Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Massimiliano Brolli : 7 Maggio 2021 08:00
Autore: Massimiliano Brolli
Data Pubblicazione: 05/05/2021
Questa domanda da sempre ha fatto appassionare i ricercatori di sicurezza informatica e gli esperti del settore che spesso si trovano in forte disaccordo se sia corretto o meno, pubblicare una exploit PoC (proof of concept) subito dopo la produzione della patch di sicurezza, o peggio ancora quando di fatto è uno zero-day.
In modo più sottile si tratta di un tema molto simile all’argomento se sia corretto o meno svolgere la full-disclosure di un bug di sicurezza, oppure fornire solo la versione e la tipologia di bug, per evitare successivi sfruttamenti.
Iscriviti GRATIS alla RHC Conference 2025 (Venerdì 9 maggio 2025)
Il giorno Venerdì 9 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà
la RHC Conference 2025. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.
La giornata inizierà alle 9:30 (con accoglienza dalle 9:00) e sarà interamente dedicata alla RHC Conference, un evento di spicco nel campo della sicurezza informatica. Il programma prevede un panel con ospiti istituzionali che si terrà all’inizio della conferenza. Successivamente, numerosi interventi di esperti nazionali nel campo della sicurezza informatica si susseguiranno sul palco fino alle ore 19:00 circa, quando termineranno le sessioni. Prima del termine della conferenza, ci sarà la premiazione dei vincitori della Capture The Flag prevista per le ore 18:00.
Potete iscrivervi gratuitamente all'evento utilizzando questo link.
Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Ma sulla scia degli exploit di sicurezza zero-day di Microsoft Exchange ProxyLogon e F5 BIG-IP divulgati all’inizio di quest’anno, la discussione si è riaccesa anche perché, molti exploit PoC sono stati eliminati da GitHub il 9 di marzo, subito dopo la loro pubblicazione, creando grosse critiche da parte della community hacker.
Sicuramente gli aspetti sono molti e i numeri in gioco importanti.
Ad esempio, attraverso il bug di Microsoft Exchange ProxyLogon (che ha permesso l’accesso come amministratore ai server windows), il cybercrime ha colpito inizialmente più di 100.000 macchine in tutto il mondo, di cui 30.000 negli Stati Uniti.
Ma come sappiamo una volta che una cosa è pubblica su internet, anche se la rimuovi subito, di fatto è persa per sempre. Questo anche vista l’attenzione da parte del crimine informatico e dei ricercatori, ossessionati nel trovare per primi una PoC funzionante, per poter mietere il successivo “raccolto”.
Pertanto tali PoC sono state utilizzate dal cybercrime da profitto per attaccare le infrastrutture e dai national-state-actors, per inoculare il ransomware, ma anche per accedere alle reti, creando persistenza, portando di fatto alla compromissione delle infrastrutture di 30.000 organizzazioni attraverso DearCry del 9 marzo, l’attacco di cryptomining LemonDuck del 12 marzo e l’attacco ransomware Black Kingdom il 19 marzo.
A livello logico, la pubblicazione di un exploit PoC capace di sfruttare una vulnerabilità, comporta un aumento del rischio che i criminali informatici possano utilizzarlo a loro vantaggio per attaccare migliaia di server non ancora protetti.
Ma pubblicare una PoC permette anche una serie di vantaggi, soprattutto se li vediamo non dal punto di vista “del singolo”, ma dal punto di vista della “comunità”.
Per tutti quelli che non vogliono che le PoC vengano pubblicate subito, vorrei porre la seguente domanda:
Dopo quanto vorresti che il tuo strumento preferito di Vulnerability Assessment abbia al suo interno un plug-in capace di valutare se gli Asset ICT siano affetti da quella specifica vulnerabilità di sicurezza?
La risposta sarà ovviamente il prima possibile.
Ma per poter scrivere un plug-in capace di ispezionare una falla di sicurezza, in modo corretto (non parlo di banner-grabbing), occorre avere accesso all’Exploit PoC, pertanto se questo non viene pubblicato, non sarà possibile implementarlo.
Lasciamo perdere il caso Microsoft, che aggiornino via. Ma per tutti gli altri software del mondo open source, la cosa si complicata e anche di parecchio.
Quindi, quale dovrebbe essere il tempo dopo giusto dopo il quale i ricercatori possano pubblicare un exploit di sfruttamento di un bug?
10 giorni?
un mese?
dopo che tutti i sistemi siano stati patchati?
Una domanda semplice che ci pone di fronte ad una difficile risposta.
Inoltre c’è anche il fattore “dark”, in quanto non divulgando la PoC, essendo tale codice conosciuto solo ad una cerchia ristretta di persone, si lascerebbe ai singoli l’agire in modo etico, pertanto quella cerchia ristretta di ricercatori potrebbero beneficiare di questo malware, sfruttandolo o rivendendolo (ad esempio) nelle community underground.
Il grande maestro Bruche Schneier, riferendosi alla full-disclosure disse:
“La full-disclosure, la pratica di rendere pubblici i dettagli delle vulnerabilità di sicurezza, è una dannata buona idea”
Ma poi aggiunse:
“l controllo pubblico è l’unico modo affidabile per migliorare la sicurezza, mentre la segretezza ci rende solo meno sicuri”.
Anche se risulta difficile rispondere a queste domande, personalmente credo che in certe situazioni come questa, che risultano a prima vista “borderline”, affidarsi all’etica e alla trasparenza abbia sempre premiato.
Massimiliano BrolliDomani celebreremo uno degli elementi più iconici – e al tempo stesso vulnerabili – della nostra vita digitale: la password. Da semplice chiave d’accesso inventata negli anni...
Ci sono luoghi nel web dove la normalità cede il passo all’illecito, dove l’apparenza di un marketplace moderno e funzionale si trasforma in una vetrina globale per ogni tipo di rea...
Le backdoor come sappiamo sono ovunque e qualora presenti possono essere utilizzate sia da chi le ha richieste ma anche a vantaggio di chi le ha scoperte e questo potrebbe essere un caso emblematico s...
Il 25 febbraio 2025 WindTre ha rilevato un accesso non autorizzato ai sistemi informatici utilizzati dai propri rivenditori. L’intrusione, riconosciuta come un’azione malevola, è st...
Ancora non sono chiari i motivi che hanno causato un grave Blackout in Spagna e Portogallo nelle ultime ore. Vaste aree sono rimaste senza energia elettrica, scatenando un’ondata di speculazion...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
