Nova pesquisa revela aumento nas explorações de dia zero

“Essas não são as ameaças cibernéticas dos nossos avós – trata-se de um ecossistema de crime cibernético maduro e bem organizado em ação, com mecanismos cada vez mais sofisticados para obter acesso, estabelecer persistência e evitar a detecção”, escreveram os pesquisadores em seu relatório.

Markswell Coelho, coordenador da IBSEC - Instituto Brasileiro de Cibersegurança, acredita que “em resposta, seria sensato que os CISOs reavaliassem suas estratégias de segurança de TI com ciclos de exploração mais curtos e resposta pós-incidente como prioridade”.

A mudança para resposta a incidentes

Os pesquisadores do Rapid7 rastrearam mais de 60 vulnerabilidades que foram amplamente exploradas em 2023 e no início deste ano. Dessas, mais da metade foram novas falhas descobertas nesse período; dessas novas falhas, 53% eram de dia zero quando inicialmente encontradas.

É importante notar que os pesquisadores do Rapid7 consideram uma vulnerabilidade a exploração em massa ou generalizada quando é usada em ataques do mundo real para atingir muitas organizações em diferentes setores verticais e geolocalizações da indústria. Os pesquisadores observam que não incluíram em seu rastreamento falhas de dia zero para as quais apenas uma exploração de prova de conceito foi publicada na Internet.

Eles também não consideraram as tentativas de exploração contra os milhares de honeypots criados por empresas de segurança em todo o mundo como ataques reais, porque isso distorceria a percepção de quão difundida é uma ameaça, potencialmente distraindo as organizações de priorizar para onde direcionar os seus recursos limitados.

“As organizações devem conduzir investigações de resposta a incidentes que procurem indicadores de comprometimento (IOCs) e atividades pós-exploração durante eventos de ameaças generalizadas, além de ativar protocolos de correção de emergência”, aconselha Markswell Coelho.

Ciclos de exploração mais curtos, mais pressão sobre a segurança

Segundo a pesquisa, o número de explorações de dia zero explodiu desde 2021 e o tipo de agentes de ameaças que as utilizam não se limita a grupos de ciberespionagem patrocinados pelo Estado, mas também a gangues de crimes cibernéticos que promovem ransomware e malware de mineração de criptografia. Em 2020, as explorações de dias um superaram as de dias zero, 3 para 1; em 2021, as de dias zero representaram mais de metade dos ataques generalizados, nunca mais regressando aos níveis anteriores.

“Desde 2021, os pesquisadores do Rapid7 monitoram o tempo entre o momento em que as vulnerabilidades se tornam conhecidas do público e o momento em que são relatadas (de forma confiável) como exploradas na natureza”, disseram os pesquisadores. “Essa janela, que chamamos de ‘Tempo para Exploração Conhecida’, ou TTKE, diminuiu consideravelmente nos últimos três anos, em grande parte como resultado dos ataques predominantes de dia zero”.

Os ataques de dia zero têm um TTKE de 0, porque as falhas são exploradas antes de serem conhecidas publicamente. Como tal, é difícil tirar uma conclusão relevante calculando os TTKEs médios, mas os investigadores apontam que de todas as falhas (de dia zero e de dia um) rastreadas desde 2021, 55% foram exploradas na primeira semana após a divulgação pública e 60% nas primeiras duas semanas. Esta é uma grande diferença em relação a 2020, quando 30% foram explorados durante a primeira semana e 32% nas primeiras duas semanas.

Markswell afirma: “a conclusão é clara: com a redução dos ciclos de ataque, os profissionais de segurança de TI têm menos tempo para confiar em patches e mitigações e agora devem gastar mais tempo tentando limitar os danos que os invasores podem causar, concentrando-se em controles e detecções pós-exploração”.

Mais informações: IBSEC