Zero day exploits : la magie du pentesting

Vous voulez devenir expert dans la détection de failles de sécurité ? Notre formation OSCP de 5 jours vous permettra de passer l’examen avec succès et de prouver votre expertise en cybersécurité.

Les failles zéro day et leur impact

En cybersécurité, le terme Zero Day désigne une faille qui n’est pas (encore) connue du fabricant et donc pour laquelle il n’y a aucun correctif ni mesure de sécurité.

En d’autres termes, ni les éditeurs du logiciel ni les experts en cybersécurité n’ont la connaissance de l’existence de cette faille. C’est donc du pain béni pour les pirates informatiques. Le mot zero est une référence au nombre de jours dont les équipes disposent pour réagir : c’est à dire aucun.

Que ce soit pour voler des données sensibles, saboter des infrastructures ou déployer des maliciels dévastateurs, les failles Zero Day sont le cauchemar des organisations du monde entier. On se souvient de la faille Log4Shell découverte fin 2021. Elle a été qualifiée de « plus grave faille de cybersécurité depuis 20 ans » en raison de son ampleur. Des centaines de millions d’appareils ont été menacés​.

Dans les jours qui ont suivi la divulgation de la faille, des millions d’attaques ont été enregistrées frappant pas moins de 40% des réseaux d’entreprise à travers le monde.

En 2024, sur 768 vulnérabilités exploitées par des pirates, un quart d’entre elles étaient de type Zero Day et chacune de ses failles pouvait potentiellement affecter des milliers d’organisations.

Les entreprises doivent donc impérativement rester proactives face à ces menaces.

Le rôle des pentesters

Les pentesters, souvent appelés ethical hackers sont chargés d’éprouver la sécurité d’un système ou d’une infrastructure en simulant de vraies cyberattaques.

Pour une entreprise, faire appel à un pentester ou en recruter en interne revient un peu comme à faire un crash test et ainsi de prendre une longueur d’avance sur les potentiels attaquants.

Le PTES

Les pentesters s’appuient sur des méthodes précises pour conduire leurs tests. L’une d’entre elles est le standard PTES (Penetration Testing Execution Standard), qui découpe un test d’intrusion en plusieurs phases structurées :

• Reconnaissance et collecte d’informations – le pentester commence par réaliser une collecte d’information sur la cible. Cette phase lui permet d’envisager de premières pistes d’attaques.
• Analyse des vulnérabilités – sur la base des informations collectées, le pentester analyse les points faibles potentiels. Il utilise pour cela des outils de scan, mais aussi des bases de données de vulnérabilités connues et sa propre intuition.
• Exploitation – c’est le gros du pentesting : tenter de compromettre la cible de manière effective. D’abord avec des techniques standardisées et connues, puis, si cela ne donne rien, en cherchant des failles Zero Day spécifiques à l’environnement qu’il cible. Il vérifie aussi jusqu’où la faille va le mener en termes de privilèges et d’accès aux données sensibles dans le système.
• Post-exploitation et rapport – une fois l’intrusion réussie, le travail du pentester est de faire en sorte que les failles détectées ne soient plus exploitables par des intrus malveillants. Il documente l’ensemble de ses découvertes dans un rapport détaillé, priorisant les failles par criticité et proposant des recommandations de correction.

Ce processus méthodique permet d’identifier aussi bien des failles plutôt banales (des mots de passe trop faibles, par exemple) que des vulnérabilités inédites.

Les pentester agissent dont comme des détectives de la cybersécurité : ils traquent l’anomalie ou le détail que les développeurs auraient pu manquer.

Failles Zero Day : étude de cas

Pour mieux saisir la réalité des failles Zero Day quelques exemples supplémentaires

Spyware Pegasus sur iOS

Le logiciel espion Pegasus a été créé par la société israélienne NSO Group.

En 2021, des chercheurs ont découvert que Pegasus exploitait trois vulnérabilités Zero Day sur les iPhone et iPad, lui permettant d’infecter les appareils sans aucune interaction de l’utilisateur​.

Ces failles, complètement inconnues des équipes d’Apple, ont permis aux services israéliens d’espionner des journalistes, activistes et dirigeants à travers le monde.

Ce sont des chercheurs en sécurité externe qui ont identifié ces failles, jouant en quelque sorte le rôle de pentesters pour Apple en révélant ces menaces cachées.

Ransomware WannaCry

Surement l’attaque de ransomware la plus célèbre. Peu de gens en revanche savent qu’elle exploite une faille Zero Day dans le protocole Windows SMB.

En quelques jours, on parle de 200.000 ordinateurs infectés dans 150 pays. Paralysant des infrastructures clés comme des hôpitaux et des services gouvernementaux.

Microsoft à même du publier un patch d’urgence pour d’anciennes versions de Windows qui n’était techniquement plus supporté tant le problème était grave.

Le plus ironique dans cette histoire c’est que cette faille avait été détectée en premier par des agences de renseignement avant d’être volée et exploitée par des cybercriminels. Les organisations qui avaient appliqué les derniers correctifs Windows s’en étaient sorties indemnes.

Cela illustre bien que la réactivité et la communication sont essentielles en matière de cybersécurité.

Vulnérabilité Zoom

Ce ne sont pas toujours des pirates malveillants ou des espions de pays qui exploitent les failles Zero Day en premiers. Quand ce sont des chercheurs ou des hackers éthiques qui les détectent, elles peuvent être corrigées sans dégâts pour les organisations concernées.

Lors du Pwn2Own de 2021, deux experts néerlandais ont réussi à prendre le contrôle de Zoom en découvrant une faille Zero Day dans le client Windows. Dans un monde qui connaissait à l’époque une véritable explosion du télétravail, cette faille exploitée par les mauvaises personnes aurait pu causer de gros dégâts.