--- id: CP-179 slug: autopsia-xz-utils-backdoor lang: it title: La backdoor di XZ Utils description: Nel marzo 2024 viene scoperto codice malevolo in XZ Utils 5.6.0 e 5.6.1. Cosa dice l'avviso della CISA e cosa può fare un dipendente. canonical_url: https://startbrain.io/cyberpedia/it/articles/autopsia-xz-utils-backdoor/ markdown_url: https://startbrain.io/cyberpedia/it/articles/autopsia-xz-utils-backdoor.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «La backdoor di XZ Utils», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/autopsia-xz-utils-backdoor/ (CC BY 4.0) wing: 2 theme: report_incidents reflex: cr-016 schema: G4 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/autopsia-xz-utils-backdoor/ fr: https://startbrain.io/cyberpedia/fr/articles/autopsie-xz-utils-backdoor/ en: https://startbrain.io/cyberpedia/en/articles/xz-utils-backdoor-autopsy/ de: https://startbrain.io/cyberpedia/de/articles/autopsie-xz-utils-hintertur/ es: https://startbrain.io/cyberpedia/es/articles/autopsia-xz-utils-puerta-trasera/ nl: https://startbrain.io/cyberpedia/nl/articles/autopsie-xz-utils-backdoor-nl/ sources: - "n": 1 title: Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094 publisher: CISA url: https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 published: "2024-03-29" accessed: "2026-11-03" - "n": 2 title: Supply Chain Compromise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/ accessed: "2026-11-03" - "n": 3 title: "Supply Chain Compromise: Compromise Software Dependencies and Development Tools" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/001/ accessed: "2026-11-03" - "n": 4 title: "Supply Chain Compromise: Compromise Software Supply Chain" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/002/ accessed: "2026-11-03" - "n": 5 title: Modify Authentication Process publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1556/ accessed: "2026-11-03" - "n": 6 title: Trusted Relationship publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1199/ accessed: "2026-11-03" --- # La backdoor di XZ Utils Alla fine di marzo 2024 la CISA dichiara di rispondere a segnalazioni di codice malevolo inserito in XZ Utils, un software di compressione dei dati. Le versioni interessate sono la 5.6.0 e la 5.6.1, e il caso riceve l'identificativo CVE-2024-3094 [1]. Per un dipendente, questo tipo di incidente ha una particolarità: non arriva da un messaggio sospetto né da un sito falso. Passa attraverso un software legittimo, installato o aggiornato come al solito. Questa scheda descrive ciò che la CISA ha pubblicato e ciò che i riferimenti di MITRE ATT&CK dicono su questa famiglia di attacchi. Non riporta i dettagli della preparazione dell'attacco né quelli della sua scoperta: le fonti citate qui non li contengono. ## In 30 secondi - Dove accade: in XZ Utils, un software di compressione dei dati che può essere presente nelle distribuzioni Linux [1]. - Cosa può consentire il codice malevolo: un accesso non autorizzato ai sistemi colpiti, secondo la CISA [1]. - Il riflesso: segnalare rapidamente al team IT o sicurezza qualsiasi comportamento anomalo di un sistema e lasciare che i team tecnici applichino le indicazioni ufficiali. - Se è già successo: la CISA raccomanda di tornare a una versione non compromessa, come XZ Utils 5.4.6 Stable, di cercare qualsiasi attività malevola e di segnalare ciò che si trova [1]. ## Domande dirette ### Che cos'è XZ Utils? È un software di compressione dei dati. Può essere presente nelle distribuzioni Linux [1]. ### Quali versioni sono interessate? Le versioni 5.6.0 e 5.6.1, nelle quali è stato segnalato codice malevolo [1]. Questa attività ha l'identificativo CVE-2024-3094 [1]. ### Che cosa consente il codice malevolo? Secondo la CISA, può consentire un accesso non autorizzato ai sistemi colpiti [1]. ### Che cos'è una compromissione della catena di approvvigionamento? MITRE ATT&CK la definisce come la manipolazione di prodotti o dei loro mezzi di consegna prima che arrivino al consumatore finale, allo scopo di compromettere dati o sistemi [2]. ### Che cosa deve fare un dipendente? Se una macchina si comporta in modo insolito, la segnala subito. La CISA chiede da parte sua a sviluppatori e utenti di tornare a una versione non compromessa e di segnalare ciò che trovano [1]. Su una postazione gestita dall'azienda, questo ritorno indietro spetta ai team tecnici. ## Nei panni dell'attaccante Le fonti