La minaccia invisibile: cos’è uno zero-day e il rischio di attacchi informatici mirati

Redazione RHC : 14 Marzo 2023 08:33

Le vulnerabilità 0day sono uno dei più grandi rischi per la sicurezza informatica delle organizzazioni. Si tratta di vulnerabilità sconosciute e non ancora corrette, che vengono sfruttate dagli attaccanti per penetrare nei sistemi informatici e compromettere la sicurezza dei dati.

In questo articolo, esploreremo le vulnerabilità zero-day, come vengono scoperte, come vengono utilizzate dagli hacker, il loro mercato e quali sono le migliori pratiche per prevenire e mitigare questi attacchi.

Cos’è una vulnerabilità zero-day?

Una vulnerabilità 0-day è una vulnerabilità di sicurezza informatica presente in un software, un sistema operativo o un’applicazione che è sconosciuta al produttore del software, agli utenti e agli esperti di sicurezza. Questo significa che gli sviluppatori non hanno ancora avuto il tempo di identificare e correggere la vulnerabilità, e quindi non esiste una patch o un aggiornamento di sicurezza disponibile per proteggere un sistema software o hardware.

Gli attaccanti possono sfruttare una vulnerabilità 0-day per ottenere l’accesso non autorizzato a un sistema, eseguire codice malevolo, installare malware, rubare informazioni o compromettere la sicurezza dei dati. Poiché la vulnerabilità è sconosciuta al produttore del software, gli attaccanti possono utilizzare degli exploit senza essere rilevati e senza che il software o il sistema operativo siano in grado di difendersi.

Le vulnerabilità 0-day possono essere scoperte dai ricercatori di sicurezza, da hacker etici o da criminali informatici, e possono essere utilizzate per eseguire attacchi altamente mirati contro organizzazioni specifiche o contro un vasto pubblico di utenti. Poiché non esiste una soluzione disponibile per correggere immediatamente la vulnerabilità 0day, le organizzazioni devono affrontare una minaccia di sicurezza potenzialmente critica.

Come vengono scoperte le vulnerabilità zero-day

Le vulnerabilità zero day possono essere scoperte in diversi modi. In alcuni casi, vengono scoperte accidentalmente o casualmente da esperti di sicurezza o da utenti finali. Tuttavia, la maggior parte delle vulnerabilità 0-day vengono scoperte attraverso tecniche di ricerca condotte da esperti di sicurezza informatica e ricercatori indipendenti.

Questi esperti utilizzano una combinazione di tecniche automatizzate e manuali per analizzare il codice dei software e dei sistemi operativi, cercando di identificare le vulnerabilità di sicurezza. I ricercatori di sicurezza possono anche utilizzare tecniche di fuzzing, che consistono nel generare degli input casuali per i software e quindi analizzarne il comportamento per individuare eventuali errori o comportamenti anomali.

Inoltre, i ricercatori di sicurezza possono utilizzare programmi di bug bounty, dove gli sviluppatori di software pagano gli esperti di sicurezza per identificare e segnalare eventuali vulnerabilità nei loro prodotti. I programmi di bug bounty possono incentivare gli esperti di sicurezza ad investire tempo e risorse nella ricerca di vulnerabilità zero day.

È importante sottolineare che anche i criminali informatici possono utilizzare le stesse tecniche di ricerca per identificare le vulnerabilità zero day e utilizzarle per scopi dannosi. Pertanto, gli esperti di sicurezza informatica e i ricercatori indipendenti sono tenuti a rispettare i principi dell’etica professionale e a seguire procedure di divulgazione responsabile per garantire che le vulnerabilità scoperte vengano segnalate ai produttori di software e corrette prima che vengano sfruttate dagli attaccanti.

Tipologie di divulgazione delle vulnerabilità zero-day

Le vulnerabilità zero-day possono essere divulgate alla comunità in diverse modalità, ognuna delle quali presenta vantaggi e svantaggi. Ecco le principali tipologie di divulgazione delle vulnerabilità zero-day:

