I ricercatori di sicurezza informatica ucraini hanno dichiarato di avere prove di tentativi di attacchi da parte di un’operazione di hacking legata alla Russia che prendeva di mira un’entità ucraina nel luglio 2021.

Symantec, di proprietà di Broadcom, in un nuovo rapporto ha attribuito gli attacchi a un attore rintracciato come Gamaredon (alias Shuckworm o Armageddon), un collettivo di cyber-spionaggio noto per essere attivo almeno dal 2013.

Nel novembre 2021, le agenzie di intelligence ucraine hanno bollato il gruppo come un “progetto speciale” del Servizio di sicurezza federale (FSB) russo, oltre a puntare il dito contro di esso per aver effettuato oltre 5.000 attacchi informatici contro autorità pubbliche e infrastrutture critiche situate nel paese.

Gli attacchi Gamaredon in genere hanno origine con e-mail di phishing che inducono i destinatari a installare un trojan di accesso remoto personalizzato chiamato Pterodo. Symantec ha rivelato che, tra il 14 luglio 2021 e il 18 agosto 2021, sono stati installate diverse varianti della backdoor e ha distribuito script e strumenti aggiuntivi.

“La catena di attacco è iniziata con un documento infetto, probabilmente inviato tramite un’e-mail di phishing, che è stato aperto dall’utente della macchina poi compromessa”, hanno affermato i ricercatori. L’identità dell’organizzazione interessata non è stata rivelata.

Verso la fine di luglio, sono stati sfruttati l’impianto per scaricare ed eseguire un file eseguibile per un client VNC prima di stabilire connessioni con un server di controllo remoto per l’attacker.

“Questo client VNC sembra essere il software definitivo per questo attacco”, hanno osservato i ricercatori, aggiungendo che l’installazione è stata seguita dall’accesso a una serie di documenti che vanno dalle descrizioni dei lavori alle informazioni aziendali sensibili sulla macchina compromessa.

I risultati arrivano durante un’ondata di attacchi dirompenti e distruttivi commessi contro entità ucraine da presunti attori considerati vicini allo stato russo, con conseguente dispiegamento di un dispositivo di pulizia dei file soprannominato WhisperGate, più o meno nello stesso periodo in cui più siti Web appartenenti al governo sono stati attaccati.

Negli ultimi anni, gli attacchi zero-click si sono sempre più fatti strada e molte notizie hanno nominato questo tipo di attacco informatico. Come si può capire dal nome, gli attacchi zero-click non richiedono alcuna azione da parte della vittima, il che significa che anche gli utenti più esperti possono cadere vittima di seri attacchi informatici e strumenti spyware.

Gli attacchi zero clic sono in genere altamente mirati e utilizzano tattiche sofisticate. Possono avere conseguenze devastanti senza che la vittima sappia che qualcosa non va in background. I termini “attacchi zero-click” e “exploit zero-click” sono spesso usati come sinonimi. A volte sono anche chiamati attacchi senza interazione o completamente remoti.

Che cos’è il malware zero-click?

Normalmente il software di spionaggio si basa sul convincere la persona presa di mira a fare click su un link o un file compromesso per installare sul telefono, tablet o computer un software dannoso. Tuttavia, con un attacco senza clic, il software può essere installato su un dispositivo senza che la vittima faccia click su alcun collegamento. Di conseguenza, il malware zero-click o il malware no-click è molto più pericoloso.

La ridotta interazione e l’assoluta impossibilità di difendersi con le proprie mani, negli attacchi zero-click significa meno tracce di qualsiasi attività dannosa. Questo, oltre al fatto che le vulnerabilità che i criminali informatici possono sfruttare per attacchi zero-click sono piuttosto rare, le rende particolarmente apprezzate dagli aggressori.

Anche gli attacchi di base zero-click lasciano poche tracce, il che significa che rilevarli è estremamente difficile. Inoltre, le stesse funzionalità che rendono il software più sicuro possono spesso rendere più difficili da rilevare gli attacchi zero-click. Gli hack zero-click sono in circolazione da anni e il problema è diventato più diffuso con il boom dell’uso di smartphone che memorizzano una grande quantità di dati personali. Siccome le persone e le aziende diventano sempre più dipendenti dai dispositivi mobili, la necessità di rimanere informati sulle vulnerabilità zero-click non è mai stata così importante.

Come funziona un attacco zero-click?

In genere, l’infezione remota del dispositivo mobile di un bersaglio richiede una qualche forma di ingegneria sociale, con l’utente che fa clic su un collegamento dannoso o installa un’app dannosa per fornire all’attaccante un punto di ingresso. Questo non è il caso degli attacchi zero-click, che aggirano del tutto la necessità dell’ingegneria sociale.

