Qu'est-ce qu'un exploit Zero-Day ? Et pourquoi sont-ils dangereux ?

Alors que les entreprises ont toujours dû faire face à de nombreuses menaces, les cyberattaques deviennent de plus en plus préoccupantes. Un exploit zero-day est l'une des menaces de logiciels malveillants les plus graves.

Les cyberattaques peuvent avoir de graves conséquences pour les entreprises, car les pirates peuvent voler de l'argent, des données ou de la propriété intellectuelle qui compromettent vos opérations. Et aucune entreprise n'est à l'abri. Ils ont un impact sur les commerçants, les entreprises locales, les chaînes nationales et même les géants mondiaux comme Google (en fait, Google subit au moins 22 attaques imprévues chaque année).

Mais cela ne veut pas dire que les cyberattaques sont inévitables. Il y a des mesures que nous pouvons prendre pour nous protéger.

Dans cet article, nous vous dirons tout ce que vous devez savoir sur les exploits zero-day, pourquoi ils sont dangereux et comment vous pouvez les identifier et les prévenir.

Commençons!

Qu'est-ce qu'un exploit Zero-Day ?

Un exploit zero-day est une faille de sécurité jusque-là inconnue dans votre logiciel ou votre matériel que les pirates peuvent exploiter pour violer vos systèmes. Les exploits zero-day ont de nombreux noms différents, y compris "exploits zero-hour" ou "exploits day0".

Peu importe le nom, l'origine du "zero-day" est la même. Le terme « zero-day » souligne la gravité du problème. Une fois que quelqu'un découvre une vulnérabilité zero-day, les développeurs ont zéro jour pour corriger l'erreur avant qu'elle ne devienne un problème urgent.

Lorsque vous vous renseignez sur les exploits zero-day, vous les entendez peut-être appelés « vulnérabilités zero-day » ou « attaques zero-day ». Il y a une distinction essentielle entre ces termes :

• "Zero-day exploit" fait référence à la méthode utilisée par les pirates pour attaquer les logiciels
• La « vulnérabilité du jour zéro » fait référence à la faille non découverte de votre système
• "L'attaque du jour zéro" fait référence à l'action que les pirates entreprennent lorsqu'ils utilisent la vulnérabilité pour violer votre système

Le terme "non découvert" est crucial lorsqu'il s'agit de vulnérabilités zero-day, car la vulnérabilité doit être inconnue des créateurs du système pour être considérée comme une "vulnérabilité zero-day". Une vulnérabilité de sécurité cesse d'être une « vulnérabilité zero-day » une fois que les développeurs ont pris connaissance du problème et ont publié un correctif.

De nombreux groupes de personnes différents mènent des attaques zero-day, notamment :

• Cybercriminels : hackers criminels à motivation financière
• Hacktivistes : personnes cherchant à pirater des systèmes pour faire avancer une cause ou un programme politique
• Pirates d' entreprise : pirates qui cherchent à obtenir des informations sur un concurrent
• Hackers à but lucratif : personnes qui trouvent des vulnérabilités pour les vendre à des entreprises (mais qui n'ont pas l'intention d'exploiter la vulnérabilité elles-mêmes)

Un exploit zero-day est aussi effrayant que cela puisse paraître : un problème si grave que les développeurs n'ont aucun jour pour corriger l'erreur avant qu'elle ne devienne un problème urgent. Préparez votre site à ce type d'attaque avec ce guide Cliquez pour tweeter

Comment fonctionne une attaque Zero-Day

Bien que chaque attaque soit différente, la plupart des attaques fonctionnent généralement comme ceci :

• Étape 1 : Vos développeurs créent un système. Ce système contient une vulnérabilité zero-day que les développeurs ne connaissent pas.
• Étape 2 : Une fois le système en ligne, le pirate (parfois appelé « acteur menaçant » ou « acteur malveillant ») découvre une vulnérabilité dans le système.
• Étape 3 : Le pirate écrit et exécute un code malveillant pour exploiter la vulnérabilité et violer votre système.
• Étape 4 : Le public ou les développeurs remarquent un problème grave et les développeurs corrigent le problème avec un correctif.

