Un 0-day est une vulnérabilité logicielle inconnue à son éditeur de logiciel. Les 0-days sont peut-être le type d'exploits le plus précieux, simplement parce qu'ils peuvent être utilisés avec une chance de succès incroyablement élevée, et souvent pendant une période prolongée. Sans connaissance d'une faille, il est peu probable qu'un fabricant de logiciels publie un correctif, et les actions des attaquants peuvent probablement passer inaperçu pendant un certain temps.

Le marché des vulnérabilités 0-Day

Les 0-days étaient autrefois associés aux États-nations qui disposaient des ressources nécessaires pour sonder les logiciels et trouver des vulnérabilités inconnues. Cependant, au cours des deux dernières décennies, chercheurs privés et acteurs malveillants ont également chassé et trouvé leurs propres jours 0.

Pour le premier, il y aura probablement un salaire élevé pour signaler la vulnérabilité via un programme de primes de bogues. Il existe également des conférences dédiées à l'identification des 0-days comme Pwn2Own, mais pas la publication des détails de la vulnérabilité. Pour ces derniers, les 0 jours représentent une outil précieux pour lancer furtivement des attaques qui peuvent générer jusqu'à des millions de dollars de profit.

Les entreprises privées opèrent désormais également en tant que courtiers, en achetant des 0-jours aux chercheurs et en les revendant aux agences de renseignement et d'application de la loi. Ces courtiers offrent des centaines de milliers de dollars pour chaque 0-day et semblent tirer un profit assez important de la revente des 0-days.

Peu importe comment les jours 0 sont connus et partagés, dans tous les exemples ci-dessus, les jours 0 rester privé et partagé entre un petit cercle de personnes. Ils gardent essentiellement un voile de secret et de mystère qui les a enchâssés depuis les premiers jours de l'ère informatique.

0-Days sous les projecteurs

Le secret qui entoure les 0-days explique pourquoi le lancement d'un marché 0-day très public est si surprenant. Notre équipe de renseignement a découvert que le le dark web est désormais l'hôte d'un marché très actif où 0 jours peuvent être achetés. Comme le montre l'image ci-dessous, le m marketplace promet :

• Documentez entièrement les 0-days qui peuvent être exploités rapidement
• Livraison rapide
• Satisfaction garantie, bien qu'aucun remboursement ne soit promis

Une autre surprise vient des 0 jours très médiatisés qui sont annoncés sur le site Web. Ceux-ci inclus Interception de SMS, Exploitation de la carte SIM, rachats de téléphones portables et piratage de comptes sur les réseaux sociaux. Ce sont tous des jours 0 incroyablement précieux qui pourraient être exploités pour des attaques dommageables contre des individus et des organisations. Leur prix, d'un quelques centaines à quelques milliers de dollars US semble être beaucoup plus petit que ce que nous avons vu dans d'autres affichages publics de prix à 0 jour où les plus précieux valent des centaines de milliers de dollars.

Le marché semble enfin vendre le même exploit à plusieurs personnes. Le site Web présente en effet des notes qui semblent représenter des ventes passées, avec une note de 5 étoiles qui y est associée. Les 0-days les plus populaires ont apparemment été vendus des centaines de fois, ce qui suggère que le marché est déjà incroyablement actif.

Une présence publique et visible

La popularité de la plateforme pourrait s'expliquer par ses campagnes marketing sur les réseaux sociaux comme Instagram et YouTube. Le marché a son propre compte avec des centaines d'abonnés. Il y publie des informations et des vidéos sur les 0-days, ainsi que des explications sur l'utilisation du site. L'ensemble du parcours client est présenté et les clients potentiels peuvent voir à quoi s'attendre lorsqu'ils achètent un compte 0-day. Il montre comment les paiements en crypto-monnaies peuvent être envoyés, et que bit.ly est utilisé pour livrer les fichiers une fois l'achat terminé.

Les menaces ne font que s'améliorer, pas s'aggraver

Bruce Schneier a dit que les menaces ne font que s'améliorer, et non s'aggraver. Ce nouveau marché est un bon exemple de ce mantra et une leçon à tirer pour les professionnels de la sécurité. Il représente un exemple de plus de la démocratisation des attaques les plus sophistiquées jusqu'à des acteurs malveillants qui n'ont besoin d'aucune connaissance technique. Les 0-days qui ciblent les grands réseaux de communication et les logiciels de communication sont des menaces importantes et doivent être détectés le plus rapidement possible. C'est pourquoi nous avons ajouté ce marché comme source d'informations que nous surveiller au quotidien pour identifier rapidement tout nouveau jour 0 significatif.

Grâce à ces informations, les équipes de sécurité peuvent mieux comprendre les risques associés à l'utilisation d'outils et de réseaux spécifiques. Ils peuvent également mieux comprendre les posture de sécurité des entreprises. En effet, certains semblent être plus ciblés que d'autres par des acteurs malveillants, et être repris plus facilement. Ceux-ci peuvent représenter des risques inutiles pour vos organisations et pourraient peut-être être remplacés par des logiciels plus sécurisés qui ne tombent pas aussi facilement entre les mains d'acteurs malveillants.

Ce qui rend possible le succès des plateformes, c'est visibilité des marketplaces et il sera également intéressant d'aller de l'avant pour surveiller comment les acteurs malveillants sont autorisés à opérer sur les réseaux sociaux. Leur présence y représente un avantage de termes de visibilité pour les acteurs malveillants, mais aussi une opportunité d'investigation pour les forces de l'ordre afin de recueillir des renseignements sur les individus qui exploitent ces plateformes. Nous sommes impatients de mieux comprendre comment les forces de l'ordre réagiront à ce changement vers la visibilité, et si ceux qui sont assez effrontés pour y aller, ils seront les premiers à être fermés à la fin.