😈 Cosa sono gli ATTACCHI ZERO DAY (e perché STUXNET ha fatto la storia)

Ciao a tutti e benvenuti in questo nuovo video. Oggi parleremo di zero-day, ovvero di cosa succede quando un hacker trova una vulnerabilità in un software o un dispositivo prima che la casa madre se ne accorga e possa sistemarla. Questo video è diviso in due parti: nella prima vedremo nel dettaglio cosa sono gli zero-day e come in qualche modo possiamo proteggerci; nella seconda vedremo uno dei dei casi più eclatanti di zero-day, diventato una vera e propria leggenda, ovvero Stuxnet, il malware creato per sabotare le centrali nucleari iraniane. Questi due video sono già presenti sul canale, sono però separati, quindi se non volete mettervi a cercare il primo video e poi quello crime, potete guardare direttamente questo che unisce già i due argomenti. Buona visione! Immaginate di essere nella vostra casa. Avete installato un sistema d'allarme all'avanguardia, porte blindate, finestre con vetri antisfondamento. Vi sentite al sicuro. Poi, improvvisamente, un ladro trova un passaggio segreto di cui nemmeno il costruttore della vostra casa era a conoscenza. Un'entrata invisibile che nessuno sapeva che esistesse e che quindi non era protetta. Prima ancora che possiate accorgervi dell'intrusione, il danno è già stato fatto. Questo genere di cosa si verifica anche nel mondo informatico. Quando un hacker riesce a entrare nel vostro sistema e a violarlo sfruttando delle vulnerabilità che nemmeno la casa di produzione conosceva, siete appena stati vittime di un attacco zero-day. Ciao a tutti e benvenuti in questo nuovo video. Oggi parliamo degli attacchi di tipo zero-day, di cui molte persone stanno parlando in questo momento, un po' anche grazie alla recente uscita di una miniserie Netflix intitolata proprio Zero Day, che parla di un attacco hacker di questo tipo. Partiamo dall'inizio: che cosa sono gli attacchi Zero Day? Sono attacchi che sfruttano delle vulnerabilità di un software o di un sistema operativo, degli errori nel codice, dei bug che l'hacker scopre prima che siano sistemati e che sfrutta quindi a proprio vantaggio. Il termine Zero Day viene normalmente interpretato in due modi: o per indicare il giorno in cui la vulnerabilità è stata sfruttata, cioè la scopro e profitto immediatamente prima che gli sviluppatori possano risolverla, oppure per indicare la quantità di tempo che la casa di produzione ha per risolvere il problema, cioè letteralmente zero giorni. Finché il difetto rimane sconosciuto agli sviluppatori, chiunque lo scopra può sfruttarlo indisturbato e noi non abbiamo modo di proteggerci. Se pensiamo al caso WannaCry, ci rendiamo conto subito della differenza fra un attacco normale e un attacco zero-day. Se vi ricordate, nel video sul caso WannaCry dicevo che gli hacker avevano sfruttato un difetto dei sistemi operativi vecchi di Windows, che la Microsoft in realtà aveva già risolto da tempo e che rimaneva solo nei sistemi non aggiornati. Negli attacchi zero-day invece gli hacker sfruttano vulnerabilità che la casa di produzione non conosce proprio e quindi non ci sono aggiornamenti o patch di sicurezza che possano essere scaricati e installati. Per capire meglio comunque dobbiamo distinguere fra 3 concetti usati spesso in modo intercambiabile ma che vogliono dire in realtà cose diverse. La vulnerabilità zero-day è la falla di sicurezza stessa, il difetto nel software che nessuno conosce tranne l'hacker. L'exploit zero-day è il metodo o il codice specifico utilizzato per sfruttare quella vulnerabilità. L'attacco zero-day invece è l'azione concreta dell'utilizzo dell'exploit contro un sistema vulnerabile. Faccio un esempio pratico. Ecco, se sono un hacker e scopro che Google Chrome ha una vulnerabilità per cui se io scrivo nella barra di ricerca una determinata cosa mi sputa fuori le credenziali di tutti gli utenti che usano Chrome, la vulnerabilità zero-day è l'errore nel codice che appunto data una determinata ricerca restituisce come risultato le credenziali degli utenti. L'exploit zero-day è quello che io devo scrivere nella barra di ricerca per arrivare ad avere le credenziali. L'attacco zero-day è il furto delle credenziali che ha atto utilizzando l'exploit contro la vulnerabilità. Quindi sono 3 concetti comunque molto collegati e spesso quando si parla di attacco zero-day si intende tutte e 3 le cose, quindi qualcosa che è intervenuto sfruttando una vulnerabilità sconosciuta, quindi zero-day, tramite qualcosa che non si sapeva che avrebbe creato un danno, quindi l'exploit zero-day. Ma parliamo un attimo delle origini di questo tipo di attacco. Il termine zero-day ha radici non legate in realtà al mondo degli attacchi informatici. Negli anni '90, nel mondo della pirateria software, si utilizzava per indicare dei programmi craccati e distribuiti lo stesso giorno del loro rilascio ufficiale. Era motivo di vanto nella comunità degli hacker, si diceva: "Ah, ho violato le protezioni di questo software in zero giorni", quindi zero-day. Esempio: viene rilasciato il nuovo GTA e il giorno stesso del rilascio io sono già riuscita a craccarlo e a distribuirlo gratis ai miei amici. Quindi ho in quel caso preso una versione di GTA zero-day. Solo nei primi anni 2000 il termine è stato adottato dalla comunità di sicurezza informatica