Quando diversi gruppi di hacker utilizzano contemporaneamente la stessa vulnerabilità sconosciuta, la domanda non riguarda più soltanto chi ha trovato la falla. Proofpoint ha osservato almeno quattro gruppi di cyber-spionaggio, molti collegati all’intelligence cinese, utilizzare dalla fine di agosto lo stesso exploit kit contro Google Chrome. Il toolkit è stato battezzato BlueMoon.
Gli obiettivi riportati includono contractor della difesa statunitense, organizzazioni non governative e agenzie governative del Sud-est asiatico. Google ha corretto la vulnerabilità, ma la campagna mostra una caratteristica sempre più importante dello spionaggio digitale: gli exploit possono essere condivisi, acquistati o distribuiti come componenti di una filiera.
Uno zero-day è un bene scarso
Una vulnerabilità non ancora conosciuta dal produttore ha valore perché permette di attaccare sistemi prima che esista una patch. Scoprirla e trasformarla in un exploit affidabile richiede competenze costose. Vederla nelle mani di più gruppi in un periodo ristretto suggerisce una forma di coordinamento o un fornitore comune.
Non è necessario che gli operatori appartengano alla stessa unità. Governi possono utilizzare contractor, broker e aziende specializzate, creando un ecosistema più difficile da attribuire.
Il browser è diventato un sistema operativo
Chrome contiene email, documenti, applicazioni aziendali e sessioni autenticate. Compromettere il browser significa entrare nel punto in cui convergono identità e dati cloud, spesso senza dover violare direttamente un server.
Per questo gli zero-day dei browser sono tra le armi più preziose. La superficie è enorme e gli utenti li utilizzano continuamente.
Patchare rapidamente riduce la finestra
Una volta che la vulnerabilità è pubblica, lo zero-day diventa un n-day: altri attaccanti possono studiare la patch e costruire exploit propri. La velocità di aggiornamento diventa quindi parte della difesa.
Il caso BlueMoon racconta un cyber-spazio sempre più industrializzato. Le armi digitali non sono necessariamente create e utilizzate dallo stesso soggetto; possono viaggiare attraverso reti di fornitori, proprio come qualsiasi altra tecnologia strategica.
