Tribunes d'experts

Comment prospèrent les attaques zero-day

Jérôme Robert - ingénieur avant vente chez SkyRecon

Les attaques zéro day par définition ne peuvent être stoppées par l'usage d'un anti virus qui nécessite une période d'étude pour être développé. Jérôme Robert, ingénieur avant vente chez Skyrecon - spécialiste de la protection sans base de signatures et donc plutôt concurrent des éditeurs d'anti virus - trace de façon intéressante le cycle de vie d'une attaque classique sur une faille logicielle une fois que celle-ci a été identifiée.

Etonnamment,  les attaques 0-day possèdent un cycle de vie proche de celui d'un produit grand public classique, qui débute par l'innovation, passe par la croissance et la maturité puis termine par l'obsolescence.

Au départ, des chercheurs, souvent individuels, découvrent des failles logicielles non référencées et créent un POC (« proof of concept ») qui prouve leur capacité à l'exploiter. Cette exploitation consistera à faire s'exécuter un code arbitraire sur la machine ciblée. Le POC est essentiel car il démontre que n'importe quel virus ou code malveillant (appelé code malicieux) pourra être exécuté grâce à l'exploitation de la faille.

Ce POC possède une valeur financière. Cette valeur financière dépend :

- du nombre de victimes potentielles. Ce nombre est lié à la popularité du logiciel présentant la faille. Les programmes de traitement de texte, les lecteurs de documents et les systèmes d'exploitation arrivent donc en tête des recherches effectuées,

- de la facilité d'utilisation de la faille. Les exploitations présentant un caractère aléatoire, les acheteurs du POC voudront maximiser la probabilité de réussite de l'attaque.

Les chercheurs ont un métier très différent de celui de voleur, de vandale, ou de racketeur. Ils fournissent donc le produit de leur labeur tel quel, et ils ne s'impliquent pas dans son utilisation finale. Généralement, ils ne développent pas de virus, de vers ou de chevaux de troie (trojans). Leur activité se concentre sur les failles, mais celles-ci permettront in fine à d'autres acteurs de lancer les codes malicieux qu'ils auront eux-mêmes produits.

Le payload, ou charge virale, est le code malicieux que chacun ajoutera au POC selon ses besoins. L'exploitation de la vulnérabilité n'a pas d'autre objectif que l'exécution de cette charge virale chez la victime. L'attaque finale consiste donc en un paquet contenant :

- le code nécessaire à l'exploitation de la faille,

- le virus (ou assimilé) satisfaisant les besoins de l'attaquant.

Chaque acteur de la florissante économie du cyber-crime a ses propres besoins : spammeurs, carders, racketeurs, vandales, espions, ils sont tous susceptibles de créer un payload différent. Deux grandes tendances se dessinent cependant :

- certains veulent récupérer des données chez leurs victimes directes. Le payload est alors un simple espion capturant les frappes clavier, volant les mots de passe, exfiltrant fichiers et emails,

- certains préfèrent construire un grand réseau de machines infectées avant de lancer une quelconque action. Ces créateurs de botnets vendront ou loueront plus tard leur réseau à des clients cherchant des relais de spam, ou voulant lancer des attaques de type DOS (Déni de Service).

. Web-profils.com, la place de marché du conseil et de l'ingénierie