Il rischio dell’“apocalisse informatica”

L’Agenzia per la cybersicurezza nazionale parla di “una vasta e diversificata superficie di attacco sulla totalità della Rete”, definendo la situazione “particolarmente grave”. In altre parole, Internet è in pericolo, la sua sicurezza è compromessa. Ecco perché. A trovarsi improvvisamente col fianco scoperto sono tutti i software e le applicazioni scritti in Java, il linguaggio di programmazione più usato al mondo: miliardi di programmi e applicazioni, dai server agli smartphone. E le conseguenze potrebbero essere ancora peggiori se nei prossimi giorni non si dovessero individuare delle soluzioni a Log4Shell, così è stata chiamata la vulnerabilità, con il rischio di compromettere la sicurezza non solo di server e aziende, ma anche dei di smartphone, computer, insomma, tutti i device in circolazione. Tanto da portare alcuni esperti a parlare di “Apocalisse informatica”.

Cosa è successo: “I ricercatori hanno scoperto una vulnerabilità in Log4j, una libreria usata dalla stragrande maggioranza programmatori di software con linguaggio Java che consente di scrivere nel software quelli che vengono chiamati ‘log’, ovvero degli ‘status’ del software stesso che permettono di fotografare un momento dello sviluppo del software stesso, registrando stati di avanzamento, perfomance, problemi e soluzioni”, spiega all’Agenzia Agi Marco Ramilli, amministratore delegato di Yoroi.

La vulnerabilità è nei tag di questi log, che un po’ come i tag dei blog o quelli su Twitter consentono di individuare il tipo di log che si è scritto in precedenza. “Si è scoperto che uno di questi tag consente consente di eseguire un comando, lanciare un programma”, continua Ramilli. Qualsiasi tipo di comando o di programma. Riesce a dire alla macchina: ‘Fai questo’. Un attaccante può quindi attraverso questo tag far eseguire alla macchina quello che vuole. Può lanciare codice sulla macchina.

Ma per fare cosa? “Qualsiasi cosa. In questo momento quello che vediamo è che gli attaccanti usano questa vulnerabilità per fare attività di mining di criptovalute”, ovvero quell’operazione che consente di creare bitcoin, attività particolarmente complessa e bisognosa di capacità di calcolo e energia. “Ma potrebbero fare qualsiasi cosa: entrare nei server di un’azienda, vedere quello che c’è dentro, rubare segreti industriali oppure decidere di sferrare degli attacchi ransomware per monetizzare il proprio controllo dei sistemi”, ragiona Ramilli, che ammette di aver visto un attacco di questo tipo “circa cinque, otto volte negli ultimi 20 anni”.

In dettaglio, cos’è Log4j? “Se usi Java, probabilmente usi Log4j”, spiega ad Agi Matteo Flora, esperto di sicurezza informatica e amministratore delegato di TheFool. “È lo standard de facto per chiunque usi Java” per programmare. “È ovunque, dalle Tesla, a Twitter, a Facebook, ai sistemi di controllo numerico fino agli iPhone. Quella che è uscita è una vulnerabilità non ancora risolta”. Cosa succede quindi? “Nel caso peggiore è un po’ l’Apocalisse informatica: se non viene risolta questa vulnerabilità si dà la possibilità di lanciare comandi. E già stiamo vedendo in giro criptominer e accessi abusivi. Il problema è che molta di questa roba è embedded, quindi non ci sono sistemi veloci di aggiornamento. In più è ovunque”.

Ramilli invece usa una metafora: “Il logging come quello di Log4j è un po’ come il testo di un attore seguito sul palcoscenico: serve per seguire una traccia, oppure tornare indietro a un punto preciso se si vuole lavorare su un errore”. Una traccia da seguire, e eseguire. In uno dei suoi passaggi però c’è la possibilità di far cambiare completamente trama al testo, e di scriverne una propria. A proprio piacimento. Java è su circa 3 miliardi di dispositivi. E Log4j, sviluppato da Apache, è usato da quasi tutti i programmatori. Per dare un’idea del suo utilizzo e della sua affidabilità basti pensare che anche Ingenuity, l’elicottero della Nasa atterrato sul suolo di Marte lo scorso febbraio, ha un software che usa Log4j, come la stessa Apache ha reso noto sul proprio profilo Twitter.

Ma non c’è bisogno di andare su Marte per capire l’enorme utilizzo di questo linguaggio di programmazione. In queste ore centinaia, forse migliaia di hacker in tutto il mondo stanno cercando di individuare nei software e nei server questa vulnerabilità per prenderne possesso e sferrare attacchi. Il rischio più grande al momento lo corrono le aziende e le organizzazioni, più o meno grandi. Situazione resa ancora peggiore dal fatto che spesso è difficile capire se nello sviluppo dei propri software è stato utilizzato Log4j, da chi, e quando. Sulla graticola però non ci sono solo le aziende e le istituzioni. Perché il problema potrebbe presto riguardare anche il singolo utente, un possessore di smartphone, o di uno smartwatch.