Il giorno prima dell’invasione dell’Ucraina da parte delle forze russe il 24 febbraio, è stato scoperto che un nuovo wiper scatenato contro un certo numero di entità ucraine. A questo malware è stato assegnato il nome “HermeticWiper” sulla base di un certificato digitale rubato da una società chiamata Hermetica Digital Ltd.

Questo wiper è notevole per la sua capacità di aggirare le funzionalità di sicurezza di Windows e ottenere l’accesso in scrittura a molte strutture di dati di basso livello sul disco. Inoltre, gli aggressori volevano frammentare i file sul disco e sovrascriverli per rendere impossibile il ripristino.

Sono emerse altre ricerche in cui sono stati utilizzati componenti aggiuntivi in ​​​​questa campagna, tra cui un worm e un tipico ransomware per fortuna mal implementato e decrittografabile.

Analisi comportamentale

Innanzitutto, quello che vediamo è un eseguibile Windows a 32 bit con un’icona che ricorda un regalo. Non è uno scherzo cinico degli aggressori, ma solo un’icona standard per un progetto GUI di Visual Studio.

Deve essere eseguito come amministratore per funzionare e non prevede tecniche di bypass dell’UAC. Come scopriremo in seguito, anche il nome del campione incide (leggermente) sulla sua funzionalità; se il nome inizia con “c” (o “C”, poiché viene automaticamente convertito in minuscolo) il sistema si riavvierà anche dopo l’esecuzione.

Una volta eseguito, funziona silenziosamente in background. Per diversi minuti potremmo non notare nulla di sospetto.

Solo se lo osserviamo utilizzando strumenti come Process Explorer, possiamo notare alcune azioni insolite. Chiamate varie a IOCTL, relativi al recupero dei dettagli sui dischi:

In che modo HermeticWiper infetta i computer?

In almeno un caso, HermeticWiper è stato distribuito ai PC Windows di un’intera organizzazione tramite criteri di gruppo di Active Directory, secondo ESET.

Le prove suggeriscono che le organizzazioni infette potrebbero essere state compromesse tramite attacchi addirittura di mesi prima. Il punto di ingresso iniziale utilizzato dagli aggressori contro le organizzazioni era lo sfruttamento di vulnerabilità senza patch sui server pubblici.

Il 15 gennaio 2022, Microsoft ha annunciato l’identificazione di una sofisticata operazione di malware destinata a più organizzazioni in Ucraina. Il malware, noto come WhisperGate, ha due fasi che corrompe il record di avvio principale di un sistema, visualizza una nota ransomware falsa e crittografa i file in base a determinate estensioni di file. Sebbene durante l’attacco venga visualizzato un messaggio di ransomware, Microsoft ha evidenziato che i dati presi di mira vengono distrutti e non sono recuperabili anche se viene pagato un riscatto.

Migliori pratiche per la difesa

Come notato in precedenza, il malware distruttivo può rappresentare una minaccia diretta per le operazioni quotidiane di un’organizzazione, con un impatto sulla disponibilità di risorse e dati critici. Le organizzazioni dovrebbero aumentare la vigilanza e valutare le proprie capacità, comprendendo pianificazione, preparazione, rilevamento e risposta, per un tale evento. 

La CISA e l’FBI esortano tutte le organizzazioni ad attuare le seguenti raccomandazioni per aumentare la propria resilienza informatica contro questa minaccia.

Potenziali vettori di distribuzione

Il malware può utilizzare strumenti di comunicazione diffusi per diffondersi, inclusi worm inviati tramite e-mail e messaggi istantanei, cavalli di Troia rilasciati da siti Web e file infetti da virus scaricati da connessioni peer-to-peer. Il malware cerca di sfruttare le vulnerabilità esistenti sui sistemi per un accesso semplice e silenzioso.

Il malware ha la capacità di colpire un’ampia gamma di sistemi e può essere eseguito su più sistemi in una rete. Di conseguenza, è importante che le organizzazioni valutino il loro ambiente per i canali atipici per la distribuzione e/o la propagazione del malware nei loro sistemi. I sistemi da valutare includono:

• Applicazioni aziendali, in particolare quelle che hanno la capacità di interfacciarsi direttamente con più host ed endpoint e avere un impatto. Esempi comuni includono:
  • Sistemi di gestione delle patch,
  • Sistemi di gestione patrimoniale,
  • Software di teleassistenza (tipicamente utilizzato dall’help desk aziendale),
  • software antivirus (AV),
  • Sistemi assegnati al personale amministrativo di sistema e di rete,
  • Server di backup centralizzati e
  • Condivisioni di file centralizzate.

Sebbene non siano applicabili solo al malware, gli attori delle minacce potrebbero compromettere risorse aggiuntive per influire sulla disponibilità di dati e applicazioni critici. Esempi comuni includono:

• Dispositivi di archiviazione centralizzati
  • Rischio potenziale: accesso diretto a partizioni e data warehouse.
• Dispositivi di rete
  • Rischio potenziale: capacità di inserire false route all’interno della tabella di routing, eliminare route specifiche dalla tabella di routing, rimuovere/modificare attributi di configurazione o distruggere firmware o file binari di sistema, il che potrebbe isolare o ridurre la disponibilità di risorse di rete critiche.

