di Flavio De Septis<\/p>\n\n\n\n
C\u2019\u00e8 un tipo di attacco informatico che non fa rumore. Non manda in tilt i siti, non riempie lo schermo di messaggi minacciosi, non chiede riscatti. Lavora nel silenzio pi\u00f9 assoluto, ed \u00e8 proprio per questo che \u00e8 tra i pi\u00f9 insidiosi. Chi si occupa di sicurezza lo conosce bene e gli ha dato nomi tecnici \u2014 web shell<\/em>, nel gergo, o \u201cphp2shell<\/strong>\u201d quando riguarda i siti costruiti con il linguaggio di programmazione pi\u00f9 diffuso del web il PHP. Ma per capirlo non serve essere informatici: basta pensare a una casa.<\/p>\n\n\n\n Immaginiamo che il sito di un\u2019azienda, di un giornale o di un negozio online sia un edificio ha un ingresso principale, delle finestre, stanze aperte al pubblico e altre riservate. Chi lo gestisce si preoccupa, giustamente, di chiudere bene la porta e di controllare chi entra. Una web shell \u00e8 qualcosa di pi\u00f9 subdolo di un ladro che scassina quella porta: \u00e8 come se un intruso, approfittando di una distrazione, installasse di nascosto una seconda<\/em> porta \u2014 piccola, ben mimetizzata nel muro \u2014 di cui possiede l\u2019unica chiave. Da quel momento entra ed esce quando vuole, senza passare dall\u2019ingresso sorvegliato, e senza che nessuno se ne accorga. In termini tecnici \u00e8 proprio cos\u00ec che viene descritta: uno script caricato su un server web che ne consente l\u2019amministrazione da remoto, e che pu\u00f2 servire anche come trampolino per raggiungere i sistemi interni collegati. <\/p>\n\n\n\n Il nome \u201cphp2shell\u201d descrive esattamente questo passaggio: la trasformazione di un innocuo file del sito in un punto di comando a distanza. Un oggetto piccolissimo che consegna all\u2019attaccante, di fatto, le chiavi di casa.<\/p>\n\n\n\n Nessuno, ovviamente, installa di proposito una porta per i ladri. L\u2019intruso sfrutta sempre una disattenzione, e le occasioni purtroppo non mancano.<\/p>\n\n\n\n A volte \u00e8 un modulo del sito dove gli utenti possono caricare qualcosa \u2014 la foto del profilo, un documento, un allegato. Se quel modulo non controlla davvero ci\u00f2 che riceve, l\u2019attaccante pu\u00f2 far passare, al posto di un\u2019immagine, il piccolo programma che gli serve da grimaldello. Altre volte la falla \u00e8 in uno di quei componenti aggiuntivi che si installano per arricchire un sito, rimasto vecchio e mai aggiornato: un ricambio difettoso che apre una crepa nel muro. E capita, con una frequenza che dovrebbe far riflettere, che tutto nasca da una password rubata o riutilizzata, che consegna l\u2019accesso senza bisogno di scassinare nulla. Non a caso, chi studia il fenomeno osserva che l\u2019installazione di una web shell avviene di norma sfruttando vulnerabilit\u00e0 delle applicazioni o errori di configurazione. <\/p>\n\n\n\n Il filo che lega questi scenari \u00e8 sempre lo stesso: una fiducia mal riposta. Il sito, costruito per essere servizievole, finisce per eseguire un ordine che non avrebbe mai dovuto ricevere.<\/p>\n\n\n\n C\u2019\u00e8 poi una variante che amplifica tutto, e porta un nome quasi poetico: lo zero-day<\/em>, il \u201cgiorno zero\u201d. Indica una falla scoperta da chi vuole sfruttarla prima<\/em> che chi ha costruito il programma ne sappia qualcosa. Il nome allude ai giorni di preavviso che il produttore ha avuto per correre ai ripari: zero.<\/p>\n\n\n\n Qui l\u2019immagine della serratura difettosa diventa ancora pi\u00f9 calzante. Di solito, quando si scopre un difetto, il produttore viene avvisato, prepara un ricambio e avverte i clienti. C\u2019\u00e8 un intervallo di allerta, ma anche una soluzione pronta. Con uno zero-day accade il contrario: il difetto lo conoscono per primi i ladri, che iniziano a usarlo mentre il fabbro non sa ancora che la sua serratura \u00e8 difettosa e non ha nemmeno fabbricato il pezzo per ripararla.