Google afferma che è troppo facile per gli hacker trovare nuove falle di sicurezza

Lewis Ngugi su Unsplash

Nel dicembre 2018, i ricercatori di Google hanno rilevato un gruppo di hacker con gli occhi puntati su Internet Explorer di Microsoft. Anche se il nuovo sviluppo è stato interrotto due anni prima, è un browser così comune che se riesci a trovare un modo per hackerarlo, hai una potenziale porta aperta per miliardi di computer.

Gli hacker stavano cercando e trovando difetti precedentemente sconosciuti, noti come vulnerabilità zero-day.

Subito dopo essere stati individuati, i ricercatori hanno visto un exploit utilizzato in natura. Microsoft ha emesso una patch e ha corretto il difetto, più o meno. A settembre 2019 è stata rilevata un'altra vulnerabilità simile sfruttata dallo stesso gruppo di hacker.

Altre scoperte a novembre 2019, gennaio 2020 e aprile 2020 hanno sommato almeno cinque vulnerabilità zero-day sfruttate dalla stessa classe di bug in breve tempo. Microsoft ha emesso più aggiornamenti di sicurezza: alcuni non sono riusciti a correggere effettivamente la vulnerabilità presa di mira, mentre altri hanno richiesto solo lievi modifiche che richiedevano solo una o due righe per modificare il codice dell'hacker per far funzionare nuovamente l'exploit.

'Una volta compreso uno solo di questi bug, potresti semplicemente modificare alcune righe e continuare a lavorare zero-day'.

Questa saga è emblematica di un problema molto più grande della sicurezza informatica, secondo una nuova ricerca di Maddie Stone, ricercatrice di sicurezza di Google: che è fin troppo facile per gli hacker continuare a sfruttare gli insidiosi zero-day perché le aziende non stanno facendo un buon lavoro di chiudere difetti e scappatoie.

La ricerca di Stone, che fa parte di un team di sicurezza di Google noto come Project Zero, mette in luce diversi esempi di questo in azione, tra cui problemi che Google stesso ha avuto con il suo popolare browser Chrome.

Ciò che abbiamo visto colpisce il settore: le patch incomplete stanno rendendo più facile per gli aggressori sfruttare gli utenti con zero-day, ha affermato Stone martedì alla conferenza sulla sicurezza Enigma. Non chiediamo agli aggressori di inventare tutte le nuove classi di bug, sviluppare nuovi exploit, guardare codice che non è mai stato studiato prima. Stiamo consentendo il riutilizzo di molte diverse vulnerabilità di cui eravamo a conoscenza in precedenza.

Frutto pendulo basso

Project Zero opera all'interno di Google come un team unico e talvolta controverso, interamente dedicato alla caccia degli enigmatici difetti dello zero-day. Questi bug sono ambiti da hacker di ogni tipo e più apprezzati che mai, non necessariamente perché stanno diventando più difficili da sviluppare, ma perché, nel nostro mondo iperconnesso, sono più potenti.

Nel corso della sua durata di sei anni, il team di Google ha tracciato pubblicamente oltre 150 bug zero-day principali e nel 2020 il team di Stone ha documentato 24 zero-day sfruttati, un quarto dei quali estremamente simili alle vulnerabilità precedentemente divulgate. Tre erano state patchate in modo incompleto, il che significava che sono bastate poche modifiche al codice dell'hacker affinché l'attacco continuasse a funzionare. Molti di questi attacchi, dice, comportano errori di base e frutti bassi.

Per gli hacker, non è difficile, ha detto Stone. Una volta compreso uno solo di questi bug, potresti semplicemente modificare alcune righe e continuare a lavorare zero-day.

Perché non vengono riparati? La maggior parte dei team di sicurezza che lavorano presso le società di software hanno tempo e risorse limitati, suggerisce, e se le loro priorità e incentivi sono imperfetti, controllano solo di aver risolto la vulnerabilità molto specifica di fronte a loro invece di affrontare i problemi più grandi a la radice di molte vulnerabilità.

Altri ricercatori confermano che questo è un problema comune.

