Home › Attacco Remote Code Execution: come funziona e come difendersi

Attacco Remote Code Execution: come funziona e come difendersi

Per capire un attacco remote code execution (RCE): come funziona, basta partire da un'idea. L'attaccante sfrutta una vulnerabilità di un'applicazione o di un servizio raggiungibile in rete e riesce a far eseguire al sistema bersaglio un codice scelto da lui, senza avere un accesso fisico o credenziali legittime. È una delle categorie di falle più gravi, perché può trasformare un server esposto in un punto d'ingresso nella rete aziendale.

In questa guida vediamo le fasi tipiche di un attacco RCE, da dove nascono queste vulnerabilità e quali misure riducono davvero il rischio per una PMI o un'azienda strutturata.

Cos'è una remote code execution e perché è così critica

Con "remote code execution" si indica la capacità di eseguire comandi o programmi su un computer da un'altra postazione, attraverso la rete. Se è autorizzata, è normale amministrazione. Se avviene tramite un difetto del software, diventa un attacco.

La gravità dipende da due fattori. Il primo è il privilegio con cui gira il processo vulnerabile: un servizio con permessi elevati dà all'attaccante molto più margine. Il secondo è l'esposizione: un'applicazione raggiungibile da internet è molto più a rischio di un sistema interno.

Un caso noto è Log4Shell, la falla nella libreria Log4j, che ha mostrato come un componente software diffuso possa esporre migliaia di sistemi. È un buon promemoria: spesso la vulnerabilità non sta nel codice scritto dall'azienda, ma in una dipendenza che nessuno ricordava di avere.

Attacco remote code execution: come funziona, passo dopo passo

Ogni attacco ha le sue particolarità, ma lo schema ricorre con poche variazioni. Ecco le fasi principali.

1. Ricognizione e individuazione del bersaglio

L'attaccante cerca sistemi raggiungibili da internet e ne identifica software e versioni. Lo fa con scansioni automatiche, che di norma colpiscono in massa tutti i sistemi vulnerabili e non una singola azienda. Essere piccoli non protegge: si viene trovati perché si è esposti, non perché si è importanti.

2. Scelta ed esecuzione dell'exploit

Qui entra in gioco il concetto di come funziona un exploit informatico. L'exploit è il codice o la sequenza di input che sfrutta la falla, facendo comportare il programma in modo non previsto. Può essere una richiesta HTTP costruita ad arte, un file caricato sul server o un dato manipolato che l'applicazione interpreta come istruzione.

3. Esecuzione del payload

Se l'exploit riesce, l'attaccante fa eseguire il payload, cioè il codice vero e proprio. Spesso apre una connessione verso un server esterno (una reverse shell), così da ottenere un controllo interattivo della macchina. Un'altra possibilità è scaricare altri strumenti malevoli.

4. Consolidamento dell'accesso

Ottenuto il primo punto d'appoggio, l'attaccante cerca di mantenerlo: crea account, installa meccanismi di persistenza, raccoglie credenziali. Da qui comincia il movimento laterale verso altri sistemi.

In sintesi, la sequenza tipica è questa:

1. individuazione di un servizio esposto e vulnerabile;
2. invio dell'exploit;
3. esecuzione del codice sul sistema bersaglio;
4. accesso persistente e raccolta di informazioni;
5. estensione dell'attacco ad altri sistemi.

Da dove nascono le vulnerabilità RCE

Le cause sono diverse, ma quasi tutte derivano da un'idea: il programma si fida di un dato che non dovrebbe fidarsi. Le più frequenti sono:

• Command injection: l'input dell'utente finisce in un comando di sistema senza controlli adeguati.
• Deserializzazione insicura: l'applicazione ricostruisce oggetti da dati non attendibili, e questi possono contenere istruzioni dannose.
• Upload di file non controllati: un file caricato come "immagine" è in realtà uno script eseguibile dal server.
• Errori di gestione della memoria: comuni in software scritto in linguaggi di basso livello.
• Librerie e plugin di terze parti non aggiornati: ereditano falle note che qualcuno ha già pubblicato.

Anche altri attacchi web possono aprire la strada a una RCE. Una SQL injection (cos'è e come difendersi è un tema a parte) può, in certe configurazioni, permettere di eseguire comandi sul server di database. Anche un cross site scripting può servire come primo passo in una catena di attacco più lunga, anche se di per sé agisce sul browser della vittima.