Una violazione dei dati è una violazione della sicurezza, in cui dati sensibili, protetti o riservati vengono copiati, trasmessi, visualizzati, rubati o utilizzati da un individuo non autorizzato a farlo. Altri termini sono divulgazione non intenzionale di informazioni, fuga di dati, fuga di informazioni e fuoriuscita di dati.

Gli incidenti vanno da attacchi concertati da parte di individui che hackerano per guadagno personale o dolo, criminalità organizzata, attivisti politici o governi nazionali, alla sicurezza del sistema mal configurata o allo smaltimento incauto di apparecchiature informatiche usate o supporto di memorizzazione dati. Le informazioni trapelate possono variare da questioni che compromettono la sicurezza nazionale, a informazioni su azioni che un governo o un funzionario considera imbarazzanti e vuole nascondere. Una violazione intenzionale dei dati da parte di una persona a conoscenza delle informazioni, in genere per scopi politici, è più spesso descritta come una “fuga di notizie”.

Le violazioni dei dati possono riguardare informazioni finanziarie come i dettagli della carta di credito e di debito, i dettagli bancari, le informazioni sulla salute personale, le informazioni di identificazione personale, i segreti commerciali di società o la proprietà intellettuale. Le violazioni dei dati possono comportare dati non strutturati sovraesposti e vulnerabili: file, documenti e informazioni sensibili.

Le violazioni dei dati possono essere piuttosto costose per le organizzazioni con costi diretti (rimedio, indagini, ecc.) e costi indiretti (danni alla reputazione, sicurezza informatica per le vittime di dati compromessi, ecc.).

Molti Stati hanno approvato leggi sulla notifica di violazione dei dati, che richiedono a un’azienda che è stata oggetto di una violazione dei dati di informare i clienti e adottare altre misure per rimediare a possibili danni.

Data Breach. Definizione

Una violazione dei dati può includere incidenti come il furto o la perdita di supporti digitali come dischi rigidi o computer portatili con informazioni non crittografate, la pubblicazione di tali informazioni sul Web senza adeguate precauzioni per la sicurezza delle informazioni, il trasferimento di tali informazioni a un sistema che non è completamente aperto ma non è adeguatamente o formalmente accreditato per la sicurezza, come la posta elettronica non crittografata, o il trasferimento di tali informazioni ai sistemi informativi di un’agenzia possibilmente ostile, come una società concorrente o una nazione straniera, dove potrebbe essere esposta a tecniche di decrittazione più intensive.

La norma ISO/IEC 27040 definisce una violazione dei dati come: compromissione della sicurezza che porta alla distruzione, alla perdita, all’alterazione, alla divulgazione non autorizzata o all’accesso accidentale o illegale ai dati protetti trasmessi, archiviati o altrimenti elaborati.

La fiducia in caso di Data Breach

La nozione di ambiente affidabile è alquanto fluida. La partenza di un membro del personale di fiducia con accesso a informazioni sensibili può diventare una violazione dei dati se il membro del personale conserva l’accesso ai dati dopo la cessazione del rapporto di fiducia. Nei sistemi distribuiti, ciò può verificarsi anche con un’interruzione in una rete. La qualità dei dati è un modo per ridurre il rischio di violazione dei dati, in parte perché consente al proprietario dei dati di classificare i dati in base all’importanza e fornire una migliore protezione ai dati più importanti.

La maggior parte di tali incidenti pubblicizzati dai media riguarda informazioni private su individui, ad esempio numeri di previdenza sociale. La perdita di informazioni aziendali come segreti commerciali, informazioni aziendali sensibili e dettagli di contratti o informazioni governative non è spesso segnalata, poiché non vi è alcun motivo valido per farlo in assenza di potenziali danni ai cittadini privati ​​e la pubblicità su tale evento può essere più dannoso della perdita dei dati stessi.

Data Breach. Minacce interne e esterne

Coloro che lavorano all’interno di un’organizzazione sono una causa significativa di violazioni dei dati. Le stime delle violazioni causate da errori accidentali del “fattore umano” sono circa il 20% dal rapporto sulle indagini sulla violazione dei dati 2021 di Verizon. La categoria delle minacce esterne include hacker, organizzazioni di criminali informatici e attori sponsorizzati dallo stato. Le associazioni professionali per i gestori di risorse IT lavorano in modo aggressivo con i professionisti IT per istruirli sulle migliori pratiche di riduzione del rischio per le minacce interne ed esterne alle risorse IT, al software e alle informazioni. Sebbene la prevenzione della sicurezza possa deviare un’alta percentuale di tentativi, alla fine un aggressore motivato troverà probabilmente un modo per entrare in una determinata rete. Una delle prime 10 citazioni John Chambers, ex Ceo di Cisco afferma: “Esistono due tipi di società: quelle che sono state violate e quelle che non sanno di essere state violate“. L’agente speciale dell’FBI per le operazioni speciali informatiche Leo Taddeo ha avvertito alla televisione di Bloomberg: “L’idea che tu possa proteggere il tuo perimetro sta cadendo nel dimenticatoio e il rilevamento ora è fondamentale“.

