Aggiornamenti recenti Marzo 3rd, 2021 5:06 PM
Feb 10, 2021 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0
Nel panorama della cyber security, gli attacchi supply chain hanno posto di riguardo tra le preoccupazioni che tormentano gli esperti. Il motivo è semplice: a fronte di un’attività relativamente ridotta, permettono ai cyber criminali di colpire un considerevole numero di vittime.
La tecnica messa a punto da Alex Birsan, però, è qualcosa di ancora più pericoloso. IL ricercatore, infatti, ha trovato un punto debole che avrebbe consentito di colpire con estrema facilità (ed efficacia) numerose aziende nel settore tecnologico, compresi veri “mostri sacri” come Apple, PayPal e Microsoft.
La tecnica, che il ricercatore ha battezzato con il nome di Dependency Confusion, sfrutta in pratica quel livello di “fiducia” per cui gli sviluppatori tendono a considerare affidabili i pacchetti di codice pubblicati online.
L’intuizione di Birsan fa leva sul sistema delle dipendenze, cioè quella complessa rete che consente agli sviluppatori di “richiamare” automaticamente pacchetti di codice in vari linguaggi di programmazione (Birsan ha preso di mira Python, Node e Ruby) che vengono estratti da repository dedicati, come GitHub.
Il ricercatore ha sviluppato una serie di tecniche che gli hanno consentito, in pratica, di pubblicare su Internet delle versioni infette dei pacchetti, sostituendo quelli esistenti o semplicemente rimpiazzando pacchetti che erano stati cancellati ma che vengono comunque richiamati dalle applicazioni sviluppate con il linguaggio corrispondente.
Il suo esperimento, spiega Birsan in un post pubblicato su Internet, ha dato risultati sorprendenti: è infatti riuscito a caricare il suo codice malevolo sui sistemi di un gran numero di aziende di primo piano, dalle quali ha poi potuto estrarre informazioni sensibili.
Per farlo, il ricercatore spiega di aver utilizzato un sistema di esfiltrazione basato su quesy DNS, che consentono di aggirare la maggior parte dei controlli di sicurezza.
L’esperimento avrebbe permesso alle aziende coinvolte (35 in tutto, di dimensioni notevoli) di individuare le vulnerabilità a questa tecnica di attacco e correggere i loro sistemi per mitigare il rischio di futuri intrusioni.
Mar 03, 2021 0
Mar 02, 2021 0
Mar 01, 2021 0
Feb 26, 2021 0
Feb 09, 2021 0
Gen 28, 2021 0
Dic 22, 2020 0
Nov 26, 2020 0
Feb 16, 2021 0
Una nuova inchiesta di Bloomberg riprende la vicenda. Il...Nov 11, 2020 0
L’utilizzo di app basate su algoritmi di AI per la...Ott 22, 2020 0
Il nuovo scenario del panorama IT delinea priorità e...Ott 05, 2020 0
Cosa significa la sua istituzione, come è stato...Lug 01, 2020 0
Lo dice il Thales Data Threat Report 2020. Le aziende...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Mar 03, 2021 0
La vulnerabilità in Chrome, secondo i ricercatori di...Mar 02, 2021 0
Lo studio di Kaspersky mette a fuoco le tendenze del...Mar 01, 2021 0
La tecnica prevede l’uso di siti Internet compromessi per...Feb 26, 2021 0
La ricerca di Kaspersky conferma l’abuso di software spia...Feb 25, 2021 0
Il sistema di interazione dell’assistente vocale di...La vulnerabilità in Chrome, secondo i ricercatori di Mountain View,... Continua →