Aggiornamenti recenti Settembre 3rd, 2025 5:22 PM
Feb 10, 2021 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0
Nel panorama della cyber security, gli attacchi supply chain hanno posto di riguardo tra le preoccupazioni che tormentano gli esperti. Il motivo è semplice: a fronte di un’attività relativamente ridotta, permettono ai cyber criminali di colpire un considerevole numero di vittime.
La tecnica messa a punto da Alex Birsan, però, è qualcosa di ancora più pericoloso. IL ricercatore, infatti, ha trovato un punto debole che avrebbe consentito di colpire con estrema facilità (ed efficacia) numerose aziende nel settore tecnologico, compresi veri “mostri sacri” come Apple, PayPal e Microsoft.
La tecnica, che il ricercatore ha battezzato con il nome di Dependency Confusion, sfrutta in pratica quel livello di “fiducia” per cui gli sviluppatori tendono a considerare affidabili i pacchetti di codice pubblicati online.
L’intuizione di Birsan fa leva sul sistema delle dipendenze, cioè quella complessa rete che consente agli sviluppatori di “richiamare” automaticamente pacchetti di codice in vari linguaggi di programmazione (Birsan ha preso di mira Python, Node e Ruby) che vengono estratti da repository dedicati, come GitHub.
Il ricercatore ha sviluppato una serie di tecniche che gli hanno consentito, in pratica, di pubblicare su Internet delle versioni infette dei pacchetti, sostituendo quelli esistenti o semplicemente rimpiazzando pacchetti che erano stati cancellati ma che vengono comunque richiamati dalle applicazioni sviluppate con il linguaggio corrispondente.
Il suo esperimento, spiega Birsan in un post pubblicato su Internet, ha dato risultati sorprendenti: è infatti riuscito a caricare il suo codice malevolo sui sistemi di un gran numero di aziende di primo piano, dalle quali ha poi potuto estrarre informazioni sensibili.
Per farlo, il ricercatore spiega di aver utilizzato un sistema di esfiltrazione basato su quesy DNS, che consentono di aggirare la maggior parte dei controlli di sicurezza.
L’esperimento avrebbe permesso alle aziende coinvolte (35 in tutto, di dimensioni notevoli) di individuare le vulnerabilità a questa tecnica di attacco e correggere i loro sistemi per mitigare il rischio di futuri intrusioni.
Gen 28, 2022 0
Gen 27, 2022 0
Gen 26, 2022 0
Gen 25, 2022 0
Set 03, 2025 0
Set 02, 2025 0
Set 01, 2025 0
Ago 29, 2025 0
Ago 29, 2025 0
Il prossimo 14 ottobre terminerà ufficialmente il supporto...Ago 26, 2025 0
Il mondo dell’IoT rimane uno dei più esposti alle...Ago 04, 2025 0
I chatbot basati su modelli linguistici di grandi...Lug 29, 2025 0
Tra le minacce più recenti che stanno facendo tremare il...Lug 17, 2025 0
Gli attacchi DDoS, compresi quelli ipervolumetrici,...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Set 03, 2025 0
Appena rilasciato e già preso di mira dagli attaccanti:...Set 02, 2025 0
Lo scorso 20 agosto Salesloft aveva avvertito di un...Set 01, 2025 0
Qualche giorno fa la Counter Threat Unit di Sophos ha...Ago 29, 2025 0
Il prossimo 14 ottobre terminerà ufficialmente il supporto...Ago 27, 2025 0
Google ha deciso di aumentare la sicurezza dei dispositivi...