Что такое атака нулевого дня?

Атака нулевого дня — это тип программного нападения, который использует уязвимость, о существовании которой поставщик или разработчик ранее не знали. Название отражает число дней, прошедших с момента обнаружения проблемы разработчиком. Решением против атаки нулевого дня служит программный патч. Антивирусное ПО и регулярные обновления системы помогают снизить риск таких атак, хотя полной гарантии это не даёт. Существуют различные рынки эксплойтов нулевого дня: одни легальны, другие — нет.

Основы

Атаки нулевого дня, также называемые Day Zero, представляют собой серьёзный вид киберугроз, использующий нераскрытую уязвимость в программном обеспечении, о которой не знает его создатель. Такая скрытая уязвимость требует незамедлительного вмешательства разработчика, чтобы минимизировать риски для пользователей программного обеспечения. Быстрая реакция разработчика — выпуск патча, направленного на нейтрализацию угрозы. Любопытно, что атаки нулевого дня распространяются и на сферу Интернета вещей (IoT), позволяя злоумышленникам атаковать связные устройства. Сам термин «атака нулевого дня» отражает количество дней, в течение которых разработчик осведомлён о проблеме.

Что такое атака нулевого дня?

В кибербезопасности атака нулевого дня охватывает различные тактики: вредоносное ПО, рекламное ПО, шпионские программы или несанкционированный доступ к конфиденциальной информации пользователей. Чтобы укрепить защиту, рекомендуется включать автоматическое обновление для операционной системы, антивирусов и браузеров, а также оперативно устанавливать выпуски обновлений вне обычного расписания.

Однако опираться только на актуальное антивирусное ПО недостаточно для полной защиты от атак нулевого дня. Пока уязвимость не стала публично известной, антивирусы могут не иметь сигнатур или механизмов для её обнаружения. В арсенале против подобных атак полезны системы предотвращения вторжений на хостах (HIPS), которые блокируют и отражают атаки, защищая критические данные.

Представьте уязвимость нулевого дня как незамеченно открытую дверцу в машине: владелец считает автомобиль безопасным, и это даёт шанс опытному вору. Пока ущерб остаётся незамеченным, злоумышленник получает доступ и крадёт ценности из бардачка или багажника, а владелец обнаруживает пропажу лишь спустя дни, когда злоумышленник уже исчез.

Хотя уголовные хакеры широко известны эксплойтами нулевого дня, государственные спецслужбы также используют их для слежки или наступательных операций. Спрос со стороны государственных структур подпитывает рынок обмена информацией об уязвимостях и техниках их эксплуатации.

Эксплойты нулевого дня могут оставаться секретными, передаваться разработчику или продаваться третьим лицам. При продаже эксплойт может сопровождаться эксклюзивными правами или без них. В идеале компании, отвечающие за безопасность, полагаются на этичных хакеров (white hat), которые приватно раскрывают уязвимости, давая возможность оперативно устранить их до того, как злоумышленники воспользуются ими. Тем не менее некоторые уязвимости требуют участия нескольких сторон для полного исправления, что осложняет полное приватное раскрытие.

Рынки нулевого дня: тонкости торговли эксплойтами

В подпольных сегментах рынка информации о нулевом дне преступные хакеры обмениваются подробностями, позволяющими взломать уязвимое ПО и получить доступ к ценным данным. Серая зона рынка служит площадкой для исследователей и компаний, которые торгуют этой информацией с военными, разведками и правоохранительными органами. В белой зоне компании привлекают белых хакеров и исследователей безопасности, чтобы те выявляли и сообщали о уязвимостях разработчикам, давая им время на исправления до появления эксплойтов у преступников.

Стоимость информации о нулевом дне варьируется в зависимости от покупателя, продавца и полезности уязвимости — от нескольких тысяч до сотен тысяч долларов. Перед сделкой продавцы обязаны предоставить proof-of-concept (PoC) как доказательство существования эксплойта. Для скрытных продаж используют сеть Tor для анонимности, а расчёты зачастую проводятся в биткоинах.

Хотя атаки нулевого дня выглядят угрожающе, их реальная опасность может быть более сложной. У государств часто есть альтернативные методы наблюдения, и эксплойты нулевого дня не всегда являются самым эффективным инструментом для компрометации компаний или частных лиц. Максимальный эффект достигается при целевом и скрытном развертывании атаки. Массовое и необдуманное использование эксплойта на большой сети компьютеров рискует быстро раскрыть уязвимость и ускорить выпуск патчей, что помешает злоумышленникам реализовать свои цели.

Реальные случаи: примеры эксплуатации нулевых дней

Случай с Microsoft Word

В апреле 2017 года Microsoft столкнулась с атакой нулевого дня, затронувшей популярный Microsoft Word. Злоумышленники использовали уязвимую непатченную версию и внедрили троян-банкер Dridex через вредоносный код в документах Word, который запускал полезную нагрузку при открытии файла. Хотя атака была обнаружена антивирусной компанией McAfee и своевременно сообщена Microsoft, она успела затронуть миллионы пользователей, а кампания велась с января.

Уязвимости в Chrome 

Совсем недавно браузер Google Chrome подвергался ряду векторов атак и эксплойтов. Только в 2022 году Google выпустил как минимум четыре срочных уведомления с требованием обновить браузер в ответ на серию атак нулевого дня, угрожавших безопасности пользователей.

Взлом Sony Pictures

Один из самых известных примеров — взлом Sony Pictures в 2014 году. Нападение использовало нераскрытую уязвимость для установки скрытого вредоносного ПО, которое незаметно модифицировало и удаляло важные файлы, связанные с выпуском фильмов, причинив миллионы долларов убытков и подорвав репутацию компании. Считается, что за атакой стояли агенты из Северной Кореи в ответ на выпуск сатирического фильма «Интервью», высмеивающего лидера КНДР Ким Чен Ына. Этот широко освещённый инцидент подчеркнул реальную опасность уязвимостей нулевого дня в современной кибросфере.

Заключение

Атаки нулевого дня представляют серьёзную проблему в кибербезопасности, эксплуатируя неизвестные уязвимости ПО. Антивирусы и обновления дают частичную защиту, но не стопроцентную. Рынки эксплойтов включают как легальные, так и нелегальные обмены. В числе известных примеров — атака на Microsoft Word, уязвимости в Chrome и громкий случай с Sony Pictures. Бдительность и проактивные меры — ключ к снижению рисков от атак нулевого дня.