Compromissione zero-click di una piattaforma WordPress
Quando una delle principali istituzioni italiane di ricerca medica si è trovata ad affrontare lo sfruttamento attivo di una vulnerabilità zero-click nella propria infrastruttura cloud AWS, si è rivolta al nostro team SecOps per contenere rapidamente la minaccia. Attraverso un’approfondita analisi forense, siamo intervenuti tempestivamente per isolare l’attacco, ripristinare l’ambiente e rafforzare nel lungo periodo la postura di sicurezza della piattaforma.
Compromissione zero-click di una piattaforma WordPress
Quando una delle principali istituzioni italiane di ricerca medica si è trovata ad affrontare lo sfruttamento attivo di una vulnerabilità zero-click nella propria infrastruttura cloud AWS, si è rivolta al nostro team SecOps per contenere rapidamente la minaccia. Attraverso un’approfondita analisi forense, siamo intervenuti tempestivamente per isolare l’attacco, ripristinare l’ambiente e rafforzare nel lungo periodo la postura di sicurezza della piattaforma.
Panoramica
La sfida
Una vulnerabilità RCE zero-click, sfruttabile senza autenticazione e presente in un plugin WordPress critico, ha esposto l’infrastruttura AWS dell’organizzazione. La vulnerabilità consentiva agli attaccanti di caricare web shell, creare account con privilegi amministrativi non autorizzati e dirottare il traffico web senza essere rilevati. L’assenza di telemetria sugli endpoint e di un monitoraggio SOC attivo ha reso più difficile individuare tempestivamente l’attacco.
Tecnologia
L’applicazione PHP/MySQL ospititata su AWS EC2 è stata analizzata e bonificata attraverso un confronto forense degli snapshot AWS EBS. L’ambiente è stato quindi riprogettato e containerizzato con Docker per garantire un rigoroso isolamento tra tenant e predisporre l’integrazione di agenti EDR/XDR, sistemi di File Integrity Monitoring (FIM) e strumenti SIEM per la raccolta e la correlazione centralizzata dei log.
Risultato
La minaccia è stata completamente contenuta e il sistema ripristinato senza perdita di dati. L’intervento ha inoltre portato alla realizzazione di un’architettura modernizzata e micro-segmentata, riducendo i single point of failure e rafforzando la resilienza complessiva della piattaforma.
Panoramica
La sfida
Una vulnerabilità RCE zero-click, sfruttabile senza autenticazione e presente in un plugin WordPress critico, ha esposto l’infrastruttura AWS dell’organizzazione. La vulnerabilità consentiva agli attaccanti di caricare web shell, creare account con privilegi amministrativi non autorizzati e dirottare il traffico web senza essere rilevati. L’assenza di telemetria sugli endpoint e di un monitoraggio SOC attivo ha reso più difficile individuare tempestivamente l’attacco.
Tecnologia
L’applicazione PHP/MySQL ospititata su AWS EC2 è stata analizzata e bonificata attraverso un confronto forense degli snapshot AWS EBS. L’ambiente è stato quindi riprogettato e containerizzato con Docker per garantire un rigoroso isolamento tra tenant e predisporre l’integrazione di agenti EDR/XDR, sistemi di File Integrity Monitoring (FIM) e strumenti SIEM per la raccolta e la correlazione centralizzata dei log.
Risultato
La minaccia è stata completamente contenuta e il sistema ripristinato senza perdita di dati. L’intervento ha inoltre portato alla realizzazione di un’architettura modernizzata e micro-segmentata, riducendo i single point of failure e rafforzando la resilienza complessiva della piattaforma.
Scopri di più
