Zero-Day (Luka i exploit zero-day)
Zero-day to luka w zabezpieczeniach oprogramowania, o której twórcy programu jeszcze nie wiedzą. Ponieważ nie ma dla niej łatki, hakerzy mają „zero dni” na przygotowanie się do obrony — stąd nazwa. Taka luka jest szczególnie niebezpieczna, bo działa na zupełnie zaktualizowanym systemie, który z pozoru wygląda na bezpieczny.
Sam fakt istnienia luki to jeszcze nie atak. Aby wykorzystać zero-day, potrzebny jest exploit — złośliwy kod, który wymusza niepożądane zachowanie programu. Gdy przestępcy zaczynają aktywnie używać takiego exploita przeciwko ofiarom, mówimy o ataku zero-day.
Różnica między luką a exploitem
W branży cybersecurity warto rozróżniać trzy powiązane pojęcia.
- Luka zero-day (zero-day vulnerability) to błąd w kodzie, który pozwala na nieautoryzowane działanie. O luce wie tylko osoba lub grupa, która ją odkryła.
- Exploit zero-day to program lub skrypt, który wykorzystuje tę lukę do przejęcia kontroli, kradzieży danych lub instalacji malware.
- Atak zero-day to sytuacja, w której exploit jest używany aktywnie przeciwko rzeczywistym ofiarom, zanim producent wydaje łatkę.
Gdy producent dowiaduje się o luce i publikuje poprawkę, zero-day staje się luką znaną, często nazywaną N-day. Wtedy najważniejsze, aby użytkownicy jak najszybciej zainstalowali aktualizację.
Kto kupuje luki zero-day?
Działające exploity zero-day są rzadkie i trudne do znalezienia, dlatego na szarym i czarnym rynku osiągają ogromne ceny. Cena zależy od tego, na jaki system jest skierowany i jak łatwo go wykorzystać.
Służby wywiadowcze
Agencje takie jak NSA, FSB, Mossad czy chińskie Ministerstwo Bezpieczeństwa Państwowego kupują luki zero-day, aby szpiegować dyplomatów, dziennikarzy, aktywistów i rządy innych państw. Takie narzędzia są częścią cyberwywiadu państwowego.
Firmy cybernajemne
Spółki takie jak izraelskie NSO Group tworzą oprogramowanie szpiegujące, które sprzedają rządom na całym świecie. Ich produkty, na przykład Pegasus, potrafią zainfekować telefon bez żadnej interakcji z użytkownikiem — tzw. zero-click exploit.
Gangi ransomware
Największe grupy przestępcze kupują luki zero-day, aby jednym ruchem infekować setki firm ransomwarem. Taki atak jest znacznie skuteczniejszy niż klasyczny phishing, bo nie wymaga klikania w linki.
Badacze bezpieczeństwa
Wiele luk jest zgłaszanych producentom przez etycznych hakerów w ramach programów bug bounty. Dzięki temu poprawki pojawiają się zanim luka trafi w ręce przestępców. Czasem jednak producenci ignorują zgłoszenia lub płacą za nie mniej niż czarny rynek — wtedy odkrywca może sprzedać lukę komuś innemu.
Znane przykłady ataków zero-day
Stuxnet
W 2010 roku robak Stuxnet zaatakował irańskie wirówki wzbogacające uran. Wykorzystywał aż cztery luki zero-day w systemie Windows. Powszechnie uważa się, że był to wspólny projekt wywiadów USA i Izraela. To pokazuje, jak poważne skutki może mieć dobrze przygotowany atak zero-day.
Pegasus
Oprogramowanie szpiegujące stworzone przez NSO Group było używane przeciwko dziennikarzom, politykom i aktywistom na całym świecie, w tym w Polsce. Pegasus często infekował telefony przez zero-click exploit w iMessage lub WhatsAppie — ofiara nie musiała klikać w żaden link.
Jak się bronić przed zero-day?
Przeciwko ukierunkowanemu atakowi państwowemu z użyciem drogiego exploita zwykły użytkownik ma niewielkie szanse. Na szczęście większość z nas nie jest celem takich operacji. Dla przeciętnego użytkownika istnieje kilka realnych działań.
Instaluj aktualizacje natychmiast
Gdy producent dowiaduje się o luce i wydaje łatkę, liczy się każda godzina. Im szybciej zainstalujesz aktualizację, tym krótszy czas pozostajesz podatny na atak. Wyłącz automatyczne aktualizacje tylko wtedy, gdy naprawdę musisz.
Używaj nowoczesnego oprogramowania antywirusowego
Antywirusy nowej generacji, takie jak EDR, nie polegają wyłącznie na sygnaturach wirusów. Analizują zachowanie programów i mogą wykryć nietypową aktywność, na przykład gdy kalkulator próbuje połączyć się z internetem.
Pracuj na koncie z ograniczonymi uprawnieniami
Jeśli używasz konta administratora do codziennych czynności, exploit w przeglądarce może łatwo przejąć pełną kontrolę nad systemem. Na koncie użytkownika jego możliwości są znacznie mniejsze.
Używaj różnych przeglądarek i urządzeń
Warto rozdzielać aktywność: na jednym urządzeniu logujesz się do banku, na innym przeglądasz mniej zaufane strony. Szczególnie wrażliwe konta warto obsługiwać na osobnym, dobrze zabezpieczonym urządzeniu.
Wyłączaj niepotrzebne funkcje
Im mniej usług działa w tle, tym mniejsza powierzchnia ataku. Wyłącz nieużywane protokoły, usługi lokalizacji i funkcje, z których nie korzystasz.
Czy zero-day to wyrok?
Nie. Większość ataków na zwykłych użytkowników nadal opiera się na phishingu, słabych hasłach i niezałatanych, ale już znanych lukach. Zero-day to narzędzie dla najbardziej zaawansowanych przestępców i służb. Dobre nawyki cyfrowe — aktualizacje, 2FA, menedżer haseł, ostrożność wobec podejrzanych wiadomości — chronią przed ogromną większością realnych zagrożeń.
Powiązane pojęcia
- Exploit — kod wykorzystujący lukę w oprogramowaniu.
- Vulnerability — słaby punkt w systemie.
- Ransomware — malware często rozprzestrzeniane przez zero-day.
- Dark Web — miejsce handlu exploitami.
- Patch — łatka naprawiająca lukę.