Les 0Day, vous en avez surement déjà entendu parler. Heartbleed, Shellshock, POODLE

Dossier passionnant sponsorisé par Norton by Symantec

Les 0Day, vous en avez surement déjà entendu parler. Heartbleed, Shellshock, POODLE vous disent peut-être quelque chose mais savez vous ce qu’est vraiment une faille zero day ? Comment elles sont découvertes ? Et à qui profitent-elles ?

Je vous propose aujourd’hui de découvrir tout ça dans ce dossier ainsi que les bons réflexes à avoir pour limiter la casse.

Qu’est ce qu’un Zero Day ?

Les failles de type 0day, sont des failles de sécurité pour lesquelles il n’existe pas encore de correctif. Elles peuvent concerner des logiciels, des sites web ou n’importe quelle autre application.

Hé oui, rien n’étant parfait dans ce bas monde, il en va de même pour le code informatique. Malgré tous les efforts déployés par les développeurs pour produire du code dit sécurisé, il arrive que des bugs ou des failles d’importance relative se glissent dans les projets.

C’est d’ailleurs principalement pour cette raison que nous devons régulièrement mettre à jour nos applications, que ce soit sur mobile ou sur desktop. Il est en effet impossible de découvrir l’intégralité des failles présente dans un code, avec un simple audit de quelques jours.

La découverte de ces failles se fait sur la durée, soit par les équipes de développement de la société, soit par des chercheurs indépendants ou travaillant pour des sociétés dont les 0Day sont le coeur du business (mais j’y reviendrai plus tard).

En avril 2014, les chercheurs en sécurité de Google sont tombé sur une vulnérabilité présente à l’intérieur de la bibliothèque cryptographique OpenSSL. Petit problème, OpenSSL est utilisé sur les 2/3 des sites web qui utilisent HTTPS mais aussi par les téléphones Android. Heartbleed était né.

Correctement exploitée, cette faille 0Day permet de récupérer des informations supposées être sécurisées sur n’importe quel serveur utilisant OpenSSL. Des audits ont montré que cette vulnérabilité avait été exploitée plusieurs années avant sa découverte par les ingénieurs de Google.

S’appuyant sur les révélations de Snowden, les médias qui se sont emparés de l’affaire, ont supposé, sans en avoir la preuve formelle, que le gouvernement américain avait connaissance du problème et l’exploitait à des fins d’espionnage ou dans ses différentes enquêtes.

Quelques mois plus tard, en septembre 2014, ce fut au tour de ShellShock de faire le buzz, touchant la plupart des distributions Linux et OSX au niveau du shell Unix Bash. ShellShock permet à un attaquant de lancer les commandes de son choix sur les serveurs vulnérables et ainsi obtenir toutes les informations et fichiers qu’il désire. Notez bien que cette faille était présente dans le Bash depuis 22 ans… Et comme elle est très simple à exploiter, dès sa découverte, les cybercriminels l’ont utilisé pour déployer des clients de botnet sous OSX et Linux.

Agrandir

Et plus récemment, c’est POODLE qui a fait parler d’elle. Cette faille 0Day, découverte elle aussi par les équipes de Google, touche le protocole SSLv3 et permet grâce à une attaque de type Man In The Middle, d’intercepter les données chiffrées envoyées par la machine de la cible.

Il n’est pas rare non plus d’observer des 0Days dans des logiciels très populaire comme le player Flash, la machine virtuelle Java, ou dans des CMS comme WordPress, Drupal ou encore Joomla.

Ce qui fait la force d’un Zero Day, c’est sa confidentialité. Une fois que la faille est connue et documentée, les logiciels sont patchés et elle ne présente plus aucun intérêt.

Dans l’attaque qui a vidé Sony Picture Entertainment en Septembre de l’année dernière, ce sont aussi des 0Days qui ont été utilisés pour pénétrer dans le réseau interne de l’entreprise. L’attaquant a préparé un email contenant un malware capable d’exploiter ces failles inconnus et l’a envoyé à un ou plusieurs employés de Sony. Ce qui devait arriver arriva et les ordinateurs de la société furent rapidement sous le contrôle de l’attaquant. L’utilisation de Zero Day dans une attaque de ce type fait qu’une entreprise peut difficilement bloquer le malware en amont. Quand elle découvre l’intrusion, il est déjà trop tard.

Un véritable marché s’est constitué autour de ces vulnérabilités qui n’ont pas été encore rendues publiques. Avec ses zones d’ombre.

Un million d’euros. C’est la somme qu’a promise, lundi 21 septembre, l’entreprise Zerodium à qui trouvera une faille informatique dans iOS 9, le nouveau logiciel qui équipe les iPhones. Zerodium est une nouvelle venue sur le marché de la sécurité informatique, mais pas une inconnue. Emanation de l’entreprise française Vupen, elle est spécialisée dans les failles dites « zero day », qu’elle achète à des hackers puis revend au plus offrant, le plus souvent de grandes agences de renseignement occidentales qui cherchent un moyen d’espionner leurs cibles – Vupen, puis Zerodium, ont affirmé ne pas travailler avec des régimes autoritaires.

Qu’est-ce qu’une faille zero day ?

La somme d’un million de dollars est sans précédent, mais montre bien la valeur de ce type de faille dans un monde surconnecté. Une vulnérabilité zero day est une faille logicielle qui n’a pas encore été découverte par le fabriquant. « Elle peut ensuite être exploitée avant que le fabriquant ne s’en rende compte et la corrige en urgence. Cette attaque est alors nommée attaque zero day », selon les termes de l’entreprise de sécurité Symantec. « Il n’existe quasiment aucune défense contre une attaque zero day », expliquaient deux chercheurs des laboratoires de l’entreprise dans une étude publiée en 2012.

Et ça se trouve comment des ZeroDay ?

Depuis longtemps, les hackers s’échangent ces failles 0day sous le manteau, le plus souvent pour de l’argent. Mais depuis plusieurs années, c’est devenu un véritable business qui peut rapporter gros !

En effet, grâce au développement de réseaux chiffrés comme Tor ou Freenet, ce sont de véritables places de marchés qui se sont constituées pour faciliter la revente de 0days. 

En savoir plus sur http://www.lemonde.fr/pixels/article/2015/09/23/le-business-des-zero-day-ces-failles-inconnues-des-fabricants-de-logiciel_4768638_4408996.html#mDKqfsIg4tMvDVUe.99