Parfois, le pirate qui découvre votre menace zero-day et le pirate qui attaque votre système sont des personnes différentes.

Certains pirates vendent des informations à d'autres pirates via le marché noir. Le marché noir existe sur le dark web, une section d'Internet que vous ne pouvez pas atteindre avec des moteurs de recherche comme Google, Yahoo et Bing. Les gens accèdent au dark web via des navigateurs anonymes comme Tor.

Certaines sociétés de cybersécurité recherchent également des exploits pour vendre ces informations aux propriétaires du système.

Ces entreprises vendent ces données sur les marchés « blancs » ou « gris » (bien que les distinctions entre les marchés blanc, gris et noir varient en fonction de vos lois locales en matière de cybersécurité).

Maintenant que vous savez comment fonctionnent les exploits zero-day, vous vous demandez probablement comment les pirates piratent votre système.

Bien qu'il n'existe aucune méthode éprouvée, de nombreux pirates utilisent :

Fuzzing

Le fuzzing (ou « fuzz testing ») est une technique de force brute que les pirates utilisent pour trouver des failles dans votre système.

Lorsqu'un pirate trompe une cible, il utilise un logiciel qui saisit des données aléatoires dans les zones de saisie de votre système (zones de texte dans lesquelles les personnes saisissent des informations). Ensuite, le pirate surveille les plantages, les fuites de mémoire ou les échecs d'assertion qui indiquent un trou dans votre code.

De nombreuses techniques de fuzzing se concentrent sur le spam des zones de saisie avec des réponses aléatoires, absurdes ou invalides. Par exemple, si vous aviez une zone de texte permettant à quelqu'un d'entrer son âge en années, un pirate informatique testerait pour voir comment votre système répondait lorsqu'il mettait "-94" ou "@45".

Ingénierie sociale

L'ingénierie sociale est une technique de manipulation utilisée par les pirates pour accéder à un système par l'intermédiaire de ses utilisateurs.

Il existe de nombreux types d’ingénierie sociale, notamment :

• Faux-semblant : lorsque quelqu'un utilise un faux-semblant, il essaie de gagner votre confiance en créant un scénario crédible. Par exemple, ils peuvent faire semblant d'être de votre service informatique et dire qu'ils ont besoin de votre mot de passe.
• Lorsque quelqu'un vous appâte, il essaie de violer votre système en vous incitant à interagir avec du matériel corrompu. Par exemple, en 2018, un hacker chinois a envoyé un mystérieux CD à plusieurs autorités étatiques et locales américaines. Le but était de les inciter à ouvrir le contenu du CD par curiosité.
• Hameçonnage : lorsqu'une personne vous hameçonne, elle se fait passer pour quelqu'un que vous connaissez pour vous convaincre de lui donner des informations confidentielles, d'ouvrir un fichier malveillant ou de cliquer sur un lien corrompu. Par exemple, si vous attendiez un e-mail de "[email protected]", un pirate peut utiliser l'adresse e-mail "[email protected]" pour vous hameçonner. Comme 38% des cyberattaques contre les entreprises américaines en 2019 ont utilisé le phishing, de nombreuses entreprises se protègent du phishing avec des outils de prévention de la fraude comme FraudLabsPro ou Simility.

Une fois qu'un pirate utilise l'ingénierie sociale pour violer un système, il utilise le compte de l'utilisateur pour rechercher les vulnérabilités du jour zéro de l'intérieur.

Cibles communes

Vous n'avez pas besoin d'être une société bancaire multimilliardaire pour qu'un pirate vous cible. Les pirates cibleront toute organisation, individu ou entité dont ils peuvent tirer profit, en particulier :

• Organisations avec une mauvaise cybersécurité
• Les organisations qui traitent des données personnelles (en particulier les adresses, les numéros de sécurité sociale (SSN), les noms légaux complets des clients et les dates de naissance des clients)
• Organismes gouvernementaux
• Organisations qui détiennent des informations confidentielles
• Les organisations qui créent des logiciels ou du matériel pour les clients (car elles peuvent utiliser la technologie pour pirater les clients)
• Organisations travaillant dans le domaine de la défense

Au moment de choisir qui pirater, de nombreux pirates recherchent des cibles faciles qui rapporteront une récompense élevée, car ils veulent gagner le plus d'argent avec le moins d'efforts et de risques.

