Sicurezza Linux: come una modifica a .bashrc trasforma sudo in un insidioso trappola per credenziali

La minaccia non è sempre un malware complesso; a volte, è l'abuso silenzioso degli strumenti di sistema più fidati. Un recente rapporto dei ricercatori di Unit 42, l'intelligence di Palo Alto Networks, ha svelato una tecnica di attacco su Linux tanto semplice quanto devastante. I malintenzionati sono riusciti a manipolare l'autenticazione, inducendo gli amministratori a consegnare le proprie password senza sospettare nulla.

Il fulcro dell'inganno non risiede in una vulnerabilità del software, ma nella manipolazione dell'ambiente utente. La tecnica si basa sulla modifica silenziosa del file .bashrc, un script di configurazione che la shell Bash esegue ogni volta che un utente apre una sessione interattiva.

L'Alias Malevolo e l'Inganno Trasparente

Attraverso un'intrusione iniziale, gli aggressori hanno sostituito il contenuto originale di .bashrc con un codice alterato. All'interno di questo script, hanno introdotto un alias malevolo per il comando sudo. Quando la vittima digitava il comando familiare per ottenere privilegi elevati, non si attivava il vero programma sudo, ma il codice fraudolento.

Questo script era studiato per agire con la massima discrezione. Mostrava una richiesta di password del tutto simile a quella ufficiale, catturava il testo digitato e lo registrava in un file di log controllato dagli attaccanti. Soltanto dopo aver salvato la credenziale, lo script inoltrava la password al vero comando sudo, permettendo all'operazione richiesta di andare a buon fine. L'utente non aveva motivo di sospettare, poiché l'intera sequenza appariva come un'autenticazione regolare.

Il file di log utilizzato per le credenziali rubate era chiamato ingannevolmente Solarwinds.StatusLog.txt. Secondo Unit 42, l'uso di questo nome era un semplice depistaggio per confondere eventuali controlli, e non vi è alcuna prova di una compromissione dell'infrastruttura SolarWinds stessa.