Víte, co je Zero day útok?

Určitě jste někde zachytili pojem „Zero day“. Spojuje se nejčastěji s kybernetickými útoky a hrozbami, které zasáhnou zranitelnost, na kterou ještě neexistuje, není vyvinuta ochrana. V podstatě, dokud na tuto zranitelnost někdo útokem nepoukáže, tak ve většině případů se o ní ani neví.

Tento druh zranitelnosti může být zneužit pomocí „Zero day exploitu“. Co se za tím skrývá? Například software, aplikace nebo část, sekvence příkazu. A právě to vše může využít programátorské chyby, která zranitelnost způsobuje. Útočník umí využít neobjevenou chybu k infikovanou systému. Může to udělat za pomoci spyware, ransomware, malware, keylogger nebo trójským koněm. To vše může v konečném důsledku způsobit únik dat, poškození nebo úplné převzetí, kontrolu nad cílovým zařízením, systémem.

V poslední době se o kyberbezpečnosti mluví hodně a všude, ale i tak jsou firmy a jednotlivci, kteří bezpečnost podceňují nebo ji zcela ignorují. Pokud si uživatel může vybrat mezi předplatným na hudební nebo filmovou službu a firma mezi velikostí cloudového úložiště a bezpečnostním řešením, co myslíte, co vyhrává?

Vraťme se však k našemu termínu „Zero day útok“. Jak to funguje, kdo je nejčastěji cílovou skupinou takového útoku a jak se bránit vůči „Zero day útokům“? 

Jakým způsobem Zero day útok funguje?

Většinou softwarových chyb vývojáři v podstatě odhalí a opraví pomocí aktualizací. Ale do této chvíle, než vývojář přijde na to, v čem je problém nebo kde je v bezpečnostní díra, tak toto období se vlastně bere, jak Zero day zranitelnost.

Útočníci využijí tuto chybu předtím, než se vývojář dostane k tomu, že tuto chybu objeví a opraví. Útočník vytvoří škodlivý kód, který je schopen proniknout do systému rychle přes tuto chybu a škodit. Takže tohle je základní fakt, že Zero day útok je vlastně něco, co hledá ten časový prostor mezi tím, než se na tuto chybu oficiálně přijde.

Zero day útoky jsou mířeny na různé cílové skupiny

Mohou to být jednotlivci, mohou to být korporace, různé firmy, vládní organizace. Můžeme říci, že v podstatě nehledá se cíl, ale hledá se chyba, trhlina. Když si vezmeme jednotlivce, klasického uživatele, tak útočníci mohou cílit buď z osobních důvodů, že chtějí odcizit jejich data k finančním účtům. Mohou tak ukrást nejen osobní údaje, ale hlavně údaje k těm platebním účtům.

Firmy a korporace jsou další cílová skupina a toto je vlastně dost riskantní věc a citlivé téma. Firmy a korporace zastřešují různá osobní data, obchodní tajemství a takový útok dokáže způsobit finanční škody. Útočníci se právě díky útoku Zero day zranitelnosti dokáží dostat k informacím, které mohou prodat, zneužít a napadenou firmu zcela zdiskreditovat.

Vládní organizace, tak toto je už opravdu silnější. Zero day útoky mohou být použity k průniku do vládních systémů k získání obzvláště citlivých informací a vojenských strategií. Potom je to ohrožení kybernetické bezpečnosti státu, vládních organizací a toto už je opravdu velmi citlivé téma. Někdy zranitelnost, útok, Zero day používají také aktivisté (hacktivisti), kteří chtějí poukázat na něco, co se jim v té vládní organizaci nelíbí.

I samotní aktivisté a novináři je skupina, na kterou se ti útočníci mohou zaměřit. Chtějí odhalit nějaké získané. odhalené informace, které více méně prodají dál.

Největší dopad má Zero day útok na kritickou infrastrukturu, jako jsou vodní zdroje, energetické systémy, dopravní síť. Tam už jde o škody způsobené nejen organizaci, ale i celé společnosti. Už jen samotný výpadek internetu způsobený útokem má dopad na enormní množství organizací a jednotlivců.

Dá se zabránit útokům Zero day?

Zabránit něčemu o čem nevíte, že existuje je obtížné. Jediná možnost jsou preventivní opatření, která mohou minimalizovat rizika. Ty jsou v podstatě stejné, ať už pro jednotlivce nebo organizaci.