Violazione dei dati medici

Alcune celebrità si sono ritrovate vittime di violazioni dell’accesso alle cartelle cliniche, anche sia su base individuale, che parte di una violazione molto più ampia. Data la serie di violazioni dei dati medici e la mancanza di fiducia dell’opinione pubblica, alcuni paesi hanno emanato leggi che richiedono l’adozione di misure di salvaguardia per proteggere la sicurezza e la riservatezza delle informazioni mediche in quanto condivise elettronicamente e per conferire ai pazienti alcuni importanti diritti per monitorare le proprie cartelle cliniche e ricevere notifiche per la perdita e l’acquisizione non autorizzata di informazioni sanitarie. Gli Stati Uniti e l’UE hanno imposto notifiche obbligatorie di violazione dei dati medici. Le violazioni denunciate di informazioni mediche sono sempre più comuni negli Stati Uniti.

Nel settore sanitario, a più di 25 milioni di persone è stata rubata l’assistenza sanitaria, con il furto di identità di oltre 6 milioni di persone e il costo vivo delle vittime è vicino a 56 miliardi di euro. Le cause che portano a ciascuna violazione, ad esempio attacco interno, frode con carta di pagamento, dispositivo portatile smarrito o rubato, malware e invio di un’e-mail alla persona sbagliata (DISC). Ciò dimostra che molti degli errori comuni che portano a una violazione dei dati sono gli esseri umani che commettono errori consentendo agli hacker di sfruttarli ed eseguire un attacco.

Data Breach più famosi

• Boeing, dicembre, dati rubati a 382.000 dipendenti, è il 2006
• La perdita dei dati dello stato dell’Ohio e del Connecticut nel 2007 da parte di Accenture
• Horizon Blue Cross e Blue Shield del New Jersey, gennaio, persi i dati di 300.000 membri
• Nell’aprile 2011, Sony ha subito una violazione dei dati all’interno del proprio PlayStation Network. Si stima che le informazioni di 77 milioni di utenti siano state compromesse.
• Nell’agosto 2014, quasi 200 fotografie di celebrità sono state rubate dagli account iCloud di Apple e pubblicate sul sito Web della scheda immagini 4chan.
• Scandalo sui dati di Facebook e Cambridge Analytica a marzo. 2018
• Quora ha segnalato una violazione dei dati che ha colpito i dati dei suoi 100 milioni di utenti. 2018
• 2019 a maggio sono stati esposti i dati personali di circa 139 milioni di utenti del servizio di progettazione grafica Canva , inclusi nomi reali degli utenti, nomi utente, indirizzi e informazioni geografiche e hash delle password
• Violazione dei dati di Microsoft Exchange Server 2021

I ricercatori di sicurezza informatica ucraini hanno dichiarato di avere prove di tentativi di attacchi da parte di un’operazione di hacking legata alla Russia che prendeva di mira un’entità ucraina nel luglio 2021.

Symantec, di proprietà di Broadcom, in un nuovo rapporto ha attribuito gli attacchi a un attore rintracciato come Gamaredon (alias Shuckworm o Armageddon), un collettivo di cyber-spionaggio noto per essere attivo almeno dal 2013.

Nel novembre 2021, le agenzie di intelligence ucraine hanno bollato il gruppo come un “progetto speciale” del Servizio di sicurezza federale (FSB) russo, oltre a puntare il dito contro di esso per aver effettuato oltre 5.000 attacchi informatici contro autorità pubbliche e infrastrutture critiche situate nel paese.

Gli attacchi Gamaredon in genere hanno origine con e-mail di phishing che inducono i destinatari a installare un trojan di accesso remoto personalizzato chiamato Pterodo. Symantec ha rivelato che, tra il 14 luglio 2021 e il 18 agosto 2021, sono stati installate diverse varianti della backdoor e ha distribuito script e strumenti aggiuntivi.

“La catena di attacco è iniziata con un documento infetto, probabilmente inviato tramite un’e-mail di phishing, che è stato aperto dall’utente della macchina poi compromessa”, hanno affermato i ricercatori. L’identità dell’organizzazione interessata non è stata rivelata.

Verso la fine di luglio, sono stati sfruttati l’impianto per scaricare ed eseguire un file eseguibile per un client VNC prima di stabilire connessioni con un server di controllo remoto per l’attacker.

“Questo client VNC sembra essere il software definitivo per questo attacco”, hanno osservato i ricercatori, aggiungendo che l’installazione è stata seguita dall’accesso a una serie di documenti che vanno dalle descrizioni dei lavori alle informazioni aziendali sensibili sulla macchina compromessa.

I risultati arrivano durante un’ondata di attacchi dirompenti e distruttivi commessi contro entità ucraine da presunti attori considerati vicini allo stato russo, con conseguente dispiegamento di un dispositivo di pulizia dei file soprannominato WhisperGate, più o meno nello stesso periodo in cui più siti Web appartenenti al governo sono stati attaccati.

Negli ultimi anni, gli attacchi zero-click si sono sempre più fatti strada e molte notizie hanno nominato questo tipo di attacco informatico. Come si può capire dal nome, gli attacchi zero-click non richiedono alcuna azione da parte della vittima, il che significa che anche gli utenti più esperti possono cadere vittima di seri attacchi informatici e strumenti spyware.

Gli attacchi zero clic sono in genere altamente mirati e utilizzano tattiche sofisticate. Possono avere conseguenze devastanti senza che la vittima sappia che qualcosa non va in background. I termini “attacchi zero-click” e “exploit zero-click” sono spesso usati come sinonimi. A volte sono anche chiamati attacchi senza interazione o completamente remoti.

Che cos’è il malware zero-click?

