ShadowPad: la vulnerabilità critica in WSUS che apre le porte allo spionaggio

Informatec Digital » Risorse » ShadowPad: la vulnerabilità critica di WSUS che apre le porte allo spionaggio

Negli ultimi mesi, l'ecosistema della sicurezza informatica è stato scosso da una campagna di attacchi che ha sfruttato una vulnerabilità critica in Microsoft WSUS per diffondere ShadowPad, una delle backdoor più sofisticate e temute attualmente disponibili. Questa combinazione di una falla di sicurezza in un componente chiave di Windows Server e di un malware avanzato ha messo a rischio numerose organizzazioni, soprattutto quelle che espongono i propri server di aggiornamento a Internet senza un'adeguata protezione.

Ciò che preoccupa non è solo la vulnerabilità in sé, ma anche la reazione degli aggressori: dopo la pubblicazione della prova di concetto per l'exploit CVE-2025-59287, i malintenzionati non hanno perso tempo ad attivarla e a trasformarla in un vero e proprio punto di accesso per le loro operazioni di spionaggio e persistenza a lungo termine. Analizziamo cosa sta succedendo, come funziona ShadowPad, perché WSUS è diventato un bersaglio così allettante e quali misure pratiche si possono adottare per minimizzare il rischio.

Che cos'è ShadowPad e perché sta suscitando così tanta preoccupazione?

ShadowPad è una backdoor modulare avanzata, storicamente associata a gruppi di spionaggio legati a interessi cinesi . È considerata il naturale successore di PlugX, un altro malware ben noto negli ambienti del cyberspionaggio. Il suo obiettivo principale non è quello di creare scompiglio o crittografare dati per ottenere un riscatto, bensì di infiltrarsi furtivamente, rimanere all'interno della rete per lunghi periodi ed esfiltrare informazioni sensibili o preparare il terreno per operazioni successive.

Questo malware è caratterizzato da una struttura a strati: possiede un nucleo principale in grado di caricare molteplici plugin o moduli aggiuntivi , che conferiscono funzionalità in base alle esigenze dell'attaccante: dal furto di credenziali e la registrazione delle sequenze di tasti, al movimento laterale, alla gestione di proxy interni o all'utilizzo di canali di comunicazione crittografati molto difficili da tracciare.

Uno dei segreti del suo successo risiede nella sua attenzione all'elusione: ShadowPad è progettato per ridurre al minimo l'ingombro su disco e in memoria, impiegando tecniche di offuscamento, crittografia della configurazione e caricamento dinamico dei componenti solo quando necessario. Questo complica notevolmente il rilevamento da parte dei tradizionali antivirus o soluzioni di monitoraggio che si basano esclusivamente su firme statiche.

Storicamente, ShadowPad è stato utilizzato in campagne mirate contro fornitori di servizi, aziende di settori critici e organizzazioni governative , dove un accesso prolungato all'ambiente della vittima offre un elevato valore strategico agli aggressori. Il fatto che ora venga distribuito tramite un componente così diffuso come WSUS ne aumenta significativamente la pericolosità.

La vulnerabilità critica in Microsoft WSUS (CVE-2025-59287)

Windows Server Update Services (WSUS) è ​​il componente infrastrutturale che consente alle aziende di gestire e distribuire gli aggiornamenti per Windows e altri prodotti Microsoft all'interno della propria rete aziendale. Data la sua funzione, in genere dispone di privilegi elevati ed è connesso a una grande parte dei computer dell'organizzazione, il che lo rende un obiettivo molto appetibile in caso di violazione.

La vulnerabilità alla base di questi attacchi è stata identificata come CVE-2025-59287, una falla di deserializzazione critica in WSUS che consente l'esecuzione di codice in remoto con privilegi di sistema . In parole semplici, un utente malintenzionato può inviare dati appositamente creati al server WSUS vulnerabile e indurlo a elaborare le informazioni in modo non sicuro, eseguendo infine codice dannoso con il massimo livello di privilegio disponibile sul sistema.

Questo tipo di vulnerabilità di deserializzazione è particolarmente pericolosa perché non richiede che l'attaccante disponga di credenziali valide o che un utente legittimo interagisca . È sufficiente che il servizio vulnerabile sia esposto e accessibile affinché l'exploit giusto possa concedere l'accesso completo al server con una singola richiesta.

Microsoft ha già rilasciato delle patch per risolvere il problema; tuttavia, molte organizzazioni tardano ad applicare gli aggiornamenti critici ai server sensibili per timore di interruzioni del servizio o a causa di processi di modifica interni lenti. Questo intervallo tra il rilascio della patch e la sua effettiva implementazione è proprio il momento che i malintenzionati sfruttano.

Il fatto che un exploit sia stato pubblicato come prova di concetto ha accelerato la situazione: una volta reso pubblico il codice dell'exploit, sia gli attori più esperti che i criminali meno sofisticati possono adattarlo e utilizzarlo , aumentando esponenzialmente il numero di tentativi di compromissione contro i server WSUS vulnerabili connessi a Internet.