Vulnerabilità ed exploit: qual è la differenza?

La differenza tra vulnerabilità ed exploit è semplice. La vulnerabilità è il difetto presente nel software. L'exploit è lo strumento che lo sfrutta. Una falla può esistere per anni senza che nessuno la usi, e l'attacco parte quando qualcuno scrive o acquista un exploit funzionante.

Cos'è una vulnerabilità zero day

Una vulnerabilità zero day è una falla sconosciuta al produttore, e quindi priva di patch al momento in cui viene sfruttata. Contro uno zero day l'aggiornamento non basta, perché non esiste ancora. Contano allora la riduzione della superficie esposta, la segmentazione e il monitoraggio: sono ciò che limita i danni quando la patch non è disponibile.

Dopo l'RCE: privilege escalation e ransomware

L'esecuzione di codice è spesso solo l'inizio. Se il servizio compromesso gira con permessi limitati, l'attaccante tenta la privilege escalation, cioè l'acquisizione di diritti più elevati sfruttando altre falle di configurazione o del sistema operativo. Si previene con il principio del privilegio minimo, con sistemi aggiornati e con account di servizio ben isolati.

Per quanto riguarda il modo in cui i ransomware sfruttano le vulnerabilità, l'RCE su un servizio esposto è uno degli accessi iniziali più ambiti. Dopo l'ingresso, i gruppi criminali si spostano nella rete, cercano i backup e cifrano i dati. Per questo una falla su un singolo server pubblico può avere conseguenze su tutta l'azienda.

Se cerchi esempi di attacchi hacker a aziende italiane, il consiglio è di consultare le fonti istituzionali, come i bollettini del CSIRT Italia e dell'Agenzia per la Cybersicurezza Nazionale, invece di affidarti a riassunti di seconda mano. Lì trovi informazioni verificate su vulnerabilità sfruttate e misure consigliate.

Come difendersi da un attacco RCE

Non esiste una misura unica, ma un insieme di pratiche che si rafforzano a vicenda.

• Inventario degli asset: non puoi proteggere ciò che non sai di avere. Elenca server, applicazioni e librerie esposte.
• Patch management: applica gli aggiornamenti di sicurezza con priorità ai sistemi raggiungibili da internet.
• Riduzione dell'esposizione: chiudi servizi inutili e metti le interfacce di amministrazione dietro VPN o accessi controllati.
• Validazione dell'input: chi sviluppa deve trattare ogni dato esterno come non attendibile.
• Privilegi minimi e segmentazione: se un servizio viene compromesso, il danno resta circoscritto.
• Monitoraggio e log: comportamenti anomali, come un server web che avvia processi insoliti, sono segnali da intercettare.
• Backup isolati e testati: limitano l'impatto di un eventuale ransomware successivo.

Come capire se la tua azienda è esposta

Per un'azienda di Milano, e in generale per chiunque abbia servizi online, il primo passo è guardare il proprio sistema come lo vedrebbe un attaccante. Una verifica utile parte da domande semplici:

• Quali servizi sono raggiungibili da internet e chi li gestisce?
• Le versioni in uso sono ancora supportate dal produttore?
• Esistono plugin, librerie o applicazioni dimenticate?
• Chi riceve gli avvisi di sicurezza dei fornitori e come vengono gestiti?

Per un riscontro più oggettivo servono scansioni di vulnerabilità e test di sicurezza condotti da professionisti, con un perimetro e regole d'ingaggio chiari. Chi ha già letto il nostro approfondimento sul pentest sa che l'obiettivo è proprio verificare, in modo controllato, se una falla è davvero sfruttabile.

Conclusione

Capire come funziona un attacco remote code execution aiuta a ridurre il rischio con scelte concrete: sapere cosa è esposto, aggiornare, limitare i privilegi e controllare cosa succede sui sistemi. Non serve la paranoia, serve un metodo costante.

Se vuoi capire come proteggere la tua realtà, puoi conoscere le soluzioni di Fred for Security oppure approfondire sul sito di Fred for Security per valutare il passo successivo con un confronto diretto.

Domande frequenti