Un hack zero-click sfrutta i difetti del dispositivo, sfruttando una debolezza nella verifica dei dati per farsi strada nel sistema. La maggior parte dei software utilizza processi di verifica dei dati per tenere a bada le violazioni informatiche. Tuttavia, esistono vulnerabilità zero-day persistenti che non sono state ancora corrette, presentando obiettivi potenzialmente redditizi per i criminali informatici. Gli hacker più avanzati possono sfruttare queste vulnerabilità zero-day per eseguire attacchi informatici, che possono essere implementati senza alcuna azione da parte dell’utente.

Spesso, gli attacchi zero-click prendono di mira le app che forniscono messaggistica o chiamate vocali perché questi servizi sono progettati per ricevere e interpretare dati da fonti non attendibili. Gli aggressori generalmente utilizzano dati appositamente formati, come un messaggio di testo nascosto o un file immagine, per iniettare codice che compromette il dispositivo.

Esempio di attacco zero-click:

• I criminali informatici identificano una vulnerabilità in un’app di posta o di messaggistica.
• Sfruttano la vulnerabilità inviando un messaggio accuratamente predisposto al bersaglio.
• La vulnerabilità consente ad attori malintenzionati di infettare il dispositivo da remoto tramite e-mail che consumano molta memoria.
• L’e-mail, il messaggio o la chiamata dell’hacker non rimarranno necessariamente sul dispositivo.
• Come risultato dell’attacco, i criminali informatici possono leggere, modificare, divulgare o eliminare messaggi.

L’hacking può essere una serie di pacchetti di rete, richieste di autenticazione, messaggi di testo, MMS, messaggi vocali, sessioni di videoconferenza, telefonate o messaggi inviati tramite Skype, Telegram, WhatsApp, ecc. Tutti questi possono sfruttare una vulnerabilità nel codice di un’applicazione incaricata del trattamento dei dati.

Il fatto che le app di messaggistica consentano di identificare le persone con i loro numeri di telefono, che sono facilmente individuabili, significa che possono essere un obiettivo ovvio sia per le entità politiche che per le operazioni di hacking commerciale.

Le specifiche di ogni attacco zero-click variano a seconda della vulnerabilità sfruttata. Una caratteristica chiave degli hack zero-click è la loro capacità di non lasciare tracce, rendendoli molto difficili da rilevare. Ciò significa che non è facile identificare chi li sta utilizzando e per quale scopo. Tuttavia, è stato riferito che le agenzie di intelligence di tutto il mondo li utilizzano per intercettare i messaggi e monitorare la posizione di sospetti criminali e terroristi.

Esempi di malware zero-click

Una vulnerabilità zero-click può interessare vari dispositivi, da Apple ad Android. Esempi di alto profilo di exploit zero-click includono:

Apple zero-click, Forced Entry, 2021:

Nel 2021, un attivista per i diritti umani del Bahrein ha visto il proprio iPhone violato da un potente spyware venduto ad organizzazioni governative. L’hack, scoperto dai ricercatori del Citizen Lab, aveva superato le protezioni di sicurezza messe in atto da Apple per resistere a compromissioni di sistema.

Citizen Lab ha sede presso l’Università di Toronto. Hanno analizzato l’iPhone 12 Pro dell’attivista e hanno scoperto che era stato violato tramite un attacco zero-click. L’attacco zero-click ha sfruttato una vulnerabilità di sicurezza precedentemente sconosciuta in iMessage di Apple, che è stata sfruttata per inviare lo spyware Pegasus, sviluppato dalla società israeliana ONG Group, al telefono dell’attivista.

Questa intromissione fu al centro di moltissimi articoli tecnici, principalmente perché ha sfruttato l’ultimo software per iPhone dell’epoca, sia iOS 14.4 che il successivo iOS 14.6, che Apple ha rilasciato a maggio 2021. L’hack ha superato una funzionalità del software di sicurezza integrata in tutte le versioni di iOS 14, chiamata BlastDoor, che aveva lo scopo di prevenire questo tipo di hack del dispositivo filtrando i dati dannosi inviati tramite iMessage. A causa della sua capacità di superare BlastDoor, questo exploit è stato soprannominato ForcedEntry. In risposta, Apple ha aggiornato le sue difese di sicurezza con iOS 15.

WhatsApp breach, 2019

Questa famigerata violazione è stata innescata da una chiamata persa, che ha sfruttato un difetto nel framework del codice sorgente di WhatsApp. Un exploit zero-day, ovvero una vulnerabilità informatica precedentemente sconosciuta e senza patch, ha consentito all’attaccante di caricare spyware nei dati scambiati tra i due dispositivi a causa della chiamata persa. Una volta caricato, lo spyware si è attivato come risorsa in background, all’interno del framework software del dispositivo.

