Ogni giorno gli amministratori affidano la propria fiducia a gesti minuti e ripetuti, come digitare una password dopo un comando familiare. Un'analisi di Unit 42, il gruppo di threat intelligence di Palo Alto Networks, mostra come quel gesto possa essere dirottato senza alcun segnale visibile, trasformando la routine in una porta lasciata aperta. Il caso ricorda che la sicurezza non riguarda solo ciò che si esegue, ma anche il cammino silenzioso che i comandi percorrono prima di arrivare a destinazione.
Linux, un alias in .bashrc trasforma sudo in un ladro di password: la tecnica di Unit 42
Un solo file trasforma sudo in un ladro di password silenzioso
Mark
Qual è il trucco, in concreto? Sembra quasi banale.
Mimi
Lo è, ed è questo il punto. Un alias in .bashrc fa partire un falso sudo, che chiede la password, la salva in un file degli aggressori e poi la passa al sudo vero.
Mark
Quindi l'utente non nota nulla?
Mimi
Esatto. L'operazione riesce, la richiesta è quasi identica all'originale. Non c'è nessun segnale visibile.
Luke
Una precisazione: l'analisi è di Unit 42 e quello che abbiamo è la loro descrizione. Nel testo non si dice quante vittime ci siano state né chi siano gli aggressori.
Mark
E il nome del file, Solarwinds.StatusLog.txt?
Mimi
Serve a sembrare un file legittimo. Ma i ricercatori dicono di non aver trovato prove di una compromissione di SolarWinds.
Luke
Giusto. Il nome è un depistaggio, non un legame con l'azienda.
Mark
Come arrivano gli attaccanti a modificare .bashrc?
Luke
Su questo la fonte non dice nulla. Descrive cosa fa la modifica, non come è stato ottenuto l'accesso iniziale. Va tenuto presente.
Mimi
Per questo il consiglio è controllare i file di shell, cercare alias inattesi e confrontarli con copie affidabili.
Luke
E l'uso delle credenziali rubate dipende dai permessi dell'account e dalle difese: il testo parla di possibilità, non di danni accertati.
The Pulse
- Un alias nascosto nel file .bashrc intercetta il comando sudo prima del programma autentico.
- La password digitata dall'amministratore viene salvata in un file controllato dagli aggressori.
- Il falso file di log, chiamato SolarWinds.StatusLog.txt, serve a confondere chi ispeziona il sistema, senza prove di una compromissione di SolarWinds.
- I ricercatori invitano a controllare le configurazioni delle shell e a confrontarle con copie affidabili.
Ogni giorno gli amministratori affidano la propria fiducia a gesti minuti e ripetuti, come digitare una password dopo un comando familiare. Un'analisi di Unit 42, il gruppo di threat intelligence di Palo Alto Networks, mostra come quel gesto possa essere dirottato senza alcun segnale visibile, trasformando la routine in una porta lasciata aperta. Il caso ricorda che la sicurezza non riguarda solo ciò che si esegue, ma anche il cammino silenzioso che i comandi percorrono prima di arrivare a destinazione.
Un amministratore Linux digita sudo, inserisce la password e l'operazione va a buon fine. Nessun errore, nessun avviso. Secondo Unit 42, il gruppo di threat intelligence di Palo Alto Networks, quella sequenza apparentemente banale poteva consegnare la password a un intruso che aveva già manomesso la macchina.
Il varco era il file .bashrc, letto da Bash all'avvio di una shell interattiva. Gli aggressori vi avevano inserito un alias malevolo legato a sudo: quando la vittima lanciava il comando, a entrare in scena per prima era una finta richiesta di password, quasi identica all'originale. Ciò che veniva digitato finiva in un file sotto il loro controllo, poi la password passava al vero sudo, che completava l'operazione come sempre.
Il file rubato portava un nome che evocava un'attività legittima, SolarWinds.StatusLog.txt, pensato per depistare chi avesse esaminato il sistema. I ricercatori precisano però di non aver trovato alcuna prova di una compromissione di SolarWinds: quel nome era solo un'esca.
La lezione riguarda la fiducia riposta nei gesti abituali. Un'autenticazione che appare regolare può nascondere un percorso alterato, e credenziali sottratte in questo modo possono aprire la strada a operazioni privilegiate. Per difendersi, gli amministratori dovrebbero controllare i file di configurazione delle shell, cercare alias inattesi e confrontarli con copie fidate, oltre a verificare i processi che gestiscono l'autenticazione.
Un amministratore Linux digita sudo, scrive la password quando gli viene chiesta e l'operazione va a buon fine. Nulla di strano, nessun errore, nessun messaggio sospetto. Eppure, secondo i ricercatori di Unit 42, il gruppo di threat intelligence di Palo Alto Networks, in un attacco da loro descritto quella stessa sequenza bastava a consegnare la password nelle mani di chi aveva manomesso la macchina.
Il punto di partenza è .bashrc, il file di configurazione che Bash legge quando avvia una shell interattiva nelle condizioni previste. Gli aggressori ne hanno sostituito il contenuto con una copia modificata, in cui compare un alias malevolo legato al comando sudo. Ne deriva che, quando la vittima lanciava il solito comando per eseguire un'operazione con privilegi elevati, a entrare in azione per primo era il codice piazzato dall'intruso e non il programma autentico.
La sequenza era costruita per non destare sospetti. Il falso sudo mostrava una richiesta di password quasi identica all'originale, catturava ciò che veniva digitato e lo salvava in un file sotto il controllo degli aggressori. Solo dopo passava la password al vero sudo, che completava l'operazione come sempre. Per l'utente non c'era alcun indizio concreto di un'intercettazione: dall'esterno l'autenticazione appariva regolare.
Secondo l'analisi di Unit 42, il file che custodiva le credenziali rubate si chiamava Solarwinds.StatusLog.txt. Il nome richiama un'attività dall'aspetto legittimo e serviva a confondere chi avesse ispezionato il sistema. I ricercatori precisano però di non aver trovato prove di una compromissione dell'infrastruttura SolarWinds: il riferimento era solo un espediente per depistare.
La pericolosità, spiega l'analisi, non sta in una sofisticata imitazione dell'interfaccia, ma nell'inserirsi nel normale flusso di lavoro dell'amministratore. Una password digitata correttamente può finire in mani sbagliate prima ancora che il programma vero la verifichi. E se le credenziali sottratte consentono operazioni privilegiate, l'intruso potrebbe usarle per estendere il proprio raggio d'azione, sempre in base ai permessi dell'account e alle difese presenti nel sistema.
Sul fronte della difesa, gli amministratori dovrebbero includere nelle verifiche di sicurezza i file di configurazione delle shell come .bashrc, prestando attenzione ad alias inattesi e a modifiche non autorizzate. Possono aiutare anche il confronto con copie affidabili della configurazione e il controllo dei processi che gestiscono l'autenticazione, per far emergere comportamenti anomali.
C'è poi la questione delle credenziali. L'accesso amministrativo non andrebbe considerato sicuro solo perché il comando richiesto viene eseguito senza errori: la verifica dell'integrità dell'ambiente deve affiancare i consueti controlli sugli account. Una protezione efficace, conclude l'analisi, richiede strumenti capaci di esaminare non solo ciò che l'utente lancia, ma anche il percorso che i comandi compiono prima di arrivare ai programmi legittimi.
Notable Quotes
Non è stata trovata alcuna prova di una compromissione dell'infrastruttura SolarWinds: il nome era solo un espediente per depistare.— Ricercatori di Unit 42 (parafrasi)
Want the full story?
Read the original at TecnoAndroid ↗
Energy