Cosa ha scoperto la ricerca guidata da Proofpoint

Un'indagine congiunta di Proofpoint, Google Threat Intelligence Group, Microsoft Threat Intelligence Center e Volexity ha scoperto qualcosa che i ricercatori raramente vedono documentato con tanta chiarezza: diversi gruppi di hacker allineati a Stati hanno iniziato a usare lo stesso exploit zero-day precedentemente sconosciuto nel giro di pochi giorni l'uno dall'altro. Le quattro organizzazioni, che insieme coprono una quota enorme della visibilità globale sulle minacce informatiche, hanno messo in comune i loro risultati per confermare che non si trattava di una coincidenza né di un lento stillicidio di attività imitativa. È stata un'adozione quasi simultanea da parte di gruppi separati e non correlati, legati a Stati-nazione.

Questo tipo di ricerca con riferimenti incrociati è importante perché ciascuna di queste aziende generalmente monitora porzioni diverse del panorama delle minacce: Proofpoint si concentra molto sulle intrusioni via email e sull'infrastruttura di phishing, Google e Microsoft monitorano miliardi di endpoint e segnali cloud, e Volexity è specializzata nella risposta agli incidenti per obiettivi di alto valore. Quando tutte e quattro individuano indipendentemente lo stesso exploit che emerge in campagne non correlate all'incirca nello stesso momento, è un forte segnale che qualcosa è cambiato nel modo in cui l'exploit è diventato disponibile per più attori contemporaneamente, invece che ogni gruppo lo abbia scoperto da solo.

Perché più attori statali hanno adottato l'exploit così rapidamente

Storicamente, uno zero-day appena scoperto tende a rimanere nelle mani di un singolo gruppo, o di una cerchia ristretta e strettamente controllata, per settimane o mesi prima che avvenga un'adozione più ampia. Questo ritardo di solito si verifica perché gli zero-day sono costosi da sviluppare, pericolosi da esporre attraverso un uso eccessivo e preziosi proprio perché sono rari. Vedere diversi gruppi sostenuti da Stati adottare lo stesso exploit nel giro di giorni rompe questo schema e indica alcune probabili spiegazioni: l'exploit potrebbe essere stato venduto o condiviso attraverso una rete di broker che serve più clienti allineati a governi, essere trapelato da una pipeline di sviluppo condivisa, oppure essere stato riscoperto indipendentemente una volta che gli attacchi iniziali sono diventati abbastanza rumorosi da farli notare e reverse-engineerare da altri attori sofisticati.

Ognuno di questi scenari è degno di nota di per sé, ma insieme descrivono un ambiente di minaccia in cui la finestra tra "esiste una vulnerabilità" e "più governi la stanno sfruttando" si sta restringendo. Questa compressione è il vero titolo della notizia, non solo l'esistenza di un altro zero-day. Echeggia una tendenza più ampia che la community della sicurezza sta documentando, anche nella copertura delle vulnerabilità Siemens ROX II e di un'ondata di CVE Linux che hanno richiesto tutte un triage rapido attraverso tipi di infrastrutture molto diversi.

Chi è a rischio e quali sistemi sono presi di mira

I ricercatori coinvolti non hanno dettagliato pubblicamente ogni organizzazione colpita, ma il coinvolgimento di Volexity e la visibilità su scala aziendale di Google e Microsoft suggeriscono che l'exploit sia in grado di raggiungere obiettivi di alto valore: reti governative, grandi aziende e organizzazioni che si affidano a stack software ampiamente diffusi. I gruppi allineati a Stati generalmente non bruciano uno zero-day prezioso su obiettivi di basso valore, quindi il suo uso da parte di più attori implica che la vulnerabilità sottostante risieda in qualcosa ampiamente diffuso e che vale il rischio di esposizione.

Per gli utenti comuni, il rischio diretto è di solito indiretto. La maggior parte delle persone non è l'obiettivo principale dello spionaggio di Stati-nazione, ma spesso lo sono il software e i servizi che usano, i provider di email, le piattaforme cloud e gli strumenti aziendali. Quando circola uno zero-day come questo, le conseguenze possono alla fine toccare catene di fornitura, fornitori di servizi o chiunque i cui dati passino attraverso un sistema colpito.

Passi pratici per ridurre subito l'esposizione

Aspettare informazioni perfette su uno zero-day prima di agire è una strategia perdente. La risposta pratica è la stessa che i team di sicurezza ripetono da anni, e resta efficace proprio perché non dipende dal conoscere ogni dettaglio di uno specifico exploit:

  • Applicare le patch di sicurezza non appena i fornitori le rilasciano, e dare priorità ai sistemi esposti a Internet o che gestiscono dati sensibili.
  • Monitorare attentamente gli avvisi dei fornitori e i riepiloghi di threat intelligence nei periodi in cui è confermato lo sfruttamento attivo di zero-day, in modo simile alla rapida tempistica richiesta per la recente patch dello zero-day Chrome V8.
  • Stratificare le difese invece di affidarsi a un singolo controllo. Una VPN può aiutare a proteggere i dati in transito e ridurre l'esposizione su reti non attendibili, ma non fermerà un exploit che prende di mira direttamente un'applicazione vulnerabile, quindi dovrebbe essere abbinata a protezione degli endpoint, segmentazione della rete e forti controlli di accesso.
  • Restare informati attraverso riepiloghi di sicurezza regolari, poiché le divulgazioni di exploit e le tempistiche delle patch si muovono rapidamente e spesso vengono sepolte nel ciclo delle notizie, come si vede in coperture in corso come il riepilogo settimanale su Certighost e altre divulgazioni di zero-day.

Cosa significa per te

La maggior parte dei lettori non sarà presa direttamente di mira da un gruppo di hacker sostenuto da uno Stato, ma il software e i servizi da cui tutti dipendono possono comunque essere coinvolti nel fuoco incrociato. La vera lezione di questa ricerca non è l'esistenza di un'altra storia di exploit zero-day di hacker sostenuti da Stati; è la rapidità con cui quell'exploit si è diffuso tra più attori statali indipendenti. Questa velocità significa che le organizzazioni, e di conseguenza i loro utenti, hanno meno tempo che mai per applicare le patch prima che una vulnerabilità venga ampiamente weaponizzata. Prendi sul serio ogni notifica di patch critica e non dare per scontato che un ritardo di qualche giorno sia innocuo.

Punti chiave

La ricerca guidata da Proofpoint è un promemoria del fatto che gli exploit zero-day non restano più esclusivi a lungo una volta emersi. Per gli individui, questo significa mantenere il software aggiornato senza ritardi, prestare attenzione agli avvisi di sicurezza e usare protezioni a più livelli come una VPN insieme a, non al posto di, buone abitudini di patching. Per le organizzazioni, rafforza il valore della condivisione di threat intelligence tra fornitori, poiché è stata proprio quel tipo di collaborazione tra Proofpoint, Google, Microsoft e Volexity a esporre questo schema prima che passasse inosservato più a lungo. Restare aggiornati sui riepiloghi di sicurezza e sulle release delle patch rimane il modo più semplice ed efficace per evitare di diventare danni collaterali in un'operazione informatica di uno Stato-nazione.