1. Divulgazione responsabile: La divulgazione responsabile prevede la segnalazione della vulnerabilità al produttore del software o al fornitore di servizi cloud affinché possa essere corretta prima che gli attaccanti la sfruttino. Questo processo è solitamente gestito da ricercatori di sicurezza, esperti di sicurezza e professionisti della sicurezza informatica che collaborano con il produttore del software per correggere la vulnerabilità. La divulgazione responsabile può richiedere diversi mesi per essere completata, ma offre il vantaggio di consentire ai fornitori di software di correggere la vulnerabilità prima che possa essere sfruttata dagli attaccanti.
2. Divulgazione pubblica: La divulgazione pubblica comporta la divulgazione della vulnerabilità al pubblico, senza la segnalazione preventiva al produttore del software o al fornitore di servizi cloud. Questo processo è solitamente utilizzato da ricercatori indipendenti, hacker etici e attivisti per aumentare la consapevolezza delle vulnerabilità di sicurezza. La divulgazione pubblica può portare alla correzione della vulnerabilità, ma può anche causare danni significativi, poiché gli attaccanti possono sfruttare la vulnerabilità prima che venga corretta.
3. Divulgazione a terze parti: La divulgazione a terze parti prevede la segnalazione della vulnerabilità a organizzazioni terze, come il governo o i servizi di intelligence. La divulgazione a terze parti può causare la correzione della vulnerabilità, ma può anche portare al suo sfruttamento da parte delle organizzazioni terze, come ad esempio in attività di spionaggio o di guerra informatica.
4. Divulgazione a programmi di bug bounty privati: La divulgazione a programmi di bug bounty privati, sono intermediari, specifiche società di sicurezza informatica o un servizio di intelligence. Questo processo viene spesso utilizzato da hacker o ricercatori di sicurezza che cercano di monetizzare le vulnerabilità che hanno scoperto senza fornire indicazioni al vendor del prodotto della falla di sicurezza rilevata. Questo tipo di divulgazione può portare alla correzione della vulnerabilità, ma può anche causare danni significativi, poiché l’acquirente potrebbe utilizzare la vulnerabilità per scopi malintenzionati, come ad esempio utilizzarla all’interno di prodotti di spionaggio che poi vengono rivenduti a governi o servizi di intelligence (ad es. Pegasus, Karma, FinFisher, ecc…).

In sintesi, le vulnerabilità zero-day possono essere divulgate in diverse modalità. La divulgazione responsabile è generalmente considerata la migliore opzione, poiché consente al produttore del software di correggere la vulnerabilità prima che possa essere sfruttata dagli attaccanti e consentire alla comunità informatica di aggiornare i sistemi prima del loro sfruttamente.

Tuttavia, ci sono casi in cui la divulgazione pubblica o a terze parti può essere giustificata, ad esempio quando il produttore del software non agisce tempestivamente per correggere la vulnerabilità, magari dopo mesi e mesi di solleciti per risolvere il bug di sicurezza precedentemente segnalato.

I broker zeroday e i programmi di bug bounty privati

La rivendita di vulnerabilità zero-day ai broker zero-day è un fenomeno che si è sviluppato negli ultimi anni e che ha sollevato diverse preoccupazioni per la sicurezza informatica. Un broker zero-day è un intermediario che acquista vulnerabilità zero-day da ricercatori di sicurezza (bug hunter) o da altri venditori e le rivende a clienti, come governi, servizi di intelligence e aziende di sicurezza informatica.

L’acquisto e la vendita di vulnerabilità zero-day sono diventati un mercato molto redditizio, poiché queste vulnerabilità possono essere utilizzate per attaccare sistemi informatici e compromettere la sicurezza dei dati.

Uno dei casi più noti di utilizzo di vulnerabilità zero-day è il software di sorveglianza Pegasus, sviluppato dall’azienda israeliana NSO Group. Pegasus è stato utilizzato da diversi governi per spiare giornalisti, attivisti e altri obiettivi sensibili. Il software utilizza una combinazione di tecniche di ingegneria sociale e vulnerabilità zero-day per ottenere l’accesso ai dispositivi degli utenti e per raccogliere informazioni sensibili. Le vulnerabilità utilizzate da Pegasus sono state acquistate da broker zero-day e non sono state divulgate al pubblico o ai produttori di software.

L’utilizzo di vulnerabilità zero-day nei sistemi di intelligence come Pegasus ha sollevato diverse preoccupazioni per la sicurezza informatica e la privacy degli utenti. Le vulnerabilità zero-day possono essere utilizzate per attaccare dispositivi senza che gli utenti ne siano a conoscenza e senza che i produttori di software possano correggere la vulnerabilità. Ciò significa che gli utenti possono essere spiati o che le loro informazioni sensibili possono essere rubate senza che gli utenti abbiano alcuna possibilità di difesa.

