Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Allarme per la nuova variante dell’attacco NAT Slipstream

Gen 29, 2021 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0

La nuova versione della tecnica di attacco consente di individuare dall’esterno l’indirizzo IP di tutti i dispositivi interni alla rete locale.

Torna l’incubo NAT Slipstream, in una nuova versione riveduta e corretta che potrebbe creare ancora maggiori rischi. La vulnerabilità originale, scoperta nel novembre dello scorso anno, aveva messo in allarme i ricercatori e ha costretto gli sviluppatori di browser (e gli amministratori IT) a prendere le contromisure indispensabili per bloccarne l’utilizzo.

A lanciare l’allarme sulla nuova versione sono stati due ricercatori di Armis, che hanno reso pubblico il loro studio sul blog ufficiale della società di sicurezza.

Ben Seri e Gregory Vishnepolsky, in pratica, hanno trovato il modo di sfruttare NAT Slipstream per ottenere informazioni più dettagliate (e ampie) rispetto a quanto fosse possibile fare con la tecnica originale.

Ma di cosa si tratta in pratica? La funzione NAT (Network Address Translation) è disponibile nella maggior parte dei router e ha la funzione di ridurre il numero di indirizzi IP esposti verso l’esterno.

Il sistema, in pratica, reindirizza il traffico Internet facendo in modo che ogni dispositivo connesso “esca” dalla rete locale utilizzando l’indirizzo IP del router. In questo modo, un eventuale pirata informatico non ha la possibilità di conoscere l’esatto indirizzo del device.

La tecnica di NAT Slipstream prevede l’utilizzo di Javascript malevoli che consentono di inviare delle risposte generate con criteri particolari per aggirare il NAT. Gli script in questione possono essere caricati su un sito Internet e l’attacco si avvia quando un utente visita le pagine in questione.

L’attacco sfrutta l’Application Layer Gateway (ALG) H.323, un protocollo VoIP le cui caratteristiche consentono di portare l’attacco NAT Slipstream sfruttando un maggior numero di porte rispetto alla versione originale. Come spiegano i ricercatori, infatti, è possibile usare connessioni WebRTC TURN verso qualsiasi porta e questo consente di colpire anche altri ALG come quello FTP o IRC.

La reazione degli sviluppatori di browser non si è fatta aspettare. Tutti i più diffusi software per la navigazione (Firefox, Chrome, Safari ed Edge) hanno provveduto a bloccare le connessioni sulle porte TCP incriminate (69, 137, 161, 1719, 1720, 1723 e 6566) per “disinnescare” la tecnica di attacco.

Condividi l'articolo