Il panorama della sicurezza informatica in ambito open-source sta vivendo una fase di allarme crescente, come evidenziato dai più recenti report pubblicati da Sonatype e IBM. Questi documenti di recente pubblicazione, analizzano in dettaglio l’escalation delle minacce veicolate tramite pacchetti software open source, con dati che meritano un approfondimento specifico per chi utilizza una distribuzione GNU/Linux.
Un esempio recente è rappresentato dalla vulnerabilità CVE-2024-3094, scoperta nella libreria open source XZ Utils. Questa vulnerabilità, originata da codice dannoso inserito da un manutentore compromesso, ha introdotto una backdoor che consente l’esecuzione di codice remoto (RCE).
Secondo il report “Open Source Malware Index” di Sonatype, nei primi 4 mesi del 2025 sono stati identificati ben 17.954 pacchetti open source maligni, segnando un incremento del 230% rispetto allo stesso periodo dell’anno precedente. Questo dato non rappresenta solo una crescita numerica, ma testimonia anche un’evoluzione qualitativa delle minacce: i malware sono sempre più sofisticati e mirati, sfruttando la fiducia che la comunità ripone nei repository software pubblici e nei sistemi di gestione dei pacchetti.
Analizzando la natura dei pacchetti dannosi, il 56% rientra nella categoria dei “Data Exfiltration Malware”. Si tratta di software progettati per rubare informazioni sensibili dai sistemi infetti. Il termine “data exfiltration” indica il processo di esportazione non autorizzata di dati da una rete o da un dispositivo, spesso a scopo di spionaggio industriale o furto di identità. Questi malware possono agire tramite diversi vettori:
- Utilizzo di software malevoli che raccolgono dati sensibili e li inviano a server remoti controllati dagli attaccanti.
- Sfruttamento di vulnerabilità nei servizi di rete o nelle configurazioni errate di sistema.
- Attacchi di phishing per ottenere credenziali di accesso e successivamente esfiltrare dati.
Un altro 7% dei pacchetti maligni è rappresentato dai cosiddetti criptominer, software progettati per sfruttare le risorse hardware del sistema infetto al fine di minare criptovalute senza il consenso dell’utente. Questi programmi possono rallentare notevolmente le prestazioni della macchina e, nei casi peggiori, causare danni hardware a causa dell’eccessivo utilizzo di CPU e GPU.
Le statistiche raccolte evidenziano come i settori maggiormente bersagliati siano:
- Finanza: 66%
- Governi: 14%
- Energia, Petrolio e Gas: 7%
Questa distribuzione riflette la strategia degli attaccanti, che puntano a colpire ambiti dove il valore dei dati è particolarmente elevato e le potenziali ricompense economiche sono maggiori.
Il report “2025 IBM X-Force Threat Index” di IBM, sottolinea come le tattiche degli attori malevoli stiano diventando sempre più subdole e orientate alla discrezione. In particolare, si registra un aumento dell’84% delle campagne di furto credenziali tramite email rispetto all’anno precedente. Invece di puntare su attacchi distruttivi come il ransomware, oggi gli attaccanti preferiscono infiltrarsi nei sistemi senza lasciare tracce evidenti, sfruttando le debolezze delle infrastrutture cloud ibride e delle autentificazioni poco robuste.
Le principali tecniche utilizzate includono:
- Furto di credenziali tramite infostealer, ovvero software malevoli che raccolgono nomi utente e password.
- Sfruttamento di vulnerabilità dovuto a ritardi nell’applicazione delle correzioni di sicurezza (patch).
- Attacchi mirati a infrastrutture critiche, dove la presenza di tecnologia obsoleta facilita l’azione degli attaccanti.
Impatto sulle distribuzioni GNU/Linux
Le distribuzioni GNU/Linux, pur essendo considerate più sicure rispetto ad altri sistemi operativi, non sono immuni da queste minacce. La diffusione dei pacchetti open source e la fiducia nella comunità possono diventare un’arma a doppio taglio: l’inserimento di codice malevolo in un pacchetto apparentemente legittimo può compromettere rapidamente numerosi sistemi, soprattutto se il pacchetto viene distribuito tramite repository software ufficiali o di terze parti.
La cosiddetta supply chain software (catena di fornitura del software) rappresenta oggi uno dei punti più deboli della sicurezza informatica. La libreria XZ Utils, ampiamente utilizzata nelle distribuzioni GNU/Linux, è stata compromessa proprio attraverso un attacco alla catena di fornitura del software. Proteggere questa catena significa adottare un approccio proattivo, come suggerito dall’approccio shift-left: integrare la sicurezza fin dalle prime fasi dello sviluppo e della distribuzione del software, anziché relegarla a un controllo finale.
Le best practice includono:
- Verifica costante dell’integrità dei pacchetti tramite firme digitali e checksum.
- Analisi automatica del codice alla ricerca di comportamenti sospetti o modifiche non autorizzate (traduzioni di commit e patch).
- Monitoraggio continuo dei repository software e aggiornamento tempestivo dei pacchetti con vulnerabilità note.
- Adozione di strumenti di auditing come SBOM (Software Bill of Materials), che permettono di tracciare tutte le dipendenze di un pacchetto e identificare rapidamente eventuali componenti compromessi.
Tra le risposte più interessanti a queste nuove minacce si segnala Wolfi, una distribuzione GNU/Linux progettata specificamente per la sicurezza della supply chain software. Wolfi si distingue per alcune caratteristiche chiave:
- Costruzione di tutti i pacchetti direttamente dal sorgente, consentendo di correggere vulnerabilità e personalizzare i componenti in base alle esigenze di sicurezza.
- Sistema di build dichiarativo e riproducibile, che garantisce trasparenza e tracciabilità di ogni modifica.
- Fornitura di SBOM a livello di build per tutti i pacchetti, facilitando l’auditing e il controllo delle dipendenze.
- Supporto per immagini minimali e granulari, riducendo la superficie di attacco e semplificando le operazioni di aggiornamento e verifica.
Wolfi si integra perfettamente con ambienti container e cloud-native, offrendo una base sicura per lo sviluppo di applicazioni moderne e riducendo drasticamente il rischio di compromissione della supply chain.
Verso una maggiore consapevolezza
La crescita dei malware open source nei pacchetti rappresenta una sfida che richiede attenzione costante da parte di tutte le realtà che utilizzano una distribuzione GNU/Linux. La collaborazione tra sviluppatrici, manutentrici di repository software e utenti finali è fondamentale per arginare il fenomeno, adottando strumenti e pratiche che mettano la sicurezza al centro del ciclo di vita del software. Solo così sarà possibile continuare a beneficiare dell’innovazione e della flessibilità dell’open-source senza esporre i sistemi a rischi sempre più sofisticati.
Fonte: https://www.sonatype.com/blog/open-source-malware-index-q1-2025
Fonte: https://newsroom.ibm.com/2025-04-17-2025-ibm-x-force-threat-index-large-scale-credential-theft-escalates,-threat-actors-pivot-to-stealthier-tactics
Fonte: https://github.com/wolfi-dev
Source: Read More