Points clés à retenir
- Les exploits sont des attaques qui exploitent les vulnérabilités logicielles des systèmes d'exploitation et des applications courantes (telles que les navigateurs et les outils bureautiques) pour obtenir un accès non autorisé ou exécuter des actions malveillantes sans nécessiter l'installation de logiciels malveillants par les utilisateurs.
- Les attaques par exploitation de failles se produisent souvent silencieusement , généralement via des sites web malveillants, des téléchargements furtifs ou des liens de courriel, et peuvent ne pas impliquer de fichiers de logiciels malveillants traditionnels.
- Les failles zero-day sont particulièrement dangereuses car elles ciblent des vulnérabilités inconnues ou non corrigées, permettant aux attaquants de frapper avant que les correctifs logiciels ne soient disponibles.
- Les solutions antivirus traditionnelles ont une efficacité limitée contre les exploits , car elles se concentrent généralement sur la détection des charges utiles malveillantes connues plutôt que sur les techniques d'exploitation elles-mêmes.
Ce que vous devez savoir sur les failles de sécurité informatique
Les failles informatiques. De quoi s'agit-il et pourquoi devriez-vous vous en soucier ?
Avez-vous déjà remarqué à quel point les développeurs de logiciels corrigent et mettent à jour constamment leurs logiciels, publiant parfois des mises à jour quelques jours seulement après la sortie initiale du logiciel ?
C’est parce que chaque logiciel que vous possédez ou posséderez dans votre vie aura des vulnérabilités que des cybercriminels peuvent découvrir et exploiter—autrement dit, "exploiter". Il n'existe pas de logiciel sans faille—il y aura toujours des failles. Les logiciels informatiques sont aussi solides qu'un bloc de gruyère.
Grâce à des failles de sécurité, les cybercriminels peuvent accéder à votre ordinateur et dérober des informations sensibles ou installer des logiciels malveillants. Malgré un ralentissement de l'activité liée à ces failles, les cybercriminels continuent d'utiliser cette méthode d'attaque furtive. C'est pourquoi il est essentiel de se renseigner dès maintenant sur les failles de sécurité et de se protéger efficacement. Alors, poursuivez votre lecture et découvrez tout ce que vous devez savoir sur les failles de sécurité informatique.
Qu'est-ce qu'un exploit ? Définition d'un exploit
Un exploit informatique est un type de malware qui profite des bogues ou des vulnérabilités, que les cybercriminels utilisent pour obtenir un accès illicite à un système. Ces vulnérabilités sont cachées dans le code du système d'exploitation et de ses applications, prêtes à être découvertes et exploitées par des cybercriminels. Les logiciels fréquemment exploités incluent le système d'exploitation lui-même, les navigateurs, Microsoft Office, et les applications tierces. Parfois, les exploits sont regroupés par des groupes de cybercriminels dans ce qu'on appelle un exploit kit. Les exploit kits facilitent l'utilisation des exploits et la propagation de logiciels malveillants pour les criminels ayant une connaissance technique limitée.
Pour mieux comprendre ce que sont les exploits , il peut être utile de penser aux coûteux antivols cylindriques pour vélos et ordinateurs portables, populaires au début des années 2000. Les gens payaient jusqu'à 50 dollars pour ces antivols, pensant qu'ils protégeaient leurs objets de valeur, jusqu'à ce que quelqu'un publie une vidéo en ligne démontrant comment ces antivols pouvaient être crochetés en quelques secondes à l'aide d'un stylo Bic bon marché et facile à trouver.
Cela a forcé les fabricants de cadenas à mettre à jour leurs cadenas et les consommateurs à passer aux nouveaux cadenas anti-crochetage. Ceci est un exemple tangible d'exploitation d'un système de sécurité physique. En termes de logiciels, les cybercriminels recherchent des astuces ingénieuses, tout comme le type du stylo Bic, qui leur permettent d'accéder aux ordinateurs, appareils mobiles et réseaux d'autres personnes.
Les attaques par exploitation de failles de sécurité commencent souvent par des spams malveillants et des téléchargements furtifs . Les cybercriminels incitent leurs victimes à ouvrir une pièce jointe infectée ou à cliquer sur des liens qui les redirigent vers un site web malveillant. Les pièces jointes infectées, généralement des documents Word ou PDF, contiennent un code d'exploitation conçu pour tirer parti des vulnérabilités des applications.
Les téléchargements furtifs exploitent les failles de sécurité de votre navigateur, comme Internet Explorer ou Firefox, ou des modules complémentaires (plugins) qui y sont exécutés, tels que Flash. Vous pouvez ainsi visiter un site web que vous avez déjà consulté sans problème, mais cette fois-ci, il a été piraté à votre insu. De même, vous pouvez cliquer sur un lien malveillant dans un courriel indésirable qui vous redirige vers une version contrefaite d'un site web familier.
