Qu'est-ce qu'une attaque Zero-Click ?

Alors que les "attaques zero-day" sont déjà assez graves - elles ont été nommées ainsi parce que les développeurs n'avaient pas de jours pour gérer la vulnérabilité avant qu'elle ne devienne publique - les attaques zéro clic sont alarmantes d'une manière différente.

Zero-Click - Identifier les attaques

De nombreuses cyberattaques courantes, telles que le phishing, nécessitent que l'utilisateur prenne des mesures. Dans ces schémas, l'ouverture d'un e-mail, le téléchargement d'une pièce jointe ou le clic sur un lien permettent aux logiciels malveillants de s'introduire sur votre appareil. Mais les attaques sans clic ne nécessitent, eh bien, aucune interaction de l'utilisateur pour qu'elles fonctionnent.

Ces attaques n'ont pas besoin d'utiliser « l'ingénierie sociale », qui est la tactique psychologique utilisée par les mauvais acteurs pour vous amener à cliquer sur leur malware. Au lieu de cela, ils dansent simplement dans votre appareil. Cela rend les cyber-attaquants plus difficiles à traquer, et s'ils échouent, ils peuvent continuer d'essayer jusqu'à ce qu'ils l'obtiennent, car vous ne savez pas que vous êtes attaqué.

Les vulnérabilités Zero-click sont très appréciées jusqu'au niveau de l'État-nation. Des entreprises comme Zerodium qui achètent et vendent des vulnérabilités sur le marché noir Donnez des millions à n'importe qui Il peut le trouver.

Tout système qui analyse les données qu'il reçoit pour déterminer si ces données sont fiables est vulnérable à une attaque zéro clic. C'est ce qui fait des applications de messagerie et de messagerie des cibles attrayantes. De plus, le cryptage de bout en bout trouvé dans des applications comme iMessage d'Apple rend difficile de dire si une attaque sans clic est envoyée, car le contenu du paquet de données ne peut être vu que par l'expéditeur et le destinataire.

Ces attaques ne laissent souvent pas beaucoup de traces. Une attaque par e-mail sans clic, par exemple, peut copier tout le contenu d'une boîte e-mail avant de se supprimer. Plus l'application L'est complexe, plus il y a d'espace pour les exploits sans clic.

Attaques sans clic dans la nature

En septembre, découvrez Le Citizen Lab Exploiter sans un clic Il a permis aux attaquants d'installer le malware Pegasus sur le téléphone de la cible à l'aide d'un fichier PDF conçu pour exécuter le code automatiquement. Le malware transforme efficacement le smartphone de toute personne infectée en un appareil d'écoute. Depuis lors, Apple a développé un correctif pour la vulnérabilité.

En avril, la société de cybersécurité ZecOps a publié Rapport écrit sur plusieurs des attaques sans clic qu'ils ont trouvées dans l'application Mail d'Apple. Les attaquants sur Internet ont envoyé des e-mails spécialement conçus aux utilisateurs de messagerie, ce qui leur a permis d'accéder à l'appareil sans aucune action de la part de l'utilisateur. Et bien que le rapport ZecOps indique qu'ils ne pensent pas que ces risques de sécurité spécifiques constituent une menace pour les utilisateurs d'Apple, ces vulnérabilités peuvent être utilisées pour créer une série de vulnérabilités qui permettent finalement à un cyberattaquant de prendre le contrôle.

En 2019, les attaquants ont utilisé une vulnérabilité dans WhatsApp pour installer des logiciels espions sur les téléphones des gens simplement en les appelant. Depuis, Facebook a soulevé Un vendeur de logiciels espions poursuivi qui est considéré comme responsable, affirmant qu'il utilisait ce logiciel espion pour cibler des dissidents et des militants politiques.

Comment se protéger

Malheureusement, ces attaques étant difficiles à détecter et ne nécessitant aucune action de l'utilisateur pour les exécuter, il est difficile de les protéger. Mais une bonne hygiène numérique peut encore faire de vous une cible moins importante.

Mettez souvent à jour vos appareils et applications, y compris le navigateur que vous utilisez. Ces mises à jour contiennent souvent des correctifs pour les exploits que des acteurs malveillants peuvent utiliser contre vous si vous ne les installez pas. Par exemple, de nombreuses victimes d'attaques de ransomware WannaCry auraient pu être évitées avec une simple mise à jour. Nous avons des guides pour mettre à jour vos applications iPhone et iPad, mettre à jour votre Mac et ses applications installées et maintenir votre appareil Android à jour.

Procurez-vous un bon logiciel anti-spyware et malware et utilisez-le régulièrement. Utilisez un VPN en public si vous le pouvez et n'entrez pas d'informations sensibles comme des données bancaires sur une connexion publique non fiable.

Les développeurs d'applications peuvent aider de leur côté en testant minutieusement leurs produits pour détecter les vulnérabilités avant de les rendre publics. Faire appel à des experts en cybersécurité professionnels et offrir des récompenses pour les corrections de bogues peut grandement contribuer à rendre les choses plus sûres.

Alors, faut-il perdre le sommeil à cause de ça ? Surtout pas. Les attaques sans clic sont principalement utilisées contre des cibles d'espionnage et financières de premier plan. Tant que vous prenez toutes les mesures possibles pour vous protéger, tout devrait bien se passer.