L’anno era il 2006. Roger Duronio si era appena allontanato dal suo lavoro presso UBS PaineWebber con in mente un piano molto specifico e dannoso. Non si stava semplicemente arrendendo; stava sabotando. Nel 2002, aveva segretamente inserito un pezzo di codice nelle profondità dell’infrastruttura dell’azienda. Il suo obiettivo era semplice: distruggere dati critici, far crollare il prezzo delle azioni e incassare le opzioni put che aveva acquistato per soli $ 23.000.
La bomba logica è esplosa. Ha cancellato file da 1.000 computer. Duronio si aspettava il caos. Si aspettava profitti.
Ciò che ottenne furono otto anni di prigione federale e un ordine di restituzione di 3 milioni di dollari. Il titolo non si è mosso. Il piano fallì perché al mercato non importava la sua vendetta. Ma la realtà tecnica rimane terribilmente rilevante. Una bomba logica è ancora uno dei modi più efficaci con cui un insider scontento può paralizzare un’organizzazione.
Cos’è in realtà una bomba logica?
Una bomba logica non è un virus. Non si replica e passa da un computer all’altro come un’influenza. Si tratta di un codice dannoso dormiente nascosto all’interno di software o processi di sistema legittimi. Aspetta. Resta in attesa finché non viene soddisfatta una condizione specifica.
Consideratelo come un tripwire fatto di codice. Finché qualcuno non ci calpesta non succede nulla. Quindi, all’improvviso, il payload viene eseguito.
Il termine “codice scorie” viene talvolta utilizzato nel settore. È cupo, ma accurato. Dopo che la bomba è esplosa, tutto ciò che rimane sono scorie digitali.
L’innesco può essere positivo o negativo. Un trigger positivo potrebbe essere una data di calendario. Se l’orologio del sistema segna il 1 gennaio 2024, i file svaniscono. Un trigger negativo è più insidioso. Si basa su un’assenza di azione. Se un dipendente non riesce a registrare un comando entro martedì alle 17:00, si presuppone che abbia lasciato l’azienda. La bomba si innesca. I dati scompaiono.
I fattori scatenanti negativi sono molto più pericolosi. Sono fragili. Se quel dipendente si ammala. Se sono ricoverati in ospedale. Se sono in vacanza. Il grilletto scatta per sbaglio. Il danno è fatto. E non c’è alcun pulsante di annullamento.
Il fattore di minaccia interna
Le bombe logiche sono l’arma preferita del “dipendente scontento”. Negli ambienti IT questa è una sindrome ben nota. Non è uno strumento per hacker remoti che non hanno accesso alla rete fisica. Richiede conoscenza privilegiata. Richiede l’accesso.
Ciò rende difficile il rilevamento. Chi osserva gli osservatori?
La maggior parte delle bombe logiche non si diffondono. Rimangono fermi. Questa semplicità è la loro forza. Creare un virus è complesso; richiede codice che possa sopravvivere, copiarsi e infettare nuovi host. Creare una bomba logica è facile. Devi solo inserire il codice che elimina una cartella quando una condizione è vera. Meno parti mobili significano meno punti in cui potrebbe rompersi.
Ma l’impatto è spesso catastrofico. I file vengono eliminati. La proprietà intellettuale viene divulgata ai concorrenti. Le reti sono paralizzate per giorni. Raramente il danno è solo tecnico. È finanziario e reputazionale.
Il buono, il cattivo e il software di prova
Non tutto il codice attivato è malvagio. Usiamo la meccanica della bomba logica ogni giorno.
Guarda le prove gratuite del software. L’app funziona per 30 giorni. Il giorno 31, le funzionalità scompaiono o il programma si blocca. Questa è una bomba logica. Si tratta di un trigger basato sul tempo progettato per imporre il pagamento. Non è dannoso. È trasparente. L’utente conosce le regole.
La differenza sta nell’intento e nel consenso. Un timer di prova aiuta lo sviluppatore. Una bomba logica dannosa aiuta l’ex dipendente a vendicarsi.
Come rimanere al sicuro
Non puoi individuare facilmente una bomba logica. Sembra un codice normale. È nascosto in bella vista.
L’unica difesa è un monitoraggio rigoroso. I team di sicurezza IT devono scansionare costantemente le reti. Devono cercare nuovi oggetti nei dati. Devono monitorare i singoli computer, non solo il perimetro della rete. Se un file cambia in modo strano, o se il codice appare dove non dovrebbe, deve essere immediatamente segnalato.
Il rilevamento è più difficile della prevenzione per questo tipo di malware. Nel momento in cui vedi l’evento scatenante, la bomba è già stata armata.
La lezione di UBS PaineWebber è chiara. Il controllo degli accessi è tutto. Monitora chi dispone delle autorizzazioni a livello di root. Fai attenzione ai comportamenti insoliti. E presupponiamo che chiunque abbia accesso possa rompere le cose.
Non è questione se un insider tenterà di causare danni. È questione di quando. E quando ciò accade, spesso i dati vengono perduti prima ancora che qualcuno si accorga che il sistema è sotto attacco.
Domande frequenti
Qual è la differenza tra un virus e una bomba logica?
Un virus si replica e si diffonde ad altri file e computer. Una bomba logica è un codice dormiente che attende un innesco. Non si diffonde. Si trova all’interno di un singolo programma o sistema finché non viene attivato.
È possibile rilevare una bomba logica prima che si attivi?
È difficile. Poiché il codice sembra un normale software, le scansioni antivirus standard spesso non lo rilevano. Il controllo approfondito del codice e il monitoraggio comportamentale sono le migliori difese. Devi cercare la logica che non appartiene, non solo le firme dannose conosciute.
Perché gli addetti ai lavori usano le bombe logiche?
Vendetta. Quando un dipendente si sente offeso da un’azienda, una bomba logica offre un modo per causare il massimo danno con il minimo sforzo. Non richiede strumenti di hacking esterni. Basta conoscere il sistema e il grilletto giusto.
Il mercato azionario si è scrollato di dosso l’attacco di Duronio. Il sistema legale no. Ma nel mondo della sicurezza informatica, la minaccia rimane. Il codice è semplice. La motivazione è umana. E le conseguenze sono spesso irreversibili.