Dans certains cas particulièrement délicats, vous pouvez visiter un site web légitime affichant une publicité ou un pop-up infecté par un logiciel malveillant, également connu sous le nom de " malvertising". Lorsque vous visitez le site, le code malveillant de la page web agit de manière invisible en arrière-plan pour charger des malwares sur votre ordinateur.
Les cybercriminels exploitent les failles de sécurité à des fins malveillantes, allant d'un simple désagrément à une atteinte grave à la sécurité de votre ordinateur. Ils peuvent, par exemple, tenter d'utiliser les ressources de votre ordinateur pour créer un réseau de zombies ( botnet ) afin de lancer une attaque DDoS ou de miner du Bitcoin ( cryptojacking ).
Alternativement, les cybercriminels peuvent tenter d'installer de l'adware et inonder votre bureau de publicités. Ils peuvent également vouloir accéder à votre système pour voler directement des données ou installer des logiciels malveillants afin de collecter vos données secrètement au fil du temps (spyware). Enfin, ils peuvent installer un logiciel malveillant qui chiffre tous vos fichiers et exige un paiement en échange de la clé de chiffrement (ransomware).
Qu'est-ce qu'une faille zero-day ?
Zéro-day ! Le seul jour de l'année où nous prenons le temps de reconnaître le petit zéro humble. Si seulement cela était vrai. En réalité, un exploit zero-day, aussi connu sous le nom de zero-hour exploit, est une vulnérabilité logicielle que seul le cybercriminel qui l'a créée connaît et pour laquelle il n'existe pas de correctif. Une fois qu'un exploit est connu du public, il n’est plus un zero-day. Parfois, un exploit connu est appelé un exploit n-day, indiquant qu'un ou plusieurs jours se sont écoulés depuis que l'exploit a été rendu public.
Dès qu'une faille zero-day est divulguée, les éditeurs de logiciels se lancent dans une course contre la montre pour la corriger avant que les cybercriminels ne puissent l'exploiter. Heureusement, les chercheurs font preuve de scrupules. S'ils découvrent une faille avant les criminels, ils la signalent généralement au fabricant, lui laissant ainsi la possibilité de la corriger avant de la rendre publique (et de la divulguer aux cybercriminels).
La recherche proactive d'exploits est devenue un sport pour certains. hackers Lors du concours annuel Pwn2own , des experts en exploitation de failles de sécurité remportent des prix et des récompenses pour avoir réussi à pirater des logiciels populaires dans diverses catégories, notamment les navigateurs web et les applications d'entreprise. Preuve de leur intérêt pour la sécurité des logiciels, Microsoft et VMware ont sponsorisé l'événement Pwn2own en 2018.
Concernant la proactivité des éditeurs de logiciels à trouver et corriger les exploits, David Sanchez, ingénieur principal de recherche chez Malwarebytes, a déclaré : « Il est vrai que Microsoft et d'autres éditeurs de logiciels travaillent très dur pour sécuriser leurs applications comme Office, et les exploiter est devenu difficile, voire presque impossible. Les spécialistes de la sécurité et les cybercriminels trouvent pourtant toujours un moyen de les exploiter avec succès. La sécurité à 100 % n'est qu'une illusion, mais les applications Malwarebytes protègent les gens autant que possible de ce 100 %. »
Histoire des exploits informatiques
Les exploits de sécurité sont aussi vieux que l'informatique. Comme nous l'avons souligné, tous les logiciels comportent des vulnérabilités et certaines ont été particulièrement redoutables au fil des ans. Voici un bref aperçu de quelques-unes des failles de sécurité informatique les plus marquantes.
Notre exploration des plus grandes (ou pires) attaques informatiques au monde commence en 1988 avec le ver Morris , l'un des premiers vers informatiques. Nommé d'après son créateur, Robert Tappan Morris, ce ver éponyme était conçu pour évaluer la taille d'Internet à ses débuts en exploitant diverses vulnérabilités afin d'accéder aux comptes et de déterminer le nombre d'ordinateurs connectés à un réseau.
Le ver a échappé à tout contrôle, infectant des ordinateurs à de multiples reprises et exécutant simultanément plusieurs copies du ver jusqu'à épuisement des ressources disponibles pour les utilisateurs légitimes. Le ver Morris s'était transformé en une attaque DDoS.
Le ver SQL Slammer a semé la panique en 2003, intégrant à son réseau de zombies environ 250 000 serveurs exécutant le logiciel Microsoft SQL Server. Une fois un serveur infecté, il lançait une attaque de type « scattershot », générant des adresses IP aléatoires et y envoyant du code malveillant. Si le serveur ciblé disposait de SQL Server, il était lui aussi infecté et ajouté au réseau. Suite à cette attaque, 13 000 distributeurs automatiques de billets de Bank of America ont été mis hors service.