per descrivere delle vulnerabilità non ancora conosciute dai produttori dei software. Il concetto comunque è lo stesso: zero giorni di preavviso prima che la minaccia si attiva. Il caso più famoso di sfruttamento di una vulnerabilità zero-day è senz'altro Stuxnet, che anzi ne sfruttava ben 4 di vulnerabilità zero-day e che ha fra l'altro rappresentato anche uno dei primi esempi di guerra informatica fra due stati. Ma di questo parliamo nel video di domani. Per citare un caso italiano, nel 2021 un attacco informatico di tipo ransomware ha colpito i sistemi della Regione Lazio, bloccando numerosi servizi essenziali, tra cui il portale per la prenotazione dei vaccini anti-COVID. Era il 2021, quindi era proprio il momento in cui bene o male tutti si stavano prenotando il vaccino, e questo malware è riuscito a buttare giù proprio tutto il sistema di prenotazione. L'attacco ha portato al furto dei dati di milioni di cittadini e ha causato disservizi per settimane. Anche in questo caso le indagini hanno rivelato che gli attaccanti hanno sfruttato una vulnerabilità zero-day in un componente software utilizzato dalla regione. Il Garante per la Privacy italiano ha successivamente imposto sanzioni per circa 400.000 euro in totale ai vari soggetti coinvolti per via delle inadeguate misure di sicurezza. Anche se in realtà scoprire una vulnerabilità zero-day non è così facile. Lì sono state invece individuate altre mancanze che hanno portato poi alla sanzione. Per comprendere davvero come funziona un attacco zero-day, immaginiamo di seguire le orme di un ipotetico hacker che ha scoperto una vulnerabilità in Gmail e ha deciso di compiere un attacco. La fase 1 è la scoperta della vulnerabilità. Il nostro hacker, che chiameremo Gino, passa settimane analizzando il codice alla base di Gmail e a fare degli esperimenti. Improvvisamente scopre che quando il programma riceve un allegato con una specifica sequenza di caratteri nel nome del file, si blocca. In gergo tecnico si direbbe che si è verificato un buffer overflow. Questo blocco porta alla possibilità di eseguire del codice sul computer della vittima, che non può fare niente in quel momento perché appunto il programma è bloccato. Gino si rende conto che questa vulnerabilità non è documentata in nessun registro pubblico, non è ancora stata scoperta dal team di sicurezza di Gmail. È quindi una vulnerabilità zero-day. La fase 2 è lo sviluppo dell'exploit. Ora Gino inizia a sviluppare un codice specifico per sfruttare questa vulnerabilità. Quindi crea un allegato mail appositamente progettato che quando aperto provoca appunto questo buffer overflow, questo blocco, e permette l'esecuzione di codice sul computer della vittima. La fase 3 è l'esecuzione dell'attacco. Gino decide di utilizzare questo exploit per colpire l'azienda per cui lavorava e che lo ha licenziato in malo modo. Invia quindi delle mail con l'allegato malevolo a diversi dipendenti dell'azienda. Le mail sembrano provenire da una fonte legittima e i dipendenti, che non sono adeguatamente formati, cliccano sull'allegato senza problemi. La fase 4 consiste nello sfruttamento e nella persistenza dell'attacco. Quando un dipendente ignaro apre l'allegato, l'exploit si attiva. Il buffer overflow, quindi il blocco, permette a Gino di eseguire del codice sul computer della vittima e questo codice può fare qualsiasi cosa. Ad esempio Gino decide di installare una backdoor, quindi una porticina che gli permetta di entrare anche in futuro nel computer. Decide poi di rubare dati sensibili, crittografare i file per un attacco ransomware e così via. Quindi abbiamo lo sfruttamento per il furto concreto, diciamo, dei dati e abbiamo la persistenza dell'attacco proprio perché creando una backdoor riesce a entrare lì dentro e a starci. Una cosa preoccupante è che esiste un vero e proprio mercato nero delle vulnerabilità zero-day e su questo devo fare un piccolo appunto a parte. Esistono dei programmi che si chiamano bug bounty che le grandi aziende come Microsoft, Google, Apple e così via implementano già da anni. Questi programmi prevedono una ricompensa a chi trova una vulnerabilità non ancora scoperta. Sono ricompense abbastanza alte, tanto che c'è gente che di lavoro fa questo, cioè cerca le vulnerabilità per riscuotere le ricompense. Il problema è che nel dark web le ricompense per chi trova vulnerabilità zero-day sono molto più alte. Gli exploit zero-day sono trattati proprio come beni di lusso e i loro prezzi possono raggiungere cifre astronomiche. Un exploit che sfrutti le vulnerabilità di iOS o di Android, per esempio, per permettere di hackerare gli smartphone può valere fino a 2 milioni di dollari. Ma chi compra questi exploit? Principalmente esistono 3 categorie di acquirenti, anche proprio per il prezzo che non è, diciamo, esattamente alla portata di tutti. Gruppi. La prima categoria sono i gruppi APT, dove APT non è la canzone di Bruno Mars, ma sta per Advanced Persistent Threats. Sono team di hacker sofisticati, spesso pagati da governi nazionali, quindi anche con una bella disponibilità di spesa, che conducono operazioni di spionaggio o sabotaggio contro obiettivi strategici. La seconda categoria sono organizzazioni criminali, quindi gruppi che cercano di monetizzare attraverso attacchi ransomware, furti di