Vulnerabilità Zero Day: Esempi, rilevamento e prevenzione

I punti chiave da prendere in considerazione

Le vulnerabilità zero-day sono falle sconosciute e prive di patch, sfruttate dagli aggressori prima che i fornitori possano correggerle.
Gli attacchi seguono un ciclo di vita che va dalla scoperta della vulnerabilità e dallo sviluppo dell'exploit fino alla consegna e all'esecuzione.
Il rilevamento richiede diversi metodi, tra cui la scansione delle vulnerabilità, il monitoraggio delle prestazioni e le segnalazioni degli utenti.
Gli obiettivi di alto valore come le organizzazioni governative, finanziarie e informatiche vengono attaccati di frequente, ma qualsiasi entità che detiene dati preziosi è a rischio.
La prevenzione prevede patch tempestive, un software di sicurezza robusto, controlli sull'accesso degli utenti e una caccia proattiva alle minacce.

Immaginate un'ombra in agguato all'interno del vostro software, una crepa invisibile nelle fondamenta, pronta a scattare prima ancora che qualcuno ne conosca l'esistenza. Questo è il vero pericolo delle vulnerabilità zero-day, falle precedentemente sconosciute in protocolli, software o applicazioni che non lasciano tempo per difendersi. Per definizione, non ci sono né patch né avvisi; gli hacker le sfruttano in libertà mentre gli sviluppatori e gli utenti restano all'oscuro, trasformando l'ignoto in un'arma.

Secondo Threat Intelligence Group di Googlenel 2024 gli aggressori hanno sfruttato 75 vulnerabilità zero-day, in calo rispetto alle 98 del 2023, ma comunque significativamente superiori alle 63 segnalate nel 2022. In particolare, 44% di questi zero-day ha preso di mira le piattaforme aziendali, rispetto al 37% del 2023, con quasi due terzi degli zero-day aziendali che hanno colpito prodotti di sicurezza e di rete. Nel frattempo, lo sfruttamento dei browser e dei dispositivi mobili è diminuito drasticamente: gli zero-days dei browser sono calati di circa un terzo e quelli dei dispositivi mobili di circa la metà rispetto all'anno precedente.

Ma cos'è esattamente una vulnerabilità zero-day? Lo scoprirete in questa guida. Continuate a leggere!

Che cos'è una vulnerabilità Zero Day?

Una vulnerabilità zero-day è una falla nascosta in software, hardware o protocolli che non è ancora stata scoperta o corretta dagli sviluppatori. Poiché non è disponibile alcuna correzione, gli aggressori hanno una finestra "zero-day" per sfruttare la debolezza prima che diventi di dominio pubblico. Questi exploit sono spesso accompagnati da codice dannoso e vengono talvolta definiti "attacchi zero-day" o "day-0 exploit".

Le vulnerabilità zero-day sono pericolose perché consentono agli aggressori di avere il sopravvento: le organizzazioni non sono a conoscenza della falla, non esistono aggiornamenti di sicurezza e le difese tradizionali possono non rilevare la minaccia.

I termini vulnerabilità zero-day, exploit zero-day e attacco zero-day sono spesso usati in modo intercambiabile, ma non hanno lo stesso significato. Ognuno di essi rappresenta una fase diversa del ciclo di vita di una falla di sicurezza, dalla debolezza nascosta in sé agli strumenti che la sfruttano fino all'attacco reale che provoca danni:

Vulnerabilità zero-day → la falla non scoperta nel sistema.
Sfruttamento zero-day → il metodo o il codice che gli hacker utilizzano per sfruttare la falla.
Attacco zero-day → l'attacco informatico vero e proprio effettuato utilizzando l'exploit.

Una volta che una vulnerabilità è stata scoperta e patchata, non si qualifica più come zero-day.

Esempi chiave

Le vulnerabilità zero-day sono all'origine di alcuni dei più dannosi attacchi informatici della storia. Queste falle, spesso inosservate per anni, offrono agli aggressori una finestra critica per rubare dati, interrompere servizi o installare malware prima che sia disponibile una soluzione.

