Vulnerabilità, exploit e attacchi zero-day: spiegazione

Che cos'è una vulnerabilità zero-day?

Le vulnerabilitàzero-day  sono falle di sicurezza nelle risorse IT (software, hardware o firmware) sconosciute agli sviluppatori e per le quali non è disponibile alcuna patch. (Da qui il termine "zero-day": un problema che gli sviluppatori hanno avuto zero giorni per risolvere). Gli autori delle minacce che individuano queste falle nelle difese di un bersaglio spesso le sfruttano per preparare segretamente attacchi.

Le vulnerabilità zero-day spesso derivano da errori umani o dalla mancata implementazione di pratiche di progettazione sicure durante lo sviluppo, come test e peer review. Le cause più comuni sono:

• Errori di programmazione nella sintassi, nella logica o nelle assunzioni (ad esempio, non convalidare i dati inseriti dall'utente o consentire attacchi di iniezione). Saltare i test e avere scadenze serrate spesso contribuisce a questi errori.
• Difetti di progettazione nell'architettura o nella funzionalità, come controlli di escalation dei privilegi deboli che consentono accessi non autorizzati. Questi rischi possono essere amplificati da una pianificazione inadeguata o una progettazione affrettata.
• Dipendenze della supply chain con difetti nascosti (come difetti non corretti nei database o nei componenti software del fornitore).

Perché le vulnerabilità zero-day sono pericolose?

Le vulnerabilità zero-day sono spesso presenti nei sistemi più diffusi, dove un difetto può mettere a repentaglio milioni di dispositivi in tutto il mondo. Gli aggressori sfruttano queste debolezze per eludere le difese tradizionali che si basano su modelli di minacce noti. Le organizzazioni restano esposte fino alla correzione di una vulnerabilità zero-day, e questo offre agli autori delle minacce ampie opportunità di attacco.

In che modo gli aggressori trovano e sfruttano le vulnerabilità zero-day

Le tecniche più comuni per individuare le vulnerabilità zero-day sono il fuzzing e il reverse engineering. Il fuzzing tenta di mandare in crash un sistema bombardandolo con dati casuali, ed è particolarmente utile per individuare vulnerabilità all'iniezione di codice e alla negazione del servizio (DoS). Il reverse engineering rivela invece la struttura e la logica di base del codice, e questo può consentire agli autori delle minacce di trovare modi per aggirare l'autenticazione e aumentare i privilegi. Sul mercato nero, è inoltre possibile trovare in vendita i difetti non dichiarati.

Che gli autori delle minacce tengano per sé la conoscenza di una vulnerabilità o la vendano, la fase successiva è l'exploit.

Che cos'è un exploit zero-day?

Un exploit zero-day è il mezzo con cui gli aggressori sfruttano una vulnerabilità zero-day. In altre parole, l'exploit è ciò che trasforma la vulnerabilità da un potenziale rischio in una minaccia attiva. Poiché nella maggior parte dei casi le vulnerabilità sono sconosciute ai difensori, le difese di base sono ampiamente inefficaci contro questi exploit.

Tipi di exploit zero-day

La maggior parte degli exploit zero-day prende di mira direttamente le debolezze del software, dell'architettura di sistema o dei protocolli di sicurezza. Ecco alcuni dei tipi più comuni:

• L'esecuzione di codice remoto (Remote Code Execution, o RCE) consente agli aggressori di eseguire comandi non autorizzati su un sistema a distanza per rubare dati, diffondere malware o persino assumere il controllo di applicazioni o reti.
• L'escalation dei privilegi consente agli aggressori di ottenere autorizzazioni di alto livello, come i diritti di amministratore, in modo da poter accedere a sistemi e file sensibili o manipolarli.
• L'aggiramento dell'autenticazione sfrutta le falle nei protocolli di accesso, nei firewall o in altre misure di sicurezza per consentire agli aggressori di accedere a sistemi riservati senza le credenziali appropriate.
• Le tecniche di flooding possono sovraccaricare la larghezza di banda, la memoria o le risorse di elaborazione di un sistema di destinazione, provocandone il blocco o la mancata risposta (attacco Denial of Service, o DoS).
• L'iniezione di codice dannoso inserisce query o istruzioni dannose in un'applicazione o in un database per interromperne le operazioni, impersonare gli utenti, dirottare sessioni o accedere a dati sensibili per modificarli o rubarli.
• Il danneggiamento della memoria sfrutta gli errori nell'allocazione della memoria, come l'overflow del buffer, per sovrascrivere il codice nelle aree critiche del sistema, consentendo agli aggressori di bloccare i sistemi, aumentare i privilegi o eseguire malware.

Se una di queste tecniche ha successo, l'exploit zero-day diventa un attacco zero-day.

Che cos'è un attacco zero-day?

Un attacco zero-day combina una falla sconosciuta e non corretta con uno o più exploit per compromettere un sistema bersaglio. Questo consente a un aggressore di installare malware (come spyware, ransomware o trojan di accesso remoto) per rubare dati, condurre attività di spionaggio informatico o interrompere le operazioni.

