⚠️ ATTACCHI ZERO-DAY: cosa sono e come possiamo proteggerci

Immaginate di essere nella vostra casa. Avete installato un sistema d'allarme all'avanguardia, porte blindate, finestre con vetri antisfondamento. Vi sentite al sicuro. Poi, improvvisamente, un ladro trova un passaggio segreto di cui nemmeno il costruttore della vostra casa era a conoscenza. Un'entrata invisibile che nessuno sapeva che esistesse e che quindi non era protetta. Prima ancora che possiate accorgervi dell'intrusione, il danno è già stato fatto. Questo genere di cosa si verifica anche nel mondo informatico. Quando un hacker riesce a entrare nel vostro sistema e a violarlo sfruttando delle vulnerabilità che nemmeno la casa di produzione conosceva, siete appena stati vittime di un attacco zero-day. Ciao a tutti e benvenuti in questo nuovo video. Oggi parliamo degli attacchi di tipo zero-day, di cui molte persone stanno parlando in questo momento, un po' anche grazie alla recente uscita di una miniserie Netflix intitolata proprio Zero Day, che parla di un attacco hacker di questo tipo. Partiamo dall'inizio: che cosa sono gli attacchi zero-day? Sono attacchi che sfruttano delle vulnerabilità di un software o di un sistema operativo. Degli errori nel codice, dei bug, che l'hacker scopre prima che siano sistemati e che sfrutta quindi a proprio vantaggio. Il termine zero-day viene normalmente interpretato in due modi: o per indicare il giorno in cui la vulnerabilità è stata sfruttata, cioè la scopro e ne approfitto immediatamente prima che gli sviluppatori possano risolverla, oppure per indicare la quantità di tempo che la casa di produzione ha per risolvere il problema, cioè letteralmente zero giorni. Finché il difetto rimane sconosciuto agli sviluppatori, chiunque lo scopra può sfruttarlo indisturbato e noi non abbiamo modo di proteggerci. Se pensiamo al caso WannaCry ci rendiamo conto subito della differenza fra un attacco normale e un attacco zero-day. Se vi ricordate, nel video sul caso WannaCry dicevo che gli hacker avevano sfruttato un difetto dei sistemi operativi vecchi di Windows, che la Microsoft in realtà aveva già risolto da tempo e che rimaneva solo nei sistemi non aggiornati. Negli attacchi zero-day invece gli hacker sfruttano vulnerabilità che la casa di produzione non conosce proprio e quindi non ci sono aggiornamenti o patch di sicurezza che possano essere scaricati e installati. Per capire meglio comunque dobbiamo distinguere fra 3 concetti usati spesso in modo intercambiabile ma che vogliono dire in realtà cose diverse. La vulnerabilità zero-day è la falla di sicurezza stessa, il difetto nel software che nessuno conosce tranne l'hacker. L'exploit zero-day è il metodo o il codice specifico utilizzato per sfruttare quella vulnerabilità. L'attacco zero-day invece è l'azione concreta dell'utilizzo dell'exploit contro un sistema vulnerabile. Faccio un esempio pratico: se sono un hacker e scopro che Google Chrome ha una vulnerabilità per cui se io scrivo nella barra di ricerca una determinata cosa mi sputa fuori le credenziali di tutti gli utenti che usano Chrome, la vulnerabilità zero-day è l'errore nel codice che appunto data una determinata ricerca restituisce come risultato le credenziali degli utenti. L'exploit zero-day è quello che io devo scrivere nella barra di ricerca per arrivare ad avere le credenziali. L'attacco zero-day è il furto delle credenziali che atto utilizzando l'exploit contro la vulnerabilità. Quindi sono 3 concetti comunque molto collegati e spesso quando si parla di attacco zero-day si intende tutte e 3 le cose, quindi qualcosa che è intervenuto sfruttando una vulnerabilità sconosciuta, quindi zero-day, tramite qualcosa cosa che non si sapeva che avrebbe creato un danno, quindi l'exploit zero-day. Ma parliamo un attimo delle origini di questo tipo di attacco. Il termine zero-day ha radici non legate in realtà al mondo degli attacchi informatici. Negli anni '90, nel mondo della pirateria software, si utilizzava per indicare dei programmi craccati e distribuiti lo stesso giorno del loro rilascio ufficiale. Era motivo di vanto nella comunità degli hacker, si diceva: ho violato le protezioni versione di questo software in 0 giorni, quindi zero day. Esempio: viene rilasciato il nuovo GTA e il giorno stesso del rilascio io sono già riuscita a crackarlo e a distribuirlo gratis ai miei amici, quindi ho in quel caso