Ecco alcuni esempi significativi:

Heartbleed (2014): Una falla in OpenSSL che permetteva agli aggressori di rubare dati sensibili come le chiavi private direttamente dalla memoria del server.
Shellshock (2014): Una vulnerabilità nella shell Bash che consentiva agli aggressori remoti di eseguire comandi arbitrari su sistemi Linux e macOS.
Violazione Equifax (2017): Gli hacker hanno sfruttato una vulnerabilità di Apache Struts per rubare i dati di 145 milioni di persone, compresi i numeri di previdenza sociale.
WannaCry (2017): Un worm ransomware che sfrutta una falla di Windows SMB (EternalBlue) e che ha infettato oltre 300.000 sistemi in tutto il mondo.
Attacchi malware agli ospedali: I fornitori di servizi sanitari come l'Hollywood Presbyterian Medical Center sono stati colpiti da campagne di ransomware e phishing, spesso alimentate da exploit zero-day.

Obiettivi comuni

Un exploit zero-day può prendere di mira qualsiasi individuo o organizzazione che possa portare loro dei profitti. Gli obiettivi più comuni sono:

Obiettivi di alto valore, tra cui agenzie governative, istituzioni finanziarie e strutture sanitarie.
Aziende con scarsa sicurezza informatica.
Aziende che registrano i dati degli utenti come nomi, contatti, dati finanziari, indirizzi, numeri di previdenza sociale, dati medici, ecc.
Aziende che gestiscono dati riservati.
Aziende che sviluppano software e hardware per i clienti.
Aziende che lavorano per il settore della difesa.

Questo tipo di attacco strategico può allungare la durata dell'attacco e diminuire la probabilità che la vittima trovi una vulnerabilità. Ad esempio, il gigante del cloud computing Rackspace ha annunciato pubblicamente che gli hacker hanno avuto accesso ai dati personali di 27 clienti. 27 clienti durante un attacco ransomware che ha sfruttato un exploit zero-day.

Perché le vulnerabilità Zero Day sono così pericolose?

Le vulnerabilità zero-day sono particolarmente pericolose perché si trovano in una fase intermedia tra la scoperta e la difesa. In questa fase, la falla è sconosciuta al fornitore del software, non viene rilevata dai sistemi di sicurezza e non viene corretta dagli utenti. Questo fa sì che gli aggressori abbiano la possibilità di colpire prima che le difese siano pronte.

I pericoli principali degli exploit zero-day:

Non esiste una patch: Poiché la falla non è stata scoperta, i fornitori non hanno rilasciato una correzione. Le organizzazioni rimangono vulnerabili finché non viene sviluppata e distribuita una patch.
Alta probabilità di successo: Le difese tradizionali, come l'antivirus o il rilevamento delle intrusioni, si basano su firme di minacce note. Gli Zero-day li aggirano, offrendo agli aggressori un percorso diretto all'interno.
Difesa reattiva e proattiva: I difensori spesso non sanno dell'esistenza di uno zero-day finché non viene sfruttato attivamente. A quel punto, gli aggressori potrebbero già aver rubato dati, installato malwareo interrotto le operazioni.
Valore strategico per gli hacker: I gruppi di criminali informatici avanzati spesso riservano gli zero-day a obiettivi di alto valore, come governi, imprese o infrastrutture critiche, massimizzando i danni e l'impatto.

A causa di queste caratteristiche, gli exploit zero-day portano spesso a violazioni di dati, perdite finanziarie, danni alla reputazione e tempi di recupero prolungati. Il pericolo risiede nel fatto che i difensori non hanno alcun vantaggio e la corsa alla risposta inizia solo quando l'attacco è già in corso.

Prevenire le vulnerabilità zero-day con PowerDMARC!

Prova di 15 giorni Prenota una demo

Il ciclo di vita di un Exploit Zero Day

Un exploit zero-day non compare da un giorno all'altro. È un processo che segue un ciclo di vita che determina per quanto tempo gli aggressori possono sfruttare la falla prima che i difensori la raggiungano. Ogni fase rappresenta un punto critico nella linea temporale in cui l'equilibrio di potere si sposta tra gli attaccanti e i team di sicurezza.

Fase 1: Scoperta

Il ciclo di vita inizia quando una falla viene scoperta per la prima volta. Ciò può avvenire in due modi principali:

Scoperta malevola: Gli attori delle minacce scansionano e testano attivamente software, hardware o protocolli, alla ricerca di punti deboli. Possono utilizzare strumenti di fuzzing, reverse engineering o metodi di forza bruta per innescare comportamenti inaspettati.
Scoperta benigna: I ricercatori di sicurezza o gli hacker etici identificano le vulnerabilità durante gli audit, i test di penetrazione o i programmi di bug bounty.

