Cyberpediadi Brain
ITDEENESFR

La backdoor di XZ Utils

Nel marzo 2024 viene scoperto codice malevolo in XZ Utils 5.6.0 e 5.6.1. Cosa dice l'avviso della CISA e cosa può fare un dipendente.

In 30 secondi

Dove accade
In XZ Utils, un software di compressione dei dati che può essere presente nelle distribuzioni Linux1.
Cosa può consentire il codice malevolo
Un accesso non autorizzato ai sistemi colpiti, secondo la CISA1.
Il riflesso
Segnalare rapidamente al team IT o sicurezza qualsiasi comportamento anomalo di un sistema e lasciare che i team tecnici applichino le indicazioni ufficiali.
Se è già successo
La CISA raccomanda di tornare a una versione non compromessa, come XZ Utils 5.4.6 Stable, di cercare qualsiasi attività malevola e di segnalare ciò che si trova1.

Di cosa si tratta

Alla fine di marzo 2024 la CISA dichiara di rispondere a segnalazioni di codice malevolo inserito in XZ Utils, un software di compressione dei dati. Le versioni interessate sono la 5.6.0 e la 5.6.1, e il caso riceve l'identificativo CVE-2024-30941.

Per un dipendente, questo tipo di incidente ha una particolarità: non arriva da un messaggio sospetto né da un sito falso. Passa attraverso un software legittimo, installato o aggiornato come al solito. Questa scheda descrive ciò che la CISA ha pubblicato e ciò che i riferimenti di MITRE ATT&CK dicono su questa famiglia di attacchi. Non riporta i dettagli della preparazione dell'attacco né quelli della sua scoperta: le fonti citate qui non li contengono.

Domande dirette

Che cos'è XZ Utils?

È un software di compressione dei dati. Può essere presente nelle distribuzioni Linux1.

Quali versioni sono interessate?

Le versioni 5.6.0 e 5.6.1, nelle quali è stato segnalato codice malevolo1. Questa attività ha l'identificativo CVE-2024-30941.

Che cosa consente il codice malevolo?

Secondo la CISA, può consentire un accesso non autorizzato ai sistemi colpiti1.

Che cos'è una compromissione della catena di approvvigionamento?

MITRE ATT&CK la definisce come la manipolazione di prodotti o dei loro mezzi di consegna prima che arrivino al consumatore finale, allo scopo di compromettere dati o sistemi2.

Che cosa deve fare un dipendente?

Se una macchina si comporta in modo insolito, la segnala subito. La CISA chiede da parte sua a sviluppatori e utenti di tornare a una versione non compromessa e di segnalare ciò che trovano1. Su una postazione gestita dall'azienda, questo ritorno indietro spetta ai team tecnici.

1Nei panni dell'attaccante1 min

Le fonti citate qui non descrivono la preparazione di questo attacco. Descrivono però la logica generale della famiglia a cui appartiene.

MITRE ATT&CK classifica la compromissione della catena di approvvigionamento tra le tecniche di accesso iniziale. Può avvenire in qualsiasi fase: strumenti di sviluppo, repository di codice sorgente, codice delle dipendenze open source, meccanismi di aggiornamento, sostituzione di un software legittimo con una versione modificata2.

I progetti open source molto usati come dipendenze da numerose applicazioni possono essere presi di mira per aggiungere codice malevolo presso tutti coloro che li utilizzano23. L'attaccante può puntare a un insieme preciso di vittime, oppure diffondere il software a un vasto pubblico e proseguire solo presso alcune vittime24.

MITRE descrive anche il rapporto di fiducia: soggetti che hanno già un accesso legittimo, come i fornitori, possono essere usati come punto di ingresso, perché quell'accesso riceve talvolta meno attenzione delle vie d'ingresso ordinarie6.

2Cosa si vede sullo schermo1 min

La CISA non descrive alcun segno visibile lato utente1. Il testo consultato non dice quindi che aspetto abbia l'aggiornamento per un dipendente, e questa scheda non afferma nulla in merito.