Jeff Bezos, 2018

Nel 2018, il principe ereditario Mohammed bin Salman dell’Arabia Saudita avrebbe inviato al CEO di Amazon Jeff Bezos un messaggio WhatsApp con un video che promuoveva il mercato delle telecomunicazioni dell’Arabia Saudita. È stato riferito che c’era un pezzo di codice all’interno del file video che ha consentito al mittente di estrarre informazioni dall’iPhone di Bezos per diversi mesi. Ciò ha comportato l’acquisizione di messaggi di testo, messaggi istantanei ed e-mail e forse anche registrazioni intercettate effettuate con i microfoni del telefono.

Come proteggersi dagli exploit zero-click

Poiché gli attacchi zero-click si basano sull’assenza di interazione da parte della vittima, ne consegue che non c’è molto che tu possa fare per proteggerti. Anche se questo è un pensiero scoraggiante, è importante ricordare che, in generale, questi attacchi tendono a essere mirati a vittime specifiche per scopi di spionaggio.

Riepiloghiamo le regole base di una buona condotta di sicurezza informatica

• Mantieni aggiornati il ​​tuo sistema operativo, firmware e app su tutti i tuoi dispositivi
• Scarica app solo dagli store ufficiali
• Elimina tutte le app che non usi più
• Evita di eseguire il “jailbreak” o il “rooting” del telefono poiché ciò rimuove la protezione fornita da Apple e Google
• Usa la protezione con password del tuo dispositivo
• Usa l’autenticazione avanzata per accedere agli account, in particolare alle reti critiche
• Usa password complesse, ovvero password lunghe e univoche
• Esegui un backup regolare. I sistemi possono essere ripristinati in caso di ransomware e avere un backup corrente di tutti i dati velocizza il processo di ripristino
• Abilita i blocchi popup o impedisci la visualizzazione dei popup regolando le impostazioni del browser. I truffatori utilizzano regolarmente i popup per diffondere malware

Nel tentativo di far luce sulle pratiche di monitoraggio e raccolta dei dati di Facebook, il progetto Mozilla ha collaborato con l’organizzazione no profit The Markup.

Le due società stanno chiedendo agli utenti di scaricare Rally, la prima piattaforma di condivisione dei dati di Mozilla, lanciata lo scorso anno, e di condividere il proprio comportamento di navigazione.

Gli strumenti forniti da Rally consentono il monitoraggio del pixel di Facebook, un codice di Javascript che traccia le azioni degli utenti in risposta agli annunci. Dovrebbero consentire alle aziende di esaminare quali dati vengono raccolti, con quali siti sono condivisi, quali dati rivela sugli utenti e quanto sia effettivamente diffusa la rete di monitoraggio di Facebook.

“Uno strumento come Rally può riunire tutta la forza delle comunità di persone che si uniscono per fornire informazioni su una delle parti più opache di Internet che hanno un impatto così drammatico sulle nostre vite individuali e sulla società”, afferma Ted Han, di Rally.

“Questa è una rara opportunità per sollevare il velo sulle pratiche di monitoraggio e raccolta dei dati di Facebook al di fuori delle piattaforme Facebook”.

Il progetto si basa su una precedente collaborazione con il Center for Information Technology Policy dell’Università di Princeton su notizie e disinformazione su politica e COVID-19 nei servizi online, nonché su un altro studio in corso con la Stanford University Graduate School of Business sul consumo di notizie e l’impatto degli annunci.

“Internet e il mondo non possono aspettare che le piattaforme facciano la cosa giusta”, commenta Han.

Tuttavia, progetti precedenti con obiettivi simili sono falliti. La scorsa estate, ad esempio, Facebook ha bandito gli account dei ricercatori della New York University (NYU) che studiano il microtargeting degli annunci politici sugli utenti attraverso un progetto chiamato Ad Observer, con una mossa condannata dalla Federal Trade Commission (FTC) statunitense.

La società ha chiuso anche CrowdTangle, lo strumento di monitoraggio dei social media che ha fornito l’accesso ad argomenti di tendenza, account pubblici e comunità e post virali su Facebook, Instagram e Reddit, e ha bloccato gli strumenti di trasparenza degli annunci di ProPublica.

Apparentemente ha anche modificato il codice del suo sito Web per impedire la raccolta automatizzata dei dati dei post di feed di notizie dagli utenti, ostacolando in modo significativo il lavoro di ricercatori come il progetto Citizen Browser di Markup.

Dopo la scoperta di una vulnerabilità critica nota come Log4Shell o Log4j nei server che supportano il gioco Minecraft, sono stati effettuati milioni di tentativi di exploit della libreria Java Log4j 2 con una potenziale minaccia per milioni di altre applicazioni e dispositivi in ​​tutto il mondo.

Cos’è Log4Shell?

Log4Shell è una vulnerabilità software in Apache Log4j 2, una popolare libreria Java per la registrazione dei messaggi di errore nelle applicazioni. La vulnerabilità, pubblicata come CVE-2021-44228, consente a un utente malintenzionato remoto di assumere il controllo di un dispositivo su Internet, se il dispositivo esegue determinate versioni di Log4j 2.

