Exploit
Exploit to kod, skrypt albo procedura, która zamienia znaną podatność w konkretny skutek: wyciek pamięci, wykonanie polecenia, eskalację uprawnień, awarię usługi. Słowo pochodzi z angielskiego “to exploit”: wykorzystać. W threat intelligence i w aktach oznacza narzędzie albo demonstrację, że dana luka da się wywołać w praktyce. Ktoś przełożył błąd w kodzie albo w konfiguracji na zachowanie, którego projektant nie przewidział.
Na blackweb.pl exploit interesuje mnie jako element łańcucha: skąd wzięła się luka, kto ją opublikował, jak szybko poszła łatka, kto zdążył uruchomić exploit przed aktualizacją. Bez checklisty ataku. Bez PoC do skopiowania.
Exploit a podatność
Podatność to stan. Exploit to działanie na tym stanie. Możesz mieć CVE w bazie i zero publicznego exploita. Możesz mieć prywatny exploit w arsenale grupy i zero wpisu w NVD. Relacja nie jest jeden do jednego. Badacze czasem publikują tylko opis. Czasem dołączają dowód działania w kontrolowanym labie. Vendorzy i CERT-y oceniają, czy istnieje “in the wild”: czy ktoś już używa exploita poza laboratorium.
Zero-day to szczególny przypadek: podatność bez dostępnej łatki u dostawcy. Exploit zero-day jest drogi, bo okno jest krótkie i konkurencja o tę samą lukę bywa ostra. Po ujawnieniu i patchu exploit nie znika. Żyje dalej jako “n-day” na maszynach, które nie zaktualizowały się w czasie.
Klasy, nie instrukcje
W literaturze rozróżnia się m.in. remote i local. Remote działa przez sieć bez wcześniejszego logowania na stację. Local zakłada już jakiś dostęp (konto użytkownika, złośliwy załącznik, skradzioną sesję) i często służy do podniesienia uprawnień. Inny podział idzie po skutku: denial of service, information disclosure, remote code execution. Nazwy pomagają w triage. Nie są przepisem.
Exploit bywa samodzielnym plikiem, bywa modułem w frameworku testów, bywa krokiem w łańcuchu malware. W kampaniach ransomware albo botnetów często otwiera drzwi, a ładunek robi resztę. Phishing potrafi dostarczyć dostęp bez CVE, a lokalny exploit domyka eskalację.
Skąd się bierze i kto go używa
Źródła są mieszane: bug bounty, leak prywatnych zestawów, “patch diffing” z różnicy w binarkach. Grupy przestępcze i aktorzy państwowi kupują albo budują własne. Od publikacji CVE do skanów w internecie bywa kilka godzin. Dla opsec założenie jest proste: niezałatana usługa na świecie jest już w kolejce.
Fale w stylu WannaCry plus EternalBlue albo kolejne sezonowe skany RDP i VPN powtarzają wzorzec: publiczny exploit, wolna aktualizacja, szeroka powierzchnia. Opisy incydentów na blogu idą w tę stronę.
Co robić po stronie obrony
Threat model najpierw: które usługi są na zewnątrz, jakie CVE dotyczą Twojego stacku, czy masz monitoring skanów. Potem higiena: łatki, segmentacja, ograniczenie uprawnień, WAF i reguły IDS jako warstwa, nie jako magia. Sandbox i EDR łapią część zachowań po exploicie, ale nie zastąpią aktualizacji jądra ani biblioteki.
Mapa pojęć jest prosta: exploit łączy lukę z skutkiem. Reszta należy do incident response i do decyzji, czy w ogóle wystawiasz daną powierzchnię.