Gli ambienti IT moderni diventano più grandi e complessi, offrendo agli attacchi zero-day sempre più opportunità. In particolare, l'adozione del cloud, di dispositivi IoT e di infrastrutture ibride amplia la superficie di attacco. La pressione competitiva può anche indurre le aziende ad abbreviare i cicli di sviluppo e a saltare importanti passaggi di sicurezza, aprendo la porta a nuove vulnerabilità.

Allo stesso tempo, le minacce informatiche si evolvono rapidamente. I gruppi sponsorizzati dagli Stati e altri aggressori indipendenti ben finanziati utilizzano strumenti avanzati come fuzzer e test basati sull'intelligenza artificiale per individuare e sfruttare rapidamente i difetti, esponendo le organizzazioni a maggiori rischi.

Attacchi e vulnerabilità zero-day del mondo reale

Gli attacchi zero-day possono colpire qualsiasi settore, dalla pubblica amministrazione e la produzione alla vendita al dettaglio, la finanza, l'assistenza sanitaria e altro. Nel corso degli anni, sono stati protagonisti di alcuni degli attacchi informatici più incisivi e dannosi della storia.

• Stuxnet (2010): questo sofisticato worm ha sfruttato 5 vulnerabilità zero-day di Windows per colpire il programma nucleare iraniano, causando danni critici a circa 1000 centrifughe per l'uranio.
• Violazione dei dati di Equifax (2017): una vulnerabilità zero-day nel framework per applicazioni web Apache Struts ha consentito agli aggressori di accedere ai dati personali sensibili di oltre 147 milioni di persone.
• Attacchi a Microsoft Exchange Server (2021): alcuni hacker finanziati dallo Stato cinese hanno sfruttato le vulnerabilità zero-day di Microsoft Exchange Server per ottenere l'accesso non autorizzato agli account email e distribuire malware.
• Firewall e VPN legacy: Solo nel 2024, il team di Google Threat Intelligence ha identificato 20 vulnerabilità zero-day in prodotti di sicurezza e networking, una cifra che rappresenta il 60% degli exploit zero-day diretti alle tecnologie aziendali. Gli autori delle minacce stanno concentrando sempre più l'attenzione su soluzioni legacy come firewall e VPN, con Google che cita Ivanti, Palo Alto Networks e Cisco come obiettivi principali.

Le 9 best practice da adottare per difendersi dagli attacchi zero-day

Nessun fornitore di hardware o software può garantire che la propria soluzione sia esente da vulnerabilità. Per questo motivo, proteggersi dagli attacchi zero-day implica ridurre l'esposizione e migliorare la sicurezza complessiva. Il modo più efficace per farlo è adottare un'architettura zero trust completa che consenta alle organizzazioni di:

• Ridurre al minimo la superficie di attacco rendendo le applicazioni e le risorse vulnerabili, come le VPN, invisibili a Internet e impossibili da trovare per gli aggressori.
• Prevenire la compromissione iniziale ispezionando tutto il traffico, incluso quello cifrato, inline e in tempo reale per bloccare minacce avanzate come exploit zero-day e malware.
• Applicare l'accesso con privilegi minimi concedendo le autorizzazioni in base all'identità e al contesto, e assicurando che solo le entità corrette possano accedere alle risorse autorizzate.
• Bloccare l'accesso non autorizzato con l'autenticazione a più fattori avanzata (MFA) per convalidare le identità degli utenti.
• Limitare il movimento laterale collegando gli utenti direttamente alle applicazioni, non alla rete, e riducendo così il potenziale raggio di azione di un attacco.
• Bloccare le minacce interne con l'ispezione e il monitoraggio inline per rilevare gli utenti compromessi che hanno accesso alla tua rete e alle risorse sensibili.
• Prevenire la perdita di dati ispezionando i dati in movimento e quelli inattivi per bloccare il furto di dati.
• Implementare una difesa proattiva, come la tecnologia di deception, per intrappolare e neutralizzare gli attori malintenzionati in tempo reale.
• Valutare la tua strategia di sicurezza tramite analisi dei rischi per la sicurezza effettuate da terze parti ed esercitazioni del Purple Team per identificare le lacune nel tuo framework di sicurezza.

In che modo Zscaler aiuta a prevenire gli attacchi zero-day

Blocca sul nascere le minacce zero-day con la piattaforma Zscaler Zero Trust Exchange, un'architettura zero trust completa progettata per ridurre al minimo la superficie di attacco, prevenire compromissioni, eliminare il movimento laterale e fermare la perdita di dati.

Advanced Threat Protection monitora il traffico in tempo reale per rilevare e bloccare attività dannose, inclusi gli exploit zero-day. Grazie all'analisi avanzata basata sull'intelligenza artificiale, la piattaforma identifica i comportamenti sospetti e li blocca prima che possano verificarsi compromissioni.

La gestione unificata delle vulnerabilità monitora costantemente la rete e le applicazioni per identificare e dare priorità alle vulnerabilità. Le informazioni dettagliate offrono un percorso attuabile per la correzione, consentendo alla tua organizzazione di ridurre significativamente i rischi.