Browser hijacking

Estensioni del browser infette aprono le porte all’hacking criminale: sventata una nuova minaccia

Oltre duecentomila utenti di Microsoft Edge e Google Chrome sono nel mirino di hacking criminale, a causa di più di trenta estensioni del browser infette. Ermes – Intelligent Web Protection ha reso inoffensiva la campagna SocialDivert che sfruttava i plugin malevoli, i malware più sottovalutati. Ecco cosa rischiano le potenziali vittime e come possono difendersi

15 Nov 2021
C
Mirella Castigli

Giornalista

Il browser hijacking colpisce in media oltre 650 nuovi utenti al giorno: questo è infatti il numero delle vittime delle estensioni del browser infette secondo Ermes – Intelligent Web Protection, il gruppo di ricerca che ha scoperto il comportamento malevolo di almeno 34 estensioni del browser utilizzate nella campagna di attacco SocialDivert.

Già avvertiti della pericolosità del fenomeno gli store di Microsoft Edge e Google Chrome:  “I ricercatori di Ermes – Intelligent Web Protection continuano a fare ricerca con l’obiettivo di identificare le minacce emergenti e fare in modo che le soluzioni ideate siano sempre all’avanguardia ed efficaci anche contro i rischi più insidiosi”, spiega il gruppo di ricerca.

Queste informazioni confermano che “la minaccia è estremamente diffusa, nota da tempo, continua a mietere vittime a ritmo sostenuto”, commenta Pierluigi Paganini, analista di cyber security e CEO Cybhorus. “Le estensioni malevole interferiscono con l’esperienza dell’utente online e possono per questo essere utilizzate con diverse finalità criminali. Il livello di complessità di queste estensioni è cresciuto nel tempo, soprattutto la relativa capacità di evasione delle soluzioni di sicurezza”.

Estensioni del browser infette: le dimensioni del fenomeno

Il white paper di Ermes – Intelligent Web Protection, intitolato “Hijacked on the web: The Growing Threat of Malicious browser extension”, fotografa il fenomeno del browser hijacking attraverso i plugin malevoli, i più sottovalutati dei malware, perché aprono le porte ai criminal hacker in maniera silenziosa, attraverso l’anello debole di ignari utenti: individui, imprese e organizzazioni che, usando plugin del browser malevoli, possono diventare obiettivi di campagne di hackeraggio criminale ad alto rischio.

WHITEPAPER
Trasferire i processi in cloud è una scelta non più rimandabile: ecco perché
Cloud
Digital Transformation

I ricercatori hanno quindi individuato e reso inoffensiva la campagna SocialDivert che, complessivamente, aveva nel mirino oltre 220mila utenti che avevano installato, senza accorgersene, le estensioni del browser disponibili sugli store dei browser Edge e Chrome: Microsoft Edge Add-Ons Store e Google Chrome Web Store.

I rischi dei plugin pericolosi del browser

L’hacking tramite l’installazione di estensioni del browser infette comporta gravi rischi: truffe, furti di dati sensibili, minacce, cyber attacchi specifici e perfino ricatti.

Alle vittime dei plugin pericolosi è sufficiente scaricare e installare le estensioni dei browser infette per spalancare le porte ai cyber criminali, attraverso le application programming interfaces (API) dei plugin, offrendo loro una piena visibilità della navigazione web dell’utente.

Gli hacker criminali possono così accedere a informazioni sensibili come messaggi di posta elettronica, credenziali e servizi web interni aziendali, ma un plugin malevolo può anche provocare interferenze con la navigazione dell’utente, inducendolo ad atterrare su pagine fraudolente e pericolose. Nella maggior parte dei casi il rischio è il browser hijacking, con cui le estensioni dei browser infette dirottano di nascosto l’ignara vittima su altri siti web dediti al download di malware.

Il plugin può infatti non solo reindirizzare le vittime, ma anche contattare servizi remoti e intercettare comunicazioni private. Le estensioni dei browser infette compiono azioni criminali senza che l’utente sia consapevole di ciò che sta avvenendo nella navigazione web. Senza accorgersene, la vittima può consentire ai cyber criminali di aprire backdoor oppure scaricare phishing e malware, in seguito al dirottamento.