Bien que chaque pirate fonctionne différemment, la plupart ciblent :

• Systèmes d'exploitation
• Navigateurs Web
• Matériel et micrologiciel
• Applications de programme
• Appareils Internet des objets (IoT)

Exemples

Bien que vous ne pensiez peut-être pas régulièrement aux cyberattaques, elles se produisent plus souvent que vous ne le pensez. En 2020, les particuliers et les organisations ont détecté plus de 677 millions de logiciels malveillants. Il s'agit d'une augmentation de 2 317,86 % par rapport à 2010, lorsque les gens n'avaient détecté que plus de 28 millions de logiciels malveillants.

Selon une étude du Ponemon Institute, près de 48 % des organisations ont subi une violation de données au cours des deux dernières années. 62 % de ces organisations n'étaient pas au courant de la vulnérabilité avant l'attaque (ce qui signifie qu'il s'agissait d'attaques zero-day).

Bien que la plupart des organisations ne rendent pas publics les détails de leurs attaques, nous connaissons de nombreuses attaques de grande envergure ces dernières années. Ceux-ci inclus:

Le piratage Google Chrome 2021

En avril 2021, Google a publié une mise à jour de son navigateur Google Chrome sur les appareils Windows, Linux et Mac. Entre autres choses, cette mise à jour a corrigé une vulnérabilité zero-day qu'un pirate informatique a exploitée. Ils ont appelé la vulnérabilité "CVE-2021-21224".

Bien que Google n'ait pas partagé tous les détails de l'attaque, CVE-2021-21224 a permis à quelqu'un d'exécuter du code dans un bac à sable via une page HTML spécialement conçue.

Le piratage Zoom 2020

En juillet 2020, la société de cybersécurité 0patch a signalé qu'une personne anonyme avait identifié une vulnérabilité zero-day dans Zoom. La vulnérabilité permettait à un pirate d'exécuter du code à distance dans Zoom une fois qu'il y était entré en incitant un utilisateur à cliquer sur un lien ou à ouvrir un logiciel malveillant. La vulnérabilité n'existait que sur les ordinateurs exécutant Windows 7 ou des versions antérieures de Windows.

Après avoir pris connaissance de la vulnérabilité, 0patch a transmis les informations à Zoom, et les développeurs de Zoom ont publié un correctif de sécurité pour le problème en un jour.

L'attaque Microsoft Word 2016/2017

En 2016, Ryan Hanson (un chercheur en sécurité et consultant chez Optiv) a identifié une vulnérabilité zero-day dans Microsoft Word. La vulnérabilité (connue sous le nom de « CVE-2017-0199 ») permettait à un attaquant d'installer un logiciel malveillant sur l'ordinateur d'un utilisateur après que l'utilisateur ait téléchargé un document Word qui exécutait des scripts malveillants.

Selon Reuters, les pirates ont exploité CVE-2017-0199 pour voler des millions de comptes bancaires en ligne avant que les développeurs Microsoft ne le corrigent en 2017. Fait intéressant, Hanson n'était pas la seule personne à découvrir CVE-2017-0199 — en avril 2017, des chercheurs de McAfee et FireEye ont tous deux signalé avoir trouvé la vulnérabilité.

L'attaque Stuxnet de 2010

En 2010, Stuxnet a ciblé plusieurs installations (dont des installations nucléaires) en Iran. Stuxnet était un ver informatique qui infectait les ordinateurs Windows via des clés USB contenant des logiciels malveillants.

Le malware Stuxnet a ensuite attaqué les machines en ciblant leurs contrôleurs logiques programmables (PLC). Ces automates automatisent les processus des machines, ce qui signifie que Stuxnet pourrait interférer avec les machines de sa cible.

Selon McAfee, Stuxnet a détruit plusieurs usines de traitement d'eau, centrales électriques, conduites de gaz et centrifugeuses dans l'installation iranienne d'enrichissement d'uranium de Natanz. Stuxnet a également engendré de nombreux descendants, dont Duqu (un logiciel malveillant qui vole les données des ordinateurs qu'il cible).

