Shellshock, bug che minaccia il Web. Cos’è, come funziona

Pubblicato il 29 settembre 2014 9:37 | Ultimo aggiornamento: 29 settembre 2014 9:40
Shellshock, bug che minaccia il Web. Cos'è, come funziona

Shellshock, bug che minaccia il Web. Cos’è, come funziona

ROMA – L’hanno ribattezzata “Shellshock” (come la nevrosi che affligge i reduci di guerra) l’ultima falla, l’ultimo errore di programmazione che mette a rischio, potenzialmente, tutti i computer del mondo.

“Per tappare la falla ci vorranno anni” dicono gli esperti. Gli hacker, i pirati informatici scandagliano sempre il sistema in cerca di nuovi bug da sfruttare per accedere o sabotare computer o server. Questa falla è presente in Bash, una shell di Unix sviluppata nel 1989 e poi usata per tutti i sistemi operativi: GNU,  Linux, Mac OS X, Android, Windows e altri sistemi operativi.

La Shell, ovvero quella parte del sistema operativo che permette di interagire con il sistema stesso, può essere così hackerata dando comandi e avviando programmi.  Il pirata informatico potrebbe richiamare la shell senza che il possessore del computer se ne accorga.

 

Il rischio più elevato è che gli hacker potrebbero sfruttare l’errore per rubare una quantità indefinita di dati personali.

Secondo Trend Micro, azienda di software di sicurezza, sono circa 500 milioni i  web-server, cioè i computer nei quali sono memorizzati i siti che navighiamo ogni giorno, a rischio.

Un esperto di sicurezza, Kenn White, ha dichiarato: “Porca vacca! Ci sono un sacco di siti .mil e .gov che stanno per essere attaccati”.

Il National Institute of Standard and Technology valuta la pericolosità di Shellshock pari a 10/10.

“È un bug molto poco usuale, presente in un’oscura caratteristica di un programma al quale i ricercatori non hanno mai prestato attenzione precisamente perché nessuna persona ragionevole si aspetterebbe possa causare un malfunzionamento di questo tipo”, ha spiegato l’esperto in sicurezza informatica Michal Zalewsky. Persino il Dipartimento per la sicurezza nazionale degi Stati Uniti (Homeland Security, DHS) ha pubblicato un allarme a riguardo.

C’è però tra gli esperti chi minimizza il problema: “Non entrerà nella top ten dei metodi usati dagli hacker quest’anno”.

“I sistemi basati su Unix sono usati soprattutto per i server su internet, da aziende di ogni tipo, come banche, industrie, siti di e-commerce, blog – spiega Gastone Nencini, country Manager di Trend Micro, azienda che si occupa da anni di sicurezza informatica, intervistato dalla Stampa-  Ma attenzione, in teoria è vulnerabile anche Android, che si basa sullo stesso software”.

Vulnerabile significa che chiunque può entrare nel computer? “No, a un utente normale difficilmente succederà: i dati di un singolo non sono quasi mai di interesse rilevante per un hacker”, spiega Nencini. “Diverso invece è il caso di un sito web, specie se contiene informazioni che hanno un valore economico, penso ad esempio alle carte di credito”.

Google ha già riparato la falla, anche sui servizi cloud, mentre Amazon in un bollettino ha spiegato ai clienti di Web Services come risolvere il problema. Apple ha dichiarato che a breve rilascerà un aggiornamento di Os X.