Google сообщает о значительном росте уязвимостей нулевого дня в 2023 году
Термин «уязвимости, а также вредоносные программы нулевого дня» означает, что специалисты по информационной безопасности их ещё не выявили. Это позволяет злоумышленникам использовать такие уязвимости без угрозы обнаружения.
В отчете «Мы все вместе: год обзора уязвимостей нулевого дня, выявленных в реальных условиях в 2023 году» подробно описано 97 уязвимостей нулевого дня, обнаруженных компанией Google в 2023 году. Их число выросло по сравнению с 62 эксплойтами в 2022 году, но уменьшилось по сравнению со 106 в 2021 году.
Из 97 уязвимостей нулевого дня, зафиксированных в 2023 году, 36 были нацелены на корпоративные технологии, такие как программное обеспечение и устройства безопасности, а остальные 61 затронули платформы и продукты конечных пользователей, такие как мобильные устройства, операционные системы, браузеры и другие приложения.
Использование злоумышленниками корпоративных технологий подскочило на 64% по сравнению с предыдущим годом, при этом Google также отмечает общее увеличение числа корпоративных поставщиков, подвергшихся атакам начиная с 2019 года. Предполагается, что в 2024 году злоумышленники перейдут на атаку сторонних компонентов и библиотек, так как в них уязвимости нулевого дня стали основным объектом атак.
Поставщики коммерческого наблюдения — компании, которые разрабатывают и продают инструменты и программное обеспечение, предназначенные для мониторинга и сбора информации — оказались стоящими за 75% известных уязвимостей нулевого дня, нацеленных на продукты Google и устройства экосистемы Android. Также было обнаружено, что эти поставщики стоят за 60% из 37 уязвимостей нулевого дня в браузерах и мобильных устройствах, использованных в 2023 году.
В отчете также утверждается, что в 2023 году китайские группы кибершпионажа использовали двенадцать уязвимостей нулевого дня по сравнению с семью в 2022 году.
Еще один вывод в отчете оказался неожиданным: исследователи Google обнаружили, что использование уязвимостей финансово мотивированными участниками в 2023 году сократилось, при этом было обнаружено, что на долю финансово мотивированных участников пришлось только 10 эксплойтов нулевого дня.
«Использование нулевого дня больше не является нишевой возможностью», — отмечается в отчете. «Распространение технологий эксплойтов делает эту тревожную угрозу доступной для большего числа игроков по всему миру».
В отчете содержится несколько рекомендаций по улучшению ситуации с безопасностью, включая необходимость обеспечения прозрачности и раскрытия информации в отрасли, а также необходимость разработки защитных стратегий, определяющих приоритетность угроз. Организациям рекомендуется создать прочную основу безопасности, а поставщикам программного обеспечения и продуктов следует на этапе проектирования подготовиться к тому, как они будут реагировать, когда будет обнаружена угроза нулевого дня, нацеленная на их продукт.
