“Skeleton Keys” nel software Gladinet: gli hacker scardinano i server aziendali

Sembra la trama di un thriller informatico: gli attaccanti scoprono una “chiave maestra” in grado di aprire porte in aziende sanitarie e tecnologiche, intrufolandosi senza essere visti per prendere il controllo ed eseguire il proprio codice. Ma non è finzione-i prodotti CentreStack e Triofox di Gladinet sono al centro di una vera e propria ondata di exploit, a causa di una vulnerabilità critica che ha lasciato le chiavi crittografiche scolpite nella pietra, invece che ben nascoste.

Come si svolge l’attacco

Al centro della tempesta c’è una funzione chiamata GenerateSecKey() all’interno del software Gladinet. Invece di generare chiavi crittografiche uniche per ogni server o sessione, questa funzione restituisce sempre la stessa stringa di 100 byte-un invito aperto per gli hacker. Con queste “skeleton keys”, gli aggressori possono decifrare qualsiasi ticket di accesso generato dal sistema, o persino crearne di nuovi per impersonare utenti legittimi.

Una volta dentro, gli attaccanti puntano al prezioso file web.config-un file di configurazione che spesso contiene la “machine key”, un segreto cruciale per la sicurezza delle operazioni del server. Rubandolo, i cybercriminali possono scatenare un attacco di deserializzazione ViewState, iniettando ed eseguendo codice arbitrario direttamente sul server della vittima. L’attacco è sorprendentemente semplice: una richiesta URL appositamente costruita con campi username e password vuoti, che induce l’applicazione a ricorrere alle credenziali di default, e un timestamp impostato a “9999”-il che significa che l’accesso non scade mai. Il risultato è una backdoor riutilizzabile e invisibile per scaricare le configurazioni del server a piacimento.

L’exploit non è solo teorico. Secondo Huntress, almeno nove organizzazioni sono già cadute vittima, con attacchi che spaziano dalla sanità alla tecnologia. Gli aggressori, operando da un indirizzo IP noto, stanno anche concatenando questa nuova falla con una vulnerabilità già divulgata (CVE-2025-11371) per massimizzare l’impatto.

Cosa dovrebbero fare le organizzazioni?

Il messaggio dei ricercatori di sicurezza è inequivocabile: aggiornare subito. Gladinet ha rilasciato un aggiornamento critico (versione 16.12.10420.56791) per risolvere il problema. Si raccomanda inoltre alle organizzazioni di analizzare i log alla ricerca di segni di compromissione-nello specifico, la stringa “vghpI7EToZUDIZDdprSubL3mTZ2”, che indica un tentativo di accesso al file web.config. In caso di compromissione, è essenziale ruotare la machine key per escludere gli intrusi.

Conclusione

Questo incidente è un duro promemoria: i segreti hard-coded sono bombe a orologeria. In un’epoca in cui gli attaccanti si muovono più velocemente che mai, fornitori di software e organizzazioni devono considerare l’igiene crittografica come una priorità assoluta. Altrimenti, la prossima “skeleton key” potrebbe già essere nelle mani sbagliate.

Glossario WIKICROOK

Chiave hard-coded

Un segreto crittografico fissato nel codice del software, identico per ogni installazione-e quindi un bersaglio privilegiato per gli attaccanti.

Deserializzazione ViewState

Un attacco che sfrutta il modo in cui le applicazioni web .NET gestiscono i dati ViewState, potenzialmente consentendo l’esecuzione di codice da remoto se la machine key è nota.

web.config

Un file di configurazione nelle applicazioni ASP.NET che spesso contiene informazioni sensibili, incluse chiavi crittografiche.

Esecuzione di codice da remoto (RCE)

Un tipo di attacco in cui un hacker può eseguire codice arbitrario su un sistema bersaglio, spesso portando a una compromissione completa.

Ticket di accesso

Una struttura dati utilizzata per autenticare e autorizzare gli utenti che, se falsificata o decifrata, può concedere accessi non autorizzati.