Attacco a Linux: un falso sudo ruba le password modificando un solo file

Un gruppo di ricercatori di Unit 42, la divisione di threat intelligence di Palo Alto Networks, ha documentato una nuova tecnica di attacco informatico che sfrutta un comando fondamentale di Linux. L'obiettivo è rubare le password degli amministratori di sistema senza suscitare sospetti, intervenendo in modo subdolo sul flusso di autenticazione. La particolarità di questo metodo risiede nella sua minimalità: l'intero meccanismo si basa sulla modifica di un singolo file di configurazione della shell.

Cosa è uscito e come funziona la trappola

Il punto critico sfruttato dagli aggressori è il file .bashrc, che Bash legge all'avvio di una shell interattiva. I ricercatori hanno osservato che gli attaccanti sostituiscono il contenuto originale con una versione alterata, inserendo un alias malevolo associato al comando sudo. Quando l'utente digita il comando abituale per eseguire un'operazione con privilegi elevati, il sistema non invoca direttamente il programma legittimo, ma esegue prima il codice malevolo.

Questo falso comando mostra una richiesta di password identica a quella standard. L'utente, credendo di autenticarsi normalmente, digita le proprie credenziali. Il codice malevolo cattura queste informazioni e le salva in un file specifico, denominato Solarwinds.StatusLog.txt negli esempi analizzati. Solo successivamente, le credenziali vengono passate al vero sudo, permettendo all'operazione richiesta di completarsi con successo. Per l'amministratore, tutto appare regolare, mentre la password è già stata sottratta.

Il nome del file di log, che fa riferimento a Solarwinds, serve come depistaggio per confondere eventuali investigatori. I ricercatori hanno precisato di non aver trovato prove di una compromissione reale dell'infrastruttura Solarwinds, ma solo l'uso del nome per mascherare l'attività illecita.

Cosa significa per chi gestisce server in Italia

Per le aziende e i professionisti italiani che gestiscono infrastrutture Linux, questo scenario evidenzia un rischio concreto: la fiducia cieca nei comandi quotidiani può diventare un punto di debolezza. Se un ambiente è già stato compromesso a livello di shell, anche le operazioni più comuni possono diventare vettori di furto dati.

• Verifica dei file di configurazione: è fondamentale includere i file come .bashrc e .bash_profile nelle routine di audit di sicurezza, cercando alias inattesi o modifiche non autorizzate.
• Controllo dell'integrità: confrontare periodicamente i file di configurazione con copie note e affidabili può aiutare a rilevare alterazioni subdole.
• Gestione delle credenziali: non considerare sicuro un accesso solo perché il comando viene eseguito; è necessario verificare che il percorso del comando non sia stato manipolato.
• Monitoraggio dei processi: prestare attenzione ai processi che gestiscono l'autenticazione e ai file creati in directory insolite o con nomi ambigui.

La lezione principale è che la sicurezza non si limita a proteggere l'interfaccia grafica o il firewall, ma deve estendersi alla verifica dell'integrità degli strumenti di base. Un amministratore dovrebbe essere formato per riconoscere segnali anomali, come file di log con nomi inusuali o comportamenti imprevisti durante l'autenticazione. Per chi desidera approfondire le minacce informatiche, è utile consultare le nostre guide sulla sicurezza informatica disponibili nel magazine informatico.

Questa tecnica ricorda che in un ambiente Linux, dove la flessibilità è alta, anche le superfici di attacco sono ampie. La prudenza e la verifica costante restano le difese più efficaci contro minacce che sfruttano la routine degli utenti esperti.

Domande frequenti

Devo aggiornare subito la mia distribuzione Linux?

No, non si tratta di una vulnerabilità nel kernel o in un pacchetto specifico che richiede un patch immediato. È una tecnica di attacco che sfrutta la modifica manuale o automatica di file di configurazione utente. La difesa passa attraverso la vigilanza e gli audit di sistema, non attraverso un aggiornamento di sicurezza standard.

Perdo impostazioni o file se rimuovo l'alias malevolo?

No. Rimuovere l'alias malevolo dal file .bashrc ripristina il comportamento normale del comando sudo. Non ci sono conseguenze negative sulle altre impostazioni della shell o sui file di sistema, a patto di verificare che non vi siano altri meccanismi di persistenza installati dall'attaccante.

Questo attacco funziona anche su macOS o Windows?

La tecnica descritta è specifica per ambienti Linux che utilizzano Bash e il comando sudo. macOS, pur essendo basato su Unix, ha differenze nella gestione dei permessi e degli alias che rendono questa specifica vettore diverso. Windows utilizza meccanismi di elevazione dei privilegi completamente diversi (UAC), quindi non è soggetto a questo tipo di attacco diretto sulla shell.