Catena di attacco: da WSUS vulnerabile a ShadowPad completamente implementato

Dopo aver sfruttato con successo la vulnerabilità CVE-2025-59287, gli aggressori hanno ottenuto l'esecuzione di codice in remoto con privilegi di sistema sul server WSUS . Questo accesso iniziale è diventato il punto di partenza per il resto dell'operazione. Da lì, hanno iniziato a distribuire una serie di strumenti e utility per scaricare e attivare la backdoor ShadowPad.

Le analisi, come quella pubblicata da AhnLab e da altri team specializzati, dimostrano che gli aggressori utilizzano strumenti legittimi presenti praticamente in qualsiasi ambiente Windows , il che consente loro di rimanere inosservati. Tra i più noti figurano:

• PowerCat: uno strumento basato su PowerShell che consente di creare in modo flessibile connessioni di rete, tunnel e reverse shell.
• certutil: utilità della riga di comando inclusa in Windows per la gestione dei certificati, spesso utilizzata in modo improprio per scaricare file da Internet senza destare sospetti.
• arricciare: strumento per trasferire dati da o verso un server, sempre più presente nelle recenti installazioni di Windows e molto utile per scaricare file binari o script.

Utilizzando questi strumenti, gli autori delle minacce scaricano i componenti necessari di ShadowPad da server esterni che controllano . Questo download può essere mascherato da traffico apparentemente legittimo, rendendo difficile il rilevamento senza un monitoraggio approfondito della rete.

Una volta ottenuti i file, entra in gioco una tecnica classica degli attacchi avanzati: il caricamento laterale di DLL. Invece di avviare direttamente un eseguibile dannoso, gli aggressori sfruttano file binari legittimi di Windows o altre applicazioni firmate per caricare una DLL dannosa . Il file binario attendibile, durante la ricerca delle sue librerie, finisce per caricare la DLL manipolata, che è dove risiede effettivamente il codice di ShadowPad.

Questo approccio offre diversi vantaggi agli aggressori: si affidano a file binari affidabili (spesso firmati e ampiamente utilizzati) per acquisire credibilità presso le soluzioni di sicurezza e, caricando la DLL direttamente in memoria, riducono la visibilità dei file dannosi sul disco. Tutto ciò è in linea con la filosofia di ShadowPad, che si basa sull'operare in modo furtivo e persistente.

Una volta attivato, il core della backdoor carica i suoi plugin e stabilisce canali di comunicazione con l'infrastruttura di comando e controllo (C2) degli aggressori , ottenendo così un controllo molto granulare sul server compromesso e, potenzialmente, su altri computer della rete interna che dipendono da WSUS per gli aggiornamenti.

Obiettivi, impatto e tattiche degli attori della minaccia

Le campagne osservate mostrano un chiaro schema di operazioni di spionaggio e di accesso prolungato agli ambienti aziendali . Non si tratta di attacchi opportunistici di basso livello, bensì di intrusioni attentamente pianificate che privilegiano la permanenza e la discrezione rispetto all'impatto immediato e visibile.

In uno degli incidenti analizzati da team specializzati come il Financial CSIRT, è stato riscontrato che, dopo aver compromesso WSUS, gli aggressori hanno utilizzato utility di sistema legittime per eseguire operazioni interne, raccogliere informazioni e predisporre meccanismi di persistenza . Questa preferenza per strumenti già presenti nel sistema si allinea con la tattica nota come "Living off the Land", che evita di introdurre file binari esterni facilmente individuabili.

L'attività osservata comprendeva sia l'installazione di servizi e attività programmate per riprendere il controllo in caso di riavvio, sia la creazione di canali per mantenere la comunicazione con l'infrastruttura di comando e controllo per periodi prolungati . Per un'organizzazione colpita, ciò significa che l'incidente non si limita a un singolo evento isolato, ma si configura piuttosto come un'intrusione che potenzialmente può persistere per mesi se non viene rilevata.

Questo tipo di attacco è solitamente accompagnato da un'infrastruttura di comando e controllo distribuita, con domini e indirizzi IP accuratamente configurati per eludere le blacklist e le tecniche di gestione della reputazione. Gli operatori di ShadowPad spesso cambiano, ruotano e nascondono i propri server, in modo che, anche se un canale di comunicazione viene bloccato, possano facilmente stabilirne un altro.

Inoltre, il rapido sfruttamento successivo alla divulgazione della vulnerabilità dimostra un elevato livello di preparazione: gli autori delle minacce monitorano attivamente l'emergere di nuove vulnerabilità critiche e di exploit proof-of-concept , adattando i propri strumenti e le proprie strategie nel giro di giorni o addirittura ore per integrarli nelle proprie catene di attacco.

Contesto operativo e ruolo delle squadre di risposta

La campagna legata a ShadowPad e WSUS è stata documentata da diversi team di risposta agli incidenti, tra cui il Financial CSIRT, che ha pubblicato riepiloghi dell'attività osservata negli ambienti aziendali . Negli incidenti studiati, si conferma uno schema ricorrente: accesso iniziale tramite la vulnerabilità di WSUS, implementazione di strumenti legittimi, installazione di ShadowPad e consolidamento della persistenza.

