The Pulse

Errori di digitazione nei domini dei servizi di IA portavano a esche per diffondere malware, rileva Island

Island ha individuato 186 domini simili a quelli di 27 marchi di IA, tra cui indirizzi che portavano a false pagine di verifica e a software che prendeva il controllo del browser. Un percorso portava a un pacchetto firmato da Microsoft Store che i ricercatori hanno classificato come un browser hijacker malevolo.

AI.info Team · · verificato · su 1 fonte ↓ · Pubblicato 12 nov 2026

Indirizzi digitati in modo errato per accedere a servizi di IA portavano i visitatori a false pagine di verifica, software che prendeva il controllo del browser ed estensioni che modificavano le impostazioni di ricerca, secondo una ricerca su 186 domini simili a quelli di 27 marchi. Tra i risultati, pubblicati da Island, azienda che produce browser per le imprese, figura un’app firmata da Microsoft Store che i ricercatori hanno classificato come un browser hijacker malevolo.

L’inventario comprendeva domini parcheggiati e percorsi di distribuzione malevoli. Island chiama questo schema TypoPrompting: un sito che imita un servizio di IA porta il visitatore verso una richiesta di verificare, installare o eseguire qualcos’altro.

Un errore di digitazione porta a un comando Windows

Tra gli indirizzi studiati, secondo la ricerca, 25 imitavano ChatGPT, 18 Claude e 16 DeepSeek. L’insieme comprendeva anche indirizzi simili a quelli di strumenti creativi e a nomi di aziende.

In uno dei percorsi ricostruiti, una versione di Claude con un errore di digitazione portava, attraverso una catena di distribuzione del traffico, a una falsa pagina di verifica Cloudflare. Island ha dichiarato che il percorso raccoglieva informazioni tra cui il paese, il sistema operativo e il browser del visitatore, prima di selezionare un’esca compatibile.

Solo alcune visite selezionate ricevevano un’esca; le altre si interrompevano prima o non ne ricevevano alcuna. La pagina per Windows indicava al visitatore di aprire la finestra di dialogo Esegui e incollare un comando che scaricava uno script PowerShell e lo avviava in una finestra nascosta.

I ricercatori hanno collegato il punto di accesso a 550 record di scansione corrispondenti, relativi a 211 domini di ingresso tra aprile 2025 e novembre 2026, dopo aver escluso i reindirizzamenti usati come diversivo. L’insieme più ampio comprendeva imitazioni di banche, assicurazioni e software aziendali, con esche distinte per Windows e macOS e pagine che offrivano il download di archivi.

Esaminato un pacchetto firmato dallo store

Un secondo percorso portava i visitatori da otto versioni con errori di digitazione di Claude, DeepSeek, Copilot, ElevenLabs e Voice AI a false pagine di controllo della sicurezza, secondo Island. Quelle pagine distribuivano Net Guard, un’app presentata come uno scanner di sicurezza per Wi-Fi e DNS.

I ricercatori hanno rilevato che il pacchetto scaricato corrispondeva all’hash della scheda di Net Guard su Microsoft Store e portava la firma Marketplace di Microsoft. La loro analisi ha rilevato che l’app poteva modificare le impostazioni di ricerca del browser, eseguire tramite DevTools codice JavaScript fornito da remoto e alterare i profili del browser o installare estensioni.

Secondo Island, queste funzionalità erano abilitate per impostazione predefinita nel codice analizzato. I suoi ricercatori hanno esaminato anche i pacchetti Privacy Keeper e MyFlixly Browser, hanno classificato tutti e tre come browser hijacker malevoli e hanno dichiarato che condividevano lo stesso codice di base.

La ricerca ha rilevato che i domini con errori di digitazione dei nomi di servizi di IA facevano parte di un percorso più ampio di distribuzione degli installer, che comprendeva 191 domini di approdo correlati, circa 45 nomi di prodotti e 1.437 domini di origine. Questi ultimi comprendevano imitazioni di banche, assicurazioni e aziende di telecomunicazioni, oltre che di strumenti di IA.

Le estensioni reindirizzavano le ricerche

Un altro indirizzo con un errore di digitazione nel nome Perplexity portava, attraverso una pagina di ricerche correlate, alla pagina di installazione di un’estensione del Chrome Web Store che modificava il motore di ricerca predefinito. Island ha dichiarato che il manifest dell’estensione indirizzava le ricerche dalla barra degli indirizzi a un endpoint di ricerca di terze parti, nonostante la scheda promettesse la ricerca con Bing.

Il team ha collegato l’estensione a un kit alla base di 30 estensioni e ha dichiarato che tutte le schede controllate non erano pubblicamente elencate. Island ha dichiarato che 13 erano state successivamente rimosse; le 17 ancora presenti mostravano complessivamente 972.000 utenti al 3 novembre.