Feb 10, 2021 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0

La tecnica sfrutta il sistema delle dipendenze a livello di sviluppo software. Ecco come un ricercatore ha scoperto di poter colpire Apple, Microsoft, PayPal e altri big del settore.

Nel panorama della cyber security, gli attacchi supply chain hanno posto di riguardo tra le preoccupazioni che tormentano gli esperti. Il motivo è semplice: a fronte di un’attività relativamente ridotta, permettono ai cyber criminali di colpire un considerevole numero di vittime.

La tecnica messa a punto da Alex Birsan, però, è qualcosa di ancora più pericoloso. IL ricercatore, infatti, ha trovato un punto debole che avrebbe consentito di colpire con estrema facilità (ed efficacia) numerose aziende nel settore tecnologico, compresi veri “mostri sacri” come Apple, PayPal e Microsoft.

La tecnica, che il ricercatore ha battezzato con il nome di Dependency Confusion, sfrutta in pratica quel livello di “fiducia” per cui gli sviluppatori tendono a considerare affidabili i pacchetti di codice pubblicati online.

L’intuizione di Birsan fa leva sul sistema delle dipendenze, cioè quella complessa rete che consente agli sviluppatori di “richiamare” automaticamente pacchetti di codice in vari linguaggi di programmazione (Birsan ha preso di mira Python, Node e Ruby) che vengono estratti da repository dedicati, come GitHub.

Il ricercatore ha sviluppato una serie di tecniche che gli hanno consentito, in pratica, di pubblicare su Internet delle versioni infette dei pacchetti, sostituendo quelli esistenti o semplicemente rimpiazzando pacchetti che erano stati cancellati ma che vengono comunque richiamati dalle applicazioni sviluppate con il linguaggio corrispondente.

Il suo esperimento, spiega Birsan in un post pubblicato su Internet, ha dato risultati sorprendenti: è infatti riuscito a caricare il suo codice malevolo sui sistemi di un gran numero di aziende di primo piano, dalle quali ha poi potuto estrarre informazioni sensibili.

Per farlo, il ricercatore spiega di aver utilizzato un sistema di esfiltrazione basato su quesy DNS, che consentono di aggirare la maggior parte dei controlli di sicurezza.

L’esperimento avrebbe permesso alle aziende coinvolte (35 in tutto, di dimensioni notevoli) di individuare le vulnerabilità a questa tecnica di attacco e correggere i loro sistemi per mitigare il rischio di futuri intrusioni.