Normalmente il software di spionaggio si basa sul convincere la persona presa di mira a fare click su un link o un file compromesso per installare sul telefono, tablet o computer un software dannoso. Tuttavia, con un attacco senza clic, il software può essere installato su un dispositivo senza che la vittima faccia click su alcun collegamento. Di conseguenza, il malware zero-click o il malware no-click è molto più pericoloso.

La ridotta interazione e l’assoluta impossibilità di difendersi con le proprie mani, negli attacchi zero-click significa meno tracce di qualsiasi attività dannosa. Questo, oltre al fatto che le vulnerabilità che i criminali informatici possono sfruttare per attacchi zero-click sono piuttosto rare, le rende particolarmente apprezzate dagli aggressori.

Anche gli attacchi di base zero-click lasciano poche tracce, il che significa che rilevarli è estremamente difficile. Inoltre, le stesse funzionalità che rendono il software più sicuro possono spesso rendere più difficili da rilevare gli attacchi zero-click. Gli hack zero-click sono in circolazione da anni e il problema è diventato più diffuso con il boom dell’uso di smartphone che memorizzano una grande quantità di dati personali. Siccome le persone e le aziende diventano sempre più dipendenti dai dispositivi mobili, la necessità di rimanere informati sulle vulnerabilità zero-click non è mai stata così importante.

Come funziona un attacco zero-click?

In genere, l’infezione remota del dispositivo mobile di un bersaglio richiede una qualche forma di ingegneria sociale, con l’utente che fa clic su un collegamento dannoso o installa un’app dannosa per fornire all’attaccante un punto di ingresso. Questo non è il caso degli attacchi zero-click, che aggirano del tutto la necessità dell’ingegneria sociale.

Un hack zero-click sfrutta i difetti del dispositivo, sfruttando una debolezza nella verifica dei dati per farsi strada nel sistema. La maggior parte dei software utilizza processi di verifica dei dati per tenere a bada le violazioni informatiche. Tuttavia, esistono vulnerabilità zero-day persistenti che non sono state ancora corrette, presentando obiettivi potenzialmente redditizi per i criminali informatici. Gli hacker più avanzati possono sfruttare queste vulnerabilità zero-day per eseguire attacchi informatici, che possono essere implementati senza alcuna azione da parte dell’utente.

Spesso, gli attacchi zero-click prendono di mira le app che forniscono messaggistica o chiamate vocali perché questi servizi sono progettati per ricevere e interpretare dati da fonti non attendibili. Gli aggressori generalmente utilizzano dati appositamente formati, come un messaggio di testo nascosto o un file immagine, per iniettare codice che compromette il dispositivo.

Esempio di attacco zero-click:

• I criminali informatici identificano una vulnerabilità in un’app di posta o di messaggistica.
• Sfruttano la vulnerabilità inviando un messaggio accuratamente predisposto al bersaglio.
• La vulnerabilità consente ad attori malintenzionati di infettare il dispositivo da remoto tramite e-mail che consumano molta memoria.
• L’e-mail, il messaggio o la chiamata dell’hacker non rimarranno necessariamente sul dispositivo.
• Come risultato dell’attacco, i criminali informatici possono leggere, modificare, divulgare o eliminare messaggi.

L’hacking può essere una serie di pacchetti di rete, richieste di autenticazione, messaggi di testo, MMS, messaggi vocali, sessioni di videoconferenza, telefonate o messaggi inviati tramite Skype, Telegram, WhatsApp, ecc. Tutti questi possono sfruttare una vulnerabilità nel codice di un’applicazione incaricata del trattamento dei dati.

Il fatto che le app di messaggistica consentano di identificare le persone con i loro numeri di telefono, che sono facilmente individuabili, significa che possono essere un obiettivo ovvio sia per le entità politiche che per le operazioni di hacking commerciale.

Le specifiche di ogni attacco zero-click variano a seconda della vulnerabilità sfruttata. Una caratteristica chiave degli hack zero-click è la loro capacità di non lasciare tracce, rendendoli molto difficili da rilevare. Ciò significa che non è facile identificare chi li sta utilizzando e per quale scopo. Tuttavia, è stato riferito che le agenzie di intelligence di tutto il mondo li utilizzano per intercettare i messaggi e monitorare la posizione di sospetti criminali e terroristi.

Esempi di malware zero-click

Una vulnerabilità zero-click può interessare vari dispositivi, da Apple ad Android. Esempi di alto profilo di exploit zero-click includono:

Apple zero-click, Forced Entry, 2021:

Nel 2021, un attivista per i diritti umani del Bahrein ha visto il proprio iPhone violato da un potente spyware venduto ad organizzazioni governative. L’hack, scoperto dai ricercatori del Citizen Lab, aveva superato le protezioni di sicurezza messe in atto da Apple per resistere a compromissioni di sistema.

Citizen Lab ha sede presso l’Università di Toronto. Hanno analizzato l’iPhone 12 Pro dell’attivista e hanno scoperto che era stato violato tramite un attacco zero-click. L’attacco zero-click ha sfruttato una vulnerabilità di sicurezza precedentemente sconosciuta in iMessage di Apple, che è stata sfruttata per inviare lo spyware Pegasus, sviluppato dalla società israeliana ONG Group, al telefono dell’attivista.