preso una versione di GTA zero day. Solo nei primi anni 2000 il termine è stato adottato dalla comunità di sicurezza informatica per descrivere delle vulnerabilità non ancora conosciute dai produttori dei software. Il concetto comunque è lo stesso: 0 giorni di preavviso prima che la minaccia si attiva. Il caso più famoso di sfruttamento di una vulnerabilità zero-day è senz'altro Stuxnet, che anzi ne sfruttava ben 4 di vulnerabilità zero-day e che ha fra l'altro rappresentato anche uno dei primi esempi di guerra informatica fra due Stati. Ma di questo parliamo nel video di domani. Per citare un caso italiano, nel 2021 un attacco informatico di tipo ransomware ha colpito i sistemi della Regione Lazio, bloccando numerosi servizi essenziali essenziali, tra cui il portale per la prenotazione dei vaccini anti-COVID. Era il 2021, quindi era proprio il momento in cui bene o male tutti si stavano prenotando il vaccino e questo malware è riuscito a buttare giù proprio tutto il sistema di prenotazione. L'attacco ha portato al furto dei dati di milioni di cittadini e ha causato disservizi per settimane. Anche in questo caso le indagini hanno rivelato che gli attaccanti hanno sfruttato una vulnerabilità zero-day, in un componente software utilizzato dalla regione. Il Garante per la Privacy italiano ha successivamente imposto sanzioni per circa 400.000 euro in totale ai vari soggetti coinvolti per via delle inadeguate misure di sicurezza, anche se in realtà scoprire una vulnerabilità zero-day non è così facile. Lì sono stati invece individuate altre mancanze che hanno portato poi alla sanzione. Per comprendere davvero come funziona un attacco zero-day, immaginiamo di seguire le orme di un ipotetico hacker che ha scoperto una vulnerabilità in Gmail Gmail e ha deciso di compiere un attacco. La fase 1 è la scoperta della vulnerabilità. Il nostro hacker, che chiameremo Gino, passa settimane analizzando il codice alla base di Gmail e a fare degli esperimenti. Improvvisamente scopre che quando il programma riceve un allegato con una specifica sequenza di caratteri nel nome del file si blocca. In gergo tecnico si direbbe che si è verificato un buffer overflow. Questo blocco porta alla possibilità di eseguire del codice sul computer della vittima, che non può fare niente in quel momento perché appunto il programma è bloccato. Gino si rende conto che questa vulnerabilità non è documentata in nessun registro pubblico, non è ancora stata scoperta dal team di sicurezza di Gmail. È quindi una vulnerabilità zero-day. La fase 2 è lo sviluppo dell'exploit. Ora Gino inizia a sviluppare un codice specifico per sfruttare questa vulnerabilità. Quindi crea un allegato mail appositamente progettato che quando aperto provoca appunto questo buffer overflow, questo blocco, e permette l'esecuzione di codice sul computer della vittima. La fase 3 è l'esecuzione dell'attacco. Gino decide di utilizzare questo exploit per colpire l'azienda per cui lavorava e che lo ha licenziato in malo modo. Invia quindi delle mail con l'allegato malevolo a diversi dipendenti dell'azienda. Le mail sembrano provenire da una fonte legittima e i dipendenti, che non sono adeguatamente formati, cliccano sull'allegato senza problemi. La fase 4 consiste nello sfruttamento e nella persistenza dell'attacco. Quando un dipendente ignaro apre l'allegato, l'exploit si attiva, il buffer overflow, quindi il blocco, permette a Gino di eseguire del codice sul computer della vittima, e questo codice può fare qualsiasi cosa. Ad esempio, Gino decide di installare una backdoor, quindi una porticina che gli permette di entrare anche in futuro nel computer. Computer, decide poi di rubare dati sensibili, crittografare i file per un attacco ransomware e così via. Quindi abbiamo lo sfruttamento per il furto concreto, diciamo, dei dati e abbiamo la persistenza dell'attacco proprio perché creando una backdoor riesce a entrare lì dentro e a starci. Una cosa preoccupante è che esiste un vero e proprio mercato nero delle vulnerabilità zero-day e su questo devo fare un piccolo appunto a parte. Esistono dei programmi che si chiamano bug bounty che le grandi aziende come Microsoft, Google, Apple e così via implementano già da anni. Questi programmi prevedono una ricompensa a chi trova una vulnerabilità non ancora scoperta. Sono ricompense abbastanza alte, tanto che c'è gente che di lavoro fa questo, cioè