In questo articolo Indice dei contenuti 2 sezioni
Basta modificare un solo file per trasformare sudo, uno dei comandi più usati da chi amministra un sistema Linux, in un ladro di password silenzioso. La tecnica è stata descritta dai ricercatori di Unit 42, il gruppo di threat intelligence di Palo Alto Networks, e colpisce proprio dove nessuno pensa di dover guardare. Un comando familiare, una richiesta di autenticazione che sembra del tutto normale e un’operazione che va a buon fine senza intoppi.
Gli aggressori hanno messo mano alla configurazione della shell per intercettare le credenziali digitate dagli utenti, facendo leva sulla fiducia che si ripone negli strumenti di tutti i giorni. Il lato più subdolo sta nella discrezione. Dall’esterno l’autenticazione appare regolare mentre in background le chiavi d’accesso vengono sottratte. Una modifica in apparenza minima finisce così per compromettere la sicurezza di un intero ambiente informatico.
Come funziona il falso sudo
Tutto parte da .bashrc, il file di configurazione che Bash legge quando avvia una shell interattiva nelle condizioni previste. Gli attaccanti ne hanno sostituito il contenuto con una copia ritoccata in cui compare un alias malevolo legato al comando sudo. Così, quando la vittima digitava il solito comando per svolgere un’operazione con privilegi elevati, a entrare in scena per primo era il codice piazzato dall’intruso.
La sequenza era pensata per non destare sospetti. Il finto sudo mostrava una richiesta della password quasi identica a quella originale, catturava quanto scritto e lo salvava in un file sotto il controllo degli aggressori. Solo a quel punto passava la parola chiave al vero programma sudo, lasciando che l’operazione proseguisse come se niente fosse. Un furto potenzialmente invisibile, insomma, perché l’utente non aveva alcun motivo concreto per immaginare un’intercettazione.
Secondo l’analisi di Unit 42 il file usato per custodire le credenziali si chiamava Solarwinds.StatusLog.txt. Un nome scelto con cura, che richiama un’attività dall’aspetto legittimo e serve a confondere chi dovesse ispezionare la macchina. I ricercatori precisano però di non aver trovato alcuna prova di una compromissione dell’infrastruttura SolarWinds. Quel riferimento era soltanto un espediente per depistare.
Perché il rischio è concreto e come difendersi
La pericolosità dell’attacco non nasce da una sofisticata imitazione dell’interfaccia grafica ma dalla possibilità di infilarsi nel normale flusso di lavoro dell’amministratore. Una password digitata correttamente può finire nelle mani sbagliate ancora prima che il programma autentico la verifichi. E se le credenziali rubate permettono operazioni privilegiate, l’intruso potrebbe usarle per allargare il proprio raggio d’azione, sempre in base ai permessi dell’account e alle difese presenti nel sistema.
Per scovare manipolazioni del genere gli amministratori dovrebbero includere i file di configurazione delle shell come .bashrc nelle verifiche di sicurezza, con un occhio di riguardo per alias inattesi e modifiche non autorizzate. Anche il confronto con copie affidabili della configurazione e il controllo dei processi che gestiscono l’autenticazione possono aiutare a far emergere comportamenti anomali.
C’è poi la questione della gestione delle credenziali. L’accesso amministrativo non andrebbe considerato sicuro solo perché il comando richiesto viene eseguito senza errori, e la verifica dell’integrità dell’ambiente deve affiancare i consueti controlli sugli account. Nel mondo Linux la fiducia negli strumenti quotidiani rischia di trasformarsi in un punto debole quando il sistema è già stato manomesso. Per questo una protezione efficace richiede controlli capaci di esaminare non solo ciò che l’utente lancia ma anche il percorso compiuto dai comandi prima di arrivare ai programmi legittimi.
Fonte: TecnoAndroid