Questa intromissione fu al centro di moltissimi articoli tecnici, principalmente perché ha sfruttato l’ultimo software per iPhone dell’epoca, sia iOS 14.4 che il successivo iOS 14.6, che Apple ha rilasciato a maggio 2021. L’hack ha superato una funzionalità del software di sicurezza integrata in tutte le versioni di iOS 14, chiamata BlastDoor, che aveva lo scopo di prevenire questo tipo di hack del dispositivo filtrando i dati dannosi inviati tramite iMessage. A causa della sua capacità di superare BlastDoor, questo exploit è stato soprannominato ForcedEntry. In risposta, Apple ha aggiornato le sue difese di sicurezza con iOS 15.

WhatsApp breach, 2019

Questa famigerata violazione è stata innescata da una chiamata persa, che ha sfruttato un difetto nel framework del codice sorgente di WhatsApp. Un exploit zero-day, ovvero una vulnerabilità informatica precedentemente sconosciuta e senza patch, ha consentito all’attaccante di caricare spyware nei dati scambiati tra i due dispositivi a causa della chiamata persa. Una volta caricato, lo spyware si è attivato come risorsa in background, all’interno del framework software del dispositivo.

Jeff Bezos, 2018

Nel 2018, il principe ereditario Mohammed bin Salman dell’Arabia Saudita avrebbe inviato al CEO di Amazon Jeff Bezos un messaggio WhatsApp con un video che promuoveva il mercato delle telecomunicazioni dell’Arabia Saudita. È stato riferito che c’era un pezzo di codice all’interno del file video che ha consentito al mittente di estrarre informazioni dall’iPhone di Bezos per diversi mesi. Ciò ha comportato l’acquisizione di messaggi di testo, messaggi istantanei ed e-mail e forse anche registrazioni intercettate effettuate con i microfoni del telefono.

Come proteggersi dagli exploit zero-click

Poiché gli attacchi zero-click si basano sull’assenza di interazione da parte della vittima, ne consegue che non c’è molto che tu possa fare per proteggerti. Anche se questo è un pensiero scoraggiante, è importante ricordare che, in generale, questi attacchi tendono a essere mirati a vittime specifiche per scopi di spionaggio.

Riepiloghiamo le regole base di una buona condotta di sicurezza informatica

• Mantieni aggiornati il ​​tuo sistema operativo, firmware e app su tutti i tuoi dispositivi
• Scarica app solo dagli store ufficiali
• Elimina tutte le app che non usi più
• Evita di eseguire il “jailbreak” o il “rooting” del telefono poiché ciò rimuove la protezione fornita da Apple e Google
• Usa la protezione con password del tuo dispositivo
• Usa l’autenticazione avanzata per accedere agli account, in particolare alle reti critiche
• Usa password complesse, ovvero password lunghe e univoche
• Esegui un backup regolare. I sistemi possono essere ripristinati in caso di ransomware e avere un backup corrente di tutti i dati velocizza il processo di ripristino
• Abilita i blocchi popup o impedisci la visualizzazione dei popup regolando le impostazioni del browser. I truffatori utilizzano regolarmente i popup per diffondere malware

Nel tentativo di far luce sulle pratiche di monitoraggio e raccolta dei dati di Facebook, il progetto Mozilla ha collaborato con l’organizzazione no profit The Markup.

Le due società stanno chiedendo agli utenti di scaricare Rally, la prima piattaforma di condivisione dei dati di Mozilla, lanciata lo scorso anno, e di condividere il proprio comportamento di navigazione.

Gli strumenti forniti da Rally consentono il monitoraggio del pixel di Facebook, un codice di Javascript che traccia le azioni degli utenti in risposta agli annunci. Dovrebbero consentire alle aziende di esaminare quali dati vengono raccolti, con quali siti sono condivisi, quali dati rivela sugli utenti e quanto sia effettivamente diffusa la rete di monitoraggio di Facebook.

“Uno strumento come Rally può riunire tutta la forza delle comunità di persone che si uniscono per fornire informazioni su una delle parti più opache di Internet che hanno un impatto così drammatico sulle nostre vite individuali e sulla società”, afferma Ted Han, di Rally.

“Questa è una rara opportunità per sollevare il velo sulle pratiche di monitoraggio e raccolta dei dati di Facebook al di fuori delle piattaforme Facebook”.

Il progetto si basa su una precedente collaborazione con il Center for Information Technology Policy dell’Università di Princeton su notizie e disinformazione su politica e COVID-19 nei servizi online, nonché su un altro studio in corso con la Stanford University Graduate School of Business sul consumo di notizie e l’impatto degli annunci.

“Internet e il mondo non possono aspettare che le piattaforme facciano la cosa giusta”, commenta Han.

Tuttavia, progetti precedenti con obiettivi simili sono falliti. La scorsa estate, ad esempio, Facebook ha bandito gli account dei ricercatori della New York University (NYU) che studiano il microtargeting degli annunci politici sugli utenti attraverso un progetto chiamato Ad Observer, con una mossa condannata dalla Federal Trade Commission (FTC) statunitense.

La società ha chiuso anche CrowdTangle, lo strumento di monitoraggio dei social media che ha fornito l’accesso ad argomenti di tendenza, account pubblici e comunità e post virali su Facebook, Instagram e Reddit, e ha bloccato gli strumenti di trasparenza degli annunci di ProPublica.