Pourquoi les attaques Zero-Day sont dangereuses

L'impact financier, opérationnel et juridique d'une attaque zero-day peut être dévastateur. Selon le rapport d'enquête sur les violations de données 2021 de Verizon, 95 % des organisations ciblées par les pirates ont perdu :

• Entre 250 $ et 984 855 $ d'attaques par compromission de la messagerie professionnelle (BEC)
• Entre 148 $ et 1 594 648 $ en incidents de violation de données informatiques (CDB)
• Entre 69 $ et 1 155 755 $ d'incidents de ransomware

Cependant, les attaques zero-day sont toujours dévastatrices même si vous ne perdez pas d'argent. Voici pourquoi:

Ils peuvent passer inaperçus pendant des jours, des mois ou même des années

Comme les vulnérabilités zero-day sont inconnues des développeurs, de nombreuses organisations ne savent pas quand un attaquant a pénétré leurs systèmes longtemps après l'attaque. Malheureusement, cela signifie que les pirates peuvent abuser à plusieurs reprises de votre système avant que vous ne puissiez les arrêter.

Les vulnérabilités peuvent être difficiles à corriger

Une fois que votre entreprise apprend qu'un pirate a compromis votre système, vous devez déterminer où se trouve la vulnérabilité. Comme de nombreuses organisations utilisent plusieurs systèmes, cela peut prendre un certain temps pour localiser et réparer le trou.

Les pirates peuvent les utiliser pour voler des données financières ou des informations bancaires

De nombreux attaquants pénètrent dans les systèmes pour voler des données financières ou des informations bancaires. Certains pirates vendent ces données à un tiers, tandis que d'autres utilisent vos informations financières pour vous voler de l'argent.

Les criminels peuvent les utiliser pour détenir votre entreprise contre une rançon

Alors que de nombreux pirates informatiques utilisent des attaques zero-day pour voler des données, d'autres retiennent votre entreprise contre rançon par le biais d'attaques par déni de service distribué (DDoS) et d'autres techniques de rançon. Les attaques DDoS spamment votre site Web avec des demandes jusqu'à ce qu'il se bloque.

Si vous souhaitez savoir comment arrêter une attaque DDoS, vous pouvez lire notre étude de cas : "Comment arrêter une attaque DDoS dans son élan".

Les criminels peuvent cibler vos clients

Si vous vendez des logiciels ou du matériel avec une base d'utilisateurs dédiée, les pirates pourraient pénétrer dans votre système et l'utiliser pour attaquer vos clients.

Nous en avons récemment vu un exemple dévastateur lorsque des criminels ont piraté le logiciel de Kaseya et utilisé leur système pour attaquer 800 à 1 500 clients de Kaseya avec un ransomware.

Comment identifier une attaque Zero-Day

Comme chaque attaque zero-day fonctionne différemment, il n'y a pas de moyen parfait de les détecter. Cependant, il existe de nombreuses façons courantes pour les organisations d'identifier les attaques. En voici six.

1. Effectuez une analyse des vulnérabilités

L'analyse des vulnérabilités est le processus de recherche des vulnérabilités zero-day dans votre système. Une fois que vous avez trouvé une vulnérabilité, vous vous efforcez de la corriger avant que les pirates ne puissent l'exploiter.

L'analyse des vulnérabilités peut être une activité indépendante ou une partie régulière de votre processus de développement. De nombreuses organisations choisissent également de sous-traiter leur analyse des vulnérabilités à des sociétés spécialisées dans la cybersécurité.

2. Collecter et surveiller les rapports des utilisateurs du système

Comme les utilisateurs de votre système interagissent régulièrement avec votre système, ils peuvent détecter des problèmes potentiels avant vous. Naturellement, vous devez suivre vos rapports d'utilisateurs pour les rapports sur les e-mails suspects, les fenêtres contextuelles ou les notifications sur les tentatives de mot de passe.