La campagna SocialDivert nel dettaglio

Di solito gli utenti scaricano i plugin per accedere ed effettuare il download di video e stories da Instagram, Facebook, YouTube, Vimeo e LinkedIn oppure tracce musicali da SoundCloud. La campagna di hacking criminale SocialDivert, nel dettaglio, ha sfruttato come veicolo di attacco 18 plugin disponibili nell’Edge Add-Ons Store e 16 nel Chrome Web Store.

Lo store di Firefox, Mozilla Firefox AddOns Store, non è stato preso di mira perché non consente l’offuscamento del codice.

La campagna malevola aveva come traguardo quello di conquistare credenziali, informazioni sensibili e account, manomettere i social media e aprire backdoor per monitorare e acquisire il controllo di dispositivi degli utenti.

SocialDivert, in particolare, reindirizzava il traffico a siti Web dove avveniva la distribuzione di phishing e malware.

La dinamica dell’attacco

Il meccanismo della campagna era collaudato:

  • offuscamento del codice JavaScript per evitare di essere riconosciuti;
  • l’attacco entra in azioni alcuni giorni dopo il download, per non recare sospetti;
  • per evitare l’individuazione della tecnica usata, il meccanismo si nasconde ai ricercatori, infatti evita il download su computer equipaggiati con sistema operativo Linux;
  • alcune estensioni scoperte risiedevano su Amazon Web Services (AWS);
  • le estensioni recavano recensioni positive per indurre al download;
  • installazione delle estensioni del browser infette da parte delle vittime;
  • dirottamento su altri siti web malevoli grazie a connessioni web contenenti alcuni criteri predefiniti nella stringa/URL.

Gli hacker criminali avevano predisposto un percorso predefinito:

  • un set di 164 stringhe predeterminate;
  • presenza di porzioni di testo che di solito appaiono negli indirizzi web, per esempio relativi a social media, servizi bancari, motori di ricerca e servizi di posta elettronica, in modo da confondere le vittime;
  • l’URL contenente una di queste stringhe, reindirizza automaticamente l’utente, ingannato dalle porzioni di testo affini a siti noti, verso un sito web fraudolento, congegnato con il fine di carpire credenziali, informazioni sensibili e account, danneggiare i social media e condurre all’apertura di pericolose backdoor per compiere truffe e furti di dati sensibili.

Come proteggersi dalle estensioni del browser infette

“Questo tipo di attacchi è insidioso e solo una adeguata postura in materia di cyber security può mitigarne l’esposizione. È indispensabile un approccio ibrido basato su soluzioni tecnologiche di difesa efficaci e sulla consapevolezza della minaccia da parte degli utenti e dalla loro applicazione di best practice, soprattutto quando si installano estensioni nel proprio browser”, spiega Pierluigi Paganini.

L’anello debole della selezione delle estensioni del browser infette è, infatti, il fattore umano. Per questo motivo l’approccio reputazionale statico delle soluzioni di cyber security non serve a proteggersi da questa minaccia. Al contrario, individui, aziende e organizzazioni dovrebbero adottare soluzioni capaci di valutare i comportamenti in modo dinamico, così da disinnescare il pericolo silenzioso dei plugin dei browser.

Il modello comportamentale è un modello reputazionale che funziona come i portali scanner situati in aeroporto: non basta presentare il passaporto per certificare la propria identità e prendere un volo, ma occorre passare attraverso gli scanner. Analogamente, nella navigazione Web bisogna essere cauti e prendere precauzioni.

Ermes ha sviluppato un sistema di early detection in grado di identificare e fornire una completa protezione contro i plugin dei browser malevoli. “Il nostro innovativo sistema di prevenzione e rilevamento in tempo reale, basato su algoritmi di intelligenza artificiale brevettati, infatti, è in grado di identificare e fornire una protezione completa contro le estensioni del browser dannose, ancora erroneamente sottovalutate”, conclude in un comunicato Hassan Metwalley, CEO e Co-founder di Ermes – Intelligent Web Protection.

La soluzione di Ermes analizza e controlla minuziosamente il codice sorgente delle estensioni, una ad una, anche se non è considerata una minaccia:

  • dipendenze;
  • vulnerabilità;
  • permessi richiesti;
  • altre informazioni relative a sicurezza e privacy.

