Rapid7 met en garde contre les tendances lourdes en matière de vulnérabilités de type zero-day

Selon une nouvelle étude de Rapid7, les attaquants ont exploité l’année dernière plus de vulnérabilités de type « zero-day » que de vulnérabilités connues au cours de campagnes de menaces généralisées.

L’éditeur de solutions de sécurité vient de publier son « 2024 Attack Intelligence Report », qui met en avant des tendances alarmantes en matière de vulnérabilités et de ransomware ayant contribué aux compromissions massives auxquelles les entreprises ont été confrontées, entre janvier 2023 et la mi-février de cette année. Rapid7 a basé ses recherches sur plus de 210 vulnérabilités divulguées depuis la fin de l’année 2019, dont plus de 60 failles exploitées au cours de l’année écoulée.

Les chercheurs de Rapid7 ont découvert que les campagnes d’attaques de « compromission massive », telles que celles menées contre le produit MoveIt Transfer de Progress Software et le VPN sécurisé Ivanti Connect, impliquaient davantage l’exploitation de vulnérabilités de type « zero-day » que de vulnérabilités connues, ou de type « N-day ». Ces attaques de type « zero-day » ont été fréquentes tout au long de l’année dernière.

En 2023, pour la deuxième fois en trois ans, davantage d’événements de compromission de masse ont découlé de vulnérabilités de type « zero-day » que de vulnérabilités de type « n-day ». 53 % des nouvelles vulnérabilités de menace généralisée jusqu’au début de 2024 ont été exploitées avant que les producteurs de logiciels ne puissent mettre en œuvre des correctifs ; un retour au niveau de 2021 de l’exploitation généralisée du zero day (52 %), après un léger répit (43 %) en 2022 », peut-on lire dans le rapport.

L’ensemble des données du rapport est basé sur les vulnérabilités qui ont contribué à des événements de compromission de masse. Outre la CVE-2023-34362, que le gang de ransomwares Clop a exploitée contre les clients de MoveIt Transfer, Rapid7 a également documenté une faille d’exécution de code à distance, répertoriée comme CVE-2023-0669, dans le produit de transfert de fichiers géré (MFT) GoAnywhere de Fortra. Clop a également revendiqué la responsabilité de certaines de ces attaques, dont une contre le fournisseur de sauvegarde de données Rubrik.

Cependant, les chercheurs de Rapid7 ont relevé quelques points positifs liés aux attaques sur les produits MFT, en reconnaissant la rapidité des réponses de Progress Software et de Fortra. « De manière plus générale, il semble que certains fournisseurs de technologies de transfert de fichiers utilisent les récentes attaques Cl0p pour améliorer la divulgation des vulnérabilités et les pratiques de sécurité des produits ; par exemple, en accélérant les accords de niveau de service de remédiation, en établissant des mécanismes formels de divulgation pour les chercheurs en sécurité externes et en mettant en œuvre des cycles de publication de correctifs plus fréquents et plus transparents », peut-on lire dans le rapport.

D’autres vulnérabilités largement exploitées ont été découvertes dans plusieurs produits Cisco ainsi que dans NetScaler ADC et NetScaler Gateway de Citrix, en particulier CVE-2023-3519, qui a reçu un CVSS de 9,8.

Le rapport détaille également la faille de contournement de l’authentification Ivanti Connect Secure et Policy Secure, répertoriée sous la référence CVE-2023-46805. Un acteur chinois a ensuite exploité cette faille pour compromettre la CISA, ce que l’agence a confirmé en mars. En avril, Mitre, qui gère le système CVE, a révélé qu’un acteur national anonyme avait également exploité les failles d’Ivanti.

Caitlin Condon, directrice de la veille sur les vulnérabilités chez Rapid7 et coauteur du rapport, a déclaré que les attaques d’Ivanti soulignaient une fois de plus comment des adversaires habiles pouvaient faire un grand nombre de victimes en une seule campagne avec des « zero-day » et des charges utiles personnalisées.

« J’ai beaucoup d’empathie pour [Ivanti]. Il y a tellement de technologies déployées que ce n’est pas un problème isolé. Les clients veulent la sécurité, bien sûr, mais ils ne veulent pas non plus que les opérations commerciales ou leurs process soient perturbés. Je pense que cela met les éditeurs de logiciels dans une situation difficile », explique Caitlin Condon.

Bien que les problèmes anciens non réglés restent d’actualité, les chercheurs de Rapid7 ont cité les nouvelles tendances en matière d’exploitation qu’ils ont observées lors d’événements de compromission de masse. Par exemple, les chercheurs se sont moins appuyés sur l’utilisation de « pots de miel » parce que toutes les failles qu’ils ont classées en 2023 ont été activement exploitées dans des environnements de production réels.

En outre, ils ont souligné que le paysage des menaces de l’année dernière a prouvé qu’une seule faille pouvait conduire à une attaque de grande envergure.

« Au lieu de suivre le schéma habituel “plusieurs attaquants, plusieurs cibles”, près d’un quart (23 %) des CVE de menaces généralisées sont issus d’attaques bien planifiées et hautement orchestrées de type “zero-day” dans lesquelles un seul adversaire a compromis des dizaines ou des centaines d’organisations en une seule fois, souvent en utilisant un outil personnalisé comme des exploits propriétaires et des portes dérobées », peut-on lire dans le rapport. « Il ne s’agit pas des cybermenaces de nos grands-parents, mais d’un écosystème cybercriminel mature et bien organisé doté de mécanismes de plus en plus sophistiqués pour obtenir un accès, établir une persistance et échapper à la détection. »

Toutefois, le rapport souligne que bon nombre des vulnérabilités utilisées dans les attaques généralisées étaient facilement exploitables et qu’elles s’appuyaient sur « l’injection de commandes ou des problèmes d’authentification inappropriés » plutôt que sur la corruption de la mémoire.

Caitlin Condon souligne que Rapid7 a observé que des acteurs plus avancés s’attaquaient à des causes profondes beaucoup plus simples en ce qui concerne les vulnérabilités des logiciels.

Alors que les acteurs de la menace exploitent ce que Rapid7 qualifie de « catégories de vulnérabilités de base », les entreprises ont encore du mal à lutter contre les attaques. Caitlin Condon exhorte les entreprises à effectuer des tests de pénétration et à examiner leurs logiciels pour y déceler les failles de base.

Et de préciser qu’« au cours des neuf derniers mois, le gouvernement a donné des conseils sur des sujets tels que les feuilles de route pour la sécurité des composants mémoire ou l’élimination des [vulnérabilités] liées aux injections SQL. Je pense que ce type d’orientation est bon, et nous ne disons pas qu’il ne faut pas le faire. Mais je pense que nous constatons une certaine disparité entre les éléments ciblés par les agences gouvernementales et le type de causes profondes que les attaquants utilisent si fréquemment ».