Terrore tra i cybercriminali per i messaggi sui server della PA. Ma gli RDP rimangono esposti

Michele Pinassi : 9 Dicembre 2022 08:20

E’ sottile il confine che divide ciò che è accettabile con ciò che è ridicolo. 

Penso che una PA che espone on the wild un server RDP con una schermata simile sia decisamente scivolata nel secondo caso.

Già me lo immagino il cybercriminale intimorito da un simile disclaimer. Si accettano scommesse: cliccherà su OK oppure no? 

Prova la Demo di Business Log! Adaptive SOC italiano Log management non solo per la grande Azienda, ma una suite di Audit file, controllo USB, asset, sicurezza e un Security Operation Center PERSONALE, che ti riporta tutte le operazioni necessarie al tuo PC per tutelare i tuoi dati e informati in caso di problemi nel tuo ambiente privato o di lavoro. Scarica ora la Demo di Business Log per 30gg Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Scherzi a parte, basta una velocissima indagine su Shodan Images per trovare anche altri casi simili, dove si “baratta” la sicurezza con un avviso.

Parliamo di due server, due dei tanti esposti da pubbliche amministrazioni italiane, con accesso RDP. Nel primo caso, il fingerprinting sembra confermare una macchina Windows 10/Server 2016. Nel secondo, siamo davanti ad un Windows Server 2008 R2, prodotto arrivato a fine vita il 14 gennaio 2020.

Buffo, perché entrambi i server espongono anche la porta UDP 1194, della popolare soluzione OpenVPN: perché non usarlo come strumento per accesso a questi servizi, invece di esporli direttamente sulla Rete?

Eppure è noto che l’RDP è un servizio critico che non andrebbe esposto pubblicamente sulla Rete, poiché non solo rivela informazioni tecniche che un attaccante può sfruttare (es. il tipo di server) ma anche informazioni personali (es. il nome utente o altre info simili) che possono essere usate per attacchi di spear phishing. Senza contare, ovviamente, l’uso di credenziali non sempre sicure o di versioni contenenti vulnerabilità note, come la famosa CVE-2019-0708 “BlueKeep” o la recente CVE-2022-21893 (score CVSS3 8.0).

Proseguiamo nell’esplorazione dei risultati restituiti da Shodan Images per una banale query “comune”. Ne trova 13, che in realtà sono anche meno. Non molti, considerando che in Italia i Comuni sono 7904. Parliamo però solo di RDP esposti e di una query “comune”: son pronto a scommettere che ce ne sono molti altri, on the wild. Al netto, ovviamente, di tutti gli altri servizi critici esposti, come questa bella interfaccia di amministrazione di un terminale VoIP Yealink “Ultra-elegant SIP-T46U”.

o l’interfaccia di login di una bella telecamera di sorveglianza Dahua, installata chissà dove. Avranno almeno cambiato le credenziali?

Continuando poi per il “vecchio” vizietto di usare il server con l’account di Administrator…

Abbiamo, insomma, una bella collezione di problemi e criticità di sicurezza informatica, facilmente individuabili da chiunque in pochi minuti senza particolari capacità tecniche o risorse economiche. Che, a pochi giorni dagli ennesimi attacchi ransomware ai danni di due amministrazioni comunali, non lasciano ben sperare per il futuro della sicurezza dei dati personali dei cittadini.

Eppure, stando ai target sulla Sicurezza Informatica contenuti nel Piano Triennale per l’Informatica nella Pubblica Amministrazione 2021-2023, abbiamo raggiunto il 100% dei risultati attesi e gli RTD –Responsabili della Transizione Digitale, ovvero le figure dirigenziali preposte all’attuazione del Piano– dimostrano un elevato grado di conoscenza delle minacce cyber.

Come avrete notato, e come ha sottolineato anche la stessa AgID, l’indagine su CMS e HTTPS è solo per individuare due indicatori sulla consapevolezza dei rischi cyber del contesto PA. La palla, da qualche mese, è passata in capo all’ACN – Agenzia per la Cybersicurezza Nazionale – e siamo in attesa di vedere qualche risultato concreto, soprattutto sulle PA locali: “la sicurezza di un sistema è data dalla sicurezza del suo anello più debole“. Certo è che recuperare il decennale ritardo non sarà facile, soprattutto in un Paese culturalmente poco incline all’innovazione come l’Italia, per quanto possa vantare professionisti di tutto rispetto.

Certamente sono consapevole che i pochi esempi riportati in queste pagine non sono indicativi della situazione generale (che vede ben altri numeri) ma le continue notizie di attacchi cyber ai danni delle PA italiane sembrano delineare uno scenario tutt’altro che ottimale, che richiede attenzione da parte della Politica per avviare iniziative preventive, rafforzando la resistenza dei sistemi ICT istituzionali. Penso che questo potrà avvenire solo lavorando sullo sviluppo di una cultura cyber all’interno delle Istituzioni, formando il personale e potenziando competenze e know-how. Non è un caso, infatti, se la stragrande maggioranza degli attacchi avviene attraverso il “fattore umano“: conseguenza di una sottovalutazione degli “elementi” che hanno le chiavi di accesso senza averne adeguata consapevolezza e formazione?

Michele Pinassi
Nato e cresciuto a Siena, è Responsabile della Cybersecurity dell’Università di Siena. Lavora nel campo ICT da oltre 20 anni, usando esclusivamente software libero. Da sempre attento alle tematiche sulla privacy e sui diritti civili digitali, attraverso il suo blog nato nel lontano 2000, è ancora attivamente impegnato nel sensibilizzare i cittadini su queste tematiche.

Lista degli articoli