Fatti Rapidi

• Gli impianti hardware possono essere nascosti in comuni cavi USB, mouse o altri dispositivi, rendendoli quasi impossibili da individuare.
• Ispirati al segretissimo progetto Cottonmouth della NSA, strumenti open-source come USBsamurai possono essere costruiti con appena 15 euro.
• Attacchi reali hanno preso di mira infrastrutture critiche, da centrali nucleari a bancomat, trasformando l’hardware della catena di fornitura in armi.
• Gli attacchi alla catena di fornitura possono compromettere i dispositivi prima ancora che raggiungano la destinazione, aggirando le tradizionali misure di sicurezza digitale.
• Gli impianti più recenti offrono controllo remoto tramite reti radio o cellulari, rendendoli una minaccia ovunque nel mondo.

La minaccia nascosta in bella vista

Immagina un apparentemente innocuo cavo USB che si snoda sulla tua scrivania, carica il telefono o collega una tastiera. Ora immagina che quello stesso cavo agisca come un agente segreto, trasmettendo silenziosamente comandi da un attaccante dall’altra parte del mondo. Non è fantascienza: è il nuovo volto degli attacchi hardware alla catena di fornitura - una minaccia così furtiva da essere quasi invisibile.

Il fenomeno è esploso nella coscienza pubblica dopo le rivelazioni di Snowden del 2013, che hanno svelato il kit segreto della NSA per compromettere l’hardware durante la spedizione. Il famigerato progetto “Cottonmouth” inseriva impianti wireless nei cavi USB, consentendo l’infiltrazione remota anche dei sistemi più isolati (air-gapped). Ma ciò che un tempo era dominio esclusivo delle agenzie di intelligence è ora stato democratizzato.

Dallo spionaggio agli abusi quotidiani

Al 23° Forum ICT Security di Roma, Luca Bongiorni, pioniere della sicurezza hardware offensiva, ha mostrato quanto lontano sia arrivata questa tecnologia. Progetti open-source come USBsamurai e WHID Injector hanno preso il modello delle attrezzature da spia di alto livello e lo hanno reso accessibile ai professionisti della sicurezza - e, di conseguenza, a chiunque abbia competenze elettroniche di base e un budget modesto.

Questi dispositivi sfruttano l’ubiquità dell’USB: presente in laptop, sistemi industriali, apparecchiature mediche e altro ancora. Ben oltre il classico scenario della “chiavetta smarrita”, oggi gli attaccanti possono inserire microcomputer in oggetti di uso quotidiano - un cavo di ricarica, un mouse, persino una ventola alimentata via USB. Una volta collegati, questi impianti possono iniettare comandi malevoli, rubare dati o prendere il controllo dei sistemi, restando invisibili alla maggior parte degli strumenti di sicurezza.

Infrastrutture critiche nel mirino

Le conseguenze sono tutt’altro che teoriche. Attacchi documentati hanno messo fuori uso centrali nucleari, spento reti elettriche e svuotato bancomat - tutto introducendo malware tramite hardware compromesso. Un agghiacciante demo di Bongiorni ha replicato il leggendario attacco Stuxnet, mostrando come un solo cavo armato possa manipolare un sistema di controllo industriale, facendo traboccare un serbatoio di sostanze tossiche mentre sullo schermo dell’operatore non appare nulla di anomalo.

L’ultima generazione, come WHID Elite, ora dispone di connettività cellulare globale, consentendo agli attaccanti di controllare gli impianti da qualsiasi luogo con segnale telefonico. Questa escalation trasforma gli attacchi alla catena di fornitura da rari atti di spionaggio a rischi quotidiani per aziende e governi.

Perché siamo tutti a rischio

Gli impianti hardware sono economici, difficili da individuare e devastanti. Le difese informatiche tradizionali - firewall, antivirus, monitoraggio di rete - faticano persino a rilevarli. Con sempre più sistemi critici connessi all’Internet delle Cose (IoT), la superficie d’attacco cresce esponenzialmente. Anche la formazione alla sicurezza spesso manca il bersaglio, concentrandosi sulle chiavette sospette e ignorando i pericoli nascosti nei dispositivi fidati.

L’unica vera difesa richiede un cambiamento radicale: rigorosa selezione dei fornitori, ispezione fisica dell’hardware prima della messa in servizio e monitoraggio specializzato del comportamento dei dispositivi a livello USB. In un mondo dove un cavo da 15 euro può mandare in tilt una fabbrica, la fiducia nella catena di fornitura non basta più - deve essere verificata a ogni passaggio.

WIKICROOK

• Impianto hardware: Un impianto hardware è un dispositivo elettronico segreto inserito nell’hardware per spiare, rubare dati o sabotare sistemi senza essere rilevato.
• Attacco alla catena di fornitura: Un attacco alla catena di fornitura è un attacco informatico che compromette fornitori di software o hardware fidati, diffondendo malware o vulnerabilità a molte organizzazioni contemporaneamente.
• Air: Un ambiente air-gapped è un computer o una rete fisicamente isolata, disconnessa da reti non sicure per proteggere dati sensibili dalle minacce informatiche.
• Iniezione USB: L’iniezione USB è l’atto di utilizzare un dispositivo USB per inviare comandi non autorizzati o malware a un computer, con l’obiettivo di comprometterlo o danneggiarlo.
• Open: ‘Open’ significa che software o codice sono pubblicamente disponibili, permettendo a chiunque di accedervi, modificarli o usarli - anche per scopi malevoli.