Apparentemente ha anche modificato il codice del suo sito Web per impedire la raccolta automatizzata dei dati dei post di feed di notizie dagli utenti, ostacolando in modo significativo il lavoro di ricercatori come il progetto Citizen Browser di Markup.

Dopo la scoperta di una vulnerabilità critica nota come Log4Shell o Log4j nei server che supportano il gioco Minecraft, sono stati effettuati milioni di tentativi di exploit della libreria Java Log4j 2 con una potenziale minaccia per milioni di altre applicazioni e dispositivi in ​​tutto il mondo.

Cos’è Log4Shell?

Log4Shell è una vulnerabilità software in Apache Log4j 2, una popolare libreria Java per la registrazione dei messaggi di errore nelle applicazioni. La vulnerabilità, pubblicata come CVE-2021-44228, consente a un utente malintenzionato remoto di assumere il controllo di un dispositivo su Internet, se il dispositivo esegue determinate versioni di Log4j 2.

Apache ha rilasciato una patch per CVE-2021-44228, versione 2.15, il 6 dicembre. Tuttavia, questa patch ha lasciato irrisolta parte della vulnerabilità, risultando in CVE-2021-45046 e un’altra patch, versione 2.16, rilasciata il 13 dicembre.

Gli aggressori possono sfruttare la vulnerabilità utilizzando messaggi di testo per controllare un computer in remoto. L’Apache Software Foundation, che pubblica la libreria Log4j 2, ha assegnato alla vulnerabilità un punteggio CVSS di 10 su 10, il punteggio di gravità più alto, a causa del suo potenziale di sfruttamento diffuso e della facilità con cui gli aggressori possono sfruttarlo.

Quando è stata scoperta la vulnerabilità nella libreria Log4j 2?

La vulnerabilità è stata segnalata per la prima volta all’Apache Foundation il 24 novembre dal ricercatore di sicurezza Chen Zhaojun di Alibaba, la più grande società di e-commerce della Cina, dopo che un attacco è stato documentato il 9 dicembre e ha colpito i server del gioco Minecraft. Ulteriori analisi forensi hanno rivelato che i criminali informatici hanno scoperto il divario in precedenza ed è stato sfruttato almeno dal 1° dicembre.

Qual è il rischio della vulnerabilità Log4Shell nella libreria Log4j 2?

Log4Shell è considerato una vulnerabilità zero-day perché gli attori malintenzionati probabilmente lo conoscevano e lo sfruttavano prima della scoperta da parte degli esperti.

Ciò che rende Log4Shell così pericoloso è quanto sia onnipresente la libreria Log4j 2. È presente nelle principali piattaforme da Amazon Web Services a VMware e servizi grandi e piccoli. La rete di dipendenze tra piattaforme e servizi interessati significa che l’applicazione di patch può essere un processo complesso e che può richiedere molto tempo.

La facilità di sfruttare la vulnerabilità ne aggrava l’impatto. La libreria Log4j 2 controlla come vengono registrate le stringhe. La vulnerabilità consente a un utente malintenzionato di ottenere il controllo su una stringa e indurre l’applicazione a richiedere ed eseguire codice dannoso sotto il controllo dell’utente malintenzionato. In poche parole, gli aggressori possono assumere in remoto qualsiasi dispositivo connesso a Internet che utilizza determinate versioni della libreria Log4j in qualsiasi punto dello stack software.

Cos’è Log4j 2 e cosa fa?

Essendo il framework di registrazione più utilizzato su Internet, Apache Log4j 2 è integrato in una miriade di applicazioni, utilizzate sui principali servizi cloud come Apple, Google, Microsoft e Cloudflare, nonché su piattaforme come Twitter e Stream.

Registra i messaggi dal software e successivamente cerca gli errori. La quantità di dati registrabili è ampia e spazia dalle informazioni di base del browser utente e della pagina Web alle informazioni tecniche dettagliate sul sistema su cui è in esecuzione Log4j 2.

La libreria Log4j 2 non solo può creare semplici registri, ma può anche eseguire comandi per generare informazioni di registrazione avanzate. In tal modo, può anche comunicare con altre fonti, come i servizi di directory interni.

In che modo la vulnerabilità Log4Shell provoca danni?

Poiché la libreria Log4j 2 può comunicare con altre fonti e servizi di directory interni, gli aggressori possono facilmente usare Log4j 2 con comandi dannosi dall’esterno e fargli scaricare ed eseguire codice pericoloso da fonti dannose.

Il modo in cui Log4j 2 può essere sfruttato dipende dalle specifiche del sistema interessato. Finora, la stragrande maggioranza delle attività dannose è stata la scansione di massa su sistemi vulnerabili alle impronte digitali. Secondo un report di Microsoft, gli aggressori hanno sfruttato la vulnerabilità per compromettere l’infrastruttura di virtualizzazione, installare ed eseguire ransomware, rubare credenziali di sistema, assumere un ampio controllo delle reti compromesse ed esfiltrare i dati.

Man mano che continuano a crescere i rapporti sulla sfruttabilità di Log4Shell, le possibilità di attività dannose sembrano esponenziali. Qualsiasi codice può essere eseguito sul sistema attaccato, ad esempio, per accedere a dati di configurazione sensibili. Catturando questi dati, gli aggressori potrebbero ottenere il pieno controllo di un sistema e di tutti i suoi dati e applicazioni. Questo è paragonabile a un ladro che ha le chiavi della porta d’ingresso di una casa e la combinazione di una cassaforte all’interno.

