Vulnerabilidad de día cero

Una vulnerabilidad de día cero (también conocida como 0-day ) es una vulnerabilidad o fallo de seguridad en un sistema informático desconocido para sus desarrolladores o para cualquier persona capaz de mitigarla . ^{[ 1 ]} Hasta que se corrija la vulnerabilidad, los ciberdelincuentes pueden explotarla mediante un ataque de día cero . ^{[ 2 ] [ 3 ]}

El término "zero-day" se refería originalmente al número de días transcurridos desde el lanzamiento de un nuevo software al público, por lo que el "software zero-day" se obtenía pirateando el ordenador de un desarrollador antes de su lanzamiento. Con el tiempo, el término se aplicó a las vulnerabilidades que permitían este pirateo y al número de días que el proveedor tenía para corregirlas. ^{[ 4 ] [ 5 ] [ 6 ]} Los proveedores que descubren la vulnerabilidad pueden crear parches o recomendar soluciones alternativas para mitigarla, aunque los usuarios deben implementar dicha mitigación para eliminar la vulnerabilidad en sus sistemas. Las vulnerabilidades zero-day son increíblemente peligrosas en teoría porque son desconocidas para los desarrolladores y no tienen parches disponibles. Sin embargo, en la práctica no siempre son catastróficas. Su impacto en el mundo real depende en gran medida de muchos factores.

A pesar del objetivo de los desarrolladores de entregar un producto que funcione completamente según lo previsto, prácticamente todos los productos contienen errores de software y hardware . ^{[ 7 ]} Si un error crea un riesgo de seguridad, se denomina vulnerabilidad . Las vulnerabilidades varían en su capacidad de ser explotadas por actores maliciosos. Algunas no son utilizables en absoluto, mientras que otras pueden usarse para interrumpir el dispositivo con un ataque de denegación de servicio . Las más peligrosas permiten al atacante inyectar y ejecutar su propio código, sin que el usuario lo sepa. ^{[ 8 ]} Aunque el término "día cero" se refería inicialmente al tiempo transcurrido desde que el proveedor tuvo conocimiento de la vulnerabilidad, las vulnerabilidades de día cero también pueden definirse como el subconjunto de vulnerabilidades para las que no hay parche u otra solución disponible. ^{[ 9 ] [ 10 ] [ 11 ]} Un exploit de día cero es cualquier exploit que aprovecha dicha vulnerabilidad. ^{[ 8 ]}

Un exploit es el mecanismo de entrega que aprovecha la vulnerabilidad para penetrar en los sistemas del objetivo, con fines tales como interrumpir operaciones, instalar malware o exfiltrar datos . ^{[ 12 ]} Los investigadores Lillian Ablon y Andy Bogart escriben que "se sabe poco sobre el verdadero alcance, uso, beneficio y daño de los exploits de día cero". ^{[ 13 ]} Los exploits basados ​​en vulnerabilidades de día cero se consideran más peligrosos que aquellos que aprovechan una vulnerabilidad conocida. ^{[ 14 ] [ 15 ]} Sin embargo, es probable que la mayoría de los ciberataques utilicen vulnerabilidades conocidas, no de día cero. ^{[ 13 ]}

Los gobiernos estatales son los principales usuarios de exploits de día cero, no solo por el alto costo de encontrar o comprar vulnerabilidades, sino también por el costo significativo de escribir el software de ataque. Sin embargo, cualquiera puede usar una vulnerabilidad, ^{[ 10 ]} y según una investigación de la Corporación RAND , "cualquier atacante serio siempre puede obtener un día cero asequible para casi cualquier objetivo". ^{[ 16 ]} Muchos ataques dirigidos ^{[ 17 ]} y la mayoría de las amenazas persistentes avanzadas se basan en vulnerabilidades de día cero. ^{[ 18 ]}

En 2017, el tiempo promedio para desarrollar un exploit a partir de una vulnerabilidad de día cero se estimó en 22 días. ^{[ 19 ]} La dificultad para desarrollar exploits ha ido en aumento con el tiempo debido al incremento de las funciones anti-explotación en el software popular. ^{[ 20 ]}

Ventana de vulnerabilidad

Las vulnerabilidades de día cero suelen clasificarse como activas (lo que significa que no se tiene conocimiento público de la vulnerabilidad) o inactivas (la vulnerabilidad se ha divulgado, pero no se ha corregido). Si los responsables del mantenimiento del software buscan activamente vulnerabilidades, se trata de una vulnerabilidad activa; estas vulnerabilidades en software sin mantenimiento se denominan inmortales. Las vulnerabilidades zombi pueden explotarse en versiones antiguas del software, pero se han corregido en versiones más recientes. ^{[ 21 ]}

