La seconda metà del 2006 è stata un brutto periodo per chi utilizzava Microsoft Word. Solo negli ultimi due mesi, i ricercatori sulla sicurezza hanno scoperto almeno quattro principali vulnerabilità. Questi non erano bug minori. Erano exploit zero-day, un termine che suona drammatico per una buona ragione. Significa che il tempo ha iniziato a ticchettare per difensori e attaccanti nello stesso identico momento. Di solito, gli hacker trovano prima il buco. A volte, Microsoft lo rileva e lo annuncia, solo per consentire agli autori malintenzionati di colpire prima che sia pronta una soluzione. Ma questi specifici difetti di Word erano diversi. Per quasi otto settimane dopo l’inizio degli attacchi, Microsoft non aveva rilasciato una sola patch.
L’irruzione del 5 dicembre
La prima crepa nell’armatura è apparsa all’inizio di dicembre. La portata era enorme. Ha colpito le versioni Windows di Word 2000, 2002 e 2003. Ha infettato anche gli utenti Mac che eseguivano Word 2004 e Word 2004 versione X. Anche quelli che utilizzavano solo Word Viewer 2003 o Microsoft Works 2004, 2005 e 2006 erano nel mirino.
Il meccanismo era semplice e terrificante. Un utente malintenzionato incorpora codice all’interno di un documento Word standard. Lo ospitano su un sito Web o lo inviano come allegato di posta elettronica. Vedi il file. Lo apri. All’improvviso il tuo computer non è più tuo. L’aggressore ottiene il controllo remoto. Eseguono il codice con le tue credenziali di accesso. Ciò significa che hanno le tue stesse autorizzazioni. Possono accedere ai tuoi file, installare il proprio software o utilizzare il tuo computer come trampolino di lancio per altri attacchi. Microsoft ne venne a conoscenza il 5 dicembre 2006, quando cominciarono ad arrivare le segnalazioni di attacchi.
Si apre una seconda porta
Solo una settimana dopo è emersa una seconda vulnerabilità. Era completamente diverso dal primo. Questo non si basava sull’apertura di un file dannoso. Si basava sul fallimento di Word stesso.
Secondo Microsoft, questo exploit si è attivato quando l’applicazione ha riscontrato un errore specifico. Se si verificava quell’errore, la porta si apriva. Un utente malintenzionato potrebbe entrare nel sistema ed eseguire codice dannoso senza alcuna interazione da parte dell’utente oltre all’arresto anomalo del programma. Era una trappola passiva. Non dovevi fare clic su nulla di sbagliato. Dovevi solo usare Word. Questo secondo buco ha interessato le stesse versioni Windows di Word 2000, 2002 e 2003, oltre a Word Viewer 2003.
Il silenzio di Redmond durante quelle otto settimane fu assordante. Gli utenti eseguivano software che veniva attivamente sfruttato, senza alcuna soluzione ufficiale in vista. Sollevò una semplice domanda: quanti danni erano già stati fatti prima ancora che qualcuno iniziasse a parlare di una soluzione?
Le conseguenze di quei difetti iniziali di corruzione della memoria non si sono fermate. Giorni dopo, i ricercatori sulla sicurezza hanno scoperto una terza vulnerabilità. Anche questo ha aperto la porta all’accesso e al controllo remoti, ma derivava da una causa principale diversa: un problema di buffer overflow all’interno di Word. Il pericolo è diventato tangibile quando un esperto di software conosciuto online come “Disco Johnny” ha pubblicato un codice di prova. Questo non era solo un avvertimento teorico. Si è trattato di una dimostrazione pratica, che ha effettivamente consegnato agli hacker il progetto di un attacco dimostrando allo stesso tempo a Microsoft che si trovavano di fronte a un altro problema critico.
Poi, circa cinque settimane dopo, il 25 gennaio, il quarto foro si trasformò in un vettore di attacco vivo. Il metodo era ingannevolmente semplice. Un utente riceve un’e-mail con in allegato un file Word truccato. L’apertura di quel file attiva l’exploit. Le conseguenze, tuttavia, dipendono interamente dalla cronologia delle versioni. Se si esegue Word 2000, l’aggressore ottiene il controllo remoto dell’intero sistema. Se utilizzi Word 2003 o Word XP, il risultato è meno terrificante ma non per questo meno fastidioso: il programma manda in crash il tuo computer. Non consegna le chiavi, ma ti nega l’accesso al tuo lavoro.
Questi quattro problemi erano semplicemente gli ultimi capitoli di una lunga saga di attacchi che sfruttavano difetti non ancora scoperti della suite Microsoft Office. Il modello aveva già iniziato a comparire nel settembre 2006. Fu allora che gli hacker iniziarono a prendere di mira un’altra falla zero-day di Word, specificamente isolata in Word 2000. Il malware, identificato come MDropper.Q, richiedeva a un utente di aprire un documento infetto utilizzando l’applicazione legacy Word 2000. Una volta aperto, il virus rilasciava codice dannoso sul PC, garantendo il pieno controllo all’aggressore remoto.
Il consiglio di Microsoft rimane coerente in tutti questi incidenti: installare più livelli di software di sicurezza e aggiornare le versioni con attenzione. Ma al di là delle patch, l’onere si sposta sul comportamento degli utenti. Dobbiamo estendere la nostra tradizionale diffidenza nei confronti degli allegati e-mail a quello che una volta era considerato uno spazio digitale più sicuro. La regola pratica è cambiata. Se un file termina con “.doc”, non toccarlo a meno che non si conosca la fonte e non ci si fidi implicitamente di essa.
Per coloro che desiderano comprendere i meccanismi alla base di queste violazioni, sono disponibili risorse più approfondite. Puoi esplorare come funzionano i firewall, come si replicano i virus informatici o i metodi specifici utilizzati dagli hacker per infiltrarsi nei sistemi. Per indicazioni più specifiche sull’identificazione delle minacce, sono disponibili guide sulla selezione del software antivirus e spiegazioni su come i worm si diffondono tramite posta elettronica. Se sospetti che il tuo computer sia già compromesso, esistono risorse per aiutarti a determinare il modo in cui sei stato controllato su Internet.
Il contesto più ampio di queste vulnerabilità è ben documentato. Punti vendita del settore come F-Secure e McAfee forniscono costantemente notizie e risorse sui virus. Puoi trovare directory curate sugli strumenti antivirus e discussioni che separano i virus hoax dalle minacce reali. La narrativa secondo cui Microsoft lascia senza patch i difetti critici di Word per lunghi periodi continua a essere un punto di contesa nei cicli di notizie tecnologiche.
Il materiale originale per questi incidenti proviene da rapporti dettagliati dei giornalisti di CNET News.com Joris Evers e Dawn Kawamoto tra la fine del 2006 e l’inizio del 2007. La loro copertura evidenzia la rapida escalation dalla scoperta allo sfruttamento, sottolineando la mancanza di soluzioni immediate per alcune versioni legacy. I tempi sono stretti. Viene riscontrato un difetto. Il codice è pubblicato. Iniziano gli attacchi. E gli utenti si ritrovano a navigare in un panorama in cui un semplice documento può diventare un’arma.
La domanda non è solo quale versione sia sicura. La questione è se il modello di affidamento alle patch post-exploit sia ancora praticabile quando la finestra di esposizione viene misurata in giorni, non in mesi.