Gli utenti finali dovrebbero inoltre evitare l’uso di estensioni privilegiando le applicazioni web, che comunque non sono esenti da rischio nel caso in cui venissero attaccate con esito positivo. Conviene sempre controllare le estensione dalla pagina di servizio dei browser da cui è possibile monitorare l’elenco di quelle installate:

  • Google Chrome: chrome://extensions/
  • Microsoft Edge: edge://extensions/

WHITEPAPER
Efficienza energetica nei processi produttivi: scopri come, grazie a Digitalizzazione e AI
Intelligenza Artificiale
IoT
@RIPRODUZIONE RISERVATA

Speciale PNRR

Tutti
Incentivi
Salute digitale
Formazione
Analisi
Sostenibilità
PA
Sostemibilità
Sicurezza
Digital Economy
CODICE STARTUP
Imprenditoria femminile: come attingere ai fondi per le donne che fanno impresa
DECRETI
PNRR e Fascicolo Sanitario Elettronico: investimenti per oltre 600 milioni
IL DOCUMENTO
Competenze digitali, ecco il nuovo piano operativo nazionale
STRUMENTI
Da Istat e RGS gli indicatori per misurare la sostenibilità nel PNRR
STRATEGIE
PNRR – Piano nazionale di Ripresa e Resilienza: cos’è e novità
FONDI
Pnrr, ok della Ue alla seconda rata da 21 miliardi: focus su 5G e banda ultralarga
GREEN ENERGY
Energia pulita: Banca Sella finanzia i progetti green incentivati dal PNRR
TECNOLOGIA SOLIDALE
Due buone notizie digitali: 500 milioni per gli ITS e l’inizio dell’intranet veloce in scuole e ospedali
INNOVAZIONE
Competenze digitali e InPA cruciali per raggiungere gli obiettivi del Pnrr
STRATEGIE
PA digitale 2026, come gestire i fondi PNRR in 5 fasi: ecco la proposta
ANALISI
Value-based healthcare: le esperienze in Italia e il ruolo del PNRR
Strategie
Accordi per l’innovazione, per le imprese altri 250 milioni
Strategie
PNRR, opportunità e sfide per le smart city
Strategie
Brevetti, il Mise mette sul piatto 8,5 milioni
Strategie
PNRR e opere pubbliche, la grande sfida per i Comuni e perché bisogna pensare digitale
Formazione
Trasferimento tecnologico, il Mise mette sul piatto 7,5 milioni
Strategie
PSN e Strategia Cloud Italia: a che punto siamo e come supportare la PA in questo percorso
Dispersione idrica
Siccità: AI e analisi dei dati possono ridurre gli sprechi d’acqua. Ecco gli interventi necessari
PNRR
Cloud, firmato il contratto per l’avvio di lavori del Polo strategico
Formazione
Competenze digitali, stanziati 48 milioni per gli Istituti tecnologici superiori
Iniziative
Digitalizzazione delle reti idriche: oltre 600 milioni per 21 progetti
Competenze e competitività
PNRR, così i fondi UE possono rilanciare la ricerca e l’Università
Finanziamenti
PNRR, si sbloccano i fondi per l’agrisolare
Sanità post-pandemica
PNRR, Missione Salute: a che punto siamo e cosa resta da fare
Strategie
Sovranità e autonomia tecnologica nazionale: come avviare un processo virtuoso e sostenibile
La relazione
Pnrr e PA digitale, l’alert della Corte dei conti su execution e capacità di spesa
L'editoriale
Elezioni 2022, la sfida digitale ai margini del dibattito politico
Strategie
Digitale, il monito di I-Com: “Senza riforme Pnrr inefficace”
Transizione digitale
Pnrr: arrivano 321 milioni per cloud dei Comuni, spazio e mobilità innovativa
L'analisi I-COM
Il PNRR alla prova delle elezioni: come usare bene le risorse e centrare gli obiettivi digitali
Cineca
Quantum computing, una svolta per la ricerca: lo scenario europeo e i progetti in corso
L'indice europeo
Desi, l’Italia scala due posizioni grazie a fibra e 5G. Ma è (ancora) allarme competenze
L'approfondimento
PNRR 2, ecco tutte le misure per cittadini e imprese: portale sommerso, codice crisi d’impresa e sismabonus, cosa cambia
Servizi digitali
