Czym są luki typu 0-day? To podatności oprogramowania i sprzętu, do których producent danego rozwiązania nie zdążył wydać jeszcze stosownej łatki, a bardzo często nie wie nawet o ich istnieniu. Są to zagrożenia bardzo powszechne. Można założyć, że dotyczą one większości popularnych programów, szczególnie tych o bardziej złożonej funkcjonalności i rozbudowanym kodzie źródłowym. Czy należy się ich obawiać? Tak – jeśli daną podatność jako pierwsi odkryją cyberprzestępcy, mogą ją bezkarnie wykorzystywać w swoich atakach bez ryzyka, że „furtka” zostanie zamknięta przez producenta danego rozwiązania za pomocą stosownej łatki.

Typowym przykładem zagrożenia 0-day jest podatność w aplikacji WhatsApp, o której media doniosły na początku tego tygodnia. Luka pozwalała zainstalować na smartfonie ofiary złośliwe oprogramowanie poprzez wykonanie odpowiednio spreparowanego połączenia. Do czasu wydania aktualizacji przed atakiem nie można się było w żaden sposób zabezpieczyć. Nawet nieodebranie połączenia nie pozwalało uniknąć infekcji. Producent szybko zareagował na zagrożenie i wydał stosowną łatkę, jednak była to reakcja opóźniona. Jeszcze przed wykryciem luki została ona wykorzystana do instalacji na smartfonach grupy działaczy na rzecz praw człowieka groźnego malware Pegasus.

WhatsApp to nie jedyny przykład podatności 0-day

WhatsApp nie jest jednak jedyną aplikacją, o której w ostatnich latach zrobiło się głośno w związku z atakami 0-day. Raptem przed kilkoma tygodniami pojawiły się doniesienia o groźnej luce w silniku Chromium, wykorzystywanym w szeregu popularnych przeglądarek internetowych, w tym m.in. Google Chrome i Opera. Także w tym przypadku pozwalała ona na zdalną instalację złośliwego oprogramowania na smartfonach ofiar. Podobne możliwości dawała hakerom luka w kojarzonym z uważanym powszechnie za bardzo bezpieczny komunikatorze Telegram. Dzięki wykorzystaniu jednego ze znaków unicode można było przemycić na urządzenie ofiary złośliwy kod zakamuflowany jako pozornie nieszkodliwy plik innego rodzaju (np. zdjęcie).

Sytuacje tego typu dotyczą jednak nie tylko aplikacji firm trzecich, a podatności można znaleźć także w samych systemach operacyjnych. Przykładem może tutaj być luka Stagefright, która pozwalała przejąć kontrolę nad niemal każdym smartfonem z Androidem za pomocą odpowiednio spreparowanej wiadomości MMS. Użytkownicy iPhone’ów również nie mogą czuć się w pełni bezpieczni – tylko na początku tego roku badacze z Google Project Zero odkryli trzy aktywnie wykorzystywane podatności typu 0-day w systemie iOS.

Jak zabezpieczyć firmowe smartfony?

Podatności typu 0-day są wyjątkowo niebezpieczne, ponieważ tego typu pułapki mogą czaić się w każdym programie, narażając firmy oraz zwykłych użytkowników na kradzież prywatnych informacji. Piotr Kudrys z Proget, polskiej firmy zajmującej się bezpieczeństwem urządzeń mobilnych, radzi co zrobić, by zminimalizować zagrożenie. Jego zdaniem przede wszystkim należy pamiętać, że mniejsza liczba aplikacji na smartfonie oznacza mniej potencjalnych luk, z których mogą skorzystać przestępcy. Warto wziąć to pod uwagę i ograniczyć ich listę tylko do tych, które są nam rzeczywiście niezbędne oraz pochodzą od zaufanych dostawców. Co prawda to drugie samo w sobie nie jest jeszcze gwarancją bezpieczeństwa, jednak szanse, że dana podatność zostanie wykryta i załatana zanim wykorzystają ją cyberprzestępcy, są w przypadku popularnych aplikacji znacznie wyższe. Bardzo ważne jest także pilnowanie, by wszystkie zainstalowane na urządzeniu aplikacje były na bieżąco aktualizowane.

Źródło: Proget