identità o frodi bancarie, uguali agli ATP, ma con la differenza che non sono, diciamo, sponsorizzati da un governo. La terza categoria sono i broker di vulnerabilità. Ci sono anche aziende e individui che operano in una zona grigia, cioè a metà fra la legalità e l'illegalità, acquistando informazioni sulle vulnerabilità nel dark web per poi rivenderle alle aziende che producono i software, teoricamente solo a clienti legittimi, quindi come le case di produzione, le agenzie governative o le aziende di sicurezza. Ad esempio, anche la NSA, che è la National Security Agency americana, ha utilizzato tantissimi attacchi che sfruttavano delle vulnerabilità zero-day. Ecco, questi broker di vulnerabilità potrebbero anche proporre alla NSA di vendergli un exploit di vulnerabilità, ma diciamo che la cosa più facile è che la NSA entri nel dark web e se la compri da sola. Dal punto di vista dell'impatto, gli attacchi zero-day possono avere conseguenze economiche devastanti sia per le vittime che per le software house, che ovviamente dovranno correre ai ripari e sistemare la vulnerabilità. Tra l'altro, molto spesso questi attacchi sono rivolti contro settori specifici e particolarmente critici, come il settore sanitario, i trasporti, le istituzioni pubbliche, come avvenuto appunto anche nella Regione Lazio. Quindi anche chi non è direttamente attaccato può subire comunque delle conseguenze indirette. E chiaramente la domanda diventa: come possiamo proteggerci? Difendersi dagli attacchi zero-day sembra una contraddizione in termini. Come ci si può proteggere da una minaccia che per definizione non si conosce? Conosce. Neanche mantenere aggiornati i sistemi risolve il problema se si tratta di vulnerabilità che nemmeno la casa madre conosce. Qui l'unica cosa che funziona è un approccio senza fiducia, un approccio zero trust, per tornare nell'ottica degli zero day. Questo approccio si basa proprio sul non fidarsi mai e sul verificare sempre. Dobbiamo avere una sfiducia generale nei confronti dei link, degli allegati, di siti web che non conosciamo. In pratica dobbiamo evitare di cliccare su cose che non siamo certi che siano sicure. Questa è una cosa che ovviamente dobbiamo trasmettere anche al nostro personale, ai dipendenti della nostra organizzazione, ai nostri figli, ai nostri genitori. Dobbiamo insomma averlo un po' tutti quanti. Sicuramente una cosa che potrà aiutare nel prossimo futuro a riconoscere questo genere di attacchi e prevenirli è l'intelligenza artificiale, che renderà molto più facile la scoperta delle vulnerabilità e quindi anche la corsa ai ripari. Va da sé che ovviamente l'intelligenza artificiale potrebbe essere usata anche per scoprire le vulnerabilità da parte dei malintenzionati, quindi sarà un po' una guerra a chi la usa prima o a chi la usa meglio. In ogni caso eliminare completamente il rischio di attacchi zero-day è impossibile. Il software è creato da esseri umani e gli errori sono inevitabili. Sicuramente quello che possiamo fare è essere più cauti possibile e mantenere un approccio appunto zero-trust. Bene, spero che questo video vi sia piaciuto. Non perdetevi assolutamente il video di domani sul caso Stuxnet, magari anzi approfittatene per iscrivervi al canale, attivare la campanella delle notifiche, così vi arriva pure la notifica. Noi ci vediamo domani. È il 2010, siamo in Iran all'interno di uno degli impianti nucleari più protetti al mondo, nella città di Natanz. Un bunker sotterraneo progettato per resistere a bombardamenti aerei, protetto da sistemi di sicurezza all'avanguardia e completamente isolato da internet, pensato per essere impenetrabile. Ma nessuna protezione, nessun muro e nessuna guardia armata può fermare ciò che sta per accadere. Un ingegnere, mentre lavora, inserisce una chiavetta USB nel suo computer. I PC funzionano normalmente, tutti i sistemi sembrano regolari. Non può sapere che in quel momento un'invisibile entità digitale sta penetrando non solo nel suo computer, ma nell'intero sistema di controllo dell'impianto. Un'entità creata a migliaia di chilometri di distanza, nei laboratori più segreti delle agenzie di intelligence occidentali, che sta per scatenare il primo atto di guerra cibernetica della storia dell'umanità. Questo intruso si chiama Stuxnet. Non si tratta di un comune virus informatico progettato per rubare password o dati sensibili. È qualcosa di completamente nuovo, un'arma digitale concepita per causare distruzione fisica nel mondo reale. Una storia che cambierà per sempre il corso della sicurezza informatica, della geopolitica internazionale e della concezione stessa di cosa significhi fare la guerra nel 21° secolo. Ma andiamo con ordine. Per capire bene il caso di oggi dobbiamo fare un passo indietro e andare al 2005. La presidenza di Bush è nel pieno del suo secondo mandato, la guerra in Iraq si è rivelata più difficile e costosa del previsto e una nuova minaccia emerge all'orizzonte: il programma nucleare iraniano. Mahmoud Ahmadinejad è appena stato eletto presidente dell'Iran e sotto la sua leadership il programma nucleare del paese accelera molto rapidamente. Nonostante le affermazioni che il programma abbia scopi puramente civili e che serva solo a far fronte al fabbisogno energetico dei cittadini, l'intelligence statunitense è convinta che