PNRR e trasformazione digitale: ecco gli investimenti e le riforme previste per la digitalizzazione della PA
Legal health
Lo spazio europeo dei dati sanitari: come circoleranno le informazioni sulla salute nell’Unione Europea
Servizi digitali
PNRR e PA digitale: non dimentichiamo la dematerializzazione
Digital Healthcare transformation
La trasformazione digitale degli ospedali
Governance digitale
PA digitale, è la volta buona? Così misure e risorse del PNRR possono fare la differenza
Servizi digitali
Comuni e digitale, come usare il PNRR senza sbagliare
La survey
Pnrr e digitale accoppiata vincente per il 70% delle pmi italiane
Missione salute
Fascicolo Sanitario Elettronico alla prova del PNRR: limiti, rischi e opportunità
Servizi pubblici
PNRR: come diventeranno i siti dei comuni italiani grazie alle nuove risorse
Skill gap
PNRR, la banda ultra larga crea 20.000 nuovi posti di lavoro
Il Piano
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUMPA2022
PNRR e trasformazione digitale: rivedi i Talk di FORUM PA 2022 in collaborazione con le aziende partner
I contratti
Avio, 340 milioni dal Pnrr per i nuovi propulsori a metano
Next Generation EU
PNRR, a che punto siamo e cosa possono aspettarsi le aziende private
Fondi
Operativo il nuovo portale del MISE con tutti i finanziamenti per le imprese
Servizi comunali
Il PNRR occasione unica per i Comuni digitali: strumenti e risorse per enti e cittadini
Healthcare data platform
PNRR dalla teoria alla pratica: tecnologie e soluzioni per l’innovazione in Sanità
Skill
Competenze digitali, partono le Reti di facilitazione
Gli obiettivi
Scuola 4.0, PNRR ultima chance: ecco come cambierà il sistema formativo
Sistema Paese
PNRR 2, è il turno della space economy
FORUM PA 2022
FORUM PA 2022: la maturità digitale dei comuni italiani rispetto al PNRR
Analisi
PNRR: dalla Ricerca all’impresa, una sfida da cogliere insieme
Innovazione
Pnrr, il Dipartimento per la Trasformazione digitale si riorganizza
FORUM PA 2022
PA verde e sostenibile: il ruolo di PNRR, PNIEC, energy management e green public procurement
Analisi
PNRR, Comuni e digitalizzazione: tutto su fondi e opportunità, in meno di 3 minuti. Guarda il video!
Rapporti
Competenze digitali e servizi automatizzati pilastri del piano Inps
Analisi
Attuazione del PNRR: il dialogo necessario tra istituzioni e società civile. Rivedi lo Scenario di FORUM PA 2022
Progetti
Pnrr, fondi per il Politecnico di Torino. Fra i progetti anche IS4Aerospace
Analisi
PNRR, Colao fa il punto sulla transizione digitale dell’Italia: «In linea con tutte le scadenze»
La Svolta
Ict, Istat “riclassifica” i professionisti. Via anche al catalogo dati sul Pnrr
Analisi
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUM PA 2022
Ecosistema territoriale sostenibile: l’Emilia Romagna tra FESR e PNRR
Il Piano
Innovazione, il Mise “centra” gli obiettivi Pnrr: attivati 17,5 miliardi
Analisi
PNRR: raggiunti gli obiettivi per il primo semestre 2022. Il punto e qualche riflessione
Analisi
PNRR: dal dialogo tra PA e società civile passa il corretto monitoraggio dei risultati, tra collaborazione e identità dei luoghi
Webinar
Comuni e PNRR: un focus sui bandi attivi o in pubblicazione
Analisi
Formazione 4.0: cos’è e come funziona il credito d’imposta
PA e Sicurezza
PA e sicurezza informatica: il ruolo dei territori di fronte alle sfide della digitalizzazione
PA e sicurezza
PNRR e servizi pubblici digitali: sfide e opportunità per Comuni e Città metropolitane
Water management
Water management in Italia: verso una transizione “smart” e “circular” 
LE RISORSE
Transizione digitale, Simest apre i fondi Pnrr alle medie imprese
Prospettive