Apache ha rilasciato una patch per CVE-2021-44228, versione 2.15, il 6 dicembre. Tuttavia, questa patch ha lasciato irrisolta parte della vulnerabilità, risultando in CVE-2021-45046 e un’altra patch, versione 2.16, rilasciata il 13 dicembre.

Gli aggressori possono sfruttare la vulnerabilità utilizzando messaggi di testo per controllare un computer in remoto. L’Apache Software Foundation, che pubblica la libreria Log4j 2, ha assegnato alla vulnerabilità un punteggio CVSS di 10 su 10, il punteggio di gravità più alto, a causa del suo potenziale di sfruttamento diffuso e della facilità con cui gli aggressori possono sfruttarlo.

Quando è stata scoperta la vulnerabilità nella libreria Log4j 2?

La vulnerabilità è stata segnalata per la prima volta all’Apache Foundation il 24 novembre dal ricercatore di sicurezza Chen Zhaojun di Alibaba, la più grande società di e-commerce della Cina, dopo che un attacco è stato documentato il 9 dicembre e ha colpito i server del gioco Minecraft. Ulteriori analisi forensi hanno rivelato che i criminali informatici hanno scoperto il divario in precedenza ed è stato sfruttato almeno dal 1° dicembre.

Qual è il rischio della vulnerabilità Log4Shell nella libreria Log4j 2?

Log4Shell è considerato una vulnerabilità zero-day perché gli attori malintenzionati probabilmente lo conoscevano e lo sfruttavano prima della scoperta da parte degli esperti.

Ciò che rende Log4Shell così pericoloso è quanto sia onnipresente la libreria Log4j 2. È presente nelle principali piattaforme da Amazon Web Services a VMware e servizi grandi e piccoli. La rete di dipendenze tra piattaforme e servizi interessati significa che l’applicazione di patch può essere un processo complesso e che può richiedere molto tempo.

La facilità di sfruttare la vulnerabilità ne aggrava l’impatto. La libreria Log4j 2 controlla come vengono registrate le stringhe. La vulnerabilità consente a un utente malintenzionato di ottenere il controllo su una stringa e indurre l’applicazione a richiedere ed eseguire codice dannoso sotto il controllo dell’utente malintenzionato. In poche parole, gli aggressori possono assumere in remoto qualsiasi dispositivo connesso a Internet che utilizza determinate versioni della libreria Log4j in qualsiasi punto dello stack software.

Cos’è Log4j 2 e cosa fa?

Essendo il framework di registrazione più utilizzato su Internet, Apache Log4j 2 è integrato in una miriade di applicazioni, utilizzate sui principali servizi cloud come Apple, Google, Microsoft e Cloudflare, nonché su piattaforme come Twitter e Stream.

Registra i messaggi dal software e successivamente cerca gli errori. La quantità di dati registrabili è ampia e spazia dalle informazioni di base del browser utente e della pagina Web alle informazioni tecniche dettagliate sul sistema su cui è in esecuzione Log4j 2.

La libreria Log4j 2 non solo può creare semplici registri, ma può anche eseguire comandi per generare informazioni di registrazione avanzate. In tal modo, può anche comunicare con altre fonti, come i servizi di directory interni.

In che modo la vulnerabilità Log4Shell provoca danni?

Poiché la libreria Log4j 2 può comunicare con altre fonti e servizi di directory interni, gli aggressori possono facilmente usare Log4j 2 con comandi dannosi dall’esterno e fargli scaricare ed eseguire codice pericoloso da fonti dannose.

Il modo in cui Log4j 2 può essere sfruttato dipende dalle specifiche del sistema interessato. Finora, la stragrande maggioranza delle attività dannose è stata la scansione di massa su sistemi vulnerabili alle impronte digitali. Secondo un report di Microsoft, gli aggressori hanno sfruttato la vulnerabilità per compromettere l’infrastruttura di virtualizzazione, installare ed eseguire ransomware, rubare credenziali di sistema, assumere un ampio controllo delle reti compromesse ed esfiltrare i dati.

Man mano che continuano a crescere i rapporti sulla sfruttabilità di Log4Shell, le possibilità di attività dannose sembrano esponenziali. Qualsiasi codice può essere eseguito sul sistema attaccato, ad esempio, per accedere a dati di configurazione sensibili. Catturando questi dati, gli aggressori potrebbero ottenere il pieno controllo di un sistema e di tutti i suoi dati e applicazioni. Questo è paragonabile a un ladro che ha le chiavi della porta d’ingresso di una casa e la combinazione di una cassaforte all’interno.

In che modo Log4Shell influisce sugli utenti?

La libreria Log4j 2 viene spesso utilizzata in molte applicazioni nell’ambiente infrastrutturale di aziende e organizzazioni. Nel settore dei consumatori, Log4j 2 può essere trovato anche in dispositivi di archiviazione abilitati alla rete e dispositivi domestici intelligenti, che gli utenti dovrebbero disconnettere da Internet fino a quando non saranno disponibili gli aggiornamenti.