l'Iran stia cercando di sviluppare armi nucleari. L'impianto di arricchimento dell'uranio di Natanz è il simbolo di questa minaccia. Costruito in gran parte sottoterra per proteggerlo da attacchi aerei, l'impianto ospita migliaia centrifughe che trasformano l'uranio naturale in combustibile per reattori, oppure con un ulteriore arricchimento in materiale per armi nucleari. Non sono solo gli Stati Uniti a essere preoccupati. Per Israele la prospettiva di un Iran nucleare rappresenta una minaccia esistenziale. Il primo ministro israeliano parla apertamente della possibilità di lanciare attacchi aerei preventivi contro gli impianti nucleari iraniani, simili all'operazione Opera del 1981, quando l'aviazione israeliana bombardò e distrusse il il reattore nucleare iracheno di Osirak. Il presidente Bush è sotto pressione. Da un lato Israele preme per un'azione decisiva, dall'altro gli Stati Uniti sono già impantanati in due guerre, in Afghanistan e Iraq, e l'opinione pubblica americana non supporterebbe un nuovo conflitto in Medio Oriente. Inoltre un attacco convenzionale contro Natanz presenta enormi difficoltà. L'impianto è ben difeso, in parte sotterraneo, e un'azione militare diretta potrebbe innescare un conflitto regionale di vasta portata con conseguenze assolutamente imprevedibili. Tra l'altro un bombardamento potrebbe causare anche una fuoriuscita di materiale radioattivo con effetti devastanti sulla popolazione civile. È in questo contesto che nasce un'idea: se non possiamo colpire l'impianto dall'esterno, perché non colpirlo dall'interno? Nel 2006, durante un incontro nella Situation Room della Casa Bianca, Bush approva un'operazione segreta denominata Olympic Games, cioè Giochi Olimpici. Il nome è emblematico: come nelle Olimpiadi, dove nazioni di tutto il mondo si incontrano per competere amichevolmente e vincere le varie negare, ora Stati Uniti e Israele avrebbero collaborato per raggiungere la supremazia in un nuovo tipo di competizione: la guerra informatica. L'obiettivo è chiaro: sviluppare un malware in grado di infiltrarsi nei sistemi di controllo delle centrifughe iraniane e sabotarle, rallentando così il programma nucleare senza però lasciare tracce dell'attacco e soprattutto senza ricorrere a un'azione militare convenzionale che avrebbe portato a uno spreco di soldi, di risorse e avrebbe sicuramente scatenato alzato l'azione dell'opinione pubblica contro la presidenza. Pensate alla portata di questa decisione. Per la prima volta nella storia un paese decideva di utilizzare un codice informatico come arma offensiva strategica contro un altro stato. Era l'equivalente digitale della decisione di utilizzare la prima bomba atomica, un passo in un territorio completamente inesplorato con conseguenze potenzialmente enormi e soprattutto imprevedibili. Per sviluppare quest'arma rivoluzionaria, l'NSA, cioè la National Security Agency americana, e l'Unità 8200 dell'intelligence israeliana, cioè l'equivalente israeliano dell'NSA, uniscono le forze in uno dei progetti di collaborazione più segreti e ambiziosi, se vogliamo, mai intrapresi. Il problema è che nessuno aveva mai creato qualcosa del genere prima. Come si progetta un malware capace di causare danni fisici a un'infrastruttura critica? Come si fa a testare un'arma del genere senza rivelare la sua esistenza? Come si fa a capire se ha funzionato? L'NSA, per ovviare in parte a questi problemi, ricrea in un laboratorio segreto sul suolo americano un duplicato esatto dell'impianto di Natanz, utilizzando tra l'altro le stesse centrifughe che vengono utilizzate a Natanz. E qui entra in gioco un'incredibile coincidenza. Già le centrifughe nucleari non erano proprio facilissime da reperire, figuriamoci delle copie esatte di quelle di Natanz. Il caso volle però che pochi anni prima, nel 2003, dopo l'invasione americana dell'Iraq, il leader libico Gheddafi, temendo di essere il prossimo sulla lista, aveva deciso di abbandonare il proprio programma nucleare clandestino e consegnare all'Occidente tutto il materiale correlato. Tra questo materiale c'erano proprio le centrifughe pakistane identiche a quelle utilizzate dall'Iran a Natanz. Stati Uniti e Israele mettono in campo una trentina di esperti e forniscono loro un budget di decine di milioni di dollari. Mentre gli ingegneri informatici scrivono e testano il codice, i fisici nucleari e gli ingegneri meccanici studiano nei minimi dettagli il funzionamento delle centrifughe, per identificare i loro punti deboli, le loro frequenze di risonanza, i loro limiti operativi. Ogni dettaglio conta, perché l'obiettivo non è semplicemente danneggiare le centrifughe, ma farlo in modo tale che gli iraniani non possano capire che sono sotto attacco, per non scatenare una nuova guerra. Gli esperti arrivarono così a produrre Stuxnet, un malware straordinariamente sofisticato che operava in 3 fasi distinte: infiltrazione, propagazione e attacco. La fase di infiltrazione è forse la più notevole delle 3. Stuxnet doveva superare quello che in gergo tecnico viene chiamato air gap, letteralmente spazio d'aria, ovvero l'isolamento fisico della rete informatica da internet e da tutte le altre reti non sicure. L'impianto di Natanz non era connesso a internet proprio per evitare attacchi informatici, aveva un air gap enorme. Come si