3. Surveillez les performances de votre site Web

Selon le rapport d'enquête sur les violations de données 2021 de Verizon, plus de 20 % des cyberattaques ciblent les applications Web. Bien que vous ne puissiez pas toujours savoir si des pirates ont piraté votre application Web ou votre site Web, quelqu'un peut avoir attaqué votre site Web si :

• Vous ne pouvez pas vous connecter
• L'apparence de votre site Web a changé
• Votre site Web redirige les visiteurs vers un site Web inconnu
• Les performances de votre site Web chutent de manière inattendue
• Votre site Web affiche des avertissements de navigateur, comme celui-ci :

4. Utilisez la chasse rétro

La chasse rétro consiste à rechercher des rapports de cyberattaques importantes et à vérifier si votre organisation a été affectée. Pour tirer le meilleur parti de la chasse rétro, assurez-vous de :

• Dirigez tous les e-mails de vos fournisseurs de logiciels vers une boîte de réception centrale et consultez-la régulièrement pour les notifications concernant les failles de sécurité
• Scannez les actualités quotidiennement pour vérifier les nouvelles attaques contre les organisations de votre secteur
• Lisez les détails des attaques récentes et demandez à vos développeurs de vérifier si vos systèmes pourraient résister à une attaque similaire

5. Surveillez la vitesse réduite du réseau

Lorsqu'un pirate accède à un système par le biais d'un logiciel malveillant, l'augmentation du trafic réseau ralentit parfois la connexion Internet de la victime. Ainsi, si vous gardez un œil sur la vitesse de votre réseau, vous pouvez identifier une attaque au fur et à mesure qu'elle se produit.

6. Suivez les performances de votre logiciel

Lorsqu'une personne accède à votre système via une vulnérabilité, le code qu'elle injecte dans votre logiciel peut ralentir votre programme, altérer ses fonctions ou mettre des fonctionnalités hors ligne. Naturellement, vous pouvez identifier une attaque zero-day en surveillant les changements significatifs ou inexpliqués dans votre système.

Comment se protéger des exploits Zero-Day

Comme vous n'avez pas d'autre choix que de rester assis et de regarder les pirates voler de l'argent, des données et des secrets commerciaux pendant que vous attendez que les développeurs corrigent le trou, les attaques zero-day sont très stressantes.

La meilleure arme de votre organisation contre les attaques zero-day est une meilleure préparation. Voici huit façons de protéger vos systèmes contre les attaques zero-day.

1. Utilisez un logiciel de sécurité

Le logiciel de sécurité protège votre système contre les virus, les intrusions sur Internet et d'autres menaces de sécurité.

Bien que chaque logiciel offre des types de protection légèrement différents, la plupart des solutions logicielles peuvent analyser les téléchargements à la recherche de logiciels malveillants, bloquer les utilisateurs non autorisés de votre système et chiffrer vos données.

Certaines sociétés de logiciels de sécurité développent également des logiciels spécialisés pour les sites Web. Par exemple, si vous utilisez WordPress (comme 40 % des sites Web), vous pourriez protéger votre site avec :

• Logiciel de surveillance de l'intégrité des fichiers (FIM)
• Plugins qui recherchent des commentaires douteux (comme Astra Web Security et WP fail2ban)
• Des plugins qui protègent votre site contre les attaques par force brute
• Un réseau de diffusion de contenu (CDN)

Alternativement, vous pouvez utiliser un plugin de sécurité général comme Sucuri ou Wordfence.

2. Installez souvent de nouvelles mises à jour logicielles

Alors que les pirates découvrent des vulnérabilités dans un code obsolète, la mise à jour de votre site Web, de vos applications Web et de vos logiciels est essentielle pour assurer la sécurité de vos systèmes. Les nouvelles mises à jour protègent votre système car :

• Ils contiennent des correctifs pour les vulnérabilités de cybersécurité connues (y compris les exploits zero-day)
• Ils suppriment les parties anciennes ou inutilisées des programmes que les pirates pourraient exploiter
• Ils introduisent de nouvelles mesures de cybersécurité pour assurer la sécurité des utilisateurs
• Ils corrigent des bugs mineurs qui sont vulnérables au fuzzing

3. Utilisez l'hébergement Web sécurisé

Les pirates violent plus de 127 000 sites Web chaque jour. Et parce que les pirates peuvent pirater votre site via des plugins, des thèmes de site Web ou des versions obsolètes du noyau WordPress, les sites Web WordPress sont des cibles de choix.

