atak zero-day

Atak zero-day to wykorzystanie luki w oprogramowaniu nieznanej jeszcze producentowi, przed wydaniem odpowiedniej poprawki.

Na czym polega atak zero-day

Atak zero-day wykorzystuje lukę w oprogramowaniu, której producent nie zna jeszcze w chwili rozpoczęcia ataku albo nie zdążył przygotować dla niej poprawki. Nazwa odnosi się do sytuacji, w której obrońcy mają zero dni na zastosowanie oficjalnej aktualizacji. Podatność może dotyczyć systemu operacyjnego, przeglądarki internetowej, programu biurowego, sterownika, biblioteki używanej przez aplikację albo firmware urządzenia. Sam termin nie opisuje konkretnego wirusa ani jednej techniki włamania. Oznacza przede wszystkim relację między odkryciem luki, dostępnością poprawki i momentem jej wykorzystania.

W praktyce osoba atakująca może użyć takiej podatności do wykonania kodu, przejęcia uprawnień, obejścia mechanizmów bezpieczeństwa, odczytu danych lub zakłócenia działania programu. Skutki zależą od miejsca występowania błędu. Luka w przeglądarce może zostać wykorzystana po otwarciu odpowiednio spreparowanej strony, dokumentu lub reklamy. Podatność w programie obsługującym pliki może zadziałać po pobraniu i otwarciu specjalnie przygotowanego załącznika. Jeżeli błąd znajduje się w komponencie systemowym, następstwem może być uruchomienie procesu z szerszymi uprawnieniami niż te, które posiada zwykła aplikacja.

Jak przebiega wykorzystanie nieznanej podatności

Typowy scenariusz zaczyna się od dostarczenia danych wywołujących błąd w programie. Mogą to być elementy strony WWW, plik multimedialny, dokument, archiwum, komunikat sieciowy albo odpowiednio spreparowany pakiet. Program analizuje te dane zgodnie z własnym kodem. Jeżeli występuje błąd, taki jak przepełnienie bufora, użycie zwolnionej pamięci, niewłaściwa walidacja danych lub pominięcie kontroli uprawnień, atakujący może doprowadzić do nieprzewidzianego przebiegu wykonania.

Wykorzystanie luki nie zawsze oznacza natychmiastowe przejęcie całego komputera. Często atak jest wieloetapowy. Najpierw kod uruchamia się w ograniczonym procesie, następnie próbuje wydostać się z mechanizmu izolacji, podnieść uprawnienia lub pobrać kolejny komponent. Przestępca może także wykorzystać podatność wyłącznie do kradzieży informacji albo do śledzenia aktywności użytkownika. Z punktu widzenia diagnostyki ważne jest rozróżnienie między samą podatnością, exploit’em, czyli kodem wykorzystującym lukę, oraz późniejszym ładunkiem, który wykonuje określone działania w systemie.

Rozpoznawanie skutków bez gotowej poprawki

Przed wydaniem aktualizacji nie istnieje prosta czynność polegająca na „zainstalowaniu zabezpieczenia zero-day”. Ochrona opiera się wtedy na ograniczaniu możliwości ataku i obserwowaniu zachowania systemu. Znaczenie ma szybkie aktualizowanie programów, gdy tylko producent opublikuje poprawkę, korzystanie z aktualnych mechanizmów ochrony punktu końcowego, blokowanie niepotrzebnych makr i skryptów oraz ostrożne otwieranie plików pochodzących z niepewnych źródeł. Pomocne są również kopie zapasowe, ponieważ umożliwiają odtworzenie danych po uszkodzeniu lub zaszyfrowaniu systemu.

Objawy nie potwierdzają samodzielnie ataku zero-day. Spowolnienie komputera, nieoczekiwane zamknięcia programów, reklamy, nowe rozszerzenia przeglądarki, zmiana ustawień lub nietypowy ruch sieciowy mogą mieć także przyczyny sprzętowe, konfiguracyjne albo wynikać z innego złośliwego oprogramowania. Wiarygodna ocena wymaga zebrania informacji o czasie wystąpienia problemu, ostatnich aktualizacjach, otwieranych plikach i zmianach w systemie. Następnie analizuje się dzienniki zdarzeń, uruchamiane procesy, zadania automatyczne, rozszerzenia przeglądarki i stan narzędzi zabezpieczających. W przypadku podejrzenia aktywnego ataku nie należy usuwać losowych plików ani instalować przypadkowych „czyścicieli”, ponieważ może to zniszczyć ślady potrzebne do ustalenia przyczyny.

Diagnostyka komputera po podejrzeniu ataku

Weryfikacja laptopa lub komputera PC po podejrzeniu wykorzystania luki powinna obejmować zarówno warstwę programową, jak i podstawowy stan urządzenia. Sprawdza się wersję systemu, aktualność przeglądarek i aplikacji, integralność kluczowych plików, konfigurację autostartu oraz obecność nieznanych programów. Jeżeli komputer zachowuje się niestabilnie, trzeba równolegle wykluczyć awarię pamięci operacyjnej, dysku, układu chłodzenia lub zasilania, ponieważ podobne objawy mogą powstać bez związku z bezpieczeństwem. Szczególną ostrożność zachowuje się przy danych użytkownika: przed działaniami naprawczymi należy ustalić, czy są dostępne kopie zapasowe i czy nośnik nie wykazuje oznak uszkodzenia.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego może przeprowadzić diagnostykę urządzenia wykazującego objawy awarii lub nieprawidłowego działania po incydencie programowym. Sama diagnostyka powinna zakończyć się rozdzieleniem ustaleń technicznych: które objawy wynikają z oprogramowania, które wskazują na możliwe naruszenie systemu, a które mogą mieć źródło sprzętowe. Dopiero na tej podstawie dobiera się dalsze działania, takie jak aktualizacja podatnego programu, przywrócenie sprawnej konfiguracji, ponowna instalacja systemu albo wymiana uszkodzonego podzespołu.