Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Via a SECURE, il progetto per supportare conformità delle PMI al Cyber Resilience Act
SentinelOne estende Purple AI alle soluzioni di sicurezza di terze parti
CERT-AGID 11 – 17 gennaio: una campagna di phishing sul Ministero della Salute e di nuovo Lumma Stealer.
Microsoft estende Administrator Protection agli utenti Insider
Una vulnerabilità di UEFI Secure Boot permette l’esecuzione di codice durante il boot di sistema

EpMe: ecco come la Cina ha clonato un exploit dell’NSA

Feb 23, 2021 Marco Schiaffino Attacchi, In evidenza, Malware, News, Scenario 0

I servizi segreti statunitensi pensavano di avere a disposizione uno strumento di hacking formidabile, ma non si erano resi conto che i cinesi glielo avevano copiato.

Quando un exploit si dimostra essere un’arma a doppio taglio: la strategia del celebre Equation Group, la “punta di diamante” dell’NSA nel campo dell’hacking, ha dimostrato tutti i suoi limiti in una vicenda che oggi mette in luce un curioso cortocircuito.

Stando a quanto si legge in un report redatto dai ricercatori di Check Point, la politica dei servizi segreti statunitensi di tenere per sé le vulnerabilità che scoprono e sfruttarle per le operazioni di intelligence non è esattamente una strategia vincente.

Il caso riguarda una vulnerabilità di Windows (CVE-2017-0005) che Equation Group avrebbe utilizzato fino al 2017, quando il leak degli Shadow Brokers ha rivelato gli strumenti di hacking utilizzati dagli 007 statunitensi e Microsoft ha corretto la falla di sicurezza.

L’exploit utilizzato dall’NSA a partire dal 2013, battezzato con il nome di EpMe, consentiva di elevare i privilegi sul sistema operativo, permettendo così di prenderne il controllo.

A quanto pare, però, a utilizzarlo non erano solo gli agenti di Washington. Gli hacker del gruppo cinese Zirconium (APT31) avrebbero infatti utilizzato lo stesso strumento per portare attacchi a bersagli occidentali già nel 2014.

L’exploit, noto come Jian, secondo I ricercatori israeliani avrebbe molte similitudini con EpMe, a partire da alcune parti di codice che suggerirebbero l’idea che la versione cinese sia stata, in pratica, copiata da quella statunitense.

Non è chiaro se i pirati legati al governo di Pechino abbiano ottenuto in qualche modo l’exploit o lo abbiano semplicemente riprodotto partendo dai dati relativi al suo utilizzo da parte dell’NSA.

Quello che è certo è che se gli analisti statunitensi avessero avvisato Microsoft della vulnerabilità avrebbero impedito ai pirati di Zirconium di sfruttarlo.

Non è la prima volta che emerge un meccanismo del genere: già nel 2019 gli esperti di sicurezza avevano segnalato come gli hacker cinesi utilizzassero i tool di Equation Group prima che questi venissero resi pubblici.

In definitiva, l’intera vicenda conferma come la cyberwarfare si traduca, spesso, in un boomerang che produce più danni che vantaggi a chi decide di trarre vantaggio dalle vulnerabilità. Difficile, però, che le cose in qualche modo possano cambiare.

Condividi l'articolo