Qu'est-ce qu'une vulnérabilité zero-day ?

Vulnérabilité zero-day, exploit et attaque : quelle différence ?

Ces trois termes sont souvent utilisés de manière interchangeable, mais la distinction est importante car chacun appelle une réponse différente. Une vulnérabilité zero-day est la faille latente elle-même, une faiblesse dans le code, la conception ou la configuration qu'aucun responsable de sa correction ne connaît encore. Un exploit zero-day est la méthode ou le code qu'un attaquant développe pour tirer parti de cette faille. Une attaque zero-day est l'activité malveillante réelle menée avec l'exploit pour compromettre des systèmes, voler des données ou causer des dommages.

La vulnérabilité est la porte non verrouillée, l'exploit est la technique pour s'y glisser, et l'attaque est l'intrusion. Une faille cesse d'être un zero-day dès que l'éditeur en prend connaissance et publie un correctif. Elle devient alors une vulnérabilité connue et corrigeable, généralement référencée par un identifiant CVE.

Pourquoi les zero-days sont-ils si dangereux ?

Plusieurs propriétés combinées rendent les zero-days particulièrement menaçants. Il n'existe pas de correctif, de sorte que la gestion classique des correctifs n'offre aucune protection pendant la fenêtre d'exposition. Ils sont invisibles pour les outils basés sur les signatures, comme les antivirus traditionnels et de nombreuses règles de détection d'intrusion, car il n'existe pas d'indicateur connu à rechercher.

Les zero-days peuvent cibler presque n'importe quel point d'entrée : navigateurs web, clients de messagerie, systèmes d'exploitation, protocoles réseau, composants tiers ou open source. Et ils ont de la valeur. Des exploits fonctionnels s'échangent sur des marchés du dark web et sont stockés par des acteurs bien dotés en ressources pour des opérations ciblées, ce qui explique pourquoi les groupes APT et les États investissent massivement dans leur acquisition.

Les enjeux ont grandi avec la surface d'attaque. Les chercheurs en sécurité relient la forte hausse des zero-days signalés à la croissance exponentielle des logiciels, des services cloud et des appareils connectés à Internet, même si une meilleure détection permet également d'en identifier davantage. Un nombre record d'exploits zero-day a été signalé en 2021, plus du double de l'année précédente, et les détections sont restées élevées depuis.

Le cycle de vie d'une vulnérabilité zero-day

Les zero-days suivent un cycle de vie reconnaissable, et comprendre où se situe chaque étape permet d'identifier où la défense est réellement possible.

1. Création de la faille. Un développeur introduit involontairement un bug ou une faiblesse lors du développement, souvent une erreur de codage ou un défaut de conception.
2. Découverte. Quelqu'un trouve la faille avant l'éditeur, qu'il s'agisse d'un acteur malveillant, d'un courtier ou d'un chercheur indépendant, parfois par rétro-ingénierie.
3. Développement de l'exploit. Un attaquant écrit du code pour transformer la faille en arme permettant un accès non autorisé ou l'exécution de code.
4. Exploitation dans la nature. L'exploit est déployé dans des attaques ciblées ou vendu sur des marchés cybercriminels. C'est à ce moment que la fenêtre de vulnérabilité s'ouvre.
5. Détection et divulgation. Les défenseurs ou les chercheurs détectent l'activité et la vulnérabilité est divulguée à l'éditeur, idéalement via une divulgation responsable. Un CVE est généralement attribué.
6. Correctif et remédiation. L'éditeur développe, teste et publie un correctif. Les organisations doivent le déployer rapidement, car la divulgation publique déclenche souvent une vague d'exploitation opportuniste de la faille désormais connue.

Comment se déroulent les attaques zero-day ?

Une fois qu'un exploit existe, les attaquants le délivrent via des vecteurs classiques. Des documents ou des liens malveillants dans des e-mails de phishing ou de spear-phishing déclenchent une faille de navigateur ou d'application à l'ouverture. Des sites web compromis ou malveillants lancent des exploitations drive-by contre leurs visiteurs. Des entrées spécialement conçues abusent des failles dans les serveurs, les API ou les services exposés au réseau, comme on l'a vu avec des vulnérabilités dans des frameworks web très répandus. De plus en plus, les zero-days dans des composants open source ou tiers largement utilisés permettent des attaques sur la chaîne d'approvisionnement qui touchent de nombreuses organisations simultanément.

Ce qui rend ces attaques particulièrement difficiles à stopper, c'est que l'exploit initial est inédit : il n'existe aucun indicateur préalable sur lequel alerter tant que la cyber intrusion n'est pas déjà en cours.

Exemples notables d'attaques zero-day

Le marché des zero-days : qui achète et qui vend ?

Les zero-days ne sont pas qu'un problème technique ; ils constituent une véritable économie. Un exploit fonctionnel pour un produit largement utilisé peut atteindre des sommes considérables, et plusieurs marchés se les disputent. Du côté légitime, les programmes de bug bounty des éditeurs et les courtiers spécialisés rémunèrent les chercheurs pour signaler les failles afin qu'elles soient corrigées. Dans une zone grise, certains courtiers acquièrent des exploits et les revendent à des agences gouvernementales pour des opérations de surveillance ou offensives. Du côté criminel, les exploits et les kits d'exploitation s'échangent sur des marchés du dark web, parfois regroupés et vendus sous forme de service.

