Un exploit zero-day, c’est quoi ?

Vous avez peut-être entendu parler des exploits zero-day, mais de quoi s’agit-il et pourquoi se produisent-ils ? Une attaque démarre par une vulnérabilité dont le fabricant ou le fournisseur n’ont pas connaissance. Ce défaut peut se trouver dans des logiciels, des systèmes d’exploitation, des terminaux physiques, des services connectés, des objets connectés, et autres. Lorsqu’elles sont exploitées par un hacker, ces vulnérabilités peuvent entraîner des problèmes importants pour les particuliers et pour les grandes entreprises.

Lorsqu’un hacker apprend l’existence d’une vulnérabilité, il peut créer un exploit (un programme malveillant) pour profiter de ce défaut. Lorsqu’il exécute cet exploit à l’encontre du système cible, il s’agit d’une attaque zero-day car le fournisseur n’en avait pas connaissance et ses développeurs ont zéro jour (zero-day) pour le réparer. 

Il se peut également qu’un hacker potentiel choisisse de divulguer cette vulnérabilité au fabricant, généralement en échange d’une reconnaissance, d’une prime, ou les deux.  

Vulnérabilité : Un hacker trouve une vulnérabilité et n’en informe pas le fournisseur.  

Exploit : Le hacker crée un programme malveillant. 

Attaque : Le hacker transmet le programme dans le système vulnérable.

Jour zéro : Le jour où le fournisseur identifie le problème et commence à travailler sur un correctif.

Tout commence par une vulnérabilité

Comme indiqué ci-dessus, une vulnérabilité est inconnue au développeur ou au fournisseur. Il s’agit d’un défaut au sein de programmes logiciels, de terminaux physiques, de services connectés ou de systèmes d’exploitation qui permet à un attaquant de réaliser des actions allant au-delà des permissions dont il dispose. Lorsqu’une faille de sécurité demeure inconnue pour le fabricant ou à l’éditeur, les hackers peuvent développer un exploit et utiliser ce défaut comme point d’entrée pour attaquer le fournisseur ou ses clients.

Avant que le fournisseur ait créé un correctif pour corriger le défaut, elle continue de s’appeler vulnérabilité zero-day. Dès que le fournisseur en a connaissance, il doit intervenir rapidement pour la corriger et minimiser les dommages possibles. Une fois qu’un patch a été créé, on ne parle plus de zero-day.

EXEMPLE : Denny, un hacker, a trouvé un bug dans la version la plus courante de l’iOS d’Apple. Personne, pas même Apple, n’a connaissance de ce bug. Il l’étudie pour trouver un moyen de l’exploiter. Tout hacker rêve de pouvoir pénétrer dans iOS car il peut ainsi avoir le pouvoir de contrôler un iPhone à distance, sans l’accord du propriétaire, d’identifier sa position exacte, d’accéder à ses appels, de lire ses sms, ou de l’espionner par le biais de la caméra et du micro de l’iPhone. 

Quel est l’impact de cette attaque ?

Les dommages causés par une attaque sont proportionnels au type de victime touchée. L’impact peut être mineur sur un seul individu, n’allant pas au-delà d’un compte de streaming. Mais il peut être bien plus important en ciblant l’employé d’une entreprise qui a accès à des documents confidentiels, et compromettre tout le réseau de cette entreprise.

Une fois que l’exploit est écrit, les hackers peuvent faire en sorte que leurs victimes le télécharge via un document ou un lien infecté dans un email de phishing. Ces attaques peuvent capturer des identifiants de connexion, accéder à des comptes bancaires, extraire des informations nécessaires pour une usurpation d’identité, installer un ransomware ou dérober des informations personnelles (PII).

Les attaques peuvent aussi :

• Piéger les utilisateurs afin qu’ils téléchargent un document infecté qui installera un spyware

• Permettre d’accéder à des ressources d’entreprise en utilisant les identifiants piratés de la victime

• Accroître des droits d’accès au sein d’un réseau d’entreprise

• Détourner des actifs dont la victime peut être l’administrateur 

Qui est derrière ce type d’attaque, et pourquoi la réaliser ?

Plusieurs catégories d’individus reéalisent couramment ce type d’attaques : 

• Les cybercriminels

• Les espions industriels

• Les gouvernements

• Les experts des cyber-guerres

• Les hackers à des fins politiques (« hacktivists »)

L’exploit peut être vendu sur le dark web, à un intermédiaure, à une agence de renseignement ou au gouvernement pour surveiller leurs ennemis (voire leurs citoyens). 

Pourquoi ces attaques sont de plus en plus courantes

Chaque jour, maintenir en sécurité des systèmes d’entreprise et de particuliers devient de plus en plus complexe. Face à la prolifération des équipements connectés et à la dispersion des groupes de travail, les attaques sont désormais fréquentes. L’élargissement de la surface d’attaque des systèmes a entraîné au fil du temps une multiplication des vulnérabilités connues, comme l’indiquent ces données.

Les hackers ont le choix parmi plusieurs vecteurs d’attaques. De nombreuses personnes utilisent un smartphone, un ordinateur portable et une tablette en plus d’un ordinateur d’entreprise qu’ils utilisent à distance, et de nombreuses entreprises gèrent de multiples applications pour l’ensemble de leurs employés. De ce fait, il est difficile de rester protéger contre ce type d’attaque. Les hackers sont à l’affût des vulnérabilités, et lorsqu’ils en trouvent une, ils peuvent en profiter avant que quiconque ne la découvre. 

Une fois que le fournisseur a découvert le défaut, il peut diffuser un correctif et résoudre le problème. Mais le hacker peut déjà avoir créé des dommages. 

Restez vigilants

Parfois, les particuliers ou les entreprises ne prennent pas le temps de mettre à jour leurs systèmes ou leurs logiciels. Cela ne doit pas vous arriver. N’oubliez pas d’anticiper. Gardez un œil sur les nouvelles releases, les mises à jour et les correctifs que vous sont communiqués. Et, surtout, installez un logiciel complet qui vous protège contre les menaces connues et inconnues.