Immagine generata con DiffusionArt.

Questo è un articolo su più pagine: ti invitiamo a leggere la pagina iniziale
Xz, Solarwinds e l'Armageddon prossimo venturo

Arriviamo rapidamente al 2020; un gruppo di criminali informatici al soldo di uno Stato-nazione attacca la rete di un produttore di software per la sicurezza informatica, probabilmente già nel 2018. Dopo aver violato la rete, altera i server che compilavano il software destinato a essere spedito ai clienti in modo che includesse una backdoor.

Non stiamo parlando di un software qualsiasi: Solarwinds è un sofisticato software per la sicurezza informatica, installato dalle più grandi organizzazioni con stringenti necessità di sicurezza, tra cui per esempio una ventina di agenzie governative americane, fornitori di armamenti, grandi aziende informatiche e compagnia cantando. Sì, anche in Italia.

L'aggiornamento automatico di Solarwind aveva quindi installato automaticamente una backdoor che rendeva semplicissimo violare le reti che lo utilizzavano; in questo modo migliaia di reti iperprotette si sono improvvisamente aperte ai criminali informatici che ne hanno potuto abusare a piacimento per anni.

Per approfondire:

La fine del mondo, virtuale

Malware di fabbrica nei mini PC venduti su Amazon

Migliaia di set-top box Android hanno la backdoor di fabbrica

Schede madri Gigabyte con la backdoor, ecco i firmware aggiornati

Quando l'attacco fu scoperto (perché di attacco si tratta), il principale problema per le organizzazioni colpite fu di capire se erano o no state violate, perché gli attaccanti erano del tipo più pericoloso, quelli bravi, che non si fanno scoprire e che è difficilissimo trovare e scacciare.

E finalmente arriviamo al 2024, a oggi, anzi a due settimane fa, e all'attacco alla libreria Xz. Un dipendente Microsoft che utilizzava OpenSSL (sì, di nuovo lei) si accorge che la nuova versione ci mette 500 millisecondi in più a compiere certe operazioni rispetto alla versione precedente. Siccome evidentemente nella sua vita non aveva di meglio da fare e giudicava importante questo problema, si mette a controllare i codici sorgenti per cercarne il motivo.

Con suo stupore il dipendente Microsoft si accorge che la nuova versione della libreria OpenSSL contiene un file binario proveniente da un'altra libreria, per l'esattezza Xz, che è la libreria che si occupa di comprimere e decomprimere i file; sì, proprio quella con cui zippate i vostri PDF, che lo sappiate o meno.

Consigliamo la lettura di:

Gigabyte, centinaia di schede madri contengono una backdoor

Il malware per Linux quasi impossibile da individuare

Hacker cinesi sfruttano VLC per diffondere malware

Neo Luddismo

Il dipendente Microsoft si accorge con orrore che questa modifica permette a chi possiede certe chiavi crittografiche di iniettare e eseguire qualunque programma direttamente nel kernel del sistema operativo e di far succedere qualsiasi cosa: dal prendere il controllo completo del sistema a distruggere rapidamente e completamente tutti i server compromessi.

L'analisi retrospettiva degli avvenimenti ha rivelato che, due anni prima, uno sviluppatore anonimo aveva iniziato a proporre modifiche alla libreria Xz, che erano ragionevoli e quindi erano state accettate del suo amministratore, e poi a farsi accettare come co-amministratore della libreria stessa.

Consigliamo la lettura di:

L'insostenibile debolezza del middleware: log4j

Stuxnet, il virus informatico più distruttivo della storia

Zoom, occhio ai file di installazione che diffondono malware

Un futuro senza chiavette USB

Aveva poi lentamente sovvertito il sistema di compilazione della libreria stessa, inserendovi il codice malevolo destinato a finire nella libreria OpenSSL, e contemporaneamente svolgendo una sofisticata azione di ingegneria sociale nei confronti di chi avrebbe potuto controllare le sue modifiche in modo tale che queste verifiche non fossero fatte. Poi, quando la libreria infettata ha cominciato a propagarsi sui primi server, uno di essi è stato quello del benedetto dipendente Microsoft con tanto tempo libero, che non ringrazieremo mai abbastanza e che meriterebbe un monumento.

Se questo scarno riassunto non vi paresse abbastanza, potete divertirvi ascoltando questo podcast in cui due titani della scena hacker italiana degli anni '90 discutono approfonditamente e scherzosamente della faccenda, condividendo anche un giudizio ottimistico per il futuro.

Quindi Buoni 3, Cattivi 0 e palla al centro? Bene, questa valutazione è quello che ha accompagnato questi terrificanti eventi, venuti alla luce sempre per fortuna e prima che potessero causare danni catastrofici. In effetti Solarwind ha davvero causato danni economici rilevantissimi e danni derivanti da furti di dati e da attività spionistiche non precisabili, ma dovrebbe aver spinto la comunità informatica mondiale ad attivarsi contro questo nuovo tipo di attacchi informatici.

Sullo stesso tema:

Gru, escavatori e bulldozer hackerabili da remoto

Entro dieci anni gli hacker ci ruberanno i ricordi dal cervello

Come si fa a leggere i messaggi cifrati di WhatsApp e Telegram? Non è diffi...

35 anni di Wargames

Quindi Buoni 4, Cattivi 0? Arriviamo alle conclusioni, probabilmente ormai chiarissime ai 24 informatissimi lettori di Cassandra. Per tutte le divinità mai adorate dagli umani, da Astarte a Zaratustra, inclusi Manitù, Cthulhu e Yog-Sototh, è possibile che nessuno pensi a tutti gli attacchi di questa portata che non sono mai stati rilevati? Quelli in cui nessun dipendente insonne è inciampato e che nessun amministratore di sistema curioso ha mai rilevato? Ma davvero ci sono addetti ai lavori che credono che i buoni continuino a segnare e che i cattivi siano costretti nella loro metà campo?

Davvero qualcuno può pensare che gli Stati-nazione, i produttori di armi, i gradi e piccoli gruppi criminali e le mafie non stiano accumulando, in grandi e piccoli arsenali, queste modifiche al software che fa funzionare il mondo, queste armi informatiche che talvolta sono state anche testate o utilizzate su scala ridotta o con conseguenze circoscritte? I nomi SQL Slammer e Stuxnet non vi dicono niente?

Cassandra è sempre stata andreottiana nell'animo e mai come in questo caso sente il dovere di invitare gli ottimisti a riconsiderare le proprie posizioni, non per un principio di precauzione, ma per puro e semplice realismo. L'Armageddon della prima guerra informatica mondiale è certamente, e ripeto certamente in fase di avanzata realizzazione. Poi non dite che non vi avevo avvertito.

Consigliamo la lettura di:

Falla chipset Intel: così si viola un laptop in meno di 30 secondi

Backdoor vecchia di anni nei Nas di Western Digital

OnePlus si dimentica una backdoor nei suoi smartphone

Violazione di CCleaner, guai più gravi del previsto