Cos'è un attacco zero-day?

Un attacco zero-day è un tipo di attacco informatico che sfrutta una vulnerabilità che il fornitore o lo sviluppatore non sapeva esistesse. Il nome del problema si basa sul numero di giorni da quando lo sviluppatore è a conoscenza della falla. La soluzione per un attacco zero-day è una patch software. I programmi antivirus e gli aggiornamenti regolari del sistema possono aiutare a prevenire gli attacchi zero-day, anche se ciò non è sempre garantito. Esistono diversi mercati per gli exploit zero-day, alcuni dei quali legali e altri illeciti.

Fondamenti

Gli attacchi zero-day, noti anche come attacchi Day Zero, rappresentano una categoria temibile di minacce informatiche che sfrutta una falla di sicurezza del software non divulgata e sconosciuta al fornitore o allo sviluppatore. Questa vulnerabilità occulta richiede un intervento immediato da parte dello sviluppatore per mitigare i rischi potenziali per gli utenti del software. La risoluzione tempestiva da parte dello sviluppatore si concretizza in una patch software volta a contenere il pericolo imminente. Interessantemente, gli attacchi zero-day si estendono anche al mondo dell'Internet of Things (IoT), permettendo ad attori malevoli di orchestrare attacchi su questa rete interconnessa di dispositivi. Questa nomenclatura, "zero-day attack", deriva dalla misura precisa del tempo che indica il livello di consapevolezza che lo sviluppatore ha riguardo al problema in questione.

Cos'è un attacco zero-day?

Nella cybersicurezza, un attacco zero-day comprende una serie di tattiche insidiose, inclusi malware, adware, spyware o accessi non autorizzati a informazioni sensibili degli utenti. Per rafforzare le difese contro tali attacchi, si consiglia agli utenti di attivare gli aggiornamenti automatici del software, inclusi sistemi operativi, antivirus e browser web. Inoltre, è cruciale installare tempestivamente gli aggiornamenti consigliati anche fuori dai piani di aggiornamento regolari.

Tuttavia, fare affidamento esclusivamente su un antivirus aggiornato non garantisce la protezione dagli attacchi zero-day. Questo perché, finché una vulnerabilità software non diventa pubblica, l'antivirus potrebbe non avere i mezzi per rilevarla. A integrare l'arsenale contro tali attacchi, i sistemi host di prevenzione delle intrusioni (HIPS) si rivelano preziosi poiché impediscono e respingono le intrusioni proteggendo i dati critici.

Immaginando una vulnerabilità zero-day come una portiera dell'auto lasciata inconsapevolmente aperta, la falsa convinzione del proprietario sulla sicurezza espone un'opportunità per un ladro occasionale. Non rilevato, il ladro entra, trafuga oggetti preziosi dal vano portaoggetti o dal bagagliaio, lasciando la vittima all'oscuro fino a giorni dopo, quando il danno è ormai fatto e il colpevole è scomparso.

Sebbene i criminali hacker siano noti per sfruttare vulnerabilità zero-day, anche agenzie governative di sicurezza ne fanno uso per attività di sorveglianza o operazioni offensive. Questa domanda da parte di enti governativi alimenta un mercato fiorente per lo scambio di informazioni riguardanti queste vulnerabilità e le tecniche per sfruttarle.

Gli exploit zero-day possono rimanere segreti, essere comunicati al fornitore del software o venduti a terzi. In caso di vendita, tali exploit possono essere ceduti con o senza diritti esclusivi. Idealmente, le aziende responsabili delle falle si affidano a hacker etici o white hat per divulgare privatamente le vulnerabilità, permettendo una rapida correzione prima che attori malevoli possano approfittarne. Tuttavia, alcune vulnerabilità richiedono lo sforzo collettivo di più parti per una risoluzione completa, rendendo la divulgazione completamente privata un obiettivo difficile da raggiungere.