Cette économie façonne le comportement des attaquants. Parce qu'un zero-day perd de sa valeur dès qu'il est corrigé, les acteurs sophistiqués réservent souvent leurs meilleurs exploits à des opérations ciblées à haute valeur plutôt qu'à des campagnes de masse. Les failles moins précieuses ou déjà divulguées sont rapidement et largement exploitées. Pour les défenseurs, la conséquence pratique est que les zero-days les plus dangereux peuvent être utilisés discrètement contre des cibles spécifiques, ce qui constitue une raison supplémentaire de ne pas attendre des indicateurs publics.

Comment détecter et se défendre contre les zero-days ?

On ne peut pas corriger ce que personne ne connaît, de sorte que la défense contre les zero-days consiste à réduire l'exposition, détecter les comportements d'exploitation et répondre rapidement. Une stratégie en couches est la plus efficace.

Détection comportementale et par anomalies

Puisqu'il n'y a pas de signature à rechercher, la voie réaliste consiste à détecter ce que fait l'attaquant plutôt que l'exploit spécifique. La détection comportementale, l'analyse d'anomalies et l'analyse du comportement des utilisateurs et des entités signalent l'activité inhabituelle qui suit l'exploitation : exécution de processus inattendue, connexions sortantes suspectes, modifications anormales de privilèges. Le sandboxing peut activer des fichiers suspects dans un environnement isolé pour observer un comportement malveillant avant qu'il n'atteigne la production.

Réduire et contenir la surface d'attaque

La segmentation réseau et le principe du moindre privilège limitent la progression d'un attaquant une fois qu'un zero-day lui a donné un point d'ancrage, transformant une potentielle compromission en incident contenu. Les pare-feu applicatifs web (WAF) et le virtual patching peuvent bloquer les schémas d'exploitation connus au niveau du périmètre réseau, même avant qu'un correctif éditeur ne soit disponible.

Gestion rapide des correctifs et des vulnérabilités

Une fois qu'un zero-day est divulgué et qu'un correctif est publié, la rapidité est primordiale. La divulgation publique déclenche une exploitation généralisée de la faille désormais connue. Une gestion mature des vulnérabilités, avec priorisation des systèmes exposés à Internet et des systèmes critiques pour l'activité, ferme la fenêtre le plus vite possible.

Renseignement sur les cybermenaces

Le renseignement cyber (CTI, Cyber Threat Intelligence) fournit une alerte précoce. Suivre quelles vulnérabilités sont exploitées dans la nature, quels acteurs les privilégient et quels indicateurs traquer permet aux défenseurs d'agir avant qu'un exploit ne les atteigne, ou immédiatement après divulgation.

Personnes et processus

Parce que le phishing est un vecteur de livraison courant, la sensibilisation des utilisateurs réduit le risque qu'un zero-day soit jamais déclenché. Un plan de réponse aux incidents testé et des sauvegardes fiables garantissent que l'organisation peut contenir la situation et récupérer rapidement lorsque la prévention échoue.

Avis d'expert : On ne peut pas créer de signature pour l'inconnu, alors détectez le comportement

Pendant la fenêtre de vulnérabilité, il n'y a rien à corriger et aucune signature à bloquer, par définition. La prévention a atteint ses limites. Ce qui reste, c'est la détection et la réponse, et c'est un combat que les défenseurs peuvent gagner. Aussi inédit que soit l'exploit initial, ce qu'un attaquant fait ensuite est remarquablement constant : établir une persistance, voler des identifiants, élever des privilèges, se déplacer latéralement, atteindre les données. Ces comportements sont détectables même lorsque la technique d'entrée est entièrement nouvelle, ce qui explique pourquoi la détection comportementale intercepte des attaques que les outils basés sur les signatures manquent entièrement.

La plateforme SOC de Sekoia est conçue autour de cette posture comportementale et guidée par le renseignement. Elle corrèle la télémétrie de plus de 300 intégrations couvrant les endpoints, le réseau, les identités et le cloud, de sorte que les comportements post-exploitation ressortent même quand l'exploit lui-même est inconnu. Sekoia Defend applique environ 1 000 règles de détection mappées au framework MITRE ATT&CK, ciblant les techniques d'accès aux identifiants, d'élévation de privilèges et de déplacement latéral qui suivent un zero-day, plutôt que de s'appuyer sur une signature de l'exploit. Sekoia Intelligence et une équipe interne de Threat Detection & Research (TDR) suivent les vulnérabilités exploitées dans la nature en quasi-temps réel. Sekoia a publié des rapports flash FLINT sur des zero-days actifs, dont un zero-day Microsoft, de sorte que dès qu'une faille est divulguée, le contenu de détection et la rétro-chasse des indicateurs associés suivent rapidement. Pour les organisations européennes, cela s'accompagne d'une posture de souveraineté des données que les généralistes américains égalent rarement. Grâce à la réponse automatisée aux incidents, une exploitation zero-day suspectée peut être contenue en quelques minutes.

Continuez à corriger rapidement, mais partez du principe que la prévention échouera parfois. Mettez derrière elle une détection comportementale pilotée par le renseignement sur les menaces (CTI), car face à l'inconnu, c'est cette couche qui tient vraiment.

‍

FAQs