Nejzákladnějším je aktualizace softwaru v každém zařízení, ať už se jedná o PC nebo mobilní zařízení. Vývojáři na základě uživatelské odezvy opravují řadu problémů a často objevují za běhu chyby ve svých produktech, které jsou již v oficiální verzi.

Investice do bezpečnostního softwaru je základ. Kromě antivirového a antimalwarového softwaru je důležitým ochranným prvkem Firewall.

V neposlední řadě je to monitorování aktivity v systémech a zálohování dat.

Dalším krokem je bezpečné chování na internetu (neklikat na všechno, co se objeví) a samozřejmě školení zaměstnanců v rámci hrozeb a zranitelností Zero day.

Firmy mohou spolupracovat s bezpečnostními odborníky, kteří se postarají o správu záplat, pravidelné penetrační testy.

Řešením je také implantace Zero Trust modelu. Nastavení spočívá v předpokladu, že žádné zařízení a uživatel v síti není důvěryhodný a musí se identifikovat a prokázat opravením při každém přístupu.

PrintNightmare

Podívejme se však bezpečnostní opatření při tisku, jak to tam vypadá. V roce 2021 odhalili bezpečnostní vývojáři závažnou zranitelnost. Šlo o zranitelnost ve službě Print Spooler servise, která je součástí všech verzí Windows. Byla to neopravená Zero day zranitelnost ve všech podporovaných verzích a verzích rozšířené aktualizace zabezpečení OS Windows. Exploit se velmi rychle šířil a chyba spočívala v tom, že útočník dokázal vzdáleně spouštět kód se systémovými oprávněními. Tato zranitelnost tiskových služeb MS Windows dostala jméno PrintNightmare.

Exploit je typ škodlivého kódu, který využívá chyby nebo zranitelnosti v systému k tomu, aby způsobil neočekávané nebo nechtěné chování počítače. Může získat kontrolu nad celým počítačovým systémem, eskalaci oprávnění nebo odepření služby (útoky typu DDoS).

Proč se stala tato zranitelnost pro firmy noční můrou?

Využití existuje v rámci ovladače RpcAddPrinterdriver. Slouží k podpoře vzdáleného tisku a instalace ovladače. Jedná se o nezbytnou funkci, která umožňuje IT administrátorům SeLoadDriverPrivilege. Poskytuje jim to možnost instalovat nové ovladače tiskárny do vzdáleného zasazovače tisku.

V podstatě se to stává zneužitím, protože to znamená, že každý „autentizovaný“ uživatel, nejen důvěryhodní, povolení správci systému, může do systému Windows přidat libovolný „ovladač tisku“. Každý náhodný uživatel může toto privilegium povýšit a stát se správcem domény. Takto dokáže útočník způsobovat chaos škodlivým kódem.

Microsoft opravil exploit, v důsledku čehož neustále měnily výchozí hodnoty pro Windows Point and Print. Komplikací u Point and Print bylo, že při připojení k tiskárně sdílené ze serveru s ovladači typu 3 se ovladač tisku (software) stáhne ze serveru na klientský počítač.

Oprava exploitu představovala změnu pravidel pro Point and Print. To mělo však nepříjemné vedlejší účinky pro mnohá tisková prostředí Windows. Nové pravidlo, které společnost Microsoft vytvořila pro funkci Point and Print, je, že nyní musíte být správcem/mít správcovský přístup na klientském zařízení, abyste mohli nainstalovat ovladač tisku z tiskového serveru. Další novou výchozí hodnotou, kterou zavedli, bylo, že pokud nejste v systému Windows, nemůžete se připojit ke sdílené tiskárně Windows.

Proto se stala zranitelnost PrintNightmare známým příběhem. Microsoft řešil tento exploit poměrně rychle svými záplatami. Přestože zastavení tiskové služby bylo rychlým řešením, zastavil se já tisk, což nebylo dobré. Aktualizací po vydání záplat Windowsu se tento problém opravil. Vidíme také na tomto případě, že i tiskárny a vzdálený tisk je možným terčem pro zranitelnosti Zero day.

Přestože se PrintNightmare a jeho varianty teoreticky zabývaly Microsoftem, do dnešního dne to stále ovlivňuje některé organizace. Hlavním důvodem jsou dost matoucí skupinové politiky a nastavení firemního tisku.