Mercati Zero-Day: svelare le dinamiche degli exploit

Nei reami clandestini del mercato delle informazioni zero-day, gli hacker criminali prosperano scambiando dettagli complessi che sbloccano software vulnerabili, concedendo accesso a informazioni ambite. Nel frattempo, il mercato "grigio" funge da piattaforma per ricercatori e aziende che scambiano tali informazioni con forze armate, agenzie di intelligence e forze dell'ordine. Al contrario, il mercato "bianco" opera su un paradigma diverso, dove le aziende ingaggiano hacker white hat e ricercatori di sicurezza per scoprire e divulgare vulnerabilità del software agli sviluppatori, permettendo fix tempestivi prima che criminali possano sfruttarle.

Il valore delle informazioni zero-day fluttua a seconda di vari fattori, inclusi acquirente, venditore e livello di utilità. Con cifre che vanno da alcune migliaia a diverse centinaia di migliaia di dollari, il mercato offre un potenziale guadagno allettante. Prima che qualsiasi transazione possa essere finalizzata, i venditori devono fornire una prova di concetto (PoC) come dimostrazione dell'esistenza dell'exploit zero-day. Per chi cerca scambi discreti, la rete Tor fornisce una piattaforma anonima, mentre Bitcoin facilita il completamento delle transazioni zero-day.

Sebbene gli attacchi zero-day emanino un'aura di pericolo imminente, il loro livello di minaccia reale può essere più sfumato. I governi spesso possiedono mezzi alternativi per monitorare i cittadini, e gli exploit zero-day potrebbero non essere la via più efficace per colpire aziende o individui. Impiegare un attacco in modo strategico e furtivo, senza che il bersaglio ne sia consapevole, ne massimizza l'impatto. Scatenare indiscriminatamente un attacco zero-day su una vasta rete di computer rischia di esporre prematuramente la vulnerabilità, innescando il rilascio rapido di patch che ostacolano gli aggressori nel raggiungere i loro obiettivi finali.

Esempi reali: casi di sfruttamento zero-day

La battaglia di Microsoft Word

Nel aprile 2017 Microsoft si trovò coinvolta in un attacco zero-day che riguardava il suo diffuso software Microsoft Word. Sfruttando una versione vulnerabile e non patchata, gli aggressori infiltravano il sistema tramite il trojan bancario Dridex. Inserendo codice dannoso nei documenti Word, il trojan eseguiva senza problemi il payload all'apertura del documento. Sebbene l'attacco sia stato scoperto da McAfee, un fornitore di antivirus, e segnalato prontamente a Microsoft, aveva già colpito milioni di utenti, con la campagna iniziata a gennaio.

Il viaggio delle vulnerabilità di Chrome 

Più recentemente, il browser web Chrome di Google ha affrontato una serie di vettori di attacco ed exploit. Solo nel 2022 Google ha emesso non meno di quattro notifiche urgenti invitando gli utenti di Chrome ad aggiornare i loro browser. Questi avvisi rispondevano a una serie di attacchi zero-day che mettevano a rischio la sicurezza degli utenti.

Il pirataggio di Sony Pictures

Uno dei casi più noti è il pirata informatico ai danni di Sony Pictures del 2014. Quest'audace aggressione informatica sfruttò una vulnerabilità non divulgata, permettendo l'installazione di malware occulto. All'insaputa di Sony, il malware prese di mira e manomise rapidamente file critici relativi a film in uscita, causando perdite finanziarie ingenti per milioni di dollari. L'incidente ha inoltre infangato la reputazione di Sony, esponendo presunte fragilità nella sicurezza. L'attacco è ampiamente ritenuto orchestrato da agenti nordcoreani in rappresaglia per l'uscita di "The Interview," un film satirico che prendeva in giro il leader della Corea del Nord, Kim Jong Un. Questo evento altamente pubblicizzato catturò l'attenzione globale, mettendo in luce i pericoli costanti delle vulnerabilità zero-day nel panorama cibernetico.

Conclusione

Gli attacchi zero-day rappresentano una sfida significativa per la sicurezza informatica, sfruttando vulnerabilità software sconosciute. Antivirus e aggiornamenti offrono una certa protezione ma non sono infallibili. I mercati delle informazioni zero-day coinvolgono scambi legali e illeciti. Esempi reali includono l'attacco a Microsoft Word, le vulnerabilità di Chrome e il famigerato attacco a Sony Pictures. Vigilanza e misure proattive sono fondamentali per contrastare la minaccia persistente degli attacchi zero-day.