専門家は、2021年に記録的な数のゼロデイハッキングを発見しました

Googleは2021年のProjectZeroのレビューを公開し、世界最大のテクノロジー企業のいくつかが示した記録的な量のゼロデイエクスプロイト(「最も高度な攻撃方法の1つ」とラベル付けされている)を明らかにしました。

Project Zeroは、ゼロデイエクスプロイトと呼ばれるセキュリティ上の欠陥を詳しく説明することを目的として2014年にGoogleが開始したイニシアチブです。これらの脆弱性は、緩和システムが実装されていない限り本質的に検出されないままであり、システムやデータベースなどがハッカーに完全にさらされたままになるため、危険です。

ハッカーによってハッキングされているラップトップのデジタル描写。
デジタルトレンドグラフィック

2021年の年末報告では、58のゼロデイエクスプロイトが発見されたことが確認されました。これは、Project Zeroの開始以来検出された最大の量です。2015年は、合計28のデジタルエクスプロイトを使用した以前の記録保持者でした。

比較すると、ハッカーが悪意のあるサイバー犯罪活動への取り組みを強化するパンデミックの最盛期に、Googleのセキュリティチームは2020年に25のセキュリティ上の欠陥を明らかにしました。

Googleは、公に詳細に説明された記録的な58のゼロデイエクスプロイトは、必ずしも「ゼロデイエクスプロイトの使用の増加」を示すものではないことを強調しました。それどころか、同社はそれを「これらのゼロデーの検出と開示の増加」に帰している。

「2021年には、他のゼロデーが実際に悪用されて検出された可能性が高いですが、ベンダーはリリースノートでこれについて言及していません。 2022年には、実際に悪用された脆弱性にパッチを適用するときに、より多くのベンダーが注目し始めることを期待しています。すべてのベンダーが野生の状態で透過的に開示していると確信するまで、野生のゼロデーで何人が発見されたが、ベンダーによって公にラベル付けされていないかという大きな問題があります。」

分析されたレポートの最初のゼロデイエクスプロイトには、Chromeブラウザのオープンソースコードを提供するGoogle独自のChromiumが含まれていました。

Chromiumは、過去最高の14のゼロデイバグを確認しました。エクスプロイトの中には、10個のリモートコード実行バグ、2個のサンドボックスエスケープ、および1個のインフォリークがありました。最後のゼロデイバグにより、ハッカーはChromeではなくAndroidベースのアプリでウェブページを開こうとしました。

他の場所では、7つのAndroidゼロデイが特定されました。これは、2019年に見つかった単一のエクスプロイトからのかなりの飛躍です。これは偶然にも、Googleのモバイルオペレーティングシステムに関連するProjectZeroチームによる唯一の他の発見でした。

Apple、iOS、MacOS、およびWindows

Googleは、Safariを強化するAppleのWebブラウザエンジンであるWebKitについても言及しました。 Googleによると、2021年以前、AppleはWebKit/Safariに侵入するように設計されたゼロデイエクスプロイトを1つだけ公開していました。それでも、第三者の研究者の研究を通じて開示が具体化されました。

ただし、2021年には、AppleのWebブラウザに関連するゼロ日が7回あり、そのうち4日はSafariのJavascriptエンジンコンポーネントに関連していました。

ゼロデイエクスプロイトの詳細については、テクノロジージャイアントの以前の秘密の性質から脱却し、「2021年は、Appleがリリースノートに脆弱性の野生の状態で注釈を付けた最初の1年でした。」

この目的のために、5つのiOSゼロデイがAppleによって確認され、最初に公に発見されたMacOSゼロデイも明らかになりました。

Appleは、iOSおよびMacベースのシステムのセキュリティ対策を非常に重要視しています。結局のところ、それは学生に後者をハッキングするための$100,000を与えました

Microsoftに関しては、Googleは、拡張暗号プロバイダー(もちろん、そこには驚きはありません)、NTOSカーネル、Win32kを含む7つの別々の要素を対象とした10のWindowsゼロデーについて詳しく説明しました。

「Windowsは、これまでの数年間と比較して、対象となるコンポーネントに最も大きな変化が見られたプラットフォームです。ただし、このシフトは一般に数年間進行中であり、2020年のWindows 7の寿命が尽きると予測されているため、それがまだ特に目新しいものではないのはなぜですか」とGoogleは述べています。

Windows 11も、発売後、ゼロデイハッキングにさらされました。ただし、Microsoftは、バグの発見に関してはAppleほど高額な支払いをしていない場合があります。支払いは、明らかに10,000ドルから1,000ドルに減額されています。

さらに、2021年の間に、MicrosoftExchangeServerに接続された5つのゼロ日が見つかりました。 「ワイルドゼロデイでの追跡を開始して以来、ワイルドゼロデイでExchange Serverが検出され、開示されたのはこれが初めてです」とレポートは付け加えました。

ハッカーは、実証済みの方法に固執します

2つのディスプレイを備えたラップトップキーボードの一対の手。

Googleは、レポートの「新年、古い技術」セクションで、2021年の「データポイント」の記録的な数にもかかわらず、「攻撃者が実際にゼロデイエクスプロイトをどのように使用しているかを理解するために」、そのすべてのデータを認識したことに実際に驚いたことを強調しました。新しいものは何もありませんでした。」

「ゼロデイエクスプロイトは、攻撃者が使用できる最も高度な攻撃方法の1つと見なされているため、攻撃者は特別なトリックと攻撃対象領域を使用している必要があると簡単に結論付けることができます。しかし、代わりに、2021年に見られたゼロ日は、一般に、以前に公開された調査で見られたのと同じバグパターン、攻撃対象領域、および悪用された「形状」に従いました。

58のゼロデイエクスプロイトの約67%は、メモリ破損の脆弱性でした。 Googleは、この特定のカテゴリが「過去数十年間」ソフトウェアへの道を見つけるための頼りになる方法であるという事実を考えると、これはそれほど驚くべきことではないと述べました。これが、攻撃者が継続する主な理由です。ターゲットに正常にアクセスできます。

Googleは、ゼロデイエクスプロイトの影響と攻撃の成功の結果に関する声明でレポートを締めくくりました。

「地球上の大多数の人々は、ゼロデイ攻撃の標的となる個人的なリスクについて心配する必要はありませんが、ゼロデイ攻撃は依然として私たち全員に影響を及ぼします。これらのゼロデーは社会に大きな影響を与える傾向があるため、攻撃者がこれらの攻撃に成功するのを困難にするために、できる限りのことを継続する必要があります。 2021年は、私たちが正しい方向に進んで進歩していることを示しましたが、ゼロデイを困難にするためにやるべきことはまだたくさんあります。」

世界がかつてないほどデジタル化およびテクノロジー主導化する中、サイバー犯罪者は個人を搾取することで数十億ドルを稼いでいます。

サイバー犯罪が全面的に増加しているため、 昨年は70億ドル近くが人々から盗まれました。これは主に、個人データの侵害(パスワードのクリーンアップ)やランサムウェアなどの特定の犯罪タイプに起因しています