Il bug Shellshock individuato nella shell BASH alcuni giorni fa continua a mietere vittime, coinvolgendo anche nomi importanti.

Tra questi, secondo quanto dichiara il ricercatore Jonatha Hall di Future South, ci sono anche Yahoo, Lycos e Winzip.

Tutto è iniziato, come racconta il blog dell'azienda, quando Hall ha scoperto che qualcuno stava sondando i suoi server per scoprire se fosse possibile sfruttare Shellshock; questo qualcuno agiva tramite script presenti su server già compromessi, che facevano capo per l'appunto a Yahoo, Winzip e Lycos.

Proseguendo nell'indagine, Hall ha effettivamente individuato su alcuni server di quelle società uno script PERL dannoso e ne ha analizzato il codice, scoprendo alcuni commenti in rumeno che lasciano quindi ipotizzare che gli hacker autori dello script siano originari della Romania.

A questo punto Hall ha avvisato sia le azienda in questione sia l'FBI, che ha iniziato le indagini.

Stando a quanto si legge sul blog di Future South, Lycos ha negato la presenza della vulnerabilità.

Winzip, invece, seppur impiegandoci un po' di tempo ha ammesso la falla e ha provveduto a correggere il bug, ringraziando il ricercatore per il lavoro svolto e affermando che i dati degli utenti non sono stati compromessi.

Yahoo ha avuto una reazione un po' più complessa. All'inizio, l'azienda ha confermato quanto ipotizzato da Hall; in seguito, però, ha affermato che l'hacker misterioso ha sì effettuato una scansione di alcuni server alla ricerca di Shellshock ma poi, non trovandolo, ha adoperato una falla presente in uno script di debug che in quel periodo venivano eseguiti.

In tal modo ha compromesso «a una manciata di server». «Tre dei nostri server Sports API contenevano del codice pericoloso che è stato eseguito in questo fine settimana da criminali che cercavano server vulnerabili a Shellshock» ha spiegato Alex Stamos, di Yahoo, negando però che Shellshock fosse la falla adoperata per ottenere l'accesso a quei tre server.

In ogni caso Yahoo è convinta che i dati degli utenti siano al sicuro e che nessuno sia riuscito ad accedervi, anche se Hall sembra non essere proprio convinto di ciò.