fa a infettare un computer che non è collegato a internet? Gli sviluppatori di Stuxnet sapevano che nonostante tutte le misure di sicurezza delle persone dovevano comunque entrare e uscire dall'impianto e queste persone usavano i computer e portavano con sé dei dispositivi elettronici come i loro computer portatili. Utili. Ricordiamoci sempre che il fattore umano è in assoluto la parte più vulnerabile di qualunque azienda, ed è stato così anche in questo caso. All'interno dell'impianto tutti i computer avevano una rete condivisa, sempre separata da internet chiaramente, che però poteva far sì che una volta infettato un computer il malware si propagasse anche negli altri. Serviva però infettare un computer e bisognava farlo fisicamente. Come poteva essere fatta questa cosa? Con una chiavetta USB. L'intelligence americana inserì il malware all'interno di una chiavetta che venne poi consegnata a un ingegnere che lavorava in un impianto. Non si sa esattamente come fu consegnata, alcune fonti dicono che fu lasciata per terra fuori dall'impianto e che un ingegnere iracheno la inserì in un computer per vedere che cosa contenesse, quindi per semplice curiosità. Altre dicono che l'ingegnere era un infiltrato che lavorava per conto dell'NSA e che aveva proprio il compito di infilare la chiavetta in un computer. Comunque sia, questa chiavetta USB infetta venne inserita in un computer dell'impianto e lì iniziò il divertimento per gli americani. Stuxnet sfruttava una vulnerabilità nel modo in cui Windows gestisce le cartelle e le risorse, o meglio gestiva, in modo che il codice venisse eseguito automaticamente senza che l'utente dovesse fare nulla. Non era nemmeno necessario aprire un file, la semplice visualizzazione dell'icona della chiavetta USB in Esplora risorse era sufficiente per attivare il virus. Infezione. Questa era la prima delle vulnerabilità zero-day sfruttate da Stuxnet, che si basava interamente su falle di sicurezza non ancora conosciute pubblicamente e per le quali quindi non esistevano ancora delle patch, degli aggiornamenti di sicurezza. Stuxnet di vulnerabilità zero-day ne sfruttava ben 4, un numero senza precedenti per un singolo malware. Stuxnet inoltre aveva, come ogni software e malware, delle firme o impronte digitali. Ci sono firme sicure come Microsoft Apple, eccetera, e ci sono delle firme non sicure che sono quelle che normalmente fanno capire che abbiamo davanti un malware. Stuxnet appariva firmato digitalmente con certificati rubati a due rispettabilissime aziende, ovvero la JMicron e la Realtek. Questi certificati permettevano a Stuxnet di far apparire i suoi driver come legittimi, evitando di innescare allarmi di sicurezza quando venivano installati. Una volta installato su un computer Windows, Stuxnet iniziava la sua fase di propagazione. Cercava altri computer sulla stessa rete locale e tentava di infettarli usando varie vulnerabilità, fra cui problemi nel servizio di stampa di Windows o nella condivisione dei file. Sempre queste vulnerabilità zero-day di Windows. I programmatori avevano anche inserito un limite di propagazione per evitare che si diffondesse incontrollatamente e aumentare quindi anche il rischio che il malware fosse scoperto. Stuxnet era stato programmato per infettare un massimo di 3 computer a partire da ciascuno computer già infetto, quindi in realtà era ancora più difficile da rilevare. Inoltre Stuxnet conteneva un interruttore a tempo programmato per disattivarsi automaticamente il 24 giugno 2012. I suoi creatori avevano pianificato una campagna di sabotaggio con una durata ben precisa, dopo la quale il malware avrebbe dovuto teoricamente autoeliminarsi per non lasciare tracce. Ma la vera magia nera di Stuxnet si manifestava quando trovava il suo vero obiettivo, ovvero i sistemi di controllo industriali utilizzati per gestire le centrali centrifughe chiamati PLC. Quando Stuxnet identificava la presenza di questi sistemi di controllo, modificava il codice, riuscendo anche a nascondere queste modifiche agli operatori. Se un tecnico cercava di verificare il codice dei PLC, Stuxnet gli mostrava il codice originale, non quello modificato. Appena il codice veniva modificato, iniziava il suo lavoro di distruzione, ma con una pazienza e un'astuzia che rasentavano veramente l'arte. Il malware era straordinariamente selettivo: non attaccava qualsiasi sistema di controllo industriale, ma monitorava la frequenza dei motori collegati e agiva solo su quelli che giravano a una specifica frequenza, fra 807 e 1210 Hz. Questa frequenza è particolarmente significativa perché è molto più alta di quella utilizzata in applicazioni industriali tipiche, con l'eccezione delle centrifughe per gas, come quelle utilizzate appunto per l'arricchimento dell'uranio. Uranio. In pratica, Stuxnet verificava di essere effettivamente in presenza di centrifughe iraniane deputate alla creazione di armi nucleari prima di sferrare il suo attacco. Una volta trovato il bersaglio giusto, Stuxnet non agiva immediatamente. Per 13 giorni, esattamente il tempo necessario per riempire una cascata di centrifughe con l'uranio, non faceva nulla, limitandosi a registrare i normali pattern operativi delle centrifughe. Centrifughe. Al 14° giorno, Stuxnet sferrava il suo attacco. Modificava periodicamente la frequenza