citate qui non descrivono la preparazione di questo attacco. Descrivono però la logica generale della famiglia a cui appartiene. MITRE ATT&CK classifica la compromissione della catena di approvvigionamento tra le tecniche di accesso iniziale. Può avvenire in qualsiasi fase: strumenti di sviluppo, repository di codice sorgente, codice delle dipendenze open source, meccanismi di aggiornamento, sostituzione di un software legittimo con una versione modificata [2]. I progetti open source molto usati come dipendenze da numerose applicazioni possono essere presi di mira per aggiungere codice malevolo presso tutti coloro che li utilizzano [2][3]. L'attaccante può puntare a un insieme preciso di vittime, oppure diffondere il software a un vasto pubblico e proseguire solo presso alcune vittime [2][4]. MITRE descrive anche il rapporto di fiducia: soggetti che hanno già un accesso legittimo, come i fornitori, possono essere usati come punto di ingresso, perché quell'accesso riceve talvolta meno attenzione delle vie d'ingresso ordinarie [6]. ## Cosa si vede sullo schermo La CISA non descrive alcun segno visibile lato utente [1]. Il testo consultato non dice quindi che aspetto abbia l'aggiornamento per un dipendente, e questa scheda non afferma nulla in merito. Ciò che la fonte consente di scrivere è più limitato: XZ Utils può essere presente nelle distribuzioni Linux [1]. ## Sotto il cofano Ciò che la CISA dice del meccanismo si riassume in poche parole: codice malevolo è inserito nelle versioni 5.6.0 e 5.6.1 e può consentire un accesso non autorizzato [1]. MITRE ATT&CK colloca questo tipo di azione in due famiglie di tecniche: - La compromissione della catena di approvvigionamento software: manipolazione del codice sorgente dell'applicazione, del suo meccanismo di aggiornamento o di distribuzione, oppure sostituzione delle versioni compilate con una versione modificata [4]. - La modifica del processo di autenticazione: un attaccante può modificare i meccanismi che raccolgono, conservano e convalidano le credenziali, per esempio i moduli di autenticazione collegabili (PAM) sui sistemi di tipo Unix. Può così autenticarsi a un servizio senza usare un account valido [5]. Queste due pagine sono riferimenti generali. Non menzionano XZ Utils, e nulla nelle fonti citate qui collega questo incidente a una tecnica precisa. L'accostamento è presentato come una griglia di lettura, non come un accertamento. ## Autopsie ### 29 marzo 2024: l'avviso della CISA su XZ Utils Il 29 marzo 2024 la CISA pubblica un avviso intitolato «Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094». Indica che la CISA e la comunità open source rispondono a segnalazioni di codice malevolo inserito in XZ Utils, versioni 5.6.0 e 5.6.1 [1]. Il testo ricorda che XZ Utils è un software di compressione dei dati, che può trovarsi nelle distribuzioni Linux e che il codice malevolo può consentire un accesso non autorizzato ai sistemi colpiti [1]. La CISA raccomanda a sviluppatori e utenti di effettuare il downgrade di XZ Utils a una versione non compromessa, come XZ Utils 5.4.6 Stable, di cercare qualsiasi attività malevola e di segnalare alla CISA ogni riscontro positivo [1]. L'avviso rimanda anche a un bollettino di Red Hat riguardante Fedora 41 e Rawhide [1]. Le fonti citate qui non contengono né la cronologia della preparazione dell'attacco, né i nomi delle persone coinvolte, né le circostanze della scoperta. Questi elementi non compaiono quindi in questa scheda. ## Fonti 1. CISA, «Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094», 29 marzo 2024. https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Supply Chain Compromise». https://attack.mitre.org/techniques/T1195/ (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Supply Chain Compromise: Compromise Software Dependencies and Development Tools». https://attack.mitre.org/techniques/T1195/001/ (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Supply Chain Compromise: Compromise Software Supply Chain». https://attack.mitre.org/techniques/T1195/002/ (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Modify Authentication Process». https://attack.mitre.org/techniques/T1556/ (consultato il 3 novembre 2026) 6. MITRE ATT&CK, «Trusted Relationship». https://attack.mitre.org/techniques/T1199/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/autopsia-xz-utils-backdoor/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.