La maggior parte delle aziende rispettabili ha inserito un messaggio di sicurezza corrispondente sui propri siti Web che descrive cosa stanno facendo riguardo alla vulnerabilità di Log4Shell.

I consumatori dovrebbero installare gli aggiornamenti software forniti dai fornitori che utilizzano. Dovrebbero anche cercare di scoprire dai siti e dai servizi che hanno i loro dati personali se l’organizzazione è interessata dalla vulnerabilità di Log4Shell e, in tal caso, quali misure stanno adottando tali organizzazioni per salvaguardare le loro informazioni.

Cosa dovrebbero fare i team di sicurezza IT

Le organizzazioni che utilizzano Log4j 2 nelle proprie applicazioni e infrastruttura dovrebbero aggiornarle immediatamente. Lo stesso vale per le applicazioni di terze parti. La versione 2.16.0 protegge completamente la libreria dalla vulnerabilità Log4Shell.

Poiché ci sono così tanti sistemi probabilmente interessati da Log4Shell ed è così facile da sfruttare, le organizzazioni devono agire rapidamente per proteggere i propri interessi e utenti.

Specifiche tecniche su come funziona Log4j 2

1. Convalida errata dell’input

La causa principale di Log4Shell, formalmente nota come CVE-2021-44228 , è ciò che il NIST chiama convalida dell’input improprio.

In parole povere, questo significa che riponi troppa fiducia nei dati non attendibili che arrivano da estranei e apri il tuo software a trucchi subdoli basati su dati trappola.

Se hai mai programmato in C, ti sarai quasi sicuramente imbattuto in questo tipo di problema usando la printf()funzione ( format string e print ).

int  printf(const char *format, ...);
 
int  count; 
char *name;
 
/* print them out somewhat safely */
 
print("The name %.20s appeared %d times\n",name,count);

Fornisci una stringa di formato hard-coded come primo argomento, dove %.20s significa "stampa l'argomento successivo come stringa di testo, ma rinuncia dopo 20 byte per ogni evenienza" e %d significa "prendi un numero intero e stampalo in decimale".


È anche allettante usarlo printf() quando vuoi stampare solo una singola stringa, come questa, e spesso vedi persone che fanno questo errore nel codice, specialmente se è scritto di fretta

int  printf(const char *format, ...);
 
/* printfhack.c */
 
int main(int argc, char **argv) {
   /* print out first command-line argument */
   printf(argv[1]);    <-- use puts() or similar instead
   return 0;
}

In questo codice, l’utente può non solo scegliere la stringa da stampare, ma anche controllare la stessa stringa di formattazione che decide cosa stampare.

Quindi, se chiedi a questo programma di stampare hello, farà esattamente questo, ma se gli chiedi di stampare %X %X %X %X %Xnon vedrai quei caratteri nell’output, perché in %Xrealtà è un “codice di formato” magico che dice printf()come comportarsi.

Il testo speciale %Xsignifica “prendere il valore successivo dallo stack del programma e stamparne il valore grezzo in esadecimale”.

Quindi un utente scontento che può indurre il tuo programmino a stampare una stringa di messaggi apparentemente innocua %Xvedrà in realtà qualcosa del genere:

C:\Users\duck\> printfhack.exe "%X %X %X %X %X"
 
155FA30 1565940 B4E090 B4FCB0 4D110A

Si dà il caso che il quinto e ultimo valore nell’output sopra, risucchiato di nascosto dallo stack del programma, è l’indirizzo di ritorno a cui il programma salta dopo aver eseguito il printf() quindi il valore 0x00000000004D110Arivela dove viene caricato il codice del programma in memoria, e quindi rompe la sicurezza fornita da ASLR ( randomizzazione del layout dello spazio degli indirizzi ).

Il software non dovrebbe mai consentire agli utenti non attendibili di utilizzare dati non attendibili per manipolare il modo in cui tali dati vengono gestiti.

In caso contrario, potrebbe verificarsi un uso improprio dei dati di questo tipo.

Perché Log4j è considerato dannoso

C’è un problema simile in Log4j, ma è molto, molto peggio.

I dati forniti da un estraneo non attendibile – dati che stai semplicemente stampando per riferimento futuro o accedendo a un file – possono prendere il sopravvento sul server su cui stai effettuando la registrazione.

Questo potrebbe trasformare quella che dovrebbe essere un’istruzione di “stampa” di base in una situazione di fuga di dati segreti su Internet o persino in un comando scarica ed esegui il mio malware in una volta.

In poche parole, una voce di registro che si intendeva inserire per completezza, forse anche per motivi legali o di sicurezza, potrebbe trasformarsi in un evento di impianto di malware.

Funzionalità di “ricerca” di Log4j

Preparati per la parte più pericolosa, che è documentata in dettaglio sul sito Apache Log4j:

Le “ricerche” forniscono un modo per aggiungere valori alla configurazione di Log4j in punti arbitrari.

