Un exploit in 5 giorni

Dalla pubblicazione di un bug alla comparsa del malware (solitamente un worm) che ne sfrutta le capacità possono passare anche solo 5 giorni. Zotob, il worm che sfrutta la vulnerabilità del Plug and Play di Microsoft (MS05-039), ha stabilito il nuovo record del flash exploit detenuto finora da Sasser (14 giorni).

Il procedimento è semplice: non appena la software house, quasi sempre Microsoft, pubblica il bollettino di sicurezza, i cracker si mettono al lavoro per sfruttare la vulnerabilità basandosi sui dettagli tecnici pubblicati nell'advisory. Alcuni, come dichiarò lo scorso aprile il manager Microsoft David Aucsmith, ci danno dentro di reverse engineering sulla patch pubblicata.

Passare dalla vulnerabilità all'exploit è dunque diventato facilissimo: basta un giorno e i siti specializzati già sfornano il codice; passano cinque giorni e il codice viene incorporato in malware già diffusi, aggiornati con le nuove istruzioni. Chi nei cinque giorni non ha aggiornato il computer si trova esposto, senza nessuna difesa, a pericoli d'infezione.

Apple per questo motivo non rilascia nessun dettaglio tecnico dei bug di OS X. A fronte delle interminabili schede "Full disclosure", zeppe di utili informazioni, pubblicate da Microsoft, Apple risponde con poche righe che descrivono sommariamente il problema e la sua soluzione.

Il problema, riportato all'attenzione da un recente report di Trend Micro [PDF], è vecchio come il web. Matt Mecham, sviluppatore Web e creatore del noto forum Invision Power Board, non ha dubbi: già nel settembre del 2004 scriveva sul suo blog che full disclosure è male: "There's no need to give script kiddies more material to work with".