Gli attacchi più famosi che hanno sfruttato vulnerabilità zero-day

Nel corso degli anni, ci sono stati diversi attacchi famosi che hanno sfruttato vulnerabilità zero-day per compromettere la sicurezza informatica di organizzazioni e individui. Ecco alcuni esempi di attacchi zero-day famosi:

1. Stuxnet: Stuxnet è stato un attacco informatico altamente sofisticato che ha colpito il programma nucleare iraniano nel 2010. L’attacco è stato sviluppato dagli Stati Uniti e Israele e ha sfruttato quattro vulnerabilità zero-day per infettare i sistemi informatici dell’impianto nucleare di Natanz. L’attacco ha causato il malfunzionamento di diverse centrifughe, ritardando il programma nucleare iraniano di diversi anni.
2. WannaCry: WannaCry è stato un attacco ransomware globale che ha colpito le organizzazioni di tutto il mondo nel 2017. L’attacco ha sfruttato una vulnerabilità zero-day presente in Windows per infettare i sistemi informatici degli utenti. Una volta infettato, il ransomware ha criptato i file degli utenti e ha richiesto un pagamento in bitcoin per decrittare i file.
3. Pegasus: Come abbiamo visto in precedenza, Pegasus è stato un software di sorveglianza sviluppato dalla società israeliana NSO Group. Il software ha utilizzato diverse vulnerabilità zero-day per ottenere l’accesso ai dispositivi degli utenti e per raccogliere informazioni sensibili. Pegasus è stato utilizzato da diversi governi per spiare giornalisti, attivisti e altri obiettivi sensibili.
4. Hacking Team: Hacking Team è stata una società italiana di sicurezza informatica che è stata violata nel 2015. L’attacco ha rivelato che la società aveva venduto vulnerabilità zero-day a governi e organizzazioni per scopi di sorveglianza. L’attacco ha sollevato diverse preoccupazioni per la sicurezza informatica e la privacy degli utenti.

Ci sono stati diversi attacchi famosi che hanno sfruttato vulnerabilità zero-day per compromettere la sicurezza informatica, ma la prevenzione e la mitigazione degli attacchi zero-day risulta molto difficile e richiede una combinazione di soluzioni di sicurezza tecniche e buone pratiche di sicurezza aziendali.

Come prevenire e mitigare gli attacchi zero-day

La prevenzione degli attacchi zero-day richiede una combinazione di soluzioni di sicurezza tecniche e di buone pratiche aziendali. Ecco alcune delle migliori pratiche per prevenire e mitigare gli attacchi zero-day:

1. Aggiornare regolarmente il software: I produttori di software rilasciano regolarmente aggiornamenti di sicurezza per correggere le vulnerabilità conosciute. Assicurati di aggiornare regolarmente il software del tuo computer e di tutti gli altri dispositivi che utilizzi.
2. Utilizzare soluzioni di sicurezza avanzate: Soluzioni di sicurezza come antivirus, firewall e soluzioni di rilevamento delle minacce avanzate possono aiutare a rilevare e prevenire gli attacchi zero-day. Assicurati di utilizzare soluzioni di sicurezza aggiornate e configurarle correttamente per garantire la massima protezione possibile.
3. Educazione degli utenti: Gli attacchi zero-day spesso sfruttano le vulnerabilità umane, come il clic su un link di phishing o il download di un file malevolo. Assicurati di educare gli utenti sui rischi di sicurezza e di fornire formazione sulla sicurezza informatica per ridurre il rischio di attacchi.
4. Monitorare costantemente i sistemi: La monitoraggio costante dei sistemi può aiutare a rilevare gli attacchi zero-day prima che causino danni significativi. Assicurati di monitorare i sistemi in tempo reale e di disporre di una risposta rapida in caso di rilevamento di un attacco.
5. Collaborazione con esperti di sicurezza: La collaborazione con esperti di sicurezza esterni può aiutare le organizzazioni a identificare e mitigare le vulnerabilità zero-day. Assicurati di lavorare con esperti di sicurezza di fiducia e di implementare le loro raccomandazioni per migliorare la sicurezza dei dati.
6. In conclusione, le vulnerabilità zero-day rappresentano una minaccia significativa per la sicurezza informatica delle organizzazioni. Tuttavia, l’implementazione di soluzioni di sicurezza tecniche avanzate e di buone pratiche aziendali può aiutare a prevenire e mitigare gli attacchi zero-day. Assicurati di essere consapevole dei rischi di sicurezza e di adottare le migliori pratiche per proteggere i tuoi sistemi e le tue informazioni.