In che modo Log4Shell influisce sugli utenti?

La libreria Log4j 2 viene spesso utilizzata in molte applicazioni nell’ambiente infrastrutturale di aziende e organizzazioni. Nel settore dei consumatori, Log4j 2 può essere trovato anche in dispositivi di archiviazione abilitati alla rete e dispositivi domestici intelligenti, che gli utenti dovrebbero disconnettere da Internet fino a quando non saranno disponibili gli aggiornamenti.

La maggior parte delle aziende rispettabili ha inserito un messaggio di sicurezza corrispondente sui propri siti Web che descrive cosa stanno facendo riguardo alla vulnerabilità di Log4Shell.

I consumatori dovrebbero installare gli aggiornamenti software forniti dai fornitori che utilizzano. Dovrebbero anche cercare di scoprire dai siti e dai servizi che hanno i loro dati personali se l’organizzazione è interessata dalla vulnerabilità di Log4Shell e, in tal caso, quali misure stanno adottando tali organizzazioni per salvaguardare le loro informazioni.

Cosa dovrebbero fare i team di sicurezza IT

Le organizzazioni che utilizzano Log4j 2 nelle proprie applicazioni e infrastruttura dovrebbero aggiornarle immediatamente. Lo stesso vale per le applicazioni di terze parti. La versione 2.16.0 protegge completamente la libreria dalla vulnerabilità Log4Shell.

Poiché ci sono così tanti sistemi probabilmente interessati da Log4Shell ed è così facile da sfruttare, le organizzazioni devono agire rapidamente per proteggere i propri interessi e utenti.

Specifiche tecniche su come funziona Log4j 2

1. Convalida errata dell’input

La causa principale di Log4Shell, formalmente nota come CVE-2021-44228 , è ciò che il NIST chiama convalida dell’input improprio.

In parole povere, questo significa che riponi troppa fiducia nei dati non attendibili che arrivano da estranei e apri il tuo software a trucchi subdoli basati su dati trappola.

Se hai mai programmato in C, ti sarai quasi sicuramente imbattuto in questo tipo di problema usando la printf()funzione ( format string e print ).

int  printf(const char *format, ...);
 
int  count; 
char *name;
 
/* print them out somewhat safely */
 
print("The name %.20s appeared %d times\n",name,count);

Fornisci una stringa di formato hard-coded come primo argomento, dove %.20s significa "stampa l'argomento successivo come stringa di testo, ma rinuncia dopo 20 byte per ogni evenienza" e %d significa "prendi un numero intero e stampalo in decimale".


È anche allettante usarlo printf() quando vuoi stampare solo una singola stringa, come questa, e spesso vedi persone che fanno questo errore nel codice, specialmente se è scritto di fretta

int  printf(const char *format, ...);
 
/* printfhack.c */
 
int main(int argc, char **argv) {
   /* print out first command-line argument */
   printf(argv[1]);    <-- use puts() or similar instead
   return 0;
}

In questo codice, l’utente può non solo scegliere la stringa da stampare, ma anche controllare la stessa stringa di formattazione che decide cosa stampare.

Quindi, se chiedi a questo programma di stampare hello, farà esattamente questo, ma se gli chiedi di stampare %X %X %X %X %Xnon vedrai quei caratteri nell’output, perché in %Xrealtà è un “codice di formato” magico che dice printf()come comportarsi.

Il testo speciale %Xsignifica “prendere il valore successivo dallo stack del programma e stamparne il valore grezzo in esadecimale”.

Quindi un utente scontento che può indurre il tuo programmino a stampare una stringa di messaggi apparentemente innocua %Xvedrà in realtà qualcosa del genere:

C:\Users\duck\> printfhack.exe "%X %X %X %X %X"
 
155FA30 1565940 B4E090 B4FCB0 4D110A

Si dà il caso che il quinto e ultimo valore nell’output sopra, risucchiato di nascosto dallo stack del programma, è l’indirizzo di ritorno a cui il programma salta dopo aver eseguito il printf() quindi il valore 0x00000000004D110Arivela dove viene caricato il codice del programma in memoria, e quindi rompe la sicurezza fornita da ASLR ( randomizzazione del layout dello spazio degli indirizzi ).

Il software non dovrebbe mai consentire agli utenti non attendibili di utilizzare dati non attendibili per manipolare il modo in cui tali dati vengono gestiti.

In caso contrario, potrebbe verificarsi un uso improprio dei dati di questo tipo.

Perché Log4j è considerato dannoso

C’è un problema simile in Log4j, ma è molto, molto peggio.

I dati forniti da un estraneo non attendibile – dati che stai semplicemente stampando per riferimento futuro o accedendo a un file – possono prendere il sopravvento sul server su cui stai effettuando la registrazione.

Questo potrebbe trasformare quella che dovrebbe essere un’istruzione di “stampa” di base in una situazione di fuga di dati segreti su Internet o persino in un comando scarica ed esegui il mio malware in una volta.

In poche parole, una voce di registro che si intendeva inserire per completezza, forse anche per motivi legali o di sicurezza, potrebbe trasformarsi in un evento di impianto di malware.

Funzionalità di “ricerca” di Log4j

Preparati per la parte più pericolosa, che è documentata in dettaglio sul sito Apache Log4j:

Le “ricerche” forniscono un modo per aggiungere valori alla configurazione di Log4j in punti arbitrari.