<\/p>\n\n\n\n Il problema \u00e8 che quasi nessun sito \u00e8 costruito da zero: quasi tutti poggiano su programmi diffusissimi, usati da milioni di persone. \u00c8 un enorme vantaggio \u2014 software collaudato ed economico \u2014 ma ha un rovescio della medaglia. Quando salta fuori una falla in uno di questi programmi tanto popolari, l\u2019attaccante non trova un<\/em> bersaglio: ne trova migliaia, tutti con la stessa serratura difettosa. Gli basta scrivere una volta il proprio grimaldello per provare ad aprire, in modo automatico e in sequenza, un numero sterminato di porte. Ed \u00e8 spesso attraverso quella falla che riesce poi a installare la sua seconda porta: lo zero-day \u00e8 la crepa, la web shell \u00e8 ci\u00f2 che ci passa.<\/p>\n\n\n\n A questo punto molti si saranno chiesti perch\u00e9, quando si parla di siti attaccati, torni sempre lo stesso nome: WordPress. La risposta \u00e8 istruttiva, perch\u00e9 smonta un luogo comune. WordPress non \u00e8 attaccato perch\u00e9 sia fatto male \u2014 al contrario, il suo cuore \u00e8 curato e aggiornato di frequente. \u00c8 attaccato perch\u00e9 \u00e8 ovunque: fa funzionare una quota enorme dei siti del mondo, e questa diffusione lo rende il bersaglio pi\u00f9 conveniente in assoluto. \u00c8 lo stesso motivo per cui si scassinano pi\u00f9 spesso i modelli di serratura pi\u00f9 venduti: non perch\u00e9 siano i peggiori, ma perch\u00e9 un grimaldello che li apre vale su moltissime porte. Lo stesso principio vale, del resto, per il linguaggio PHP in s\u00e9: le web shell pi\u00f9 diffuse sono scritte proprio nei linguaggi pi\u00f9 supportati dai server, e PHP \u00e8 tra i pi\u00f9 comuni in assoluto. <\/p>\n\n\n\n Il punto debole, poi, non vive quasi mai nel centro, ma ai margini. Un sito WordPress tipico \u00e8 un collage di componenti aggiuntivi \u2014 i plugin e i temi \u2014 spesso sviluppati da terzi, talvolta abbandonati dai loro autori, raramente aggiornati da chi li ha installati. Basta che uno<\/em> di questi pezzi sia difettoso e trascurato perch\u00e9 si apra la crepa. A tutto ci\u00f2 si aggiunge il fattore umano: moltissimi di questi siti sono gestiti da chi non \u00e8 un tecnico \u2014 piccole imprese, professionisti, blogger \u2014 che installano e poi dimenticano, con password deboli e nessuna sorveglianza.<\/p>\n\n\n\n Lo stesso ragionamento, \u00e8 bene dirlo, vale per tutte le altre piattaforme molto diffuse: altri sistemi di gestione dei contenuti, le piattaforme di commercio online, i forum, i pannelli di amministrazione. Il denominatore comune non \u00e8 il nome del software, ma una ricetta a tre ingredienti: larga diffusione, cio\u00e8 molti bersagli identici; estensibilit\u00e0 con componenti di terzi, cio\u00e8 molte crepe possibili; e gestione spesso poco professionale, cio\u00e8 poca manutenzione. Dove ci sono questi tre ingredienti, l\u00ec l\u2019attaccante trova terreno fertile.<\/p>\n\n\n\n La lezione, per chi ha una responsabilit\u00e0, \u00e8 che il vero bersaglio non \u00e8 una tecnologia ma un comportamento<\/em>. Due siti identici possono avere destini opposti a seconda di quanto chi li gestisce \u00e8 disciplinato. La domanda giusta non \u00e8 \u201cquale piattaforma \u00e8 sicura\u201d, ma \u201cquali dei miei siti sto davvero sorvegliando e mantenendo\u201d.<\/p>\n\n\n\n Qui sta la parte pi\u00f9 scomoda della storia. L\u2019intruso che ha installato la sua porticina non ha alcun interesse a farsi notare: anzi, fa di tutto per confondersi con l\u2019arredamento. D\u00e0 al proprio file un nome qualunque, lo nasconde in mezzo a centinaia di file legittimi, lo traveste perch\u00e9 somigli a qualcosa di normale \u2014 alcune shell, ad esempio, si camuffano da pagina di errore nascondendo un modulo di accesso segreto. Il sito, intanto, continua a funzionare perfettamente. I clienti navigano, gli ordini arrivano, le pagine si caricano come sempre. <\/p>\n\n\n\n Ed \u00e8 proprio questa normalit\u00e0 apparente a ingannare. Il ragionamento istintivo \u2014 \u201cva tutto bene, quindi siamo al sicuro\u201d \u2014 \u00e8 esattamente l\u2019errore su cui l\u2019attaccante conta. Mentre in superficie nulla cambia, dietro le quinte quella porta nascosta permette di rovistare tra i documenti, leggere informazioni riservate, portarsi via i dati dei clienti, e persino usare l\u2019edificio come trampolino per raggiungere altri sistemi collegati. E il danno continua finch\u00e9 la porta resta l\u00ec: riparare la crepa originale non serve a nulla, se nel frattempo non ci si accorge che \u00e8 stato aperto un passaggio tutto nuovo.