Le rapport annuel de l’équipe de chercheurs en failles de cybersécurité de Google souligne que les développeurs de logiciels espion et autres malwares sophistiqués ont de plus en plus de mal à s’attaquer aux navigateurs. Ce pourquoi ils recyclent exploits et vulnérabilités non ou mal corrigées, profitant notamment de la lenteur de l’écosystème Android.
Le quatrième rapport annuel des chercheurs en cybersécurité de Google consacré aux exploits « 0-day » en répertorie 41 en 2022, attribués à 18 organisations, contre 69 en 2021, attribués à 20 organisations. Bien qu’en baisse de 40 %, ces 41 exploits font de 2022 la seconde année la plus prolifique en la matière depuis que Google a commencé à les documenter, en 2014.
Le tableau Spreadsheet où ils compilent ces exploits en répertorie en effet 28 en 2015, 12 en 2018, mais d’ores et déjà 30 pour les sept premiers mois de 2023. 10 de ces 41 exploits découverts en 2022 ciblaient les systèmes Windows (contre 8 en 2021), 7 Android (contre 3), 6 iOS (contre 4), 5 Exchange server (contre 2) et 1 macOS (contre 2).
Il précise par ailleurs que ces failles de sécurité « 0-day » (parce qu’elles n’ont fait l’objet d’aucune publication et ne disposent d’aucun correctif connu au moment de leurs découvertes) ont pour point commun d’être exploitées « dans la nature », et donc d’avoir été détectées lors de cyberattaques réelles ciblant des utilisateurs – qu’il s’agisse d’êtres humains, d’organisations ou de systèmes d’information.
Les chercheurs de Google ont identifié deux facteurs contribuant à ce nombre plus élevé de vulnérabilités exploitées « dans la nature » comparé aux années passées : la transparence des éditeurs de logiciels – qu’ils saluent et qualifient de « nette victoire » – et le « pourcentage élevé » de variantes exploitant ce qu’ils surnomment des « Déjà vu-lnérabilités » d’autre part – qui leur semble autrement problématiques.
Dans le même ordre d’idée, ils estiment que la diminution du nombre de bogues exploitables, ayant entraîné de nombreux attaquants à utiliser les mêmes vulnérabilités, pourrait expliquer ce recul de 40 % des exploits « 0-day » répertoriés l’an passé.