In poche parole, l’utente che fornisce i dati che intendi registrare può scegliere non solo come sono formattati, ma anche cosa contiene e come viene acquisito quel contenuto.

Se stai effettuando il login per motivi legali o di sicurezza, o anche semplicemente per completezza, probabilmente sarai sorpreso di sentirlo.

Dare voce alla persona dall’altra parte su come registrare i dati che invia significa non solo che i tuoi registri non contengono sempre una registrazione fedele dei dati effettivi che hai ricevuto, ma anche che potrebbero finire per contenere dati da altrove sul tuo server che normalmente non sceglieresti di salvare in un file di registro.

Possibilità di ricerche remote

Grazie a una funzionalità del runtime Java chiamata JNDI, abbreviazione di Java Naming and Directory Interface , i comandi “lookup” di Log4j racchiusi in ${...}sequenze non solo possono eseguire semplici sostituzioni di stringhe, ma anche eseguire ricerche di runtime in tempo reale su server arbitrari, sia all’interno che all’esterno del tuo Rete.

Per vederlo in azione, abbiamo bisogno di un programma che ascolti le connessioni TCP e segnali quando ne ottiene una, così possiamo vedere se Log4j sta davvero effettuando connessioni di rete.

Si può testare ncat dal toolkit Nmap gratuito e popolare; per chi usa Linux potrebbe averlo già ncat installato nella distro, ma per Windows dovrai installarlo dal sito ufficiale di Nmap.

Un utente malintenzionato che conosce il formato giusto o che sa come scaricare uno strumento di attacco in grado di fornire codice Java dannoso nel formato corretto, potrebbe essere in grado di utilizzare l’oggetto Log4j Logger come strumento per installare malware sul server, eseguendo quel dannoso codice proprio all’interno del processo Java che ha chiamato la funzione Logger.

E il gioco è fatto: esecuzione di codice remoto (RCE) semplice, affidabile e di progettazione , attivata da dati forniti dall’utente che, ironia della sorte, potrebbero essere registrati per scopi di controllo o di sicurezza.

Il tuo server è interessato?

Una sfida posta da questa vulnerabilità è capire quali server sulla rete sono interessati.

A prima vista, si potrebbe presumere che sia necessario considerare solo i server con codice rivolto alla rete scritto in Java, in cui le connessioni TCP in entrata richieste dal servizio vengano gestite direttamente dal software Java e dalle librerie runtime Java.

Se così fosse, tutti i servizi offerti da prodotti come il httpd server Web di Apache, Microsoft IIS o nginx sarebbero implicitamente sicuri. 

Ma determinare sia l’ampiezza che la profondità di questa vulnerabilità in tutte le reti tranne che nella più piccola può essere piuttosto complicato e Log4Shell non è limitato ai server scritti in Java puro al 100%.

Dopotutto, non è il codice di gestione del socket basato su TCP che è affetto da questo bug: la vulnerabilità potrebbe annidarsi ovunque nella rete di back-end in cui vengono elaborati i dati forniti dall’utente e vengono conservati i registri.

Un server Web che registra la tua stringa User-Agent probabilmente lo fa direttamente, quindi un server Web basato su C con un motore di registrazione basato su C probabilmente non è a rischio di User-Agent.

Ma molti server web prendono i dati inseriti nei moduli online, ad esempio, e li trasmettono in background a server di “logisica aziendale” che li sezionano, li analizzano, li convalidano, li registrano e vi rispondono.

Se uno di quei server aziendale è scritto in Java, potrebbe essere la mela marcia del codice.

Teoricamente, quindi, devi trovare tutto il codice nella tua rete che è scritto in Java e verificare se utilizza la libreria Log4j.

Le versioni obsolete di Log4j devono essere aggiornate il prima possibile , anche se pensi che nessuno le stia attualmente utilizzando.

Si noti che Log4j 1.x non è più supportato e in questa versione esiste un bug relativo a Log4Shell, denominato CVE-2021-4104 .

Quindi, il percorso di aggiornamento per Log4j 1.x significa passare a Log4j 2.

Ricorda, ovviamente, che i programmi Java possono essere configurati per utilizzare le proprie copie di qualsiasi libreria Java, o anche di Java stesso.

Cerca in tutta la tua proprietà, prendendo in considerazione client e server che eseguono Linux, Mac e Windows, alla ricerca di file denominati log4j*.jar.

A differenza delle librerie condivise eseguibili (come NSS, di cui abbiamo scritto di recente ), non è necessario ricordare di cercare estensioni diverse su ciascuna piattaforma perché i file JAR che abbiamo mostrato sopra hanno nomi identici su tutti i sistemi operativi.

Ove possibile, aggiorna tutte le copie di Log4j, ovunque si trovino, il prima possibile.

La risoluzione della vulnerabilità Log4J richiede una difesa approfondita. Le organizzazioni dovrebbero implementare regole per bloccare il traffico di exploit da tutti i servizi con connessione Internet. Ma la protezione a lungo termine richiederà l’identificazione e l’aggiornamento delle istanze di Log4J o la mitigazione del problema modificando le impostazioni in Log4J. Ciò potrebbe richiedere modifiche al codice nei prodotti in cui è incorporato Log4J.

Fonti dell’articolo: Dynatrace – Sophos – Nist – Apache