Le ver Conficker de 2008 est remarquable pour plusieurs raisons. Tout d'abord, il a attiré un grand nombre d'ordinateurs dans son réseau de zombies - 11 millions d'appareils à son apogée. Ensuite, Conficker a popularisé un type de subterfuge utilisé par les virus pour éviter d'être détectés, appelé " algorithme de génération de domaine" (DGA). En bref, la technique DGA permet à un logiciel malveillant de communiquer sans fin avec son serveur de commande et de contrôle (C&C) en générant de nouveaux domaines et de nouvelles adresses IP.
Conçu pour attaquer le programme nucléaire iranien, le ver Stuxnet de 2010 a exploité de multiples vulnérabilités zero-day dans le système. Windows pour accéder à un système. De là, le ver a pu se répliquer et se propager d'un système à l'autre.
Découvert en 2014, l'exploit Heartbleed a été utilisé pour attaquer le système de chiffrement permettant aux ordinateurs et serveurs de communiquer de manière privée. En d'autres termes, les cybercriminels pouvaient utiliser cet exploit pour écouter vos conversations numériques. Le système de chiffrement, appelé OPEN SSL, était utilisé sur 17,5 % ou un demi-million de serveurs web « sécurisés ». Cela représente beaucoup de données vulnérables.
Puisqu'il s'agit d'un problème lié aux sites web que vous consultez (côté serveur) et non à votre ordinateur (côté client), il incombe aux administrateurs réseau de corriger cette faille. La plupart des sites web réputés ont corrigé cette vulnérabilité il y a des années, mais pas tous ; il est donc toujours important d'en être conscient.
2017 a été une année record pour les ransomwares. Les attaques WannaCry et NotPetya ont exploité la faille EternalBlue/DoublePulsar. Windows Des failles de sécurité ont été exploitées pour s'introduire dans des ordinateurs et prendre des données en otage. À elles deux, ces attaques ont causé 18 milliards de dollars de dommages dans le monde. L'attaque NotPetya, en particulier, a temporairement paralysé, entre autres, une usine de chocolat Cadbury et le fabricant de préservatifs Durex. Les consommateurs du monde entier ont retenu leur souffle jusqu'à ce que la faille soit corrigée.
L'attaque d'Equifax en 2017 aurait pu être évitée si l'agence d'évaluation du crédit avait fait un effort plus conséquent pour maintenir son logiciel à jour. Dans ce cas précis, la faille logicielle exploitée par les cybercriminels pour s'introduire dans le réseau d'Equifax était déjà bien connue et un correctif était disponible. Au lieu de corriger la situation, Equifax et son logiciel obsolète ont permis aux cybercriminels de dérober les informations personnelles de centaines de millions de clients américains. « Merci bien. »
Avant que les utilisateurs d'Apple ne pensent que leurs Mac sont à l'abri des attaques par exploitation de failles, rappelons-nous la terrible faille de sécurité de 2017 qui permettait aux cybercriminels de saisir simplement « root » dans le champ Nom d'utilisateur et d'appuyer deux fois sur Entrée pour obtenir un accès complet à l'ordinateur. Cette faille a été rapidement corrigée avant que les cybercriminels ne puissent en profiter, mais cela prouve bien que tout logiciel peut présenter des failles exploitables. D'ailleurs, nous avons signalé que les exploits ciblant Mac sont en augmentation . Fin 2017, on recensait 270 % de menaces uniques en plus sur Mac. Mac plateforme qu'en 2016.
Dernièrement, il y a eu peu de nouvelles dans le monde des exploits de navigateur. D'autre part, les exploit kits Office sont en hausse. Depuis 2017, nous avons remarqué une augmentation de l'utilisation des exploit kits basés sur Office. C'était à l'automne de cette année que nous avons d'abord signalé plusieurs innovations dans les exploits Word, y compris l’un caché dans de fausses notifications IRS et un autre zero-day attack caché dans des documents Word—nécessitant peu ou aucune interaction de la part de la victime pour s'initier.
On observe actuellement un nouveau type de kit d'exploitation Office qui ne repose pas sur des macros (c'est-à-dire du code spécial intégré au document) pour mener à bien ses actions malveillantes. Ce kit utilise plutôt le document comme leurre tout en déclenchant un téléchargement automatique qui déploie l'exploit.
Plus récemment, les cybercriminels ont déployé des malwares sans fichier, ainsi nommés parce que ce type de logiciel malveillant ne dépend pas du code installé sur l'ordinateur cible pour fonctionner. Au lieu de cela, les malwares sans fichier exploitent les applications déjà installées sur l'ordinateur, ce qui a pour effet d'armer l'ordinateur contre lui-même et contre d'autres ordinateurs.
