Elenco di domini malware, cos’è e come crearlo

Un elenco di domini di malware è un elenco di nomi di dominio, cioè siti, da cui si sa che gli attacchi di malware hanno origine. Si tratta di elenchi pubblici continuamente aggiornati di nomi di dominio che tutti i servizi di protezione dagli attacchi informatici utilizzano. In questo articolo, spiegheremo come vengono costruiti gli elenchi di domini di malware e perché è importante affidarsi a un servizio di protezione della navigazione per utilizzarli.

Cos’è e come si diffonde il malware

Per approfondire la nostra discussione sugli elenchi di domini di malware, iniziamo ricordando cos’è il malware e come si diffonde. Il termine malware (MALicious softWARE) si riferisce a software creato per danneggiare l’attività elettronica di un utente. Una volta infettato, oltre al computer o al dispositivo, il malware può anche interessare gli altri dispositivi con cui comunica. Il malware, quindi, si diffonde rapidamente lungo una rete di computer.

Esistono diversi tipi di malware. Un malware può essere un worm, un Trojan, o un virus informatico più complesso, come il ransomware. I malware, i virus e il (comunque) codice dannoso appartengono alla stessa famiglia, ma non sono la stessa cosa. Ogni tipo di malware ha un bersaglio diverso, ed è ormai ben compreso che un antivirus non è l’arma migliore da utilizzare. Il malware può interessare computer desktop, laptop, smartphone e dispositivi IoT, praticamente qualsiasi dispositivo digitale connesso a Internet. Nemmeno i sistemi operativi sono al sicuro. Windows, Android, iOS o Apple macOS sono tutti vulnerabili agli attacchi. In realtà, non esistono dispositivi digitali potenzialmente immuni dal malware e, soprattutto, è comunemente accettato che non sia una questione di “se” ma di “quando”. In altre parole, è meglio presumere che un’azienda verrà colpita prima o poi e non illudersi di poterla scappare.

Diamo un’occhiata veloce ai tipi di malware e ai tipi di danni che un malware può causare.

• Trojan. L’utente riceve un messaggio di chat o di posta elettronica e gli viene chiesto di fare clic su un collegamento. Una volta fatto, un piccolo pezzo di software viene installato sul dispositivo della vittima che può causare una varietà di tipi diversi di danni. Ad esempio, può assumere il controllo del computer e monitorare tutte le sue attività, come la digitazione sulla tastiera.
• Worm. Un worm è un codice dannoso creato con vari obiettivi. In generale, l’intenzione è danneggiare i dispositivi e le reti aziendali. Per sua natura, il worm si replica all’interno della rete aziendale e, come il Trojan, si introduce anche tramite collegamenti, ma non solo in questo modo.
• Exploit. Un exploit è un difetto trovato nel software aziendale. Si può creare un malware che, insinuandosi nell’architettura IT aziendale, sfrutta l’exploit e modifica il software facendolo eseguire compiti diversi. Un esempio? Pensa a un’auto a guida autonoma il cui software è stato modificato.
• Phishing. In un attacco di phishing, all’utente viene chiesto di eseguire una determinata attività. Ad esempio, in un messaggio, all’utente viene chiesto di fare clic su un collegamento e inserire l’ID utente e la password dell’home banking. Il sito che richiede i dati è identico al sito web della banca, ma non lo è. Il phishing spesso precede un attacco di malware.
• Rootkit e bootkit. I rootkit e i bootkit agiscono a un livello ancora più alto rispetto ai malware che utilizzano exploit software. Il loro obiettivo è bloccare i sistemi informatici. Questi codici possono anche essere diffusi come malware.
• Adware e spyware. Adware infesta il dispositivo infetto con annunci pubblicitari, mentre spyware spia l’attività dell’utente. Lo spyware raccoglie le informazioni e le invia al sistema che l’ha attivato. I keylogger sono spyware che spiano tutto ciò che l’utente digita sulla tastiera. Un calo delle prestazioni del dispositivo potrebbe essere dovuto a spyware.
• Botnet. Attraverso una botnet, si assume il controllo del dispositivo, che diventa il servo dei criminali informatici. Per dare un esempio molto comune al giorno d’oggi, un dispositivo potrebbe essere “costretto” a estrarre criptovalute. D’altra parte, il malware potrebbe “costringere” il dispositivo a far parte di un attacco DDoS.
• Ransomware. Arriviamo infine al malware più diffuso di tutti. L’installazione di software nella rete aziendale attraverso il dispositivo di un utente con l’intento di estorsione. L’obiettivo è “prendere in ostaggio” i dati aziendali, bloccare l’accesso ad essi e richiedere un riscatto per sbloccarli.

Oggi, gli attacchi condotti per motivi diversi dal profitto sono molto più rari di quanto lo fossero in passato. La maggior parte del malware che viene visto è ransomware. I criminali informatici, organizzati in vere e proprie gang, mirano (quasi) esclusivamente al guadagno economico.

