Attacco Ping of Death: di cosa si tratta?

L’attacco noto come Ping of Death (PoD) ha una storia ricca e affascinante.
Nei primi anni dell’era di Internet, quando reti e dispositivi erano meno sofisticati, risultavano particolarmente vulnerabili a molteplici tipi di attacchi informatici, tra cui proprio il Ping of Death. Questo attacco consisteva nell’invio di pacchetti ICMP malformati o di dimensioni eccessive, capaci di mandare in crash i sistemi o causare interruzioni nelle reti.
Questa vulnerabilità era particolarmente diffusa nei vecchi sistemi operativi, che non erano in grado di gestire correttamente tali pacchetti.

Con il tempo, grazie al progresso tecnologico, sia i sistemi operativi sia l’hardware di rete si sono evoluti, integrando gran parte delle patch per resistere a questo genere di minacce. Eppure, gli aggressori hanno risposto a questa evoluzione affinando di pari passo anche le loro tecniche: le tattiche del Ping of Death si sono evolute, trovando nuovi modi per sfruttare vulnerabilità all’interno di protocolli di rete e sistemi sempre più complessi.

1. Cos’è il Ping of Death?
2. Come funziona la tecnica Ping of Death
3. Il Ping of Death è ancora efficace?
4. Misure di prevenzione contro gli attacchi Ping of Death

Cos’è il Ping of Death ?

Il Ping of Death (PoD) è un attacco informatico che sfrutta l’invio di pacchetti ICMP alterati, corrotti o difettosi per mandare in crash, bloccare o rendere instabile un sistema target. L’attacco si basa sull’invio di pacchetti di dimensioni superiori al limite consentito, causando errori di gestione della memoria nei dispositivi vulnerabili.

Come funziona la tecnica Ping of Death

Un pacchetto IP (Internet Protocol) corretto nella versione 4 (IPv4) può avere una dimensione massima di 65.535 byte.
Molti computer più datati non sono in grado di gestire pacchetti di dimensioni superiori. Gli attacchi Ping of Death sfruttano questa limitazione: inviando pacchetti di dimensioni maggiori in frammenti, gli attaccanti violano le regole del protocollo IP. Quando il sistema bersaglio tenta di ricostruire i frammenti, si trova a gestire un carico di dati sovradimensionato, che può causare problemi al sistema.

Il comando Ping utilizza messaggi di risposta ICMP (Internet Control Message Protocol) per verificare la connessione tra dispositivi in rete.
Questo sistema funziona come un sonar: un dispositivo invia un impulso e riceve un eco che fornisce informazioni sullo stato della rete.
Quando la connessione funziona correttamente, il dispositivo sorgente riceve una risposta dal dispositivo di destinazione.
Per regola, i pacchetti utilizzati nel comando Ping non possono superare i 65.535 byte.

Gli attaccanti modificano il normale comando Ping per generare un Ping of Death.
Scrivendo un semplice ciclo, possono inviare pacchetti di dimensioni superiori al limite di 65.535 byte. Quando il sistema bersaglio tenta di ricostruire i frammenti ricevuti, si genera un sovraccarico che manda in tilt la memoria.

Inviando pacchetti frammentati eccessivamente grandi, gli attaccanti aggirano le regole del protocollo IP.
Quando il sistema bersaglio tenta di ricomporre i frammenti, il risultato è un sovraccarico della memoria che può compromettere il funzionamento del sistema, rendendolo instabile o inaccessibile.

Grazie a questo stratagemma, il Ping of Death continua a rappresentare una minaccia per i dispositivi non aggiornati o con vulnerabilità ereditate.

Il Ping of Death è ancora efficace?

Dal 1998, la maggior parte dei dispositivi e computer è stata dotata di protezioni contro questo tipo di minacce. In effetti, i Ping of Death non è più efficace sui sistemi moderni. Questo attacco era pericoloso specialmente negli anni ’90 perché molti sistemi operativi non gestivano correttamente pacchetti ICMP di dimensioni anomale, causando crash o malfunzionamenti.

Perché oggi non funziona più?