Incluso las vulnerabilidades conocidas públicamente y las vulnerabilidades zombi suelen ser explotables durante un período prolongado. ^{[ 22 ] [ 23 ]} El desarrollo de parches de seguridad puede llevar meses, ^{[ 24 ]} o puede que nunca se desarrolle. ^{[ 23 ]} Un parche puede tener efectos negativos en la funcionalidad del software ^{[ 23 ]} y los usuarios pueden necesitar probar el parche para confirmar la funcionalidad y la compatibilidad. ^{[ 25 ]} Las organizaciones más grandes pueden no identificar y parchear todas las dependencias, mientras que las empresas más pequeñas y los usuarios personales pueden no instalar parches. ^{[ 23 ]}

Las investigaciones sugieren que el riesgo de ciberataque aumenta si la vulnerabilidad se hace pública o se publica un parche. ^{[ 26 ]} Los ciberdelincuentes pueden aplicar ingeniería inversa al parche para encontrar la vulnerabilidad subyacente y desarrollar exploits, ^{[ 27 ]} a menudo más rápido de lo que los usuarios instalan el parche. ^{[ 26 ]}

Según una investigación de RAND Corporation publicada en 2017, las vulnerabilidades de día cero permanecen utilizables durante 6,9 ​​años en promedio, ^{[ 28 ]} aunque las adquiridas a terceros solo permanecen utilizables durante 1,4 años en promedio. ^{[ 19 ]} Los investigadores no pudieron determinar si alguna plataforma o software en particular (como el software de código abierto ) tenía alguna relación con la esperanza de vida de una vulnerabilidad de día cero. ^{[ 29 ]} Si bien los investigadores de RAND encontraron que el 5,7 por ciento de un conjunto de vulnerabilidades secretas de día cero habrá sido descubierto por alguien más en un año, ^{[ 30 ]} otro estudio encontró una tasa de superposición más alta, de hasta el 10,8 por ciento al 21,9 por ciento por año. ^{[ 31 ]}

Dado que, por definición, no existe ningún parche que pueda bloquear una vulnerabilidad de día cero, todos los sistemas que emplean el software o hardware con dicha vulnerabilidad están en riesgo. Esto incluye sistemas seguros como los de bancos y gobiernos que tienen todos los parches actualizados. ^{[ 32 ]} Los sistemas de seguridad se diseñan en torno a vulnerabilidades conocidas, y la explotación repetida de una vulnerabilidad de día cero podría continuar sin ser detectada durante un período prolongado. ^{[ 23 ]} Si bien se han propuesto numerosos sistemas eficaces para detectar vulnerabilidades de día cero, esta sigue siendo un área activa de investigación en 2023. ^{[ 33 ]}

Muchas organizaciones han adoptado tácticas de defensa en profundidad, de modo que es probable que los ataques requieran la vulneración de múltiples niveles de seguridad, lo que dificulta su consecución. ^{[ 34 ]} Las medidas de ciberseguridad convencionales, como la capacitación y el control de acceso (incluida la autenticación multifactor, el acceso con privilegios mínimos y el aislamiento de la red) , dificultan la vulneración de sistemas mediante una vulnerabilidad de día cero. ^{[ 35 ]} Dado que escribir software perfectamente seguro es imposible, algunos investigadores argumentan que aumentar el coste de las vulnerabilidades se considera una buena estrategia para reducir la carga de los ciberataques. ^{[ 36 ]}

Las vulnerabilidades de día cero pueden alcanzar millones de dólares. ^{[ 10 ]} Hay tres tipos principales de compradores: ^{[ 37 ]}