Exploits sur mobile : Android et iOS
La principale préoccupation des utilisateurs mobiles est l'installation d'applications non approuvées par Google et Apple. Télécharger des applications en dehors du Google Play Store et de l'App Store d'Apple signifie qu'elles n'ont pas été vérifiées par ces entreprises. Ces applications non fiables pourraient tenter d'exploiter des vulnérabilités. iOS / Android pour accéder à votre appareil mobile, voler des informations sensibles et commettre d'autres actes malveillants.
Comment puis-je me protéger contre les exploits ?
Les exploits peuvent être effrayants. Cela signifie-t-il que nous devrions jeter nos routeurs par la fenêtre et faire comme si nous étions dans l'âge sombre de l’ère pré-internet ? Certainement pas. Voici quelques conseils si vous voulez vous engager de manière proactive dans la protection contre les exploits.
- Restez à jour. Mettez-vous régulièrement à jour votre système d'exploitation et toutes vos applications ? Si la réponse est non, vous pourriez être une cible potentielle pour les cybercriminels. Lorsqu'une faille zero-day est découverte par l'éditeur du logiciel et qu'un correctif est publié , il incombe à chaque utilisateur de mettre à jour son logiciel. En effet, les failles zero-day deviennent plus dangereuses et se répandent davantage après avoir été rendues publiques, car un plus grand nombre de cybercriminels les exploitent. Consultez régulièrement vos fournisseurs de logiciels pour vérifier la disponibilité de mises à jour ou de correctifs. Si possible, activez les mises à jour automatiques dans les paramètres de votre logiciel afin qu'elles s'effectuent automatiquement en arrière-plan, sans intervention de votre part. Cela réduira le délai entre l'annonce d'une vulnérabilité et sa correction. Les cybercriminels ciblent les personnes qui oublient ou ignorent l'importance de mettre à jour leurs logiciels.
- Mettez à jour vos logiciels. Il arrive qu'un logiciel devienne tellement ancien et complexe que son éditeur cesse de le prendre en charge ( logiciel abandonné ). Par conséquent, les nouveaux bugs découverts ne seront pas corrigés. Dans la même optique, assurez-vous que votre logiciel est toujours pris en charge par son éditeur. Si ce n'est pas le cas, mettez-le à jour vers la dernière version ou choisissez un autre logiciel offrant les mêmes fonctionnalités.
- Restez en sécurité en ligne. Assurez-vous que Microsoft SmartScreen ou Google Safe Browsing est activé pour votre navigateur web préféré. Votre navigateur vérifiera chaque site que vous visitez par rapport aux listes noires maintenues par Microsoft et Google et vous éloignera des sites connus pour distribuer des logiciels malveillants. Les outils anti-malware efficaces comme Malwarebytes, par exemple, bloqueront également les mauvais sites, vous offrant ainsi plusieurs niveaux de protection.
- Utilisez-le ou vous le perdrez. Hackers Ils vont pirater. On n'y peut pas grand-chose. Mais sans logiciel, pas de vulnérabilité. Si vous n'utilisez plus le logiciel, désinstallez-le de votre ordinateur. Hackers On ne peut pas s'introduire dans quelque chose qui n'existe pas.
- Installez des applications autorisées. Pour garantir la sécurité de votre appareil mobile, utilisez exclusivement des applications autorisées. Il peut arriver que vous souhaitiez utiliser des applications hors de l'App Store et du Google Play Store, par exemple pour tester une nouvelle application en version bêta, mais assurez-vous toujours de la fiabilité de son développeur. De manière générale, privilégiez les applications approuvées et validées par Apple et Google.
- Utilisez un logiciel anti-exploit. Donc, vous avez pris toutes les précautions nécessaires pour éviter les attaques basées sur des exploits. Qu'en est-il des exploits zero-day ? Rappelez-vous, un exploit zero-day est une vulnérabilité logicielle que seuls les cybercriminels connaissent. Il n'y a pas grand-chose que nous puissions faire pour nous protéger des menaces inconnues. Ou y a-t-il ? Un bon programme anti-malware, comme Malwarebytes pour Windows, Malwarebytes pour Mac, Malwarebytes pour Android, ou Malwarebytes pour iOS, peut reconnaître et bloquer de manière proactive les logiciels malveillants tentant de tirer parti des vulnérabilités de votre ordinateur en utilisant une analyse heuristique de l'attaque. En d'autres termes, si le programme suspect est structuré et se comporte comme un logiciel malveillant, Malwarebytes le signalera et le mettra en quarantaine.