1. I sistemi operativi moderni hanno corretto la vulnerabilità, impedendo che pacchetti ICMP alterati, corrotti o difettosi possano causare problemi.
2. La maggior parte dei firewall blocca automaticamente pacchetti ICMP con dimensioni anomale.
3. Gli stack di rete moderni gestiscono correttamente la frammentazione e la ricomposizione dei pacchetti, evitando errori di overflow.

Sebbene il Ping of Death non sia più una minaccia, esistono attacchi più avanzati basati su concetti simili, come il TCP SYN Flood o il ICMP Flood, che puntano a sovraccaricare le risorse di rete piuttosto che sfruttare vulnerabilità nei protocolli.

Misure di prevenzione contro gli attacchi Ping of Death

Sebbene il Ping of Death sia ormai una tecnica di attacco obsoleta, le sue dinamiche sono ancora rilevanti per comprendere come proteggere le infrastrutture di rete da pacchetti anomali e fuori specifica. La prevenzione passa attraverso un insieme di misure tecniche che agiscono a diversi livelli del sistema operativo e della rete.

Filtraggio dei pacchetti ICMP a livello di firewall

Uno dei metodi più efficaci per contrastare il Ping of Death è configurare il firewall in modo che analizzi e scarti i pacchetti ICMP con dimensioni anomale.
I firewall moderni, sia hardware che software, offrono la possibilità di impostare regole specifiche per limitare la dimensione massima dei pacchetti ICMP in ingresso. Ad esempio, un firewall ben configurato può automaticamente eliminare qualsiasi pacchetto ICMP superiore a 1.500 byte, che è la dimensione massima della maggior parte delle MTU (Maximum Transmission Unit) utilizzate nelle reti Ethernet. Questo impedisce che frammenti di pacchetti alterati possano essere ricombinati in un payload dannoso.

Patch e aggiornamenti del sistema operativo

I sistemi operativi moderni hanno implementato controlli rigorosi sulla gestione della memoria e sulla ricomposizione dei pacchetti ICMP frammentati. Aggiornare il sistema significa beneficiare delle ultime correzioni di sicurezza che bloccano automaticamente tentativi di inviare pacchetti fuori specifica. Ad esempio, i kernel Linux recenti rifiutano frammenti ICMP che, una volta riassemblati, superano il limite massimo consentito.
Windows e macOS implementano meccanismi simili per evitare errori di buffer overflow causati da pacchetti difettosi.

Disabilitazione selettiva dell’ICMP, ma senza bloccarlo del tutto

Disabilitare completamente il protocollo ICMP può sembrare una soluzione drastica, ma in realtà può avere effetti collaterali negativi sulla diagnostica della rete. ICMP è essenziale per funzioni come il ping di test e i messaggi di errore (ad esempio, destination unreachable). Una strategia più efficace è limitare solo i tipi di messaggi ICMP più vulnerabili agli attacchi, come ICMP Echo Request da fonti non attendibili, utilizzando regole a livello di firewall o router.

Monitoraggio attivo del traffico di rete

I sistemi di Intrusion Detection System (IDS) e Intrusion Prevention System (IPS) possono riconoscere pattern sospetti di traffico ICMP, come un numero anomalo di pacchetti con dimensioni atipiche o una serie di frammenti che potrebbero essere utilizzati per tentare un exploit. Un IDS può segnalare un tentativo di attacco, mentre un IPS può intervenire in tempo reale bloccando il traffico malevolo prima che raggiunga la destinazione. Questo tipo di protezione è particolarmente utile in ambienti aziendali dove la continuità operativa è una priorità.

Configurazione avanzata dei router per limitare la frammentazione

Molti attacchi basati su pacchetti alterati sfruttano la frammentazione IP per aggirare i limiti dimensionali.
I router moderni offrono opzioni per disabilitare la ricomposizione dei frammenti IP a livello di rete, riducendo così la possibilità di assemblare pacchetti anomali. Ad esempio, alcune configurazioni permettono di rifiutare frammenti con offset sospetti o payload non standard, impedendo così che un attacco come il Ping of Death possa funzionare.