• Blanco: el proveedor, o a terceros como la Zero Day Initiative que divulgan al proveedor. A menudo, dicha divulgación se realiza a cambio de una recompensa por encontrar errores . ^{[ 38 ] [ 39 ] [ 40 ]} No todas las empresas responden positivamente a las divulgaciones, ya que pueden generar responsabilidad legal y gastos operativos. No es raro recibir cartas de cese y desistimiento de proveedores de software después de divulgar una vulnerabilidad de forma gratuita. ^{[ 41 ]}
• Gris: el más grande ^{[ 10 ]} y el más lucrativo. Los gobiernos o las agencias de inteligencia compran vulnerabilidades de día cero y pueden usarlas en un ataque, almacenar la vulnerabilidad o notificar al proveedor. ^{[ 37 ]} El gobierno federal de los Estados Unidos es uno de los mayores compradores. ^{[ 10 ]} A partir de 2013, los Cinco Ojos (Estados Unidos, Reino Unido, Canadá, Australia y Nueva Zelanda) capturaron la mayor parte del mercado y otros compradores importantes incluyeron a Rusia, India, Brasil, Malasia, Singapur, Corea del Norte e Irán. Los países de Oriente Medio estaban preparados para convertirse en los mayores compradores. ^{[ 42 ]}
• Negro: crimen organizado, que generalmente prefiere el software de explotación en lugar del simple conocimiento de una vulnerabilidad. ^{[ 43 ]} Es más probable que estos usuarios empleen "medios días" cuando ya hay un parche disponible. ^{[ 44 ]}

En 2015, se estimó que los mercados para el gobierno y el crimen eran al menos diez veces más grandes que el mercado blanco. ^{[ 37 ]} Los vendedores suelen ser grupos de hackers que buscan vulnerabilidades en software ampliamente utilizado para obtener una recompensa financiera. ^{[ 45 ]} Algunos solo venden a ciertos compradores, mientras que otros venden a cualquiera. ^{[ 44 ]} Es más probable que los vendedores del mercado blanco estén motivados por recompensas no pecuniarias como el reconocimiento y el desafío intelectual. ^{[ 46 ]} Vender exploits de día cero es legal. ^{[ 40 ] [ 47 ]} A pesar de los llamados a una mayor regulación, la profesora de derecho Mailyn Fidler dice que hay pocas posibilidades de un acuerdo internacional porque actores clave como Rusia e Israel no están interesados. ^{[ 47 ]}

Los vendedores y compradores que comercian con vulnerabilidades de día cero tienden a ser reservados, basándose en acuerdos de confidencialidad y leyes de información clasificada para mantener en secreto los exploits. Si la vulnerabilidad se conoce, se puede parchear y su valor, en consecuencia, se desploma. ^{[ 48 ]} Debido a la falta de transparencia del mercado, puede ser difícil para las partes encontrar un precio justo. Los vendedores podrían no recibir el pago si la vulnerabilidad se divulgó antes de ser verificada, o si el comprador se negó a comprarla pero la usó de todos modos. Con la proliferación de intermediarios, los vendedores nunca podrían saber para qué uso se podrían dar los exploits. ^{[ 49 ]} Los compradores no podrían garantizar que el exploit no se vendiera a otra parte. ^{[ 50 ]} Tanto compradores como vendedores se anuncian en la dark web . ^{[ 51 ]}

Una investigación publicada en 2022, basada en los precios máximos pagados según las cotizaciones de un único intermediario de exploits, encontró una tasa de inflación anualizada del 44 por ciento en los precios de los exploits. Los exploits remotos de cero clics podían alcanzar el precio más alto, mientras que aquellos que requieren acceso local al dispositivo son mucho más baratos. ^{[ 52 ]} Las vulnerabilidades en software ampliamente utilizado también son más caras. ^{[ 53 ]} Estimaron que entre 400 y 1500 personas vendieron exploits a ese intermediario y ganaron entre 5500 y 20 800 dólares anuales. ^{[ 54 ]}

A partir de 2017Existe un debate en curso sobre si Estados Unidos debería revelar las vulnerabilidades de las que tiene conocimiento para que puedan ser parcheadas, o mantenerlas en secreto para su propio uso. ^{[ 55 ]} Entre las razones por las que los estados mantienen una vulnerabilidad en secreto se incluye el deseo de usarla de forma ofensiva o defensiva en pruebas de penetración . ^{[ 16 ]} Revelar la vulnerabilidad reduce el riesgo de que los consumidores y todos los usuarios del software sean víctimas de malware o filtraciones de datos . ^{[ 7 ]}

Las fases de divulgación de vulnerabilidades de día cero, junto con un cronograma típico, son las siguientes:

1. Descubrimiento : Un investigador identifica la vulnerabilidad, marcando el "Día 0".
2. Informe : El investigador notifica al proveedor o a un tercero, dando inicio a las labores de remediación.
3. Desarrollo de parches : El proveedor desarrolla una solución, lo que puede tardar de semanas a meses dependiendo de la complejidad.
4. Divulgación pública : Una vez que se publica un parche, los detalles se comparten públicamente. Si no se publica ningún parche dentro del plazo acordado (generalmente 90 días), algunos investigadores lo divulgan para presionar a que se tomen medidas.