dei motori delle centrifughe, prima aumentandola a oltre 1400 Hz, quindi ben oltre il limite operativo sicuro, poi riducendola drasticamente a soli 2 Hz e poi riportarla a 1064 Hz. Queste oscillazioni facevano vibrare le centrifughe fino a danneggiarle fisicamente. Per capire l'impatto di queste modifiche dobbiamo comprendere come funziona una centrifuga per l'arricchimento dell'uranio. Uranio. Si tratta di un cilindro che ruota ad altissima velocità creando un campo centrifugo che separa l'isotopo uranio-235 utilizzabile per reazioni nucleari dal più abbondante uranio-238. Queste macchine sono estremamente delicate perché ruotano a velocità superiore a 1000 giri al secondo, con componenti in movimento che raggiungono velocità anche superiori a quella del suono. Ogni materiale ha una frequenza di risonanza, cioè la frequenza alla quale l'oggetto vibra al massimo della sua potenza. Quando si colpisce quella frequenza, le vibrazioni possono diventare così intense da causare dei danni strutturali. È lo stesso principio per cui un cantante d'opera può rompere un bicchiere di cristallo con la sua voce: se raggiunge la frequenza di risonanza del cristallo e la supera anche solo di poco, il cristallo si rompe. Stuxnet sfruttava esattamente questo principio. Portando le centrifughe a 1410 Hz, le faceva operare alla loro frequenza di risonanza. Dissonanza, causando vibrazioni eccessive che mandavano in pezzi componenti strutturali. Poi, riducendo drasticamente la velocità, creava ulteriore stress meccanico, come quando si frena bruscamente un'auto in corsa. Ma ecco il colpo di genio: mentre sabotava le centrifughe, Stuxnet inviava ai computer della sala di controllo i dati registrati nei primi 13 giorni, facendo quindi credere agli operatori che tutto stesse funzionando normalmente. Gli ingegneri iraniani si trovarono davanti a un enigma apparentemente irrisolvibile. Le centrifughe si rompevano a un ritmo allarmante una dietro l'altra, ma tutti i sistemi di monitoraggio indicavano un funzionamento totalmente regolare. Non c'era nessun allarme, nessun indicatore di anomalie, nessuna spiegazione ovvia. Con questo giochetto, Stuxnet riuscì a distruggere oltre 1000 centrifughe, quindi circa un 20% del totale. Naturalmente gli iraniani cercarono di sostituire le centrifughe danneggiate, ma si trovarono ben presto in difficoltà a causa sia delle sanzioni internazionali che limitavano l'accesso ai componenti critici, sia del fatto che non avendo mai identificato di fatto la causa del problema, non potevano essere sicuri che le nuove centrifughe non avrebbero subito lo stesso destino. È importante notare che Stuxnet non mirava a causare un incidente catastrofico tipo un'esplosione o una fuga radioattiva o una Chernobyl 2. Era progettato per fermare il programma nucleare iraniano senza fare del male fisico a nessuno, perché altrimenti sarebbe stato considerato come attacco bellico e l'Iran avrebbe potuto reagire. Stuxnet rappresentava una nuova forma di guerra non convenzionale, non dichiarata, teoricamente invisibile. Visibile, se non fosse stato per un piccolo errore. Nel giugno 2010 un ingegnere iraniano a casa propria collegò a internet il suo computer portatile che era stato infettato da Stuxnet dopo che l'ingegnere lo aveva utilizzato nell'impianto di Natanz. Questa semplice azione permise a Stuxnet di propagarsi ben oltre il suo target previsto, infettando migliaia di computer in tutto il mondo, anche perché il limite di 3 macchine infettate per ogni computer valeva solo nella rete locale di Natanz e non valeva invece per internet. Nel giro di un paio di settimane settimane computer di tutto il mondo iniziarono a mostrare comportamenti, diciamo, insoliti. Fu una società di sicurezza informatica bielorussa, la VirusBlokada, a identificare per prima questo strano malware nel luglio 2010. Analizzando un sistema infetto, avevano notato un malware che sfruttava una vulnerabilità zero-day nel modo in cui Windows gestiva i file, ma non avevano veramente idea di cosa avevano realmente scoperto. Da qui in poi però gli esperti di sicurezza informatica di tutto il mondo iniziarono piano piano a dissezionare il codice di Stuxnet, rivelando una sofisticazione che lasciava tutti sbalorditi. Ralf Langner, un esperto di sicurezza informatica tedesco specializzato tra l'altro proprio nei sistemi di controllo industriale, fu fra i primi a comprendere che Stuxnet non era un comune malware per il crimine informatico. Capì ben presto che Stuxnet era un attacco militare. Disse proprio in una conferenza stampa: è un attacco militare contro un'infrastruttura critica usata da un paese. Diciamo tranquillamente ovviamente l'Iran per sviluppare armi nucleari. Nel novembre 2010 il presidente iraniano Ahmadinejad ammise pubblicamente per la prima volta che le centrifughe del programma nucleare del paese erano state danneggiate da un virus informatico. A quel punto, avuta la conferma dei sospetti, tutti iniziarono a chiedersi chi l'avesse creato. Se pensiamo al fatto che nel dark web una vulnerabilità zero-day poteva arrivare tranquillamente a costare mezzo milione di dollari, un malware che ne sfruttava addirittura 4 non poteva essere è stato creato da un hacker qualunque. Nel giugno 2012 il New York Times pubblicò un articolo in cui si