Come viene costruito un elenco di domini malware

Chiarito cosa sia il malware e come si diffonda, diventa abbastanza facile capire cosa sia un elenco di domini malware. Esiste un Malware Domain List (MDL), un progetto comunitario senza scopo di lucro. È un sito che ospita un database di siti noti per ospitare o essere veicoli per la diffusione di malware.

Chiunque può segnalare un dominio. Inoltre, il database è alimentato da avvisi automatici che provengono dai centri di controllo delle varie società di sicurezza informatica. Le aziende attivano un connettore bidirezionale per il collegamento del codice software al fine di confrontare e aggiornare il database in tempo reale.

Sebbene in passato siano state create altre liste pubbliche di domini malware, oggi tutte si riferiscono all’MDL. Come accennato, l’aggiornamento viene effettuato manualmente o in modalità automatica mediante connettori. Non appena un’entità che combatte la criminalità informatica registra la diffusione di una nuova minaccia, il dominio, solitamente un sito o una pagina web da cui ha avuto origine la minaccia, viene identificato e segnalato.

Perché è importante aggiornare l’elenco dei domini

Sfortunatamente, la notifica avviene solo dopo che il malware è stato diffuso. Quindi, è possibile avvisare i sistemi di protezione solo dopo che un’azienda ha già subito un attacco. In tal caso, il tempo è un fattore importante. In altre parole, se, ad esempio, viene rilevata un’attività dannosa da un dominio, diciamo cinese o russo, l’utente deve cercare di bloccare la diffusione sfruttando il fuso orario. In questo modo, dovrebbe essere in grado di prevenire danni alle aziende occidentali. Tutto sommato, è una corsa contro il tempo.

Va menzionato che gli odierni sistemi di filtraggio dei siti, in particolare DNS, utilizzano algoritmi di intelligenza artificiale. Quindi, in base al comportamento e al contenuto di particolari siti, è possibile prevedere in anticipo se un dominio porta o meno malware. Questo metodo probabilistico, tuttavia, può portare alla segnalazione dei cosiddetti falsi negativi, cioè al blocco e quindi all’impedimento dell’accesso a un sito che probabilmente potrebbe contenere malware ma non lo contiene.

Generalmente, l’esperienza ha dimostrato che è meglio attivare il blocco e poi, con una verifica successiva, sbloccare il sito e rimuoverlo dall’elenco di domini malware.

Perché è meglio fidarsi di un servizio di filtraggio DNS

I servizi più coinvolti nella generazione di elenchi di domini malware sono i filtri DNS come FlashStart. Esistono sia versioni gratuite che a pagamento, con ovvie differenze in termini di accuratezza del database dei siti dannosi (blacklist).

Vediamo perché è più conveniente per un’azienda attivare un filtro DNS a pagamento come FlashStart. Innanzitutto, il filtraggio dai DNS dei siti è significativamente più efficace. Se il filtro si basasse sul nome di dominio, sarebbe molto più facile per i criminali informatici aggirare le protezioni perché, ad esempio, possono clonare completamente il sito di una banca, come accade con i siti creati per operazioni di phishing.

Un’altra caratteristica distintiva di un filtro DNS come FlashStart è il monitoraggio della rete Anycast. Questo è un servizio globale per il monitoraggio dei siti e dei percorsi utilizzati per raggiungerli. In termini tecnici, l’utilizzo della rete Anycast minimizza la latenza durante il monitoraggio del sito richiesto dall’utente.

Un filtro DNS di qualità come FlashStart utilizza anche l’intelligenza artificiale per aggiornare automaticamente le blacklist. Gli algoritmi di Intelligenza Artificiale contenuti nel servizio FlashStart gli permettono di esaminare fino a 200 mila siti al giorno, supportare ventiquattro lingue diverse e riconoscere novanta categorie in base al contenuto. Si stima che ogni ventiquattro ore vengano creati circa 250 mila siti nuovi nel mondo.

Un’altra caratteristica che distingue FlashStart dalla concorrenza è la sua integrazione nativa con il servizio Active Directory di Microsoft, cioè all’interno delle reti Microsoft. Un’altra funzione speciale della soluzione FlashStart è il geoblocking: il blocco dell’accesso ai siti ubicati geograficamente in paesi ritenuti pericolosi.

Il servizio FlashStart basato su cloud è disponibile in diversi modelli. FlashStart PRO è progettato per proteggere le PMI e le famiglie. PRO Plus espande le sue capacità per proteggere aziende, scuole e agenzie governative. Il firewall ibrido è una soluzione di protezione completa che include anche l’appliance hardware e, infine, FlashStart ha una soluzione specifica per i provider di servizi Internet e gli operatori.

Puoi attivare la protezione FlashStart® Cloud su qualsiasi tipo di Router e Firewall per proteggere dispositivi desktop e mobile e dispositivi IoT nelle reti locali.