Хакерите продължават да се насочват към уязвимостите от типа „нулев ден“ в злонамерени кампании, като изследователите съобщават, че през 2022 г. активно са експлоатирани 55 уязвимости от типа „нулев ден“, повечето от които са насочени към продукти на Microsoft, Google и Apple.
Повечето от тези уязвимости (53 от 55) са позволили на нападателя или да получи повишени привилегии, или да извърши отдалечено изпълнение на код на уязвими устройства.
Уязвимостите от типа „нулев ден“ са слабости в сигурността на софтуерни продукти, които се разкриват публично или се експлоатират, преди разработчикът да знае за тях или да пусне поправка.
Те се смятат за изключително ценни за хакерите, тъй като експлоатирането им е лесно и незабележимо, тъй като няма мерки за защита или специално наблюдение за проследяване и спиране на атаките.
Според Mandiant повечето от миналогодишните недостатъци от типа „нулев ден“ са били използвани от китайски държавно спонсорирани групи и повечето са засягали операционни системи, уеб браузъри и продукти за управление на мрежи.
През 2021 г. хакерите са използвали 80 недостатъка от типа нулев ден в различни продукти, за да извършат пробиви в сигурността, така че миналата година показва лек спад. Все пак 2022 г. надминава всички останали години по отношение на броя на активно експлоатираните недостатъци от нулев ден.
Mandiant казва, че 2021 г. е била изключителна година за експлоатация на дефекти от типа нулев ден и компанията за киберсигурност очаква тенденцията да продължи да се покачва и през 2023 г.
Продължаващата миграция към облачни услуги обаче може да намали броя на разкритите дефекти от нулев ден, тъй като доставчиците на облачни услуги следват различен подход при докладването на проблеми със сигурността.
Уязвимостите от нулев ден през 2022
От 55-те недостатъка от типа „нулев ден“, експлоатирани през 2022 г., 13 са били използвани от групи за кибершпионаж, а 7 – от китайски кибершпиони.
Руските хакери са експлоатирали два недостатъка, с едно припокриване, севернокорейците – още два, докато Mandiant не можа да определи произхода на шпионските атаки в три случая.
Групите за кибершпионаж предпочитат да се насочват към продукти от „крайната инфраструктура“, тъй като при тях обикновено липсват решения за откриване и е по-малко вероятно да предизвикат аларми.
Освен това тяхната експлоатация не изисква взаимодействие с жертвата и може да улесни страничното движение в рамките на компрометираната мрежа
Счита се, че финансово мотивирани групи са отговорни за експлоатирането на четири уязвимости от типа „нулев ден“ през миналата година, като три от тях се приписват на групи за рансъмуер.
От Mandiant твърдят, че не могат да направят извод за точната мотивация за експлоатирането на 16 уязвимости от типа „нулев ден“.
Въпреки усилията на западните правителства да ограничат проблема с комерсиалния шпионски софтуер, Mandiant съобщава, че той е продължил да бъде проблем и през 2022 г., като поне три уязвимости от типа „нулев ден“ са открити от полулегални доставчици на зловреден софтуер.
Що се отнася до целевите продукти, през 2022 г. Windows е бил засегнат от 15 уязвимости с нулев ден, Chrome е на второ място с девет активно експлоатирани уязвимости, iOS е на трето място с 5 нулеви дни, а macOS – на четвърто с четири проблема от нулев ден.
Защитата на системите от експлоатиране на уязвимости от нулевия ден може да бъде предизвикателство, тъй като не съществуват пачове за целевите уязвимости; въпреки това организациите могат да предприемат стъпки за намаляване на въздействието на такива атаки:
- Не излагайте вътрешните устройства на интернет, освен ако това не е необходимо, а ако го правите, въведете списъци с разрешения, базирани на IP адреси.
- Използвайте частни тунели или VPN за достъп до сървъри, вместо да ги излагате на интернет.
- Прилагайте принципа на най-малките привилегии, за да ограничите правата за достъп на потребителите до необходимия минимум.
- Прилагайте сегментиране на мрежата, за да ограничите разпространението на атаката в случай на пробив.
- Използвайте мониторинг на мрежата, защитни стени, продукти за филтриране на електронна поща и уеб и инструменти за защита на крайни точки.
Препоръчва се също така администраторите да се абонират за продуктови съобщения или бюлетини за сигурност от своите доставчици, за да бъдат в течение на новите актуализации, когато те бъдат пуснати.