Heureusement, vous pouvez protéger votre organisation en utilisant un fournisseur d'hébergement sécurisé comme Kinsta. Kinsta protège votre site avec :

• Connexions cryptées Secure File Transfer Protocol (SFTP) et Secure Shell (SSH)
• Une connexion sécurisée à Google Cloud Platform
• Une garantie de réparation de piratage
• Un outil de refus d'adresse IP qui vous permet d'empêcher les adresses IP d'accéder à votre site Web
• Protection contre le déni de service distribué (DDoS) et un pare-feu au niveau de l'entreprise via Cloudflare
• Sauvegardes automatiques toutes les deux semaines
• Une garantie de sécurité

4. Utilisez un pare-feu

Les pare-feu sont précisément ce à quoi ils ressemblent : des murs numériques entre votre système et le monde extérieur. Les pare-feu ajoutent une couche de protection supplémentaire à vos systèmes, car les pirates doivent percer le pare-feu avant de pouvoir attaquer votre système.

Vous pouvez choisir parmi de nombreux types de pare-feu, notamment les pare-feu personnels, de filtrage de paquets, avec état, d'application Web et de nouvelle génération (NGFW).

5. Utilisez la règle du moindre accès

La règle du moindre accès stipule que les membres de votre organisation ne doivent avoir accès qu'aux données, au matériel et aux logiciels dont ils ont besoin pour effectuer leurs tâches professionnelles habituelles.

La règle du moindre accès crée moins de points d'entrée pour les pirates qui utilisent l'ingénierie sociale, limitant le nombre de personnes ayant un accès administratif à chaque système.

6. Passez au développement DevOps

DevOps est une approche qui utilise un système de développement continu pour mettre à jour constamment les programmes. Il peut vous aider à renforcer votre sécurité contre les exploits zero-day, car il vous oblige à mettre à jour et à modifier votre système en permanence.

Si vous souhaitez en savoir plus sur le développement DevOps, vous pouvez lire notre article « Outils DevOps ». Mais en bref, le développement DevOps suit ce cycle de vie :

7. Mettre en œuvre la formation sur la sécurité des utilisateurs

La formation à la sécurité des utilisateurs apprend à vos employés à identifier les techniques d'ingénierie sociale et les menaces de sécurité dans la nature.

Former vos employés à repérer les menaces de cybersécurité les aidera à identifier les attaques, à informer rapidement les bonnes personnes et à agir sans paniquer ni donner d'informations aux pirates.

8. Utilisez des VPN

Les réseaux privés virtuels (VPN) sont des serveurs intermédiaires qui protègent vos données de navigation, votre adresse IP et vos données de connexion lorsque vous naviguez sur Internet. L'utilisation de VPN rendra plus difficile pour les pirates informatiques de pénétrer dans votre système via votre navigateur Web, car ils ont moins d'informations à utiliser contre vous.

Les VPN fonctionnent comme ceci :

Apprenez tout ce que vous devez savoir sur cette forme de cyber-vulnérabilité de plus en plus courante : les exploits zero-day. Cliquez pour tweeter

Résumé

Les attaques zero-day sont de plus en plus courantes et constituent une préoccupation naturelle pour les organisations du monde entier. Cependant, vous pouvez prendre certaines mesures pour réduire votre risque d'attaque, notamment :

• Former votre personnel à repérer et à réagir aux attaques
• Utiliser des mesures de cybersécurité comme les VPN, les logiciels de sécurité et les pare-feu
• Modifier votre processus de développement pour mettre à jour les systèmes régulièrement
• Contrôler soigneusement l'accès aux données et aux systèmes vulnérables
• Utiliser des services d'hébergement de sites Web sécurisés (comme Kinsta)

Maintenant que nous avons partagé nos astuces, c'est à vous de jouer. Quelles mesures prenez-vous pour atténuer le risque d'une cyberattaque dans votre organisation ? Veuillez nous en informer dans les commentaires ci-dessous.