Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Cohesity Identity Resilience: da Cohesity e Semperis una soluzione per proteggere le infrastrutture di identità aziendali
MuddyWater si evolve: attacchi più sofisticati e infrastruttura più resiliente
Un attacco supply chain ha compromesso oltre 40 pacchetti NPM
TeamItaly, presentata la nuova squadra di giovani cyber defender
CERT-AGID 6-12 settembre: i ransomware mostrano una nuova tattica di ingegneria sociale

Microsoft sbaglia la patch: Windows vulnerabile per due mesi

Lug 24, 2018 Marco Schiaffino Attacchi, Malware, News, RSS, Vulnerabilità 0

La falla di sicurezza è stata corretta a maggio, ma la patch non risolveva affatto il problema. Il fix definitivo a luglio, ma intanto i pirati…

Per un pirata informatico, una vulnerabilità zero-day è oro colato. Le nuove vulnerabilità, però, sono difficili da scoprire e sono molto rari i casi in cui un cyber-criminale riesce a scovarne uno. A questo giro, però, gli hacker hanno ricevuto un assist clamoroso da Microsoft, che ha combinato un pasticcio di quelli davvero brutti.

Tutto comincia quando i ricercatori di sicurezza di Qihoo 360, lo scorso aprile, individuano un attacco che sfrutta una vulnerabilità zero-day che permette di avviare l’esecuzione di codice in remoto usando come vettore di attacco una semplice pagina Web (se aperta con Internet Explorer) o un file di Office.

La segnalazione (CVE-2018-8174) è stata immediatamente inviata a Microsoft, che ha rilasciato un aggiornamento nel mese di maggio. Il problema, però, è che l’aggiornamento non ha risolto del tutto il problema.

Come spiegano gli stessi ricercatori di Qihoo 360 in un report pubblicato sul blog della società di sicurezza, una variante della stessa vulnerabilità è stata sfruttata in maggio (dopo la distribuzione della patch) da un gruppo di cyber-criminali per diffondere un trojan.

Secondo gli analisti della società cinese, il problema riguarda il fatto che l’aggiornamento messo a punto dagli sviluppatori Microsoft non era perfetto. Anzi: lasciava spazio a due modalità per sfruttare lo stesso exploit (che i ricercatori hanno battezzato “double kill”) per portare attacchi nei confronti del browser.

Come si deduce dallo schema realizzato da Qihoo 360 non stiamo parlando di un attacco particolarmente semplice. Il fatto che i dettagli fossero stati resi pubblici al momento della pubblicazione della prima patch, però, può essere stato un bell’aiuto per i pirati informatici che lo hanno sfruttato.

Quello che dalle parti di Qihoo 360 non specificano è se il gruppo di cyber-criminali individuato a maggio sia lo stesso che sfruttava la vulnerabilità in origine.

E non si tratta di un dettaglio. Quando una vulnerabilità viene corretta, infatti, vengono contestualmente pubblicate tutte le informazioni correlate, che i pirati possono usare per mettere a punto il codice che consente di sfruttarla.

Normalmente la cosa non rappresenta un problema, visto che i computer in regola con gli aggiornamenti non corrono più il rischio di essere colpiti. Di fronte al caso di una patch “difettosa”, però, le cose cambiano. I pirati informatici in pratica si trovano la pappa pronta e possono sfruttare una tecnica di attacco ancora efficace sfruttando… il lavoro dei ricercatori di sicurezza.

Il “buco”, per fortuna, è durato solo due mesi e nel mese di luglio i sistemi Windows hanno ricevuto la patch completa che corregge la nuova variante della vulnerabilità (CVE-2018-8242). La figuraccia, però, rimane.

Condividi l'articolo