E siamo a due. Dopo che ad Aprile gli utenti hanno tremato sotto la minaccia del bug HeartBleed, ora è il turno di un nuovo grave problema di sicurezza chiamato ShellShock.
ShellShock è una nuova falla che impegnerà gli esperti di sicurezza informatica per un bel po’. E questa volta il problema sembra più grave del solito. Grave per il fatto che ad essere aggrediti sono i sistemi Unix e derivati. E’ la “BASH” (la shell di comando su Unix/Linux) ad essere violata, per dare poi spazio all’attacco vero e proprio.
Il fatto forse più grave è legato alla tipologia di macchine che utilizzano Unix/Linux: i Server. Infatti su quelli che gestiscono uffici e aziende, banche o industrie oltre quelli che governano Internet, gestiscono sistemi di e-commerce, mail e altro ancora, Unix è il protagonista n°1. In realtà anche i sistemi Android sono vulnerabili all’attacco di shellshock. La vulnerabilità che shellshock porta, difficilmente riguarderà l’utilizzatore privato, che non è di grande interesse per chi sviluppa sistemi malevoli di questo tipo; le vittime principali restano i siti web, magari di e-commerce, dove circolano dati sensibili come carte di credito, o sistemi informatici di banche, enti, industrie.
Chiaro che, aprendo un canale di comunicazione che permette di prendere il controllo della macchina attaccata, shellshock rende automaticamente vulnerabili anche tutte le apparecchiature che si occupano della connettività, come router, o peggio come per i sistemi di storage, come server NAS. Per assurdo, dato che la shell BASH viene utilizzata anche dai sistemi informatici che governano auto, aerei, e altri sistemi montati su mezzi di trasporto, il problema sarà anche di questi. La possibilità di avere il controllo di qualunque sistema Unix/Linux che utilizza tale shell quindi non lascia certo tranquilli gli amministratori della sicurezza, che per ora possono solo correre ai ripari.
Per tamponare provvisoriamente il problema, in attesa di strumenti adeguati definitivi, è consigliato come prima cosa aggiornare i sistemi che utilizzano versioni obsoleti dei software installati. Questo in realtà non vale solo per shellshock, ma ora, a maggior ragione, va fatto. Bisogna poi verificare la presenza di un sistema IPS aggiornato, (Intrusion Prevention System) con nuove regole a livello web per bloccare le stringhe e le operazioni incriminate. Un Firewall dotato di IPS ad sesmpio, permette di bloccare il traffico non desiderato che arriva da internet schermando il sistema da attacchi di questo tipo. Vanno aggiornati i sistemi operativi dove possibile, e installate le varie patch sviluppate per arginare il problema in questo periodo. Certo, non sarà possibile agire in questo modo su tutti i dispositivi, dove la falla resterà aperta, almeno per ora.
I principali produttori di antivirus stanno mettendo in rete numerose informazioni, e qualche tool per rilevare l’eventuale presenza del bug shellshock. In realtà, non essendo un virus, ma un bug, non esiste antivirus a rimedio. E’ necessario, come detto sopra, installare gli aggiornamenti e le patch. Linux e Unix infatti, eccetto per casi ristretti come la scansione delle mail ad esempio, non fanno uso di antivirus per il proprio sistema. Chiaro che parlare di virus e non di bug alimenta un interesse maggiore al problema, comunque esistente. La quantità di sistemi che utilizzano Unix, nello specifico di LINUX, è di oltre il 50%, presente in particolare sui server web installati nel mondo, il che giustifica questo allarmismo. Si parla infatti di oltre 500 milioni di siti internet che diventerebbero immediatamente vulnerabili.
Nel frattempo Google, Amazon e Apple sono già corse ai ripari, sistemando le falle che erano presenti sui loro sistemi: Google ha applicato delle correzioni sui suoi sistemi, Amazon ha dato delle linee guida per i suoi server Web e Apple a breve rilascerà un aggiornamento, nonostante abbia dichiarato che i suoi sistemi non sono vulnerabili a shellshock, a meno di non aver modificato le impostazioni di fabbrica.
Ma perché si è venuti a conoscenza di questa falla con tutto questo ritardo? Si parla infatti, di un prodotto presente da tantissimi anni. Si sospetta che, dato il silenzio in tutto questo tempo e l’omissione della conoscenza di tale falla, qualcuno dalle alte sfere abbia voluto “sfruttare” questo bug per poter controllare i sistemi informatici più allettanti. Ma questo è argomento per i complottisti, noi di in3click.tv ci limitiamo a riportare solo la notizia, nella speranza si risolva al più presto.