affermava che Stuxnet era stato sviluppato congiuntamente da Stati Uniti e Israele come parte dell'operazione Olympic Games. L'articolo rivelava dettagli sorprendenti sul programma, incluso il fatto che il presidente Obama aveva deciso di accelerare gli attacchi cibernetici contro l'Iran, nonostante i rischi di esporre questa nuova arma al mondo. Secondo New York Times, quando Stuxnet accidentalmente fuggì da Natanz nel 2010, Obama si riunì coi suoi consiglieri per decidere se interrompere l'operazione oppure no. La decisione fu di continuare nonostante il rischio di rivelarne l'esistenza e anche di infettare migliaia o milioni di computer. Nel 2013 le rivelazioni di Edward Snowden confermarono ulteriormente che Stuxnet era stato progettato dalla NSA 2016 in collaborazione con l'intelligence israeliana. Queste rivelazioni trasformarono Stuxnet da un misterioso malware in un caso studio di guerra cibernetica studiato proprio nelle accademie militari e nei corsi di sicurezza di tutto il mondo. Dal punto di vista delle conseguenze, Stuxnet è riuscito in effetti a ritardare il programma nucleare iraniano di 1 o 2 anni, senza però fermarlo completamente. La risposta dell'IRAN dell'Iran fu duplice. Da un lato intensificarono le misure di sicurezza fisica e informatica intorno al loro programma nucleare. Dall'altro, capendo di essere rimasti indietro, accelerarono anche lo sviluppo delle proprie capacità di guerra informatica. Negli anni successivi, gruppi di hacker legati all'Iran sono stati implicati in tantissimi attacchi informatici contro banche americane, casinò, infrastrutture idriche e altre organizzazioni in Israele e Stati Uniti. Si verificarono in pratica delle vere e proprie rappresaglie da parte dell'Iran contro i due stati che non potevano dire nulla dal momento che erano stati i primi a iniziare. Stuxnet fra l'altro non era un'arma isolata, ma faceva parte di un arsenale molto ampio di armi informatiche sviluppate dagli Stati Uniti. Nel settembre 2011 ad esempio ricercatori dell'Università di Budapest scoprirono un nuovo malware che sembrava stranamente familiare. Lo chiamarono DuQu dal nome di un file che creava con il prefisso DQ. A prima vista, Dooku sembrava un cugino di Stuxnet. Usava alcune delle stesse vulnerabilità zero-day e parti del suo codice erano veramente quasi identiche. Ma lo scopo di Dooku era diverso. Invece di sabotare infrastrutture fisiche, era progettato per rubare informazioni. Dooku era creato per lo spionaggio. Raccoglieva informazioni sui sistemi industriali, prendeva screenshot, registrava sequenze di tasti e trasmetteva tutti questi dati ai suoi controllori. I ricercatori conclusero che probabilmente Dooku aveva contribuito a raccogliere le informazioni per introdurre Stuxnet poi all'interno delle centrali iraniane. Nel maggio 2012 poi dei ricercatori di Kaspersky Lab scoprirono un malware ancora più complesso che battezzarono Flame. Il suo codice era 20 volte più grande di quello di Stuxnet. Flame esaminava sistematicamente tutti i PC infetti alla ricerca di qualsiasi tipo di informazione utile. Poteva registrare conversazioni attraverso il microfono del computer, catturare schermate, registrare tasti premuti, analizzare traffico di rete e persino raccogliere dati via Bluetooth dai dispositivi vicini. Poteva ricevere comandi per installare nuovi moduli, aggiornare se stesso o anche cancellare ogni traccia della propria presenza. Kaspersky Lab stimò che Flame avesse infettato circa 1000 sistemi, tutti concentrati nel Medio Oriente, un numero tutto sommato relativamente basso che suggeriva che il target fosse estremamente specifico. In pratica non era un malware progettato per diffondersi, ma doveva colpire solo obiettivi selezionati. La connessione fra Flame e Stuxnet fu stabilita quando i ricercatori scoprirono che entrambi utilizzavano lo stesso exploit per la vulnerabilità dei collegamenti Windows. Questo suggeriva una collaborazione, o almeno una condivisione di informazioni, tra i rispettivi team di sviluppo. Nel giro di poco tempo il mondo aveva scoperto non uno, ma ben 3 malware di livello militare, tutti apparentemente collegati e tutti concentrati sul Medio Oriente. Ambiente. Ma la vera portata dell'arsenale informatico statunitense sarebbe emersa solo alcuni anni dopo. Nel documentario Zero Days del 2016, diretto da Alex Gibney, fonti anonime dell'intelligence americana rivelarono che Stuxnet era solo una piccola parte di un progetto molto più ampio chiamato Nitro Zeus, NZ. Nitro Zeus era un piano completo che sarebbe stato attivato in caso di conflitto aperto con l'Iran. Prevedeva l'infiltrazione su larga scala in tutte le infrastrutture iraniane, con la capacità di disabilitare la rete elettrica, le comunicazioni delle azioni di parti del sistema e anche la difesa aerea del paese. Secondo il documentario, la NSA aveva già preposizionato delle risorse digitali all'interno delle reti iraniane, pronte a essere attivate con un semplice comando. Se attuato, avrebbe potuto potenzialmente mandare un intero paese nell'oscurità, non solo digitale, quindi togliendo ad esempio internet, ma anche fisica, cioè spegnendo i lampioni, staccando la luce, impedendo qualunque collegamento alla La rete. Vi consiglio assolutamente di recuperare il documentario perché la storia è