zero day es un término ámplio que describe vulnerabilidades de seguridad que son desconocidas para los usuarios y para el fabricante o desarrollador
Hace pocos días el equipo de Google Security dio a conocer mediante una publicación de blog, un informe sobre toda la recopilación del año pasado (2022) relacionado con las vulnerabilidades 0 day en las que aparecieron exploits antes de que se desarrollaran parches para software vulnerable relacionado.
En su informe presentado, mencionan que durante el 2022, el equipo de Project Zero identificó 41 vulnerabilidades 0 day (un 40 % menos que las encontradas en 2021) y que a pesar de una disminución notable en el número de vulnerabilidades, el numero continúa siendo mayor al promedio de los 6 años anteriores.
Esta es la cuarta revisión anual de Google de 0 días explotados en estado salvaje [ 2021 , 2020 , 2019 ] y se basa en la revisión de mediados de año 2022. El objetivo de este informe no es detallar cada hazaña individual , sino analizar las hazañas del año en su conjunto, buscando tendencias, brechas, lecciones aprendidas y éxitos.
Grafica de numero de vulnerabilidades zero day de los ultimos años
Se menciona que la aparición de una gran cantidad de vulnerabilidades del tipo zero day se ve potencialmente facilitada por factores como la necesidad continua de que los atacantes utilicen exploits para llevar a cabo ataques y la simplificación de los métodos para encontrar tales vulnerabilidades, ademas de que el aumento de la velocidad de aplicación de parches obliga a buscar vulnerabilidades este tipo en lugar de utilizar problemas ya conocidos. Este tambien es factor, ya que el desarrollo deficiente de parches permite a los autores de exploits encontrar nuevos vectores de ataque para vulnerabilidades ya conocidas.
Por ejemplo, más del 40 % (17 de 41) de los exploits de día cero identificados en 2022 estaban relacionados con vulnerabilidades previamente reparadas y divulgadas públicamente. Tal oportunidad surge debido a correcciones de vulnerabilidades insuficientemente completas o de baja calidad: los desarrolladores de programas vulnerables a menudo corrigen solo un caso especial o simplemente crean la apariencia de una solución sin llegar a la raíz del problema. Dichas vulnerabilidades de día cero podrían haberse evitado potencialmente con una investigación más exhaustiva y la corrección de las vulnerabilidades.
La disminución en el número de vulnerabilidades 0 day en comparación con 2021 se puede explicar por el hecho de que se necesita más tiempo, conocimiento y dinero para crear exploits, el número de vulnerabilidades explotables disminuye debido al uso más activo de métodos de protección, para cada exploit, a menudo se desarrollan nuevas técnicas operativas.
La disminución de las vulnerabilidades 0 day también puede deberse al uso de métodos de ataque más simples, como el phishing y la distribución de malware. También puede verse afectado por la capacidad de prescindir de exploits para vulnerabilidades ya conocidas debido a que los usuarios retrasan la aplicación de correcciones.
El informe concluye que los exploits para vulnerabilidades parcheadas de día N en Android no son menos efectivos que las vulnerabilidades 0 day debido a la demora de los proveedores en generar actualizaciones. Por ejemplo, incluso si Google corrige rápidamente una vulnerabilidad en la plataforma central de Android, es posible que la solución para esta vulnerabilidad no esté disponible para la mayoría de los usuarios hasta meses después, ya que los fabricantes de dispositivos finales a menudo tardan en trasladar las correcciones a sus revisiones de firmware.
Un ejemplo es la vulnerabilidad CVE-2022-3038 identificada en el motor del navegador Chrome 105 y corregida en junio de 2022. Esta vulnerabilidad permaneció sin parches durante mucho tiempo en navegadores específicos de proveedores como Samsung Internet. En diciembre de 2022, se revelaron hechos de ataques a usuarios de Samsung utilizando un exploit para esta vulnerabilidad (en diciembre, la versión actual del navegador de Internet de Samsung continuó usando el motor Chromium 102, lanzado en mayo de 2022).
Al mismo tiempo, para los navegadores, también hay un cambio en los intereses de los creadores de exploits a favor de las vulnerabilidades de 0-click en lugar de las vulnerabilidades de 1-click. 0-clic se refiere a las vulnerabilidades que no requieren la acción del usuario, por lo general afectan a otros componentes además del código del navegador en sí.
Se menciona que las vulnerabilidades 0-click son difíciles de detectar porque:
- son de corta duración
- A menudo no tienen un indicador visible de su presencia.
- Puede apuntar a muchos componentes diferentes y los proveedores ni siquiera siempre se dan cuenta de todos los componentes a los que se puede acceder de forma remota
- Entregado directamente al objetivo en lugar de ampliamente disponible como en un ataque de abrevadero
- A menudo no está alojado en un sitio web o servidor navegable
Mientras que con los 1-click, hay un enlace visible en el que el objetivo debe hacer clic para entregar el exploit. Esto significa que el objetivo o las herramientas de seguridad pueden detectar el enlace. Luego, los exploits se alojan en un servidor navegable en ese enlace.
Finalmente si estás interesado en poder conocer más al respecto, puedes consultar los detalles en el siguiente enlace.