Contenuti
Un sito viene ripulito.
Il malware viene eliminato.
I file vengono ripristinati.
Tutto sembra tornato alla normalità.
Eppure, dopo qualche giorno, il problema si ripresenta.
Le modifiche ricompaiono.
I comportamenti anomali tornano.
È una situazione che sorprende molti.
Si pensa che il sito sia stato nuovamente attaccato.
In realtà, a volte, l’accesso non era mai stato realmente chiuso.
Una backdoor è proprio questo.
Un punto di accesso nascosto che permette di rientrare nel sito senza dover sfruttare nuovamente la vulnerabilità iniziale.
Dal punto di vista operativo il sito continua a funzionare.
Ma qualcuno potrebbe continuare ad avere un accesso che il proprietario del sito ignora completamente.
In questo articolo vedremo:
- perché una semplice pulizia può non essere sufficiente;
- perché questi accessi sono così difficili da individuare;
- e perché la sicurezza non termina quando il sito torna online.
1. Il sito sembra tornato normale
Dopo un intervento di pulizia tutto sembra risolto.
Le pagine funzionano.
Gli utenti navigano.
I controlli non segnalano anomalie.
Dal punto di vista dell’azienda il problema sembra chiuso.
È proprio questa sensazione di normalità a rendere le backdoor così pericolose.
Perché possono continuare a esistere senza produrre effetti immediati.
2. Il problema non è quello che si vede
Quando viene individuato un malware è naturale concentrarsi sugli elementi visibili.
I file modificati.
Le pagine alterate.
I contenuti sospetti.
Ma questi sono spesso gli effetti.
Non necessariamente la causa che permette al problema di ripresentarsi.
Se rimane un accesso nascosto, il sito può essere modificato nuovamente in qualsiasi momento.
Anche senza una nuova vulnerabilità.
3. Perché sono così difficili da individuare
Una backdoor non deve bloccare il sito.
Anzi.
Più il sito continua a funzionare normalmente, meno probabilità ci sono che qualcuno si accorga della sua presenza.
Può restare inattiva per settimane.
Può essere utilizzata solo occasionalmente.
Può non produrre alcun sintomo evidente.
Per questo motivo molti controlli standard non rilevano nulla.
Il sito è online.
Le pagine rispondono.
Gli utenti continuano a navigare.
4. Il problema ritorna quando sembra risolto
Una delle situazioni più frustranti è questa.
Il sito viene ripulito.
Per qualche tempo tutto funziona.
Poi ricompaiono gli stessi problemi.
Si pensa a una nuova infezione.
In alcuni casi, invece, il problema non era mai stato eliminato completamente.
Era rimasto un punto di accesso che permetteva di intervenire nuovamente sul sito.
Per questo motivo alcuni incidenti sembrano ripetersi senza una causa apparente.
5. Il danno non è solo tecnico
Una backdoor invisibile non produce necessariamente un danno immediato.
Produce incertezza.
Ogni nuova anomalia diventa difficile da interpretare.
Ogni comportamento insolito fa nascere il dubbio che il sito non sia realmente sotto controllo.
Questo rende più complessa anche la gestione operativa.
Perché non basta correggere ciò che si vede.
Serve avere la certezza che il sistema sia tornato davvero nelle condizioni previste.
6. Perché è difficile accorgersene
Chi gestisce il sito controlla normalmente:
- che le pagine siano online;
- che i contenuti siano presenti;
- che le funzioni principali rispondano.
Una backdoor, invece, può non modificare nulla di tutto questo.
Può limitarsi ad aspettare.
Ed è proprio questa assenza di segnali a renderla difficile da individuare.
7. La lezione (non tecnica)
La sicurezza non consiste soltanto nel rimuovere ciò che ha causato un problema.
Consiste nell’avere la certezza che quel problema non possa ripresentarsi attraverso un accesso rimasto aperto.
Un sito apparentemente pulito non è automaticamente un sito sicuro.
È necessario capire se il sistema è tornato realmente sotto il controllo di chi lo gestisce.
Conclusione
Una backdoor invisibile non blocca il sito.
Non mostra errori.
Non attira l’attenzione.
Proprio per questo può rappresentare uno dei rischi più difficili da individuare.
Perché la continuità operativa non dipende soltanto dal fatto che il sito sia online.
Dipende anche dalla certezza che nessun altro possa continuare ad accedervi senza autorizzazione.
Rimuovere un problema non significa sempre eliminarne la causa. La sicurezza di un sito dipende anche dalla capacità di individuare ciò che continua a restare nascosto dopo un’apparente normalità.