In poche parole, l’utente che fornisce i dati che intendi registrare può scegliere non solo come sono formattati, ma anche cosa contiene e come viene acquisito quel contenuto.

Se stai effettuando il login per motivi legali o di sicurezza, o anche semplicemente per completezza, probabilmente sarai sorpreso di sentirlo.

Dare voce alla persona dall’altra parte su come registrare i dati che invia significa non solo che i tuoi registri non contengono sempre una registrazione fedele dei dati effettivi che hai ricevuto, ma anche che potrebbero finire per contenere dati da altrove sul tuo server che normalmente non sceglieresti di salvare in un file di registro.

Possibilità di ricerche remote

Grazie a una funzionalità del runtime Java chiamata JNDI, abbreviazione di Java Naming and Directory Interface , i comandi “lookup” di Log4j racchiusi in ${...}sequenze non solo possono eseguire semplici sostituzioni di stringhe, ma anche eseguire ricerche di runtime in tempo reale su server arbitrari, sia all’interno che all’esterno del tuo Rete.

Per vederlo in azione, abbiamo bisogno di un programma che ascolti le connessioni TCP e segnali quando ne ottiene una, così possiamo vedere se Log4j sta davvero effettuando connessioni di rete.

Si può testare ncat dal toolkit Nmap gratuito e popolare; per chi usa Linux potrebbe averlo già ncat installato nella distro, ma per Windows dovrai installarlo dal sito ufficiale di Nmap.

Un utente malintenzionato che conosce il formato giusto o che sa come scaricare uno strumento di attacco in grado di fornire codice Java dannoso nel formato corretto, potrebbe essere in grado di utilizzare l’oggetto Log4j Logger come strumento per installare malware sul server, eseguendo quel dannoso codice proprio all’interno del processo Java che ha chiamato la funzione Logger.

E il gioco è fatto: esecuzione di codice remoto (RCE) semplice, affidabile e di progettazione , attivata da dati forniti dall’utente che, ironia della sorte, potrebbero essere registrati per scopi di controllo o di sicurezza.

Il tuo server è interessato?

Una sfida posta da questa vulnerabilità è capire quali server sulla rete sono interessati.

A prima vista, si potrebbe presumere che sia necessario considerare solo i server con codice rivolto alla rete scritto in Java, in cui le connessioni TCP in entrata richieste dal servizio vengano gestite direttamente dal software Java e dalle librerie runtime Java.

Se così fosse, tutti i servizi offerti da prodotti come il httpd server Web di Apache, Microsoft IIS o nginx sarebbero implicitamente sicuri. 

Ma determinare sia l’ampiezza che la profondità di questa vulnerabilità in tutte le reti tranne che nella più piccola può essere piuttosto complicato e Log4Shell non è limitato ai server scritti in Java puro al 100%.

Dopotutto, non è il codice di gestione del socket basato su TCP che è affetto da questo bug: la vulnerabilità potrebbe annidarsi ovunque nella rete di back-end in cui vengono elaborati i dati forniti dall’utente e vengono conservati i registri.

Un server Web che registra la tua stringa User-Agent probabilmente lo fa direttamente, quindi un server Web basato su C con un motore di registrazione basato su C probabilmente non è a rischio di User-Agent.

Ma molti server web prendono i dati inseriti nei moduli online, ad esempio, e li trasmettono in background a server di “logisica aziendale” che li sezionano, li analizzano, li convalidano, li registrano e vi rispondono.

Se uno di quei server aziendale è scritto in Java, potrebbe essere la mela marcia del codice.

Teoricamente, quindi, devi trovare tutto il codice nella tua rete che è scritto in Java e verificare se utilizza la libreria Log4j.

Le versioni obsolete di Log4j devono essere aggiornate il prima possibile , anche se pensi che nessuno le stia attualmente utilizzando.

Si noti che Log4j 1.x non è più supportato e in questa versione esiste un bug relativo a Log4Shell, denominato CVE-2021-4104 .

Quindi, il percorso di aggiornamento per Log4j 1.x significa passare a Log4j 2.

Ricorda, ovviamente, che i programmi Java possono essere configurati per utilizzare le proprie copie di qualsiasi libreria Java, o anche di Java stesso.

Cerca in tutta la tua proprietà, prendendo in considerazione client e server che eseguono Linux, Mac e Windows, alla ricerca di file denominati log4j*.jar.

A differenza delle librerie condivise eseguibili (come NSS, di cui abbiamo scritto di recente ), non è necessario ricordare di cercare estensioni diverse su ciascuna piattaforma perché i file JAR che abbiamo mostrato sopra hanno nomi identici su tutti i sistemi operativi.

Ove possibile, aggiorna tutte le copie di Log4j, ovunque si trovino, il prima possibile.