A questo punto, lo scopritore decide cosa fare:

Segnalare responsabilmente al fornitore in modo che possa essere sviluppata una soluzione.
Sfruttare direttamente per guadagno personale o per sabotaggio.
Vendere la vulnerabilità sui mercati del dark web, dove gli zero-days possono fruttare centinaia di migliaia o addirittura milioni di dollari a seconda dell'obiettivo (ad esempio, iOS, software aziendali o infrastrutture critiche).

Fase 2: creazione di exploit

Una volta che la falla è nota, gli aggressori iniziano a preparare un exploit, codice dannoso progettato per sfruttare la vulnerabilità. Questa è la fase di armamento:

L'exploit è scritto per colpire con precisione la falla, iniettando codice, aggirando i controlli di sicurezza o eseguendo comandi non autorizzati.
Gli aggressori più avanzati possono concatenare più zero-day insieme per un attacco a più livelliaumentando in modo significativo l'impatto.

A questo punto, la vulnerabilità si è trasformata da un bug sconosciuto in una minaccia operativa.

Fase 3: infiltrazione

Una volta pronto l'exploit, gli aggressori devono trovare un modo per distribuirlo all'ambiente di destinazione. I vettori di consegna più comuni includono:

Phishing e spear-phishing e-mail con allegati infetti o link dannosi.
Download drive-by su siti web compromessi, dove la semplice visita della pagina attiva l'exploit.
Software o aggiornamenti troianizzati, in cui applicazioni dall'aspetto legittimo vengono fornite in bundle con exploit nascosti.
Supporti rimovibili (unità USB, ecc.), soprattutto in caso di attacchi mirati contro sistemi protetti dall'aria.

La fase di infiltrazione determina se l'exploit raggiunge un vasto pubblico (campagne di massa) o un obiettivo specifico di alto valore (spionaggio o sabotaggio).

Fase 4: Sfruttamento ed esecuzione

Una volta consegnato, l'exploit viene eseguito sul sistema di destinazione. È qui che l'attacco diventa visibile, anche se spesso troppo tardi. A seconda dell'intento dell'attaccante, l'exploit può:

Installare malware o ransomware per crittografare i file e richiedere un riscatto.
Creare backdoor per l'accesso remoto persistente.
Escalation dei privilegi, dando agli aggressori il pieno controllo del sistema.
Esfiltrare dati sensibili come la proprietà intellettuale, i registri finanziari o le informazioni personali.
Interrompere le operazioni attraverso il denial-of-service o la manipolazione del sistema.

A questo punto, l'exploit zero-day sta attivamente causando danni.

Come rilevare una vulnerabilità zero-day?

L'individuazione delle vulnerabilità zero-day è una delle sfide più complicate della cybersecurity perché, per definizione, queste falle sono sconosciute ai fornitori e agli strumenti di sicurezza tradizionali.

Il rilevamento si divide tipicamente in due approcci: il rilevamento proattivo, in cui le organizzazioni vanno attivamente a caccia di falle nascoste prima che vengano sfruttate, e il rilevamento reattivo, in cui i difensori identificano attività sospette o prove di un attacco in corso.

Scoperta proattiva

I metodi proattivi mirano a scoprire le vulnerabilità prima che gli aggressori possano utilizzarle come armi:

Fuzzing: L'immissione di input inattesi o casuali nel software per innescare crash o comportamenti anomali che possono rivelare falle sconosciute.
Scansione basata sulle anomalie: Utilizzo di strumenti di scansione avanzati per rilevare modelli insoliti o risposte del sistema che non corrispondono al comportamento previsto.
Ingegneria inversa: Scomposizione del codice di un software o di un malware per scoprire vulnerabilità nascoste o per capire come funziona un exploit.

Rilevamento reattivo

Quando uno zero-day sfugge alle misure proattive, le tecniche reattive aiutano a scoprirlo dopo che lo sfruttamento è iniziato:

Monitoraggio basato sul comportamento: Tracciamento di attività insolite del sistema o della rete, come picchi di traffico inspiegabili, escalation di privilegi o anomalie di processo, che possono indicare uno sfruttamento.
Retro hunting: Ricerca nei registri storici o nei dati di intelligence sulle minacce per identificare i segni di un exploit zero-day precedentemente attivo.
Analizzare le segnalazioni degli utenti: Raccolta e analisi dei reclami degli utenti, come crash frequenti o errori anomali, che possono segnalare lo sfruttamento di una falla non ancora scoperta.

