SharePoint RCE tramite AI: Quando

Ore 14:30 di un giovedì qualunque in una multinazionale

Mark, system administrator di una grande azienda manifatturiera, stava controllando i log di SharePoint quando ha notato qualcosa di strano. Richieste HTTP anomale, pattern di traffico insoliti, accessi da IP che non riconosceva.

Non sapeva ancora che qualcuno era già dentro il sistema da settimane. Senza credenziali, senza password rubate, senza nemmeno un account valido.

Quello che Mark non poteva immaginare è che la vulnerabilità sfruttata dai cybercriminali era stata scoperta non da un hacker esperto, ma da un sistema di intelligenza artificiale. Un AI che aveva analizzato migliaia di righe di codice fino a trovare una catena di exploit che portava direttamente all'RCE (Remote Code Execution) non autenticato su Microsoft SharePoint.

L'attacco era iniziato mesi prima, quando un gruppo di ricercatori aveva deciso di usare l'AI per fare quello che i security researcher fanno da decenni: cercare vulnerabilità. Solo che questa volta, la macchina aveva visto quello che l'occhio umano non riusciva a cogliere.

Il problema invisibile che vale miliardi

SharePoint gestisce documenti sensibili in oltre 250.000 organizzazioni nel mondo. Contratti riservati, piani strategici, dati finanziari, informazioni sui dipendenti. Tutto quello che un'azienda considera confidenziale.

Quando parliamo di RCE non autenticato su SharePoint, non stiamo parlando di un semplice data breach. Stiamo parlando della possibilità di eseguire codice sui server aziendali senza nemmeno avere un account.

Secondo i dati del SANS Institute, il 73% delle organizzazioni usa SharePoint per condividere documenti riservati. Il costo medio di un data breach su sistemi collaboration è di 4,88 milioni di dollari. Ma quando l'attaccante ha accesso RCE, può installare backdoor persistenti, lateral movement tools, e ransomware.

La differenza tra un attacco normale e un RCE non autenticato è come la differenza tra scassinare una finestra e avere le chiavi di casa. Nel primo caso devi forzare l'ingresso e sperare che nessuno ti senta. Nel secondo, entri dalla porta principale.

L'AI usata dai ricercatori aveva fatto esattamente questo: trovato le chiavi di casa.

Come l'AI ha smontato SharePoint pezzo per pezzo

L'exploit chain scoperto dall'intelligenza artificiale funziona in tre fasi, ognuna delle quali bypassa un livello di sicurezza diverso.

Fase 1: Authentication Bypass L'AI ha identificato un flaw nel modo in cui SharePoint gestisce certi header HTTP durante il processo di autenticazione. Manipolando specifici parametri nella richiesta, è possibile convincere il sistema che la richiesta proviene da un utente già autenticato.

Non si tratta di credenziali rubate o di session hijacking. È una falla logica nel codice che controlla chi può accedere e chi no.

Fase 2: Privilege Escalation Una volta bypassata l'autenticazione, l'AI ha scoperto che era possibile sfruttare una race condition nel sistema di gestione dei permessi. Inviando richieste multiple in rapida successione, si poteva ottenere privilegi di amministratore.

Questa parte dell'attacco richiede timing perfetto. Qualcosa che un umano farebbe fatica a coordinare manualmente, ma che un sistema automatizzato può eseguire con precisione millimetrica.

Fase 3: Remote Code Execution Con i privilegi di admin, l'ultimo step era sfruttare una vulnerabilità di deserializzazione non sicura. L'AI aveva individuato come manipolare certi oggetti serializzati per far eseguire al server codice arbitrario.

Il risultato finale: controllo completo del server SharePoint. Accesso ai database, possibilità di installare malware persistente, lateral movement verso altri sistemi della rete aziendale.

Il ruolo dell'AI nella scoperta Ciò che rende questo caso particolare è che l'intelligenza artificiale ha fatto qualcosa che nessun ricercatore umano era riuscito a fare: ha connesso tre vulnerabilità separate in una catena di exploit funzionante.

Ognuna delle tre falle, presa singolarmente, avrebbe avuto un impatto limitato. Ma combinate insieme, creavano un percorso diretto verso il controllo totale del sistema.

Il conto che nessuno vuole pagare

Quando un attaccante ottiene RCE non autenticato su SharePoint, i danni vanno molto oltre il semplice furto di dati.

Danni immediati: accesso a tutti i documenti aziendali, possibilità di modificare o cancellare informazioni critiche, installazione di backdoor per accessi futuri.

Costi di remediation: in media 2,3 milioni di euro per un'azienda di medie dimensioni. Include forensics, reinstallazione sistemi, recovery dei dati, notifiche legali.

Impatto reputazionale: perdita di fiducia da parte di clienti e partner commerciali. Il 60% delle aziende che subiscono un data breach grave perde clienti nei 12 mesi successivi.

Conseguenze legali: con GDPR e altre normative privacy, una violazione di SharePoint può costare fino al 4% del fatturato annuo in sanzioni.

Ma c'è un aspetto ancora più preoccupante: la persistenza dell'attacco. Una volta che l'attaccante ha installato backdoor nel sistema, può mantenere l'accesso anche dopo che la vulnerabilità originale è stata patchata.

Cosa si poteva fare (e cosa fare ora)

La difesa contro exploit così sofisticati richiede un approccio multi-layer che non si limiti al patching.

Network Segmentation SharePoint non dovrebbe mai essere esposto direttamente su Internet. Anche con tutte le patch applicate, l'accesso dovrebbe passare attraverso proxy reversi e WAF (Web Application Firewall).

Monitoring Comportamentale Sistemi di SIEM configurati per rilevare pattern di accesso anomali: login da IP sconosciuti, accessi a volumi inusuali di documenti, tentativi di privilege escalation.

Protezione Email Avanzata Molti attacchi a SharePoint iniziano con email di phishing che rubano credenziali o installano malware. Una protezione email robusta è la prima linea di difesa.

Servizi come MailSniper possono bloccare email malevole che tentano di rubare credenziali SharePoint, riducendo il rischio che gli attaccanti ottengano un punto d'ingresso iniziale.

Zero Trust Architecture Nemmeno gli utenti interni dovrebbero avere accesso automatico a tutte le risorse SharePoint. Ogni richiesta dovrebbe essere verificata e autorizzata.

Backup e Recovery In caso di compromissione, la possibilità di ripristinare rapidamente i dati è fondamentale. Backup isolati dalla rete e testati regolarmente.

La guida completa sulla protezione email aziendale offre strategie dettagliate per implementare queste difese.

L'AI che difende contro l'AI che attacca

Questo caso solleva una questione interessante: se l'intelligenza artificiale può scoprire vulnerabilità che gli umani non vedono, può anche aiutarci a difenderci meglio?

La risposta è complessa. Da un lato, l'AI può analizzare pattern di traffico e comportamenti anomali molto più rapidamente di qualsiasi team di sicurezza umano. Dall'altro, può anche essere usata per automatizzare e scalare gli attacchi.

Ciò che è certo è che la cybersecurity sta diventando sempre più una battaglia tra algoritmi. Chi ha l'AI migliore ha un vantaggio significativo, sia in attacco che in difesa.

La domanda che dovremmo farci non è se l'AI cambierà il panorama della sicurezza informatica, ma quanto velocemente e se saremo pronti.