La risoluzione della vulnerabilità Log4J richiede una difesa approfondita. Le organizzazioni dovrebbero implementare regole per bloccare il traffico di exploit da tutti i servizi con connessione Internet. Ma la protezione a lungo termine richiederà l’identificazione e l’aggiornamento delle istanze di Log4J o la mitigazione del problema modificando le impostazioni in Log4J. Ciò potrebbe richiedere modifiche al codice nei prodotti in cui è incorporato Log4J.

Fonti dell’articolo: Dynatrace – Sophos – Nist – Apache

Il diritto all’oblio è il diritto alla rimozione di informazioni private su una persona dalle ricerche su Internet e da altre directory in determinate circostanze. Il concetto è stato discusso e messo in pratica in diverse giurisdizioni, tra cui Argentina, Unione Europea (UE) e Filippine. La questione è nata dal desiderio degli individui di “determinare lo sviluppo della propria vita in modo autonomo, senza essere stigmatizzati perennemente o periodicamente come conseguenza di una specifica azione compiuta nel passato“.

C’è stata polemica sulla praticità di stabilire un diritto all’oblio (rispetto all’accesso alle informazioni) come diritto umano internazionale. Ciò è in parte dovuto alla vaghezza delle attuali sentenze che tentano di attuare tale diritto. Inoltre, vi sono preoccupazioni sul suo impatto sul diritto alla libertà di espressione, sulla sua interazione con il diritto alla privacy e sul fatto che la creazione di un diritto all’oblio riduca la qualità di Internet attraverso la censura e la riscrittura della storia. Chi è a favore del diritto all’oblio ne cita la necessità a causa di questioni come il revenge porn o pornositi e ricatti online che compaiono negli elenchi dei motori di ricerca per il nome di una persona, così come le istanze di questi risultati che fanno riferimento a piccoli reati che le persone potrebbero aver commesso in passato. La preoccupazione centrale risiede nell’influenza potenzialmente indebita che tali risultati possono esercitare sulla reputazione online di una persona quasi indefinitamente se non vengono rimossi.

Vuoi eliminare notizie o commenti che violano la tua reputazione? Contattaci e risolviamo

Le basi del diritto all’oblio

Le legislazioni europee sulla protezione dei dati mirano a proteggere le informazioni private potenzialmente dannose sugli individui, ma invece di un “diritto all’oblio” viene implementato un “diritto alla cancellazione dei dati” più limitato. La nozione di “diritto all’oblio” deriva da numerose idee europee preesistenti. C’è una convinzione di vecchia data nel Regno Unito, in particolare ai sensi del Rehabilitation of Offenders Act, che dopo un certo periodo di tempo, molte condanne penali vengono “annullate”, il che significa che le informazioni relative a tale persona non dovrebbero essere prese in considerazione quando si ottiene un’assicurazione o si cerca lavoro. Allo stesso modo, la Francia segue questo diritto. Le opinioni sul diritto all’oblio differiscono notevolmente tra gli Stati Uniti e i paesi dell’UE. Negli Stati Uniti, la trasparenza, il diritto alla libertà di parola secondo il Primo Emendamento e il “diritto alla conoscenza” sono generalmente preferiti rispetto alla rimozione o all’aumento della difficoltà di accedere a informazioni pubblicate in modo veritiero riguardanti individui e società. Sebbene il termine “diritto all’oblio” sia un’idea relativamente nuova, la Corte di giustizia europea ha legalmente consolidato che il “diritto all’oblio” è un diritto umano quando si è pronunciata contro Google nel caso Costeja il 13 maggio 2014.

Nel 1995, l’ Unione Europea ha adottato la Direttiva Europea sulla Protezione dei Dati (Direttiva 95/46/CE) per regolamentare il trattamento dei dati personali. Questo è ora considerato una componente della legge sui diritti umani. La nuova proposta europea di regolamento generale sulla protezione dei dati fornisce protezione ed esenzione per le società elencate come società “media”, come giornali e altre opere giornalistiche. Tuttavia, Google ha volutamente rinunciato a essere classificata come azienda “media”, quindi l’azienda non è protetta. I giudici dell’Unione europea hanno stabilito che, poiché la società internazionale, Google, è un raccoglitore e un elaboratore di dati, dovrebbe essere classificata come “responsabile del trattamento” ai sensi della direttiva sulla protezione dei dati dell’UE. Questi “titolari del trattamento” sono tenuti ai sensi del diritto dell’UE a rimuovere i dati “inadeguati, irrilevanti o non più pertinenti”, rendendo questa direttiva di importanza globale.

Google e l’Unione Europea

All’articolo 12 della direttiva 95/46/CE, l’UE ha fornito una base giuridica alla protezione delle persone su Internet. Nel 2012 la Commissione europea ha divulgato un progetto di regolamento europeo sulla protezione dei dati per sostituire la direttiva, che includeva una protezione specifica nel diritto all’oblio all’articolo 17. [19] Un diritto all’oblio è stato sostituito da un diritto più limitato diritto di cancellazione nell’articolo 17 della versione del GDPR che è stata adottata dal Parlamento europeo nel marzo 2014 e che è diventata legge dell’UE nell’aprile 2016.