Las vulnerabilidades de día cero cobraron mayor importancia después de que servicios como Apple, Google, Facebook y Microsoft cifraran servidores y mensajes, lo que significaba que la forma más factible de acceder a los datos de un usuario era interceptarlos en la fuente antes de que fueran cifrados. ^{[ 32 ]} Uno de los usos más conocidos de las vulnerabilidades de día cero fue el gusano Stuxnet , que utilizó cuatro vulnerabilidades de día cero para dañar el programa nuclear de Irán en 2010. ^{[ 13 ]} El gusano demostró lo que se podía lograr con las vulnerabilidades de día cero, lo que desencadenó una expansión en el mercado. ^{[ 42 ]}

La Agencia de Seguridad Nacional de Estados Unidos (NSA) intensificó su búsqueda de vulnerabilidades de día cero después de que grandes empresas tecnológicas se negaran a instalar puertas traseras en su software, encargando a la Operación de Acceso Personalizado (TAO) el descubrimiento y la compra de exploits de día cero. ^{[ 56 ]} En 2007, el ex empleado de la NSA, Charlie Miller, reveló públicamente por primera vez que el gobierno de Estados Unidos estaba comprando exploits de día cero. ^{[ 57 ]} Parte de la información sobre la participación de la NSA con los días cero se reveló en los documentos filtrados por el contratista de la NSA, Edward Snowden , en 2013, pero faltaban detalles. ^{[ 56 ]} La reportera Nicole Perlroth concluyó que "o bien el acceso de Snowden como contratista no le permitió acceder lo suficiente a los sistemas del gobierno para obtener la inteligencia necesaria, o bien algunas de las fuentes y métodos del gobierno para adquirir días cero eran tan confidenciales o controvertidos que la agencia nunca se atrevió a ponerlos por escrito". ^{[ 58 ]}

Una de las vulnerabilidades más infames descubiertas después de 2013, Heartbleed (CVE-2014-0160), no era una vulnerabilidad de día cero cuando se hizo pública, pero puso de manifiesto el impacto crítico que los errores de software pueden tener en la ciberseguridad global. Este fallo en la biblioteca criptográfica OpenSSL podría haber sido explotado como una vulnerabilidad de día cero antes de su descubrimiento, permitiendo a los atacantes robar información confidencial como claves privadas y contraseñas. ^{[ 59 ]}

En 2016, el grupo de hackers conocido como The Shadow Brokers publicó una gran cantidad de exploits sofisticados de día cero, supuestamente robados de la NSA. Estos incluían herramientas como EternalBlue , que aprovechaba una vulnerabilidad en el protocolo Server Message Block (SMB) de Microsoft Windows . EternalBlue se utilizó posteriormente en ataques de gran repercusión como WannaCry y NotPetya , causando daños globales generalizados y poniendo de manifiesto los riesgos de acumular vulnerabilidades. ^{[ 60 ]}

En 2020 se produjo una de las campañas de ciberespionaje más sofisticadas hasta la fecha, en la que los atacantes explotaron múltiples vulnerabilidades, incluidas vulnerabilidades de día cero, para comprometer el software Orion de SolarWinds . Esto permitió el acceso a numerosas redes gubernamentales y corporativas. ^{[ 61 ]}

En 2021, el grupo patrocinado por el Estado chino, Hafnium , explotó vulnerabilidades de día cero en Microsoft Exchange Server para llevar a cabo ciberespionaje. Conocidas como ProxyLogon , estas fallas permitieron a los atacantes eludir la autenticación y ejecutar código arbitrario, comprometiendo miles de sistemas en todo el mundo. ^{[ 62 ]}

En 2022, se descubrió que el software espía Pegasus , desarrollado por el grupo israelí NSO , explotaba vulnerabilidades de acceso sin clics en servicios de mensajería como iMessage y WhatsApp . Estas vulnerabilidades permitían a los atacantes acceder a los dispositivos de las víctimas sin necesidad de interacción del usuario, lo que aumentó la preocupación por la vigilancia y la privacidad. ^{[ 63 ]}

• Lista de abreviaturas de informática y TI