Nel peggiore dei casi, un paio di zero-day che ho scoperto erano un problema per cui il fornitore risolveva qualcosa su una riga di codice e, letteralmente sulla riga di codice successiva, lo stesso identico tipo di vulnerabilità era ancora presente e non l'hanno fatto Non preoccuparti di risolverlo, afferma John Simpson, un ricercatore di vulnerabilità presso l'azienda di sicurezza informatica Trend Micro. Possiamo parlare tutti fino a quando non siamo blu in faccia, ma se le organizzazioni non hanno la struttura giusta per fare di più che correggere il bug preciso segnalato, ottieni una gamma così ampia di qualità delle patch.

Gran parte del cambiamento dipende da tempo e denaro: dare agli ingegneri più spazio per indagare su nuove vulnerabilità di sicurezza, trovare la causa principale e risolvere i problemi più profondi che spesso emergono nelle vulnerabilità individuali. Possono anche completare l'analisi delle varianti, ha detto Stone: cercando la stessa vulnerabilità in luoghi diversi o altre vulnerabilità negli stessi blocchi di codice.

D frutto diverso del tutto

Alcuni stanno già provando approcci diversi. Apple, ad esempio, è riuscita a risolvere alcuni dei più gravi rischi per la sicurezza dell'iPhone eliminando le vulnerabilità a un livello più profondo.

Nel 2019 un'altra ricercatrice di Google Project Zero, Natalie Silvanovich, ha fatto notizia quando lei presentata bug critici zero-click e zero-day in iMessage di Apple. Questi difetti hanno consentito a un aggressore di impossessarsi dell'intero telefono di una persona senza mai richiedere alla vittima di fare nulla, anche se non si è fatto clic su un collegamento, il telefono potrebbe comunque essere controllato dagli hacker. (Nel dicembre 2020, una nuova ricerca ha rilevato a campagna di hacking contro i giornalisti sfruttando un altro attacco zero-day zero-click contro iMessage.)

Storia correlata

All'interno di NSO, il gigante israeliano degli spyware da miliardi di dollari La società di sorveglianza più famigerata al mondo dice di voler ripulire il suo atto. Avanti, stiamo ascoltando.

Invece di avvicinarsi in modo restrittivo alle vulnerabilità specifiche, l'azienda è entrata nelle viscere di iMessage per affrontare i problemi strutturali fondamentali che gli hacker stavano sfruttando. Sebbene Apple non abbia mai detto nulla sulla natura specifica di questi cambiamenti, ha appena annunciato una serie di miglioramenti con il suo aggiornamento software iOS 14, Samuel Groß di Project Zero di recente da vicino sezionato iOS e iMessage e dedotto cosa era successo.

L'app è ora isolata dal resto del telefono con una funzione chiamata BlastDoor, scritta in un linguaggio chiamato Swift che rende più difficile per gli hacker accedere alla memoria di iMessage.

Apple ha anche modificato l'architettura di iOS in modo che sia più difficile accedere alla cache condivisa del telefono, una firma di alcuni degli hack iPhone di più alto profilo degli ultimi anni.

Infine, Apple ha impedito agli hacker di tentare ripetutamente attacchi di forza bruta in rapida successione. Le nuove funzionalità di limitazione significano che gli exploit che una volta potevano richiedere minuti ora possono richiedere ore o giorni per essere completati, rendendoli molto meno allettanti per gli hacker.

È bello vedere Apple mettere da parte le risorse per questo tipo di refactoring di grandi dimensioni per migliorare la sicurezza degli utenti finali, ha scritto Groß. Queste modifiche evidenziano anche il valore del lavoro di sicurezza offensivo: non sono stati corretti solo singoli bug, ma sono stati apportati miglioramenti strutturali sulla base delle informazioni acquisite dal lavoro di sviluppo degli exploit.

Le conseguenze degli hack diventano maggiori man mano che diventiamo sempre più connessi, il che significa che è più importante che mai per le aziende tecnologiche investire e dare priorità ai principali problemi di sicurezza informatica che danno vita a intere famiglie di vulnerabilità ed exploit.

Un consiglio ai loro superiori è investire, investire, investire, ha spiegato Stone. Concedi ai tuoi ingegneri il tempo di indagare a fondo sulla causa principale delle vulnerabilità e di correggerle, dando loro la possibilità di eseguire analisi delle varianti, premiare il lavoro nella riduzione del debito tecnico e concentrarsi sulle correzioni sistemiche.

nascondere