Il 9 marzo 2018, Recorded Future, un’azienda statunitense che si occupa di ricerca sulle minacce informatiche, ha pubblicato uno studio sulle pubblicazioni mondiali di vulnerabilità informatica, rivelando che il regime comunista cinese ritarda volontariamente le comunicazioni ufficiali sulle vulnerabilità scoperte, per favorire il ‘lavoro’ agli hacker incaricati di destabilizzare gli Stati bersaglio del Pcc.
La ricerca ha analizzato approfonditamente la velocità di pubblicazione dei rapporti del Database di vulnerabilità nazionale del web cinese Cnnvd (China’s National Vulnerability Database). Ha scoperto che la Cina ha trovato il modo di sfruttare a proprio vantaggio le vulnerabilità ad alto rischio nelle operazioni informatiche prima che vengano rese note sul Cnnvd. Infatti, il ritardo medio tra la scoperta di una vulnerabilità nel database e la pubblicazione della stessa sul sito della National Vulnerability Database americano (Nvd) di solito è di 33 giorni. Ma il ritardo medio del sito cinese Cnnvd era insolitamente basso: soli 13 giorni. Tuttavia nel 3% dei casi il ritardo medio del cinese Cnnvd era 2 volte superiore a quello americano (Nvd). Recoded Future ritiene che il Pcc abbia usato le vulnerabilità per lasciare campo libero alle attività degli hacker.
Il sito americano Cnet ha sostenuto che durante il Summit sulla sicurezza informatica di Kaspersky, Christopher Ahlberg, amministratore delegato di Recorded Future, ha affermato che il regime comunista cinese mente, e falsifica le date di pubblicazione delle vulnerabilità nel sito internazionale delle liste di vulnerabilità comuni sulla sicurezza informatica chiamato Cve (Common Vulnerabilities and Exposures): «La Cina vuole un periodo di tempo libero in cui nessuno rimedia a una certa vulnerabilità, cosi da poterla usare a proprio favore».
Per esempio un identificatore di vulnerabilità menzionato nel Cve che riguarda una applicazione Adups che opera nei cellulari di marca Bluproducts è stato pubblicato dal Pcc a settembre 2017, quando il bug era stato già trovato a novembre del 2016. Dopo che Recorded Future ha segnalato il ritardo di comunicazione, il Pcc ha modificato la data di pubblicazione in ‘gennaio 2017’, per farla combaciare con la data pubblicata dal Nvd americano.
Ahlberg sostiene che il Pcc sfrutti il tempo che intercorre tra la scoperta di una vulnerabilità e la comunicazione ufficiale e pubblicazione di essa sul Cnnvd, per attaccare Hong Kong.
Il primo report di Recoded Future, ha svelato che 268 vulnerabilità sono state pubblicate in ritardo, e per 267 di queste il Pcc ha cambiato anche le date di pubblicazione dopo; e ancora 72 di 75 vulnerabilità sono state cambiate nell’aggiornamento della ricerca di metà febbraio.
Questo tipo di problema può colpire le grandi compagnie come Apple e Sumsung e rendere facili degli attacchi ai loro siti.
Ahlberg sostiene inoltre che «il Pcc può scegliere le vulnerabilità più importanti da usare per sé stesso (per hackerarle), e al tempo stesso, cerca di nascondere la sua manipolazione continuando a fare sempre quello che vuole; tuttavia è stato proprio grazie al suo comportamento menzognero, che è stato possibile accorgersi ed esporre tutto il suo processo di falsificazione». Per questo l’azienda sostiene che la nota positiva di tutta la faccenda è che può ritorcersi prorpio contro Pcc, infatti grazie alle pubblicazioni ritardate, gli Stati Uniti possono prevedere con precisione e sicurezza tramite quale vulnerabilità il regime cinese effettua gli attacchi hacker e porre rimedio.