raccontata veramente troppo bene. Comunque, tornando a Stuxnet, l'attacco del 2010 ha cambiato radicalmente la percezione della sicurezza informatica, soprattutto nell'ambito dei sistemi di controllo industriale, e ha inaugurato una nuova era nella storia dei conflitti internazionali. Prima di Stuxnet, la maggior parte degli esperti di sicurezza considerava i sistemi di controllo industriale relativamente sicuri, soprattutto se derubati da internet col famoso air gap di cui ho parlato prima. L'idea che un virus informatico potesse causare danni fisici a dei macchinari era considerata praticamente impossibile. Si pensava che i malware fossero in grado di danneggiare solo i software, non anche dei macchinari così grandi e così complessi. Stuxnet ha demolito questa convinzione, ha dimostrato che un air gap non è una barriera invalicabile, che i sistemi di controllo industriale possono essere compromessi e manipolati, e che il codice informatico può causare danni fisici nel mondo reale. Fra l'altro, quando Stuxnet iniziò a diffondersi, anche hacker malintenzionati iniziarono a studiarlo e a ricrearlo. Nel dicembre 2015 un attacco informatico colpì la rete elettrica ucraina, lasciando senza elettricità più o meno 230.000 persone per diverse ore. Gli esperti identificarono un malware chiamato BlackEnergy 3 che mostrava somiglianze con Stuxnet nel modo in cui prendeva di mira sistemi industriali. Industriali. Nel 2017 un malware ancora più preoccupante chiamato Triton, o anche TRISIS, colpì un impianto petrolchimico in Arabia Saudita. A differenza di Stuxnet che manipolava i sistemi di controllo, Triton mirava ai sistemi di sicurezza stessi, quelli progettati cioè per fermare dei processi industriali pericolosi prima che causino danni. Oltre a questi pensiamo anche a WannaCry che utilizzava proprio un exploit, cioè un attacco sviluppato dalla NSA. Con l'emergere di queste sottoversioni di Stuxnet è iniziata una riflessione molto più approfondita sulla guerra informatica. Da un lato si può argomentare che un attacco cibernetico mirato come Stuxnet rappresenti un'alternativa, se vogliamo, molto più umana rispetto a un attacco militare convenzionale. Non ci sono state vittime dirette, nessuna bomba è stata sganciata, nessun missile è stato lanciato. L'impianto di Natanz è stato sì danneggiato, ma non distrutto e comunque nessun lavoratore è rimasto ferito. D'altro canto, Stuxnet ha di fatto legittimato l'uso di armi informatiche come strumento di politica estera e ha incentivato anche lo sviluppo di queste armi da parte di altri stati. A differenza delle armi convenzionali o anche nucleari, che richiedono comunque delle risorse industriali significative e dei materiali speciali per essere prodotte, le armi informatiche richiedono conoscenza, competenze e un computer. Una volta che il codice è stato scritto, utilizzato, può essere studiato, copiato creato e adattato da chiunque altro, anche da un sedicenne nella sua cameretta. Quindi le conseguenze possono essere veramente incontrollabili. Possiamo dire in sostanza che il danno più grave di Stuxnet è stato quello di aprire un'infinità di porte a possibili nuove armi e nuovi strumenti che possono finire anche nelle mani sbagliate. Pensiamo anche solo al conflitto fra Russia e Ucraina, dove oltre alle armi convenzionali sono state usate anche dei malware. Per noi cittadini comuni questa nuova realtà, sembrare poco importante, ma in realtà ha delle implicazioni veramente molto profonde. Oggi un attacco hacker su scala globale potrebbe causare blackout diffusi, interruzioni nei servizi essenziali, incidenti anche industriali con conseguenze dirette sulla vita di tutti noi. Ogni giorno, mentre accendiamo i nostri computer, mentre usiamo i nostri smartphone, mentre guidiamo le nostre auto o semplicemente mentre accendiamo la luce in casa, stiamo interagendo con sistemi che potrebbero potenzialmente essere vulnerabili ad attacchi come Stuxnet. Non è un futuro distopico, è purtroppo il presente in cui viviamo. Il lato positivo è che sta aumentando tantissimo anche la consapevolezza, anche proprio a livello governativo, dei possibili danni che un attacco cyber può creare. Gli Stati Uniti hanno creato molte armi informatiche, ma si sono già resi conto che potrebbero essere tranquillamente utilizzate contro di loro. Quindi si sono aperti nuovi tavoli di confronto, nuove regolamentazioni, questo sempre per far sì che i danni restino il più isolati possibile. Possibile. Stuxnet ha dimostrato anche comunque che esistono delle alternative alle azioni militari convenzionali, che possono raggiungere degli obiettivi strategici con meno spargimento di sangue. Ha portato anche alla creazione di sistemi di sicurezza più robusti, cosa che ovviamente non guasta mai. Quindi diciamo che ha avuto un impatto sicuramente molto significativo, ha avuto tanti aspetti negativi, ma ha avuto anche alcuni risultati di riflesso positivi, compresi l'aumento della consapevolezza in generale e anche l'aumento della sicurezza per quanto riguarda tutte le infrastrutture critiche. Quindi speriamo che comunque i governi imparino da questa esperienza. Bene, spero che questo video vi sia piaciuto. Lasciatemi un like e fatemi sapere nei commenti se conoscevate già questa storia. Noi ci vediamo al prossimo video.