In scenari di questo tipo, il lavoro dei team di risposta non si limita alla "pulizia" del server interessato, ma richiede un'indagine approfondita della rete per identificare tutti i possibili punti di contatto dell'attaccante . Data la sua natura modulare, ShadowPad potrebbe aver lasciato moduli o configurazioni inattivi su altri sistemi, pertanto una risposta parziale è spesso insufficiente.

Questi team sono inoltre responsabili della correlazione delle informazioni tecniche relative all'incidente con le strategie di mitigazione e monitoraggio : regole di rilevamento per SIEM, indicatori di compromissione (IoC), modelli di traffico sospetti, configurazioni di firewall ed EDR e raccomandazioni per rafforzare i servizi critici come WSUS.

Per le organizzazioni del settore finanziario e di altri settori regolamentati, disporre di un CSIRT dedicato e di canali di comunicazione diretti per la condivisione di analisi e avvisi (tra cui indirizzi email e newsletter) fa la differenza tra individuare un attacco nelle sue fasi iniziali e scoprirlo solo quando il danno è già significativo . Nel caso di ShadowPad, le capacità di risposta tempestiva possono prevenire violazioni dei dati, uso fraudolento delle credenziali e compromissione dei sistemi critici.

La data in cui alcune di queste analisi sono state condivise, come ad esempio il riepilogo datato inizio dicembre 2025, dimostra come gli aggressori sfruttino incessantemente le finestre di opportunità . Dal momento in cui viene rilasciata una patch fino a quando non raggiunge tutti i sistemi vulnerabili, si apre una preziosa finestra di opportunità sia per i difensori che per gli aggressori.

Come ridurre il rischio: misure di mitigazione e buone pratiche

Il primo passo, per quanto possa sembrare ovvio, è fondamentale: aggiornare senza indugio i server WSUS interessati dalla vulnerabilità CVE-2025-59287 . Ciò implica l'applicazione delle patch rilasciate da Microsoft, la verifica della loro corretta installazione e, in ambienti particolarmente sensibili, il test in un ambiente di pre-produzione prima della distribuzione su larga scala, al fine di evitare interruzioni impreviste.

Oltre all'applicazione delle patch, è fondamentale valutare l'esposizione di WSUS a Internet . In molti casi, questi servizi non devono essere accessibili dalla rete pubblica e l'accesso dovrebbe essere limitato alla rete interna o a connessioni VPN sicure. L'utilizzo di firewall, segmentazione della rete e liste di controllo degli accessi per limitare chi può comunicare con il server di aggiornamento riduce drasticamente la superficie di attacco.

Un'altra linea di difesa fondamentale consiste nel monitorare attivamente l'utilizzo di strumenti come PowerCat, certutil e curl sui server critici. Sebbene si tratti di utility legittime, la loro esecuzione in determinati contesti (ad esempio, su un server WSUS che normalmente non le utilizza) può essere un chiaro indicatore di attività sospette. Le soluzioni EDR e i sistemi di monitoraggio degli eventi dovrebbero generare avvisi quando rilevano modelli anomali.

Al contempo, è necessario rafforzare le capacità di rilevamento contro tecniche come il side-loading di DLL . Ciò include la creazione di elenchi di file binari autorizzati, la revisione dei percorsi di caricamento delle DLL, l'utilizzo di controlli di integrità e, ove possibile, l'attivazione di meccanismi di protezione come Microsoft Defender SmartScreen, Controllo applicazioni o equivalenti in altre soluzioni di sicurezza.

Infine, si raccomanda vivamente di condurre regolarmente revisioni dei log, audit di sicurezza ed esercitazioni di simulazione di incidenti che includano scenari come la compromissione di WSUS e l'installazione di backdoor modulari. Queste esercitazioni aiutano a verificare se i team interni sono in grado di rilevare i primi segnali di un attacco e se le procedure di risposta sono ben collaudate.

Nel complesso, la combinazione di patch rapide, riduzione della superficie di attacco, monitoraggio incentrato sul comportamento e preparazione alla risposta è ciò che meglio può arginare campagne come quelle basate su ShadowPad, anche contro attori avanzati che sfruttano rapidamente le opportunità offerte dalle nuove vulnerabilità.

Questa ondata di exploit contro WSUS per la distribuzione di ShadowPad dimostra fino a che punto i servizi centralizzati di gestione e aggiornamento possano diventare vettori di attacco ad alto impatto se non adeguatamente protetti. Un server che, in teoria, dovrebbe proteggere l'infrastruttura può finire per essere il punto di ingresso per un'intrusione silenziosa e persistente. Comprendere la vulnerabilità CVE-2025-59287, sapere come funziona ShadowPad e adottare solide misure di mitigazione consente alle organizzazioni di essere molto più resilienti contro queste minacce, riducendo le probabilità che una singola vulnerabilità si trasformi in un problema strutturale a lungo termine.