Turismo, cultura e digital: come spendere bene le risorse del PNRR
Analisi
Smart City: quale contributo alla transizione ecologica
Decarbonizzazione
Idrogeno verde, 450 milioni € di investimenti PNRR, Cingolani firma
Unioncamere
PNRR, imprese in ritardo: ecco come le Camere di commercio possono aiutare
I fondi
Industria 4.0: solo un’impresa su tre pronta a salire sul treno Pnrr
CODICE STARTUP
Imprenditoria femminile: come attingere ai fondi per le donne che fanno impresa
DECRETI
PNRR e Fascicolo Sanitario Elettronico: investimenti per oltre 600 milioni
IL DOCUMENTO
Competenze digitali, ecco il nuovo piano operativo nazionale
STRUMENTI
Da Istat e RGS gli indicatori per misurare la sostenibilità nel PNRR
STRATEGIE
PNRR – Piano nazionale di Ripresa e Resilienza: cos’è e novità
FONDI
Pnrr, ok della Ue alla seconda rata da 21 miliardi: focus su 5G e banda ultralarga
GREEN ENERGY
Energia pulita: Banca Sella finanzia i progetti green incentivati dal PNRR
TECNOLOGIA SOLIDALE
Due buone notizie digitali: 500 milioni per gli ITS e l’inizio dell’intranet veloce in scuole e ospedali
INNOVAZIONE
Competenze digitali e InPA cruciali per raggiungere gli obiettivi del Pnrr
STRATEGIE
PA digitale 2026, come gestire i fondi PNRR in 5 fasi: ecco la proposta
ANALISI
Value-based healthcare: le esperienze in Italia e il ruolo del PNRR
Strategie
Accordi per l’innovazione, per le imprese altri 250 milioni
Strategie
PNRR, opportunità e sfide per le smart city
Strategie
Brevetti, il Mise mette sul piatto 8,5 milioni
Strategie
PNRR e opere pubbliche, la grande sfida per i Comuni e perché bisogna pensare digitale
Formazione
Trasferimento tecnologico, il Mise mette sul piatto 7,5 milioni
Strategie
PSN e Strategia Cloud Italia: a che punto siamo e come supportare la PA in questo percorso
Dispersione idrica
Siccità: AI e analisi dei dati possono ridurre gli sprechi d’acqua. Ecco gli interventi necessari
PNRR
Cloud, firmato il contratto per l’avvio di lavori del Polo strategico
Formazione
Competenze digitali, stanziati 48 milioni per gli Istituti tecnologici superiori
Iniziative
Digitalizzazione delle reti idriche: oltre 600 milioni per 21 progetti
Competenze e competitività
PNRR, così i fondi UE possono rilanciare la ricerca e l’Università
Finanziamenti
PNRR, si sbloccano i fondi per l’agrisolare
Sanità post-pandemica
PNRR, Missione Salute: a che punto siamo e cosa resta da fare
Strategie
Sovranità e autonomia tecnologica nazionale: come avviare un processo virtuoso e sostenibile
La relazione
Pnrr e PA digitale, l’alert della Corte dei conti su execution e capacità di spesa
L'editoriale
Elezioni 2022, la sfida digitale ai margini del dibattito politico
Strategie
Digitale, il monito di I-Com: “Senza riforme Pnrr inefficace”
Transizione digitale
Pnrr: arrivano 321 milioni per cloud dei Comuni, spazio e mobilità innovativa
L'analisi I-COM
Il PNRR alla prova delle elezioni: come usare bene le risorse e centrare gli obiettivi digitali
Cineca
Quantum computing, una svolta per la ricerca: lo scenario europeo e i progetti in corso
L'indice europeo
Desi, l’Italia scala due posizioni grazie a fibra e 5G. Ma è (ancora) allarme competenze
L'approfondimento
PNRR 2, ecco tutte le misure per cittadini e imprese: portale sommerso, codice crisi d’impresa e sismabonus, cosa cambia
Servizi digitali
PNRR e trasformazione digitale: ecco gli investimenti e le riforme previste per la digitalizzazione della PA
Legal health
Lo spazio europeo dei dati sanitari: come circoleranno le informazioni sulla salute nell’Unione Europea
Servizi digitali
PNRR e PA digitale: non dimentichiamo la dematerializzazione
Digital Healthcare transformation
La trasformazione digitale degli ospedali
