Ce que la recherche menée par Proofpoint a révélé

Une enquête conjointe de Proofpoint, du Google Threat Intelligence Group, du Microsoft Threat Intelligence Center et de Volexity a mis au jour quelque chose que les chercheurs voient rarement documenté aussi clairement : plusieurs groupes de pirates alignés sur des États ont commencé à utiliser le même exploit zero-day jusque-là inconnu à quelques jours d'intervalle. Les quatre organisations, qui couvrent ensemble une part énorme de la visibilité mondiale en matière de renseignement sur les menaces, ont mis en commun leurs conclusions pour confirmer qu'il ne s'agissait ni d'une coïncidence ni d'un lent ruissellement d'activité de copie. Il s'agissait d'une adoption quasi simultanée par des groupes distincts et sans lien entre eux, liés à des États-nations.

Ce type de recherche croisée compte parce que chacune de ces entreprises suit généralement des tranches différentes du paysage des menaces : Proofpoint se concentre fortement sur l'intrusion par courriel et les infrastructures d'hameçonnage, Google et Microsoft surveillent des milliards de terminaux et de signaux cloud, et Volexity est spécialisée dans la réponse aux incidents pour des cibles de grande valeur. Lorsque les quatre repèrent indépendamment le même exploit surgissant dans des campagnes sans lien à peu près au même moment, c'est un signal fort que quelque chose a changé dans la manière dont l'exploit est devenu disponible pour plusieurs acteurs à la fois, plutôt que chaque groupe l'ait découvert de son côté.

Pourquoi plusieurs acteurs étatiques ont adopté l'exploit si rapidement

Historiquement, un zero-day fraîchement découvert tend à rester entre les mains d'un seul groupe, ou d'un petit cercle étroitement contrôlé, pendant des semaines ou des mois avant une adoption plus large. Ce délai s'explique généralement par le fait que les zero-days sont coûteux à développer, dangereux à exposer par un usage excessif, et précieux précisément parce qu'ils sont rares. Voir plusieurs groupes soutenus par des États s'emparer du même exploit en quelques jours brise ce schéma et renvoie à quelques explications probables : l'exploit a peut-être été vendu ou partagé via un réseau de courtiers servant plusieurs clients alignés sur des gouvernements, il a peut-être fuité d'un pipeline de développement partagé, ou il a été redécouvert indépendamment une fois que les premières attaques sont devenues suffisamment bruyantes pour que d'autres acteurs sophistiqués le remarquent et le rétro-ingénierisent.

Chacun de ces scénarios est notable en soi, mais ensemble ils décrivent un environnement de menace où la fenêtre entre « une faille existe » et « plusieurs gouvernements l'exploitent » se réduit. Cette compression est le vrai titre de l'affaire, pas seulement l'existence d'un nouveau zero-day. Cela fait écho à une tendance plus large que la communauté de la sécurité documente, y compris dans la couverture des failles Siemens ROX II et d'une vague de CVE Linux qui ont toutes nécessité une évaluation rapide à travers des types d'infrastructures très différents.

Qui est à risque et quels systèmes sont ciblés

Les chercheurs impliqués n'ont pas détaillé publiquement toutes les organisations touchées, mais l'implication de Volexity et la visibilité à l'échelle de l'entreprise de Google et Microsoft suggèrent que l'exploit est capable d'atteindre des cibles de grande valeur : réseaux gouvernementaux, grandes entreprises et organisations qui dépendent de piles logicielles largement déployées. Les groupes alignés sur des États ne gaspillent généralement pas un zero-day précieux sur des cibles de faible valeur, donc son utilisation par plusieurs acteurs implique que la vulnérabilité sous-jacente se trouve dans quelque chose de largement déployé et qui vaut le risque d'exposition.

Pour les utilisateurs ordinaires, le risque direct est généralement indirect. La plupart des gens ne sont pas la cible principale de l'espionnage d'État-nation, mais les logiciels et services qu'ils utilisent, fournisseurs de courriel, plateformes cloud et outils d'entreprise, le sont souvent. Quand un zero-day comme celui-ci circule, les retombées peuvent finir par toucher les chaînes d'approvisionnement, les fournisseurs de services, ou quiconque dont les données transitent par un système affecté.

Mesures pratiques pour réduire l'exposition dès maintenant

Attendre une information parfaite sur un zero-day avant d'agir est une stratégie perdante. La réponse pratique est la même que celle que les équipes de sécurité répètent depuis des années, et elle reste efficace précisément parce qu'elle ne dépend pas de la connaissance de chaque détail d'un exploit spécifique :

  • Appliquez les correctifs de sécurité dès que les éditeurs les publient, et donnez la priorité aux systèmes exposés à Internet ou traitant des données sensibles.
  • Surveillez de près les avis des éditeurs et les synthèses de renseignement sur les menaces pendant les périodes où l'exploitation active d'un zero-day est confirmée, comme le retournement rapide exigé pour le récent correctif du zero-day Chrome V8.
  • Superposez les défenses plutôt que de vous fier à un seul contrôle. Un VPN peut aider à protéger les données en transit et réduire l'exposition sur des réseaux non fiables, mais il n'arrêtera pas un exploit ciblant directement une application vulnérable ; il doit donc être associé à une protection des terminaux, à une segmentation du réseau et à des contrôles d'accès solides.
  • Restez informé grâce à des synthèses de sécurité régulières, car les divulgations d'exploits et les calendriers de correctifs évoluent vite et sont souvent enterrés dans le cycle d'actualité, comme le montre une couverture continue telle que la synthèse hebdomadaire sur Certighost et d'autres divulgations de zero-day.

Ce que cela signifie pour vous

La plupart des lecteurs ne seront pas directement ciblés par un groupe de pirates soutenu par un État, mais les logiciels et services dont tout le monde dépend peuvent tout de même être pris dans la fusillade. La vraie leçon de cette recherche n'est pas l'existence d'une nouvelle histoire de zero-day exploitée par des pirates soutenus par un État ; c'est la rapidité avec laquelle cet exploit s'est propagé à travers plusieurs acteurs étatiques indépendants. Cette vitesse signifie que les organisations, et par extension leurs utilisateurs, ont moins de temps que jamais pour corriger avant qu'une faille ne soit largement weaponisée. Prenez chaque notification de correctif critique au sérieux et ne présumez pas qu'un retard de quelques jours est sans danger.

Points clés à retenir

La recherche menée par Proofpoint rappelle que les exploits zero-day ne restent plus longtemps exclusifs une fois qu'ils refont surface. Pour les individus, cela signifie maintenir les logiciels à jour sans délai, prêter attention aux avis de sécurité et utiliser des protections superposées comme un VPN en complément, et non à la place, de bonnes habitudes de correctifs. Pour les organisations, cela renforce la valeur du partage de renseignements sur les menaces entre éditeurs, puisque c'est exactement ce type de collaboration entre Proofpoint, Google, Microsoft et Volexity qui a exposé ce schéma avant qu'il ne passe inaperçu plus longtemps. Se tenir à jour avec les synthèses de sécurité et les publications de correctifs reste le moyen le plus simple et le plus efficace d'éviter de devenir un dommage collatéral dans une opération cyber d'État-nation.