<\/p>\n\n\n\n Per fortuna, anche l\u2019intruso pi\u00f9 accorto lascia delle tracce. Chi indaga sugli incidenti informatici le chiama indicatori di compromissione<\/em> \u2014 in sigla IoC \u2014 e il modo migliore per immaginarli \u00e8 pensare agli indizi su una scena del crimine: prove che segnalano una possibile violazione all\u2019interno di una rete o di un sistema, le briciole che il visitatore indesiderato si lascia dietro senza volerlo. <\/p>\n\n\n\n Senza entrare nel tecnicismo, questi indizi appartengono a poche grandi famiglie. Ci sono quelli legati ai file \u2014 la comparsa di un documento che prima non c\u2019era, o la modifica sospetta di uno esistente \u2014 quelli legati alla rete, come collegamenti verso indirizzi insoliti, e quelli legati al comportamento del sistema, come un traffico anomalo o attivit\u00e0 fuori dall\u2019ordinario. Nel caso specifico delle web shell, uno dei segnali pi\u00f9 rivelatori \u00e8 sorprendentemente semplice: la stessa pagina richiamata in modo ripetuto e insistente, come qualcuno che continua a bussare sempre alla stessa porticina sul retro. Allo stesso modo, l\u2019analisi di quante volte e da dove vengono richiamati i singoli file del sito pu\u00f2 tradire la posizione della shell nascosta. <\/p>\n\n\n\n La morale pratica \u00e8 che questi indizi non si trovano guardando il sito dal davanti, come farebbe un visitatore, ma esaminando i suoi registri interni \u2014 i log<\/em>, l\u2019equivalente delle telecamere di sorveglianza che annotano ogni passaggio. \u00c8 l\u00ec che gli indicatori restano impressi, ed \u00e8 per questo che tenerli, conservarli e guardarli con regolarit\u00e0 non \u00e8 una formalit\u00e0 burocratica ma la condizione stessa per accorgersi di essere stati visitati. <\/p>\n\n\n\n Non si tratta, peraltro, di buon senso lasciato alla sensibilit\u00e0 del singolo: in Italia esiste ormai un quadro di riferimento preciso. Il presidio nazionale contro gli attacchi informatici fa capo all\u2019Agenzia per la Cybersicurezza Nazionale (ACN)<\/strong>, al cui interno opera il CSIRT Italia<\/strong>, la squadra che interviene in caso di incidente, analizza rischi e attacchi in corso e tiene informate le amministrazioni. \u00c8 la stessa struttura che, in occasione dei grandi attacchi internazionali, censisce i sistemi nazionali verosimilmente compromessi e allerta quelli esposti ma non ancora colpiti \u2014 esattamente il lavoro di chi d\u00e0 l\u2019allarme quando una serratura difettosa comincia a essere forzata in giro per il mondo. <\/p>\n\n\n\n Per chi gestisce i sistemi della pubblica amministrazione, poi, alcune buone abitudini sono addirittura obbligatorie. Le Misure minime di sicurezza ICT<\/strong> emanate dall\u2019AgID<\/strong> \u2014 in vigore per tutte le PA \u2014 indicano un insieme ordinato di controlli di natura tecnologica, organizzativa e procedurale per contrastare le minacce pi\u00f9 frequenti. Tra questi, due parlano direttamente alla nostra storia: l\u2019obbligo di tenere un inventario aggiornato dei sistemi e un elenco dei software autorizzati, con le relative versioni \u2014 cio\u00e8 sapere con precisione cosa si ha \u201csotto il cofano\u201d, la premessa di ogni difesa \u2014 e quello, previsto sempre dalle stesse misure, di accedere con regolarit\u00e0 ai servizi di early warning<\/em> che tengono aggiornati sulle nuove vulnerabilit\u00e0. Tradotto: non aspettare che il difetto della serratura lo scopra l\u2019intruso, ma farsi avvisare per tempo. <\/p>\n\n\n\n Vale la pena notare che, pur essendo vincolanti solo per il settore pubblico, queste indicazioni valgono come eccellente bussola anche per un\u2019azienda privata: fotografano, in forma di norma, lo stesso insieme di accorgimenti che qualunque gestore accorto dovrebbe adottare.