Secondo il rapporto annuale sulla Cybersecurity del 2024 di Yoroi, parte del gruppo Tinexta, ben il 58% degli attacchi informatici riusciti nel corso del 2023 è stato causato proprio dai cosiddetti attacchi “0-Day”. Una vulnerabilità zero day è una situazione abbastanza complicata da rivelare e da risolvere perché gli attaccanti mirano a falle di sistema non ancora note agli sviluppatori.
Vediamo, quindi, più nel dettaglio cosa si intende con questo termine e cosa è possibile fare per proteggere la tua organizzazione dagli attacchi non ancora pubblicamente noti.
Che cosa sono le vulnerabilità zero day?
Le vulnerabilità zero day rappresentano delle falle di sicurezza in software o sistemi che vengono scoperte prima che il produttore o sviluppatore ne sia a conoscenza o che abbia rilasciato una loro correzione.
Il termine “zero day” si riferisce al fatto che si hanno “zero giorni” per intervenire prima che l’exploit venga utilizzato in attacchi reali. Queste vulnerabilità possono essere estremamente pericolose, in quanto gli attaccanti le sfruttano in modo molto rapido, spesso vendendole sul mercato nero o utilizzandole direttamente per compromettere dati sensibili o infrastrutture critiche.
Gli attacchi che sono conseguenti alla scoperta da parte degli hacker delle vulnerabilità zero day sono conosciuti anche come zero-day exploit.
Riportiamo di seguito una breve tabella che ti aiuterà a comprendere meglio le varie tipologie di termini:
| Termine | Presenza del Difetto Scoperta | Patch di Risoluzione Disponibile | Metodo di Sfruttamento Noto | Attacco Eseguito |
| Vulnerabilità Zero Day | Sì | No | – | – |
| Exploit Zero Day | Sì | No | Sì | – |
| Attacco Zero Day | Sì | No | Sì | Sì |
Gli attacchi zero day più famosi
Nel corso della storia moderna, ci sono stati numerosi e noti esempi di attacchi informatici che hanno sfruttato delle vulnerabilità zero-day. Alcuni tra i più famosi sono:
- Stuxnet: Questo worm informatico ha preso di mira i sistemi SCADA (Supervisory Control and Data Acquisition) utilizzando diverse vulnerabilità presenti nel sistema operativo Windows. Stuxnet ha provocato danni enormi al programma nucleare iraniano, distruggendo circa un quinto delle centrifughe nucleari del Paese e infettando circa 200.000 computer.
- Attacco a Sony: Nel 2014, Sony Pictures è stata vittima di uno degli attacchi zero day più famosi a livello globale. Gli hacker sono riusciti a sfruttare una vulnerabilità che gli ha consentito di entrare nei sistemi dell’azienda e di rubare una grande quantità di dati sensibili. Tra le informazioni trapelate vi erano copie di film inediti, piani aziendali, accordi commerciali e scambi di e-mail tra i vertici aziendali.
- Dridex: Nel 2017, una vulnerabilità in Microsoft Word è stata sfruttata per distribuire il malware Dridex. Questo trojan, nascosto all’interno di allegati Word, veniva attivato nel momento in cui le vittime scaricavano il file e consentiva ai criminali di commettere delle frodi bancarie.
- Vulnerabilità di Firefox: Nel 2020, è stata scoperta una falla nel browser Firefox che permetteva agli hacker di inserire ed eseguire del codice malevolo nella memoria del browser. Anche se gli sviluppatori hanno rilasciato rapidamente una patch di emergenza, alcuni attacchi sono stati comunque portati a termine prima dell’effettiva correzione.
- Google Chrome: Nel 2021, Chrome ha affrontato diverse minacce zero-day, con ben tre patch di emergenza rilasciate nel corso dell’anno. Una di queste vulnerabilità consentiva agli aggressori di eseguire del codice da remoto e di orchestrare degli attacchi DDoS sui dispositivi colpiti.
Come proteggersi dalle vulnerabilità zero day?
Per proteggersi dalle vulnerabilità zero day, è importante adottare una serie di misure preventive che possano ridurre al minimo il rischio di compromissione dei sistemi e della sicurezza dei dati aziendali:
- Aggiornare regolarmente il software: assicurarsi che tutti i software e i sistemi operativi siano sempre aggiornati con le ultime patch di sicurezza è fondamentale per risolvere le vulnerabilità che potrebbero essere sfruttate dagli attacchi 0-Day.
- Monitoraggio continuo: l’implementazione di soluzioni che permettano un monitoraggio costante e la protezione della rete aziendale è cruciale per rilevare il prima possibile delle attività sospette o delle anomalie. Identificare un attacco 0-Day in modo tempestivo consente, infatti, di minimizzare i danni e di intervenire prontamente.
- Sicurezza stratificata: adottare un approccio di sicurezza che comprenda l’uso di firewall, antivirus, sistemi di rilevamento e autenticazione multifattoriale aiuta a creare una difesa più robusta contro qualsiasi tipologia di attacco informatico.
- Formazione degli utenti: sensibilizzare e formare i dipendenti sulla cybersecurity, con particolare attenzione al riconoscimento di potenziali minacce (come email di phishing), è essenziale per prevenire gli attacchi zero day basati sull’ingegneria sociale.
- Gestione delle vulnerabilità: adottare un processo strutturato per la gestione delle vulnerabilità, che comprenda l’identificazione, la valutazione e la mitigazione rapida delle falle nei sistemi e nelle applicazioni, è molto importante al fine di definire le modalità di risposta a un potenziale attacco. Queste misure includono l’esecuzione periodica di penetration test e la definizione di strategie di Disaster Recovery, oltre che di Business Continuity.
Come rilevare un attacco zero day?
Rilevare un attacco zero-day è una sfida abbastanza complicata, poiché, come abbiamo visto sopra, queste minacce sfruttano delle vulnerabilità sconosciute che non sono ancora state corrette dai produttori dei vari software.
Ci sono, però, diverse tecniche che possono essere adottate al fine di individuare per tempo i potenziali segnali d’allarme e di mitigare l’impatto di queste azioni malevole.
Un metodo efficace è il monitoraggio basato sul comportamento, che consente di osservare l’attività di rete e dei sistemi con l’obiettivo di individuare delle operazioni anomale. Ad esempio, se un server inizia improvvisamente a comunicare con indirizzi esterni non riconosciuti, ciò potrebbe essere il segnale di una potenziale compromissione.
Anche l’analisi dei file può offrire un valido contributo: alcuni strumenti di sicurezza avanzati sono in grado di esaminare i file sospetti in ambienti isolati chiamati “sandbox”. Qui, gli applicativi vengono eseguiti in sicurezza per verificare se mostrano dei segni di comportamento dannoso, senza mettere a rischio il sistema reale.
Le tecniche basate su firme tradizionali, che identificano dei malware conosciuti, non sono di grande aiuto con gli attacchi zero-day. Tuttavia, possono essere combinate con altre strategie al fine di migliorare la capacità complessiva di difesa.
Un approccio di rilevamento ibrido rappresenta, quindi, la soluzione ideale per identificare prontamente un attacco a zero giorni.
Hai bisogno di un aiuto nella definizione di un piano di continuità aziendale che ti permetta di definire la strategia di risposta a un azione malevola causata da una vulnerabilità zero day? Prenota subito la tua call gratuita con un nostro esperto!
