Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Massimiliano Brolli : 7 Maggio 2021 08:00
Autore: Massimiliano Brolli
Data Pubblicazione: 05/05/2021
Questa domanda da sempre ha fatto appassionare i ricercatori di sicurezza informatica e gli esperti del settore che spesso si trovano in forte disaccordo se sia corretto o meno, pubblicare una exploit PoC (proof of concept) subito dopo la produzione della patch di sicurezza, o peggio ancora quando di fatto è uno zero-day.
In modo più sottile si tratta di un tema molto simile all’argomento se sia corretto o meno svolgere la full-disclosure di un bug di sicurezza, oppure fornire solo la versione e la tipologia di bug, per evitare successivi sfruttamenti.
Vorresti toccare con mano la Cybersecurity e la tecnologia? Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Se sei un ragazzo delle scuole medie, superiori o frequenti l'università, oppure banalmente un curioso di qualsiasi età, il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Ma sulla scia degli exploit di sicurezza zero-day di Microsoft Exchange ProxyLogon e F5 BIG-IP divulgati all’inizio di quest’anno, la discussione si è riaccesa anche perché, molti exploit PoC sono stati eliminati da GitHub il 9 di marzo, subito dopo la loro pubblicazione, creando grosse critiche da parte della community hacker.
Sicuramente gli aspetti sono molti e i numeri in gioco importanti.
Ad esempio, attraverso il bug di Microsoft Exchange ProxyLogon (che ha permesso l’accesso come amministratore ai server windows), il cybercrime ha colpito inizialmente più di 100.000 macchine in tutto il mondo, di cui 30.000 negli Stati Uniti.
Ma come sappiamo una volta che una cosa è pubblica su internet, anche se la rimuovi subito, di fatto è persa per sempre. Questo anche vista l’attenzione da parte del crimine informatico e dei ricercatori, ossessionati nel trovare per primi una PoC funzionante, per poter mietere il successivo “raccolto”.
Pertanto tali PoC sono state utilizzate dal cybercrime da profitto per attaccare le infrastrutture e dai national-state-actors, per inoculare il ransomware, ma anche per accedere alle reti, creando persistenza, portando di fatto alla compromissione delle infrastrutture di 30.000 organizzazioni attraverso DearCry del 9 marzo, l’attacco di cryptomining LemonDuck del 12 marzo e l’attacco ransomware Black Kingdom il 19 marzo.
A livello logico, la pubblicazione di un exploit PoC capace di sfruttare una vulnerabilità, comporta un aumento del rischio che i criminali informatici possano utilizzarlo a loro vantaggio per attaccare migliaia di server non ancora protetti.
Ma pubblicare una PoC permette anche una serie di vantaggi, soprattutto se li vediamo non dal punto di vista “del singolo”, ma dal punto di vista della “comunità”.
Per tutti quelli che non vogliono che le PoC vengano pubblicate subito, vorrei porre la seguente domanda:
Dopo quanto vorresti che il tuo strumento preferito di Vulnerability Assessment abbia al suo interno un plug-in capace di valutare se gli Asset ICT siano affetti da quella specifica vulnerabilità di sicurezza?
La risposta sarà ovviamente il prima possibile.
Ma per poter scrivere un plug-in capace di ispezionare una falla di sicurezza, in modo corretto (non parlo di banner-grabbing), occorre avere accesso all’Exploit PoC, pertanto se questo non viene pubblicato, non sarà possibile implementarlo.
Lasciamo perdere il caso Microsoft, che aggiornino via. Ma per tutti gli altri software del mondo open source, la cosa si complicata e anche di parecchio.
Quindi, quale dovrebbe essere il tempo dopo giusto dopo il quale i ricercatori possano pubblicare un exploit di sfruttamento di un bug?
10 giorni?
un mese?
dopo che tutti i sistemi siano stati patchati?
Una domanda semplice che ci pone di fronte ad una difficile risposta.
Inoltre c’è anche il fattore “dark”, in quanto non divulgando la PoC, essendo tale codice conosciuto solo ad una cerchia ristretta di persone, si lascerebbe ai singoli l’agire in modo etico, pertanto quella cerchia ristretta di ricercatori potrebbero beneficiare di questo malware, sfruttandolo o rivendendolo (ad esempio) nelle community underground.
Il grande maestro Bruche Schneier, riferendosi alla full-disclosure disse:
“La full-disclosure, la pratica di rendere pubblici i dettagli delle vulnerabilità di sicurezza, è una dannata buona idea”
Ma poi aggiunse:
“l controllo pubblico è l’unico modo affidabile per migliorare la sicurezza, mentre la segretezza ci rende solo meno sicuri”.
Anche se risulta difficile rispondere a queste domande, personalmente credo che in certe situazioni come questa, che risultano a prima vista “borderline”, affidarsi all’etica e alla trasparenza abbia sempre premiato.
Massimiliano BrolliIl ransomware HellCat è apparso nella seconda metà del 2024 e ha attirato l’attenzione degli analisti grazie all’umorismo delle sue dichiarazioni pubbliche. Ricordiamo l’...
Il 28 marzo 2025, un utente del noto forum di cybersecurity BreachForums, con lo pseudonimo ThinkingOne, ha rivelato quello che potrebbe essere il più grande data breach mai registrato nel mondo ...
Quando Jeffrey Goldberg dell’Atlantic ha fatto trapelare accidentalmente un messaggio di gruppo privato di alti funzionari statunitensi su un possibile attacco contro gli Houthi nello Yemen, ha...
Ogni mese diventa sempre più evidente: le password non funzionano più. Gli hacker hanno imparato a eludere anche la protezione a due fattori sfruttando sessioni rubate e milioni di dati comp...
La pseudonimizzazione è una tecnica di protezione dei dati definita dall’art. 4(5) del GDPR. Consiste nella trasformazione dei dati personali in modo tale che non possano più essere a...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
