{"id":501,"date":"2023-02-08T14:23:16","date_gmt":"2023-02-08T14:23:16","guid":{"rendered":"https:\/\/www.meridianoitalia.tv\/meridiano\/2023\/02\/08\/attacco-al-potere\/"},"modified":"2023-02-08T14:23:16","modified_gmt":"2023-02-08T14:23:16","slug":"attacco-al-potere","status":"publish","type":"post","link":"https:\/\/www.meridianoitalia.tv\/meridiano\/2023\/02\/08\/attacco-al-potere\/","title":{"rendered":"Attacco al potere\u2026"},"content":{"rendered":"

di Flavio De Septis<\/strong><\/p>\n

Il 4 febbraio scorso il CSIRT Italia ha diramato un bollettino<\/a>, poi ripreso in un comunicato stampa dell\u2019Agenzia per la Cybersicurezza Nazionale, in merito allo sfruttamento massivo della vulnerabilit\u00e0 CVE-2021\u201321974 in VMware ESXi (<\/span>Heap overflow vulnerability).<\/strong><\/span><\/p>\n

L’attacco rilevato lo scorso fine settimana in Europa e in Nord America \u00e8 legato a un unico obiettivo: gli attaccanti erano in cerca di oggetti digitali esposti su internet da colpire tramite la specifica vulnerabilit\u00e0 VMware ESXi,<\/p>\n

Attacco informatico, la nota di Palazzo Chigi (5 Febbraio 2023)<\/strong><\/p>\n

\u201cl Governo segue con attenzione, aggiornato dall’Agenzia per la Cybersicurezza Nazionale, ACN, gli sviluppi dell’attacco culminato oggi tramite un ransomware gi\u00e0 in circolazione nei server VMware ESXi. Domani mattina alle 9 il sottosegretario Alfredo Mantovano, autorit\u00e0 delegata per la cybersicurezza, incontrer\u00e0 a Palazzo Chigi il direttore di ACN, Roberto Baldoni, e la direttrice del DIS-Dipartimento informazione e sicurezza, Elisabetta Belloni, per fare un primo bilancio dei danni provocati dagli attacchi e per confermare la promozione della adeguata strategia di protezione, peraltro da tempo gi\u00e0 in atto. Nelle settimane passate la necessit\u00e0 di contrastare le vulnerabilit\u00e0 dei sistemi informatici aveva costituito oggetto di una informativa da parte del presidente Giorgia Meloni in sede di Consiglio di ministri, accompagnata dall\u2019invito a uno stretto raccordo fra le strutture istituzionali e ACN.\u201d<\/em><\/span><\/p>\n

Di cosa si tratta e perch\u00e9 \u00e8 cos\u00ec importante, facciamo qualche precisazione tecnica,<\/strong><\/p>\n

VMware ESXi \u00e8 una piattaforma di virtualizzazione di server che consente di eseguire pi\u00f9 sistemi operativi su un unico server fisico, isolandoli l’uno dall’altro. Questo aumenta l’utilizzo delle risorse hardware e migliora l’affidabilit\u00e0 e la sicurezza del sistema. ESXi \u00e8 un hypervisor di tipo 1, il che significa che \u00e8 installato direttamente sul sistema hardware e fornisce un livello di astrazione tra i sistemi operativi ospitati e hardware.<\/p>\n

VMware ESXi non include un servizio OpenSLP. OpenSLP (Service Location Protocol) \u00e8 un protocollo che consente ai client di trovare i servizi in una rete LAN (Local Area Network). Non \u00e8 un componente standard di VMware ESXi e non \u00e8 supportato ufficialmente. Tuttavia, se si desidera utilizzare OpenSLP in un ambiente VMware ESXi, \u00e8 possibile eseguire un sistema operativo compatibile con OpenSLP come un’istanza virtuale sul server ESXi e configurare il servizio OpenSLP in quella istanza.<\/p>\n

Come spesso avviene le cosiddette vulnerabilit\u00e0 vengono spesso dichiarate prima e anche in questo caso sia il NIST (National Vulnerability Database) CVE-2021-21974 pubblicato il 02\/24\/2021 con Base Score: 8.8 e sia la stessa WMware hanno provveduto a dichiarare la potenziale vulnerabilit\u00e0.<\/p>\n

Occorre considerare che dei 1.018 server VMware ESXi esposti su internet, il 78% <\/strong>utilizza una vecchia versione del sistema operativo, quindi con diverse vulnerabilit\u00e0 presenti e non ancora risolte.<\/p>\n

E allora dove \u00e8 il problema? Perch\u00e9 non si \u00e8 provveduto per tempo ad aggiornare i sistemi ed applicare la cosiddetta “remediation” <\/em>?  <\/strong><\/p>\n

Le possibili risposte sono almeno due, la prima \u00e8 che molti ignorano completamente gli avvisi di vulnerabilit\u00e0 che vengono considerati come un \u201cal lupo al lupo\u2026!<\/em>  Si tratta di aziende che non hanno una corretta valutazione dell\u2019analisi dei rischi, ma la questione diventa pi\u00f9 complicata l\u00ec dove si decide di intervenire, si tratta spesso di aggiornare centinai di sistemi e applicazioni di produzione comunicanti tra di loro. Effettuare un aggiornamento in queste condizioni vuol dire innalzare il rischio di blackout non avendo le garanzie di successo. Questo per molte aziende comporta un’assunzione di rischio che spinge a procrastinare l\u2019attivit\u00e0 fino a quanto possibile. Inoltre, si deve registrare anche l’esistenza di tutta quella categoria di aziende e realt\u00e0 che disconosce completamente le problematiche relative alla CyberSecurity.<\/p>\n

Ma qual\u2019\u00e8 il rischio effettivo di questo tipo di vulnerabilit\u00e0 ?<\/strong><\/p>\n

Tale vulnerabilit\u00e0, con score CVSS v3 pari a 8.8, di tipo \u201cheap buffer overflow\u201d sulla componente OpenSLP, pu\u00f2 portare all\u2019esecuzione di un codice arbitrario da remoto: un attaccante che risiede nello stesso segmento di rete di ESXi, infatti, avendo accesso alla porta 427 (porta utilizzata dal servizio SLP) pu\u00f2 sfruttare la vulnerabilit\u00e0 del servizio OpenSLP con conseguente esecuzione di un codice remoto. L\u2019attaccante una volta ottenuto l\u2019accesso remoto sul sistema esegue un ransomware e blocca e crypta i file delle macchine virtuali rendendoli inutilizzabili e quindi, di fatto, bloccano tutti i sistemi con relativa richiesta di riscatto in bitcoin.<\/p>\n

Ma quali sono i 19 server italiani presi di mira? <\/strong><\/p>\n

Secondo quanto ricostruito da Repubblica \u201csulla base di informazioni ritenute attendibili\u201d, scrive il giornale, si tratterebbe di server sparsi su e gi\u00f9 per l\u2019Italia. Ecco l\u2019elenco, con citt\u00e0, regione, server e titolare (dove non indicato il titolare \u00e8 perch\u00e9 risulta sconosciuto):<\/p>\n