clonati che veicolano installer trojanizzati, exploit browser o loader di primo stadio. La tecnica alimenta direttamente Drive-by Target (T1608.004) e Drive-by Compromise (T1189), spesso con interazione utente minima.
L'impatto operativo è amplificato da tecniche di evasione sofisticate: cloaking dinamico che serve contenuti benigni ai crawler dell'ad network e payload malevoli solo alle vittime validate tramite fingerprinting; typosquatting con errori intenzionali per eludere il monitoraggio della reputazione dei brand; automazione della registrazione domini e rotazione infrastrutturale per resistere ai takedown. Il vettore risulta particolarmente insidioso perché sfrutta la fiducia implicita che gli utenti ripongono nei risultati dei motori di ricerca, trasformando piattaforme legittime in canali di distribuzione malware su scala globale.
La simulazione controllata di Malvertising in un contesto red team richiede estrema cautela: l'acquisto reale di annunci malevoli configura reato in quasi tutte le giurisdizioni. L'obiettivo dell'esercizio è quindi replicare la catena tecnica in ambiente isolato per validare le difese, non condurre operazioni live su piattaforme pubblicitarie reali.
La prima fase riguarda la costruzione del dominio di landing spoofato. In laboratorio si registra un dominio typosquatted su un registrar di test o si usa un dominio interno, poi si clona il sito legittimo del brand target con strumenti come httrack (open source) o wget --mirror (open source). Un comando tipico è:
wget --mirror --convert-links --adjust-extension --page-requisites --no-parent https://vendor-legittimo.example
Il clone viene servito da un web server locale (nginx o Apache) con certificato TLS generato via mkcert (open source) o Let's Encrypt in staging, per riprodurre l'esperienza visiva completa incluso il lucchetto HTTPS.
La seconda fase è il payload trojanizzato. Si prende l'installer MSI o l'EXE originale del software imitato e si costruisce un bundle che esegue in parallelo il binario legittimo e un loader di secondo stadio. Framework come Sliver (open source) o Havoc (open source) generano impianti C2 modulari; l'assemblaggio del bundle avviene con Advanced Installer (freemium) o NSIS (open source), mantenendo la firma visuale dell'installer atteso.
La terza fase simula il cloaking. Sul landing server si implementa logica server-side che distingue traffico crawler da traffico utente reale sulla base di User-Agent, ASN sorgente, presenza di header Referer coerenti con l'ad network e fingerprint JavaScript. I visitatori identificati come sandbox o scanner ricevono una pagina benigna; le vittime validate ricevono il redirect al payload. In lab si riproduce con moduli nginx map o con reverse proxy come Caddy (open source) più script Lua.
La quarta fase è la catena di redirect. Si concatenano più hop tramite servizi cloud e URL shortener autoconfigurati per replicare la tipica traffic distribution system (TDS) osservata in Raspberry Robin e nelle campagne di Mustard Tempest, dove archivi ZIP contenenti LNK o MSI vengono ospitati su piattaforme legittime tipo Discord o CDN pubbliche.
La validazione difensiva include il test di ad blocker aziendali (uBlock Origin, DNS filtering con Pi-hole o NextDNS), la verifica della policy SmartScreen/Application Reputation di Windows e la telemetria EDR sui processi figli generati da browser dopo il click sull'annuncio simulato.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.