Magnet Forensics ha intentato una causa legale contro Paradigm Shift Technology, accusando l’azienda di aver sfruttato segreti industriali per sviluppare e divulgare “usbliter8”, una vulnerabilità critica che colpisce alcuni processori Apple.

Al centro della disputa c’è un ex dipendente, accusato di aver sottratto informazioni riservate riguardanti una falla nella BootROM per poi utilizzarle nella sua nuova azienda. Secondo Magnet Forensics, l’exploit è stato sviluppato a partire da dati confidenziali rubati.

Lo scorso mese, i ricercatori di Paradigm Shift hanno reso pubblici i dettagli tecnici di usbliter8. Si tratta di un difetto intrinseco che consente l’esecuzione di codice arbitrario su dispositivi basati sui chip Apple A12, A13, S4 e S5, introdotti sul mercato tra il 2018 e il 2019. La vulnerabilità sfrutta una particolare gestione dei dati da parte del controller USB.

Avendo accesso fisico al dispositivo, un attaccante può manipolare i dati inviati tramite USB per confondere il controller e ottenere il controllo completo sul processo di avvio. Questo permette di eludere i controlli delle firme digitali e caricare un sistema operativo modificato prima ancora dell’avvio di iOS. La possibilità di alterare il processo di boot è la caratteristica più critica della falla.

Sebbene la vulnerabilità risieda nella BootROM, rendendo impossibile una correzione tramite semplice aggiornamento software, l’impatto reale risulta limitato dal fatto che i processori coinvolti risalgono ormai a diversi anni fa. Tuttavia, la scoperta solleva preoccupazioni sulla sicurezza dei dispositivi più datati.

Magnet Forensics contesta fermamente le dichiarazioni di Paradigm Shift riguardo alla divulgazione coordinata con il team di sicurezza Apple. Secondo i documenti depositati in tribunale, l’exploit usbliter8 deriva direttamente dal lavoro confidenziale svolto da Mario Del Gaudio, un ex ricercatore di Magnet Forensics.

Del Gaudio ha prestato servizio nell’azienda da novembre 2023 a novembre 2024, periodo durante il quale era stato assegnato a un progetto estremamente riservato, denominato internamente “MSG”. Il progetto aveva come scopo lo studio di una falla di tipo zero-day che, secondo Magnet Forensics, coincide esattamente con quella poi pubblicata da Paradigm Shift il 18 giugno 2026.

Dopo la conclusione del suo incarico presso Magnet Forensics, Del Gaudio si è unito a Paradigm Shift, società nota per monetizzare l’accesso a falle di sicurezza. L’azienda ha quindi pubblicato un resoconto tecnico dettagliato accompagnato da codice dimostrativo.

Magnet Forensics afferma di possedere prove inconfutabili del legame diretto tra Del Gaudio e la pubblicazione di usbliter8. Nonostante le numerose diffide legali inviate per ottenere la rimozione immediata dell’articolo e del materiale correlato, Paradigm Shift ha scelto di ignorare le richieste.

Di conseguenza, Magnet Forensics ha deciso di procedere per vie legali, chiedendo un cospicuo risarcimento economico e un’ingiunzione del tribunale che impedisca qualsiasi ulteriore utilizzo o divulgazione dei presunti segreti commerciali sottratti. L’azienda spera così di proteggere la propria proprietà intellettuale e prevenire future violazioni.