Ciò che la fonte consente di scrivere è più limitato: XZ Utils può essere presente nelle distribuzioni Linux1.

3Sotto il cofanoTeam IT1 min

Ciò che la CISA dice del meccanismo si riassume in poche parole: codice malevolo è inserito nelle versioni 5.6.0 e 5.6.1 e può consentire un accesso non autorizzato1.

MITRE ATT&CK colloca questo tipo di azione in due famiglie di tecniche:

  • La compromissione della catena di approvvigionamento software: manipolazione del codice sorgente dell'applicazione, del suo meccanismo di aggiornamento o di distribuzione, oppure sostituzione delle versioni compilate con una versione modificata4.
  • La modifica del processo di autenticazione: un attaccante può modificare i meccanismi che raccolgono, conservano e convalidano le credenziali, per esempio i moduli di autenticazione collegabili (PAM) sui sistemi di tipo Unix. Può così autenticarsi a un servizio senza usare un account valido5.

Queste due pagine sono riferimenti generali. Non menzionano XZ Utils, e nulla nelle fonti citate qui collega questo incidente a una tecnica precisa. L'accostamento è presentato come una griglia di lettura, non come un accertamento.

4AutopsieCasi reali1 min

29 marzo 2024: l'avviso della CISA su XZ Utils

Il 29 marzo 2024 la CISA pubblica un avviso intitolato «Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094». Indica che la CISA e la comunità open source rispondono a segnalazioni di codice malevolo inserito in XZ Utils, versioni 5.6.0 e 5.6.11.

Il testo ricorda che XZ Utils è un software di compressione dei dati, che può trovarsi nelle distribuzioni Linux e che il codice malevolo può consentire un accesso non autorizzato ai sistemi colpiti1.

La CISA raccomanda a sviluppatori e utenti di effettuare il downgrade di XZ Utils a una versione non compromessa, come XZ Utils 5.4.6 Stable, di cercare qualsiasi attività malevola e di segnalare alla CISA ogni riscontro positivo1. L'avviso rimanda anche a un bollettino di Red Hat riguardante Fedora 41 e Rawhide1.

Le fonti citate qui non contengono né la cronologia della preparazione dell'attacco, né i nomi delle persone coinvolte, né le circostanze della scoperta. Questi elementi non compaiono quindi in questa scheda.

Scheda

Identificativo
CP-179
Ala
2. Malware e autopsie
Competenza Brain
Segnalare gli incidenti (report_incidents)
Riflesso Brain
cr-016
Schema
G4 · Cronologia dell'incidente (autopsia)
Lingue
de, en, es, fr, it
Fonti
6 fonti verificate il 3 novembre 2026
Fonti6 fonti
  1. CISA, «Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094», 29 marzo 2024. https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 (consultato il 3 novembre 2026)
  2. MITRE ATT&CK, «Supply Chain Compromise». https://attack.mitre.org/techniques/T1195/ (consultato il 3 novembre 2026)
  3. MITRE ATT&CK, «Supply Chain Compromise: Compromise Software Dependencies and Development Tools». https://attack.mitre.org/techniques/T1195/001/ (consultato il 3 novembre 2026)
  4. MITRE ATT&CK, «Supply Chain Compromise: Compromise Software Supply Chain». https://attack.mitre.org/techniques/T1195/002/ (consultato il 3 novembre 2026)
  5. MITRE ATT&CK, «Modify Authentication Process». https://attack.mitre.org/techniques/T1556/ (consultato il 3 novembre 2026)
  6. MITRE ATT&CK, «Trusted Relationship». https://attack.mitre.org/techniques/T1199/ (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «La backdoor di XZ Utils», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/autopsia-xz-utils-backdoor/

BibTeX 
@misc{brain_cp179_it_2026,
  author = {Brain},
  title = {La backdoor di XZ Utils},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/autopsia-xz-utils-backdoor/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0