Governance digitale
PA digitale, è la volta buona? Così misure e risorse del PNRR possono fare la differenza
Servizi digitali
Comuni e digitale, come usare il PNRR senza sbagliare
La survey
Pnrr e digitale accoppiata vincente per il 70% delle pmi italiane
Missione salute
Fascicolo Sanitario Elettronico alla prova del PNRR: limiti, rischi e opportunità
Servizi pubblici
PNRR: come diventeranno i siti dei comuni italiani grazie alle nuove risorse
Skill gap
PNRR, la banda ultra larga crea 20.000 nuovi posti di lavoro
Il Piano
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUMPA2022
PNRR e trasformazione digitale: rivedi i Talk di FORUM PA 2022 in collaborazione con le aziende partner
I contratti
Avio, 340 milioni dal Pnrr per i nuovi propulsori a metano
Next Generation EU
PNRR, a che punto siamo e cosa possono aspettarsi le aziende private
Fondi
Operativo il nuovo portale del MISE con tutti i finanziamenti per le imprese
Servizi comunali
Il PNRR occasione unica per i Comuni digitali: strumenti e risorse per enti e cittadini
Healthcare data platform
PNRR dalla teoria alla pratica: tecnologie e soluzioni per l’innovazione in Sanità
Skill
Competenze digitali, partono le Reti di facilitazione
Gli obiettivi
Scuola 4.0, PNRR ultima chance: ecco come cambierà il sistema formativo
Sistema Paese
PNRR 2, è il turno della space economy
FORUM PA 2022
FORUM PA 2022: la maturità digitale dei comuni italiani rispetto al PNRR
Analisi
PNRR: dalla Ricerca all’impresa, una sfida da cogliere insieme
Innovazione
Pnrr, il Dipartimento per la Trasformazione digitale si riorganizza
FORUM PA 2022
PA verde e sostenibile: il ruolo di PNRR, PNIEC, energy management e green public procurement
Analisi
PNRR, Comuni e digitalizzazione: tutto su fondi e opportunità, in meno di 3 minuti. Guarda il video!
Rapporti
Competenze digitali e servizi automatizzati pilastri del piano Inps
Analisi
Attuazione del PNRR: il dialogo necessario tra istituzioni e società civile. Rivedi lo Scenario di FORUM PA 2022
Progetti
Pnrr, fondi per il Politecnico di Torino. Fra i progetti anche IS4Aerospace
Analisi
PNRR, Colao fa il punto sulla transizione digitale dell’Italia: «In linea con tutte le scadenze»
La Svolta
Ict, Istat “riclassifica” i professionisti. Via anche al catalogo dati sul Pnrr
Analisi
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUM PA 2022
Ecosistema territoriale sostenibile: l’Emilia Romagna tra FESR e PNRR
Il Piano
Innovazione, il Mise “centra” gli obiettivi Pnrr: attivati 17,5 miliardi
Analisi
PNRR: raggiunti gli obiettivi per il primo semestre 2022. Il punto e qualche riflessione
Analisi
PNRR: dal dialogo tra PA e società civile passa il corretto monitoraggio dei risultati, tra collaborazione e identità dei luoghi
Webinar
Comuni e PNRR: un focus sui bandi attivi o in pubblicazione
Analisi
Formazione 4.0: cos’è e come funziona il credito d’imposta
PA e Sicurezza
PA e sicurezza informatica: il ruolo dei territori di fronte alle sfide della digitalizzazione
PA e sicurezza
PNRR e servizi pubblici digitali: sfide e opportunità per Comuni e Città metropolitane
Water management
Water management in Italia: verso una transizione “smart” e “circular” 
LE RISORSE
Transizione digitale, Simest apre i fondi Pnrr alle medie imprese
Prospettive
Turismo, cultura e digital: come spendere bene le risorse del PNRR
Analisi
Smart City: quale contributo alla transizione ecologica
Decarbonizzazione
Idrogeno verde, 450 milioni € di investimenti PNRR, Cingolani firma
Unioncamere
PNRR, imprese in ritardo: ecco come le Camere di commercio possono aiutare
I fondi
Industria 4.0: solo un’impresa su tre pronta a salire sul treno Pnrr