Ricordate quel documento malevolo che sfruttava una vulnerabilità di Word per scaricare malware senza lasciare tracce? La buona notizia è che Microsoft ha pubblicato la patch l'11 aprile scorso, e se ne raccomanda l'installazione con estrema urgenza. La cattiva notizia è che il bug è stato scoperto a luglio 2016, e nei nove mesi successivi è stato utilizzato per attacchi in Russia, Ucraina, Australia e Israele.
La designazione ufficiale della vulnerabilità è CVE-2017-0199. Dal punto di vista tecnico è già stata corretta, e chi utilizza le build più recenti di Office (a partire dalla versione 2007 SP3) dovrebbe essere protetto. Tuttavia, sappiamo bene che per diverse ragioni molti utenti e amministratori ritardano l'applicazione degli hotfix. Magari il loro ambiente aziendale è troppo rigido, o semplicemente usano copie illegali con sistemi di attivazione neutralizzati tramite Windows Update. Ma i bug non discriminano, e ciò che in altre circostanze sarebbe stata una patch di routine si è trasformato in un'odissea durata nove mesi.
La storia ci porta a luglio 2016, quando il consulente Ryan Hanson scoprì lo zero-day. Nei tre mesi successivi lavorò sul bug per valutarne la gravità e il potenziale di combinazione con altri difetti, per poi segnalarlo a Microsoft. Vedendo i risultati, a Redmond conclusero che una patch rapida non sarebbe bastata a neutralizzarlo, e non potevano nemmeno condividere troppi dati senza allertare gli hacker. A quel punto non c'erano indizi sull'esposizione dello zero-day, ma tutto cambiò a gennaio di quest'anno, portandoci al rapporto originale di FireEye. CVE-2017-0199 è stato sfruttato da "molteplici agenti" per diffondere almeno tre forme di malware, a cominciare da FinSpy, Latentbot e Dridex. Il caso di FinSpy è particolare, perché lo conosciamo come FinFisher, uno spyware usato da decine di governi in tutto il mondo.
Le prime vittime erano limitate a Russia e Ucraina, dimostrando un certo livello di precisione nella campagna. Dopo aver accumulato prove aggiuntive, FireEye contattò Microsoft, ma la conferma di McAfee il 7 aprile ha essenzialmente ribaltato la situazione, annunciando al mondo l'esistenza dello zero-day. Due giorni dopo, il mercato nero offriva già varianti che sfruttavano CVE-2017-0199 per distribuire Dridex. Gli attacchi si sono spostati in Australia e in altri paesi, con l'obiettivo di rubare fondi da conti bancari. L'Università Ben-Gurion in Israele ha annunciato che diversi suoi dipendenti sono stati hackerati "post-patch" da attaccanti legati al governo iraniano, che avrebbero preso il controllo delle loro caselle email e ampliato la distribuzione di documenti malevoli a oltre 250 obiettivi. Non si conosce il numero finale di persone colpite e la quantità di denaro rubato. Al di là del fatto che il ritardo possa essere giustificato, è imperativo sviluppare una piattaforma universale che permetta di coordinare meglio la comunicazione tra ricercatori di sicurezza indipendenti e aziende.