cerca le vulnerabilità per riscuotere le ricompense. Il problema è che nel dark web le ricompense per chi trova vulnerabilità zero-day sono molto più alte. Gli exploit zero-day sono trattati proprio come beni di lusso e i loro prezzi possono raggiungere cifre astronomiche. Un exploit che sfrutta le vulnerabilità di iOS o di Android, per esempio, per permettere di hackerare gli smartphone può valere fino a 2 milioni di dollari. Ma chi compra questi exploit? Principalmente esistono 3 categorie di acquirenti, anche proprio per il prezzo che non è, diciamo, esattamente alla portata di tutti. La prima categoria sono i gruppi APT, dove APT non è la canzone di Bruno Mars ma sta per Advanced Advanced Persistent Threats. Sono team di hacker sofisticati, spesso pagati da governi nazionali, quindi anche con una bella disponibilità di spesa, che conducono operazioni di spionaggio o sabotaggio contro obiettivi strategici. La seconda categoria sono organizzazioni criminali, quindi gruppi che cercano di monetizzare attraverso attacchi ransomware, furti di identità o frodi bancarie, uguali agli ATP ma con la differenza che non sono, diciamo, sponsorizzati da un governo. La terza categoria sono i broker di vulnerabilità. Ci sono anche aziende e individui che operano in una zona grigia, cioè a metà fra la legalità e l'illegalità, acquistando informazioni sulle vulnerabilità nel dark web per poi rivenderle alle aziende che producono i software, teoricamente solo a clienti legittimi, quindi come le case di produzione, le agenzie governative o le aziende di sicurezza. Sicurezza. Ad esempio anche la NSA, che è la National Security Agency americana, ha utilizzato tantissimi attacchi che sfruttavano delle vulnerabilità zero-day. Ecco, questi broker di vulnerabilità potrebbero anche proporre alla NSA di vendergli un exploit di vulnerabilità, ma diciamo che la cosa più facile è che la NSA entri nel dark web e se la compri da sola. Dal punto di vista dell'impatto, gli attacchi zero-day possono avere conseguenze economiche devastanti. Sia per le vittime che per le software house che ovviamente dovranno correre ai ripari e sistemare la vulnerabilità. Tra l'altro molto spesso questi attacchi sono rivolti contro settori specifici e particolarmente critici come il settore sanitario, i trasporti, le istituzioni pubbliche, come avvenuto appunto anche nella Regione Lazio. Quindi anche chi non è direttamente attaccato può subire comunque delle conseguenze indirette. E chiaramente la domanda diventa: come possiamo proteggerci? Difendersi dagli attacchi zero-day sembra una contraddizione in termini. Come ci si proteggere da una minaccia che per definizione non si conosce. Neanche mantenere aggiornati i sistemi risolve il problema se si tratta di vulnerabilità che nemmeno la casa madre conosce. Qui l'unica cosa che funziona è un approccio senza fiducia, un approccio zero trust, per tornare nell'ottica degli Zero Day. Questo approccio si basa proprio sul non fidarsi mai e sul verificare sempre. Dobbiamo avere una sfiducia generale nei confronti dei link, degli allegati, di siti web che non conosciamo. In pratica dobbiamo evitare di cliccare su cose che non siamo certi che siano sicure. Questa è una cosa che ovviamente dobbiamo trasmettere anche al nostro personale, ai dipendenti della nostra organizzazione, ai nostri figli, ai nostri genitori. Dobbiamo insomma averlo un po' tutti quanti. Sicuramente una cosa che potrà aiutare nel prossimo futuro a riconoscere questo genere di attacchi e prevenirli è l'intelligenza artificiale, che renderà molto più facile la scoperta delle vulnerabilità e quindi anche la corsa ai ripari. Va da sé che ovviamente l'intelligenza artificiale potrebbe essere usata anche per scoprire le vulnerabilità da parte dei malintenzionati, quindi sarà un po' una guerra a chi la usa prima o a chi la usa meglio. In ogni caso eliminare completamente il rischio di attacchi zero-day è impossibile. Il software è creato da esseri umani e gli errori sono inevitabili. Sicuramente quello che possiamo fare è essere il più cauti possibile e mantenere un approccio appunto zero-trust. Bene, spero che questo video vi sia piaciuto. Non perdetevi assolutamente il video di domani sul caso Stuxnet. Magari anzi, approfittatene per iscrivervi al canale, attivare la campanella delle notifiche, così vi arriva pure la notifica. Noi ci vediamo domani.