Nota para revendas, MSPs e integradores: zero-day é o argumento clássico pra vender gestão de patch e vulnerabilidade como serviço recorrente, não como projeto pontual. Veja como no meio e no final deste artigo.
O que é uma vulnerabilidade Zero-day?
Uma vulnerabilidade zero-day é uma falha em um software que pode potencialmente ser utilizada de diversas maneiras e não é conhecida pelo fabricante do software. O termo “ataque zero-day” se refere à vulnerabilidade que está sendo explorada e é desconhecida pelo fabricante, deixando-o com “zero dias” para corrigi-la.
Uma vulnerabilidade zero-day é considerada um dos métodos de infecção mais perigosos, já que é menos provável que ative um aviso do sistema de segurança e é menos dependente da falta de cuidado do usuário. Outros vetores de ataque, como phishing, requerem interação — o download de um anexo de e-mail ou o clique em um link. Já uma exploração de zero-day pode potencialmente usar uma falha do sistema operacional ou de software para infectar a máquina alvo sem essa interação.
Vulnerabilidades zero-day privadas só são conhecidas por quem as descobriu e com quem foram compartilhadas. Tendem a ser mantidas por grupos de elite de espionagem cibernética — apesar de representarem um grande risco, não costumam ser divulgadas, já que seus detentores preferem mantê-las em segredo a vê-las corrigidas.
Quando um ataque zero-day é descoberto publicamente — por vazamento, publicação de pesquisadores de segurança ou divulgação responsável — ele deixa de ser privado. Mesmo assim, continua sendo uma ameaça real, e em muitos casos representa mais risco do que quando era privada: uma vez exposta, mesmo já corrigida pelo fabricante, começa uma corrida contra o relógio entre atacantes explorando a vulnerabilidade e usuários aplicando o patch. Essa janela de tempo é uma abertura para os atacantes — situação conhecida como ataque one-day ou N-day.
A corrida contra o relógio
Um dos casos mais famosos de vulnerabilidade zero-day explorada é o da EternalBlue. Em abril de 2017, os Shadow Brokers — grupo conhecido por vazar ferramentas de hacking da Agência de Segurança Nacional americana (NSA) — vazaram uma exploração para uma vulnerabilidade no protocolo Microsoft Server Message Block (CVE-2017-0144). A vulnerabilidade é explorada enviando pacotes especialmente criados a uma máquina, permitindo ao atacante executar código arbitrário remotamente no sistema comprometido.
As consequências desse vazamento foram as grandes campanhas de ransomware de maio a agosto de 2017, incluindo WannaCry, Petya, NotPetya e outros. Mesmo com a vulnerabilidade explorada pela EternalBlue já corrigida por patch um mês antes do vazamento, foi por causa dela que boa parte dessas campanhas se proliferou — devido à quantidade de máquinas ao redor do mundo que permaneceram desatualizadas.
Um exemplo mais recente ocorreu em agosto de 2020, quando a Microsoft lançou um patch para uma vulnerabilidade severa no Netlogon Remote Protocol (MS-NRPC), descoberta e publicada pela empresa de segurança alemã Secura.
A vulnerabilidade, conhecida como Zerologon (CVE-2020-1472), permite que um atacante não autenticado obtenha acesso à conta de administrador do domínio. Devido a uma falha no protocolo de autenticação, o envio de solicitações de autenticação elaboradas faz com que o invasor obtenha controle total sobre o ambiente.
Dois meses após o lançamento do patch e um mês após os pesquisadores da Secura publicarem detalhes técnicos da vulnerabilidade, o Ryuk Ransomware entrou em ação explorando o Zerologon em uma grande campanha, alvejando sistemas não atualizados em massa.
Relacionados:
Por que combinar o gerenciamento de patch e vulnerabilidade?
Guia: Construindo uma estratégia para patch
Gestão de patch e vulnerabilidade é uma das ofertas mais fáceis de recorrência que existe pra uma revenda ou MSP.
A AIQON é uma distribuidora de cibersegurança: conectamos parceiros de canal a um portfólio de fabricantes internacionais — endpoint, identidade, dados, API e anti-DDoS — para montar ofertas de segurança gerenciada completas, sem a complexidade de negociar direto com fornecedores fora do Brasil.
Como se defender contra ataques de Zero-day
Se defender contra ataques de zero-day e N-day requer um método de alerta ágil, que inclui:
- Uma política de múltiplas camadas de segurança cibernética. Isso significa controlar cada aspecto da rede com ferramentas atualizadas — firewalls, antivírus next-gen, proteção de endpoint, autenticação e gerenciamento de identidade, auditorias e, o mais importante, patch de software. Plataformas como o Syxsense Secure automatizam justamente esse ciclo — scan de vulnerabilidades por CVSS, priorização de risco e remediação automatizada — encurtando a janela de exposição que um zero-day vira N-day explora. Ao desenvolver suas múltiplas camadas, mantenha o foco na prevenção: além de ser muito mais barato prevenir do que reagir, os sistemas se mantêm limpos e as ferramentas de auditoria têm mais chance de identificar as últimas ameaças.
- Boa higiene cibernética. Treinar funcionários para a preocupação com segurança cibernética em todos os níveis da organização é uma necessidade. Todos devem saber o que observar em uma comunicação por e-mail e para onde direcionar links e anexos suspeitos. Isso, somado a uma política de planejamento de patching de software, pode impedir que os atacantes saiam na frente e iniciem uma infecção.
Ataques de zero-day, apesar de incomuns, podem ter consequências destrutivas em uma organização. Ataques N-day exploram vulnerabilidades já conhecidas, muito mais comuns, e apesar de também poderem causar dano severo, são muito mais fáceis de se defender. Manter-se atualizado com notícias de segurança cibernética e manter sistemas constantemente atualizados amplifica a proteção contra ataques zero-day.
Conclusão
Zero-day é a exceção que justifica o básico: patch e gestão de vulnerabilidade bem feitos não eliminam o risco de zero-day, mas fecham a janela de N-day — que é onde a maioria dos ataques reais acontece, inclusive nos exemplos citados acima.
Não monte esse portfólio sozinho, negociando com cada fabricante fora do Brasil.
A AIQON é uma distribuidora de cibersegurança: conectamos parceiros de canal a um portfólio de fabricantes internacionais — endpoint, identidade, dados, API e anti-DDoS — para montar ofertas de segurança gerenciada completas, com suporte local e agilidade.