Come prevenire gli exploit Zero-Day

Sebbene sia impossibile prevenire completamente gli attacchi zero-day a causa della loro natura, diverse best practice possono ridurre significativamente il rischio e l'impatto:

Mantenere aggiornati software e sistemi: Applicare tempestivamente patch e aggiornamenti. Sebbene questo non impedisca gli attacchi zero-day (poiché la patch non esiste ancora), chiude le vulnerabilità note che gli aggressori potrebbero concatenare con un exploit zero-day. Le versioni aggiornate risolvono anche bug minori che potrebbero essere sfruttabili.
Utilizzare un software di sicurezza completo: Utilizzare soluzioni di sicurezza a più livelli, tra cui antivirus di nuova generazione (NGAV), endpoint detection and response (EDR), firewall e sistemi di prevenzione delle intrusioni (IPS). Questi strumenti spesso utilizzano il rilevamento basato sul comportamento e l'euristica che a volte possono identificare o bloccare le attività di exploit zero-day anche senza una firma specifica.
Limitare l'accesso e i privilegi degli utenti: Implementare il principio del minimo privilegio. La limitazione dei permessi dell'utente garantisce che, anche se un account viene compromesso tramite un exploit zero-day, l'accesso e il danno potenziale dell'aggressore siano limitati. Usare allowlisting o blocklisting per controllare l'esecuzione delle applicazioni.
Segmentazione della rete: Dividere la rete in segmenti più piccoli e isolati. In questo modo è possibile contenere la diffusione del malware introdotto tramite un exploit zero-day, limitando la portata dell'attacco.
Firewall per applicazioni Web (WAF): Per le applicazioni rivolte al web, i WAF possono filtrare, monitorare e bloccare il traffico HTTP/S dannoso, mitigando potenzialmente gli exploit zero-day basati sul web.
Backup regolari: Mantenere backup regolari e testati dei dati critici. Questo non impedirà un attacco, ma è fondamentale per il recupero, soprattutto in caso di ransomware distribuito tramite exploit zero-day.
Formazione sulla consapevolezza della sicurezza: Educare gli utenti al phishing, all'ingegneria sociale e alle abitudini di navigazione sicure per ridurre le possibilità di successo degli exploit.

Parole finali

Le vulnerabilità zero-day rappresentano una delle minacce più pericolose per la sicurezza informatica perché sfruttano falle di cui nessuno è ancora a conoscenza, lasciando le organizzazioni senza patch, difese o avvisi. Dalla scoperta allo sfruttamento, gli aggressori sono in vantaggio e gli strumenti di sicurezza tradizionali spesso non sono all'altezza.

La chiave per mitigare questo rischio risiede in una difesa stratificata e proattiva: combinare la scoperta delle vulnerabilità, il monitoraggio in tempo reale, le informazioni sulle minacce e la gestione rapida delle patch. Anche se nessuna soluzione può bloccare tutti gli exploit zero-day, la creazione di una solida struttura di sicurezza riduce significativamente l'esposizione e migliora la resilienza.

Proteggete la vostra organizzazione dalle minacce zero-day basate sulle e-mail, come phishing, spoofing e impersonificazione. Contattate PowerDMARC oggi stesso per scoprire come bloccare il vostro dominio e-mail con DMARC, SPF e DKIM.

Domande frequenti

Chi trova le vulnerabilità zero-day?

Possono essere scoperti da hacker, ricercatori di sicurezza o persino da gruppi sponsorizzati dallo Stato.

Quante sono le vulnerabilità zero-day?

I numeri esatti non sono noti, ma Google ne ha individuati 75 nel 2024, dopo 98 nel 2023 e 63 nel 2022.

Informazioni su
Ultimi messaggi

Ahona Rudra

Esperto di sicurezza dei domini e delle e-mail presso PowerDMARC

Ahona è la Marketing Manager di PowerDMARC, con oltre 5 anni di esperienza nella scrittura di argomenti di cybersecurity, specializzata in sicurezza dei domini e delle e-mail. Ahona ha conseguito una laurea in Giornalismo e Comunicazione, consolidando la sua carriera nel settore della sicurezza dal 2019.

Ultimi messaggi di Ahona Rudra (vedi tutti)