<\/p>\n\n\n\n La notizia incoraggiante \u00e8 che difendersi non richiede soluzioni fantascientifiche, ma qualcosa di pi\u00f9 semplice e pi\u00f9 raro: disciplina e costanza. Un po\u2019 come per la salute, dove non esiste la pillola miracolosa ma funzionano le buone abitudini ripetute nel tempo.<\/p>\n\n\n\n La prima e pi\u00f9 efficace difesa \u00e8 impedire che quella seconda porta possa essere installata. Significa controllare con seriet\u00e0 tutto ci\u00f2 che viene caricato sul sito e conservarlo in un luogo dove, anche se qualcuno vi nascondesse un programma dannoso, questo non possa essere messo in funzione. Un attrezzo da scasso chiuso in un ripostiglio sigillato non fa alcun danno. E poich\u00e9, come si \u00e8 visto, la via d\u2019ingresso pi\u00f9 battuta sono proprio le vulnerabilit\u00e0 e gli errori di configurazione, individuarli e chiuderli \u00e8 il passaggio cruciale per evitare la compromissione. <\/p>\n\n\n\n Poi c\u2019\u00e8 la manutenzione ordinaria, la meno affascinante e la pi\u00f9 importante. Tenere aggiornati il sito e tutti i suoi componenti, eliminare quelli che non servono pi\u00f9, proteggere gli accessi degli amministratori con password solide e con la verifica in due passaggi ormai familiare a chiunque usi l\u2019home banking. Ogni pezzo vecchio e dimenticato \u00e8 una potenziale crepa; ridurne il numero riduce il rischio. E quando esce la correzione di una falla \u2014 soprattutto di uno zero-day \u2014 applicarla subito: dal momento in cui il ricambio \u00e8 disponibile, i ritardatari diventano i bersagli pi\u00f9 facili, perch\u00e9 gli attaccanti sanno che molti aggiorneranno con calma.<\/p>\n\n\n\n Serve infine qualcosa che somigli a un impianto di allarme con le telecamere. Esistono sistemi che sorvegliano i file del sito e segnalano quando ne compare uno nuovo o ne viene modificato uno in modo sospetto; altri che riconoscono i tentativi di intrusione mentre avvengono e li bloccano, anche senza conoscere i dettagli della falla, semplicemente perch\u00e9 qualcosa di anomalo sta accadendo; altri ancora che analizzano le tracce lasciate da ogni visita \u2014 quegli indicatori di compromissione di cui si \u00e8 detto. \u00c8 il lavoro silenzioso di chi, dietro le quinte, tiene gli occhi aperti al posto nostro.<\/p>\n\n\n\n E poi, perch\u00e9 la prudenza vuole che ci si prepari anche al peggio, conviene avere copie di sicurezza affidabili e un piano chiaro su come reagire se qualcosa va storto: non limitarsi a chiudere la porta scoperta, ma cambiare tutte le serrature e assicurarsi che non ne siano rimaste altre aperte. Trovare una seconda porta deve sempre far scattare la ricerca di una terza. Del resto, quando si scopre una web shell, la sua sola presenza segnala una violazione grave del server, che impone un intervento immediato di contenimento e bonifica. <\/p>\n\n\n\n Dietro la maggior parte di questi attacchi non c\u2019\u00e8 un genio del crimine informatico, ma qualcosa di molto pi\u00f9 banale e, in fondo, pi\u00f9 rassicurante: una porta lasciata socchiusa. Un controllo saltato, un aggiornamento rimandato, una password troppo comoda. Persino lo zero-day, con tutto il suo fascino da film \u2014 la falla segreta, la corsa contro il tempo \u2014 lascia una lezione sobria: non si pu\u00f2 impedire che esistano serrature difettose, perch\u00e9 nessun software sar\u00e0 mai perfetto; si pu\u00f2 per\u00f2 decidere in anticipo quanto si \u00e8 pronti a reagire quando il difetto verr\u00e0 fuori.<\/p>\n\n\n\nCome nasce quella seconda porta<\/h3>\n\n\n\n
Quando la serratura \u00e8 difettosa per tutti: lo zero-day<\/h3>\n\n\n\n
Perch\u00e9 proprio WordPress? Il paradosso della popolarit\u00e0<\/h3>\n\n\n\n
Perch\u00e9 \u00e8 cos\u00ec difficile accorgersene<\/h3>\n\n\n\n
Le briciole lasciate dall\u2019intruso: gli indicatori di compromissione<\/h3>\n\n\n\n
Cosa dicono le regole italiane<\/h3>\n\n\n\n
Cosa si pu\u00f2 fare, davvero<\/h3>\n\n\n\n
La morale della storia<\/h3>\n\n\n\n