Per esercitare il diritto all’oblio e richiedere la rimozione da un motore di ricerca, è necessario compilare un modulo tramite il sito web del motore di ricerca. La procedura di richiesta di rimozione di Google richiede che il richiedente identifichi il proprio paese di residenza, informazioni personali, un elenco degli URL da rimuovere insieme a una breve descrizione e, in alcuni casi, l’allegato di un documento di identità. Il richiedente riceve un’email da Google che conferma la richiesta, ma la richiesta deve essere valutata prima di essere approvata per la rimozione. Se la richiesta viene approvata, le ricerche che utilizzano il nome della persona non comporteranno più la visualizzazione del contenuto nei risultati di ricerca. Il contenuto rimane online e non viene cancellato. Dopo che una richiesta è stata soddisfatta, il loro team di rimozione esamina la richiesta, soppesando “il diritto alla privacy dell’individuo contro il diritto del pubblico di sapere“, decidendo se il sito web è “inadeguato, irrilevante o non più pertinente, o eccessivo rispetto alle finalità per quale sono stati elaborati”. Google ha formato un consiglio consultivo di vari professori, avvocati e funzionari governativi di tutta Europa per fornire linee guida per queste decisioni. Tuttavia, il processo di revisione è ancora un mistero per il grande pubblico. Le linee guida stabilite dai regolatori dell’UE non sono state rilasciate fino a novembre 2014, ma Google ha iniziato ad agire su questo molto prima di allora, il che ha permesso loro di “modellare l’interpretazione ai propri fini”. Nel maggio 2015, ottanta accademici hanno chiesto a Google una maggiore trasparenza in una lettera aperta.

Se Google rifiuta una richiesta di scollegamento del materiale, gli europei possono fare appello alla loro agenzia locale per la protezione dei dati. A maggio 2015, l’Agenzia britannica per la protezione dei dati ha trattato 184 reclami di questo tipo e ha annullato la decisione di Google in circa un quarto di questi. Se Google non si attiene a una decisione dell’Agenzia per la protezione dei dati, può affrontare un’azione legale.

Quando si applica il diritto all’oblio?

All’articolo 17, il GDPR delinea le circostanze specifiche in cui si applica il diritto all’oblio. Una persona ha il diritto alla cancellazione dei propri dati personali se:

• I dati personali non sono più necessari per lo scopo originariamente raccolto o elaborato da un’organizzazione.
• Un’organizzazione fa affidamento sul consenso di un individuo come base legale per il trattamento dei dati e tale individuo revoca il proprio consenso.
• Un’organizzazione fa affidamento su interessi legittimi come giustificazione per il trattamento dei dati di un individuo, l’individuo si oppone a questo trattamento e non esiste un interesse legittimo prevalente per l’organizzazione a continuare con il trattamento.
• Un’organizzazione sta elaborando dati personali per scopi di marketing diretto e l’individuo si oppone a questo trattamento.
• Un’organizzazione ha trattato illegalmente i dati personali di un individuo.
• Un’organizzazione deve cancellare i dati personali al fine di rispettare una norma o un obbligo legale.
• Un’organizzazione ha elaborato i dati personali di un bambino per offrire i propri servizi della società dell’informazione .

Vuoi eliminare notizie o commenti che violano la tua reputazione? Contattaci e risolviamo

Di conseguenza, un operatore di un motore di ricerca deve, in linea di principio, accettare le richieste di cancellazione relative a pagine web in cui compaiono dati personali sensibili, a meno che tali collegamenti non si rivelino strettamente necessari per tutelare la libertà di informazione degli utenti di Internet potenzialmente interessati ad accedere a pagine web contenenti dati sensibili.

Per quanto riguarda i dati giudiziari, l’operatore del motore di ricerca è tenuto ad accogliere una richiesta di deindicizzazione verso pagine web che contengono informazioni non più attuali (ad esempio, informano di una condanna in primo grado di una persona poi assolta in appello), salvo che il ruolo pubblico svolto dalla persona, la gravità del reato e altre circostanze non rendano prevalente l’interesse pubblico alla conoscenza. Se l’operatore del motore di ricerca ritiene prevalente l’interesse pubblico all’informazione – e quindi i link non devono essere rimossi – dovrà comunque “organizzare l’elenco dei risultati in modo tale che l’immagine complessiva che ne risulta per l’internauta rispecchi l’attuale situazione giuridica”. In altre parole, l’algoritmo dovrà ordinare i risultati non in base alla loro popolarità,ma sull’attualità dell’informazione.

Sono questi i passaggi più recenti ma non certo gli ultimi che ripercorreranno una storia destinata a durare a lungo e il cui finale, ad oggi, sembra essere ancora molto lontano.