Linux, hacker ha trasformato sudo in un ladro di password modificando un solo file

Un comando familiare, una richiesta di autenticazione apparentemente normale e un’operazione che sembra concludersi senza problemi. È questo il meccanismo al centro di una tecnica di furto delle credenziali descritta dai ricercatori di Unit 42, il gruppo di threat intelligence di Palo Alto Networks.

Gli aggressori hanno manipolato la configurazione della shell Linux per intercettare le password inserite dagli utenti, sfruttando la fiducia riposta negli strumenti abituali del sistema. L’aspetto più insidioso è la discrezione: l’autenticazione può sembrare regolare, mentre le credenziali vengono sottratte in background. La tecnica dimostra come una modifica apparentemente limitata possa compromettere la sicurezza di un ambiente informatico.

Come il falso sudo intercetta le password

Il punto d’ingresso della tecnica è .bashrc, il file di configurazione che Bash legge quando avvia una shell interattiva nelle condizioni previste.

Gli aggressori ne hanno sostituito il contenuto con una copia modificata, inserendo un alias malevolo associato al comando sudo. In questo modo, quando la vittima digitava il comando abituale per eseguire un’operazione con privilegi elevati, interveniva prima il codice introdotto dall’attaccante.

La sequenza era studiata per non attirare l’attenzione. Il falso comando mostrava una richiesta della password simile a quella legittima, acquisiva il testo digitato e lo registrava in un file controllato dagli aggressori. Soltanto dopo trasmetteva la credenziale al vero programma sudo, permettendo all’operazione richiesta di proseguire. Il risultato era una sottrazione potenzialmente invisibile all’utente, che non aveva necessariamente motivo di sospettare un’intercettazione.

Secondo l’analisi pubblicata da Unit 42, il file utilizzato per conservare le credenziali era denominato Solarwinds.StatusLog.txt. Il nome richiamava un’attività apparentemente legittima, con l’obiettivo di confondere chi avesse esaminato il sistema. I ricercatori precisano di non aver trovato prove di una compromissione dell’infrastruttura SolarWinds: il riferimento veniva sfruttato come elemento di depistaggio.

Perché questa tecnica rappresenta un rischio concreto

La pericolosità dell’attacco non dipende da una sofisticata falsificazione dell’interfaccia grafica, ma dalla possibilità di intervenire nel normale flusso di lavoro dell’amministratore.

Una password correttamente digitata può finire nelle mani sbagliate prima ancora di essere verificata dal programma autentico. Se le credenziali ottenute consentono operazioni privilegiate, l’intruso potrebbe sfruttarle per ampliare il proprio accesso, secondo i permessi dell’account e le difese presenti nell’ambiente.

Per individuare manipolazioni di questo tipo, gli amministratori dovrebbero includere i file di configurazione delle shell nelle verifiche di sicurezza, prestando attenzione ad alias inattesi e modifiche non autorizzate. Anche il confronto con copie affidabili della configurazione e il controllo dei processi che gestiscono l’autenticazione possono contribuire a rilevare comportamenti anomali.

Un altro aspetto importante riguarda la gestione delle credenziali: l’accesso amministrativo non dovrebbe essere considerato sicuro soltanto perché il comando richiesto viene eseguito correttamente. La verifica dell’integrità dell’ambiente deve accompagnare i normali controlli sugli account.

Il caso evidenzia una questione più ampia per la sicurezza Linux: la fiducia negli strumenti quotidiani può diventare un punto debole quando l’ambiente è già stato manipolato. Per questo, la protezione efficace richiede controlli capaci di verificare non soltanto ciò che l’utente esegue, ma anche il percorso seguito dai comandi prima di raggiungere i programmi legittimi.