Los analistas de seguridad de Google Mandiant han alertado sobre una tendencia preocupante relacionada con el aumento del uso de vulnerabilidades Zero-Day por parte de actores de amenazas. Según los datos recopilados, el número de fallas explotadas activamente en 2023 ha mostrado un incremento significativo.
Proporción entre días N y días cero
De las 138 vulnerabilidades reveladas como explotadas activamente durante el año, Mandiant señala que 97 (70,3%) fueron aprovechadas como de día cero. Esto significa que los actores maliciosos explotaron estas fallas antes de que los proveedores afectados supieran de su existencia o pudieran corregirlas.
Desde 2020 hasta 2022, la proporción entre días N (fallas solucionadas) y días cero (no hay solución disponible) se mantuvo en una relación de 4:6. Sin embargo, en 2023 esta proporción cambió a 3:7.
Explicación del aumento
Google explica que el incremento no se debe a una disminución natural en el número de días N explotados, sino más bien a un mayor uso de vulnerabilidades Zero-Day y a la mejora de la capacidad de los proveedores de seguridad para detectarlas.
Aumento del número de proveedores afectados
El número de proveedores afectados por fallas explotadas activamente aumentó en 2023, alcanzando un récord de 56. Este número supera al anterior récord de 48 proveedores registrados en 2021 y a los 44 de 2022.
Reducción del tiempo necesario para explotar una falla
Otra tendencia destacada es la reducción del tiempo necesario para explotar (TTE) una falla recientemente revelada, ya sea como día N o día cero. En 2023, este tiempo se ha reducido a solo cinco días.
En comparación, en los años 2018-2019 el TTE fue de 63 días y en 2021-2022 fue de 32 días. Esta reducción ha hecho que las estrategias como la segmentación de red, la detección en tiempo real y la priorización de parches urgentes se vuelvan más críticas.
Relación entre divulgación de exploits y TTE
Google no detecta una correlación directa entre la divulgación de exploits y el tiempo necesario para explotar (TTE). En 2023, el 75% de los exploits se hicieron públicos antes de que comenzara la explotación en la naturaleza, mientras que el 25% se publicaron después de que los delincuentes ya estuvieran aprovechando las fallas.
Como ejemplos destacados, se mencionan CVE-2023-28121 (complemento de WordPress) y CVE-2023-27997 (Fortinet FortiOS). En el primer caso, la explotación comenzó tres meses después de la divulgación y diez días después de la publicación de una prueba de concepto. En el segundo caso, la falla se convirtió en un arma casi inmediatamente tras su revelación, pero el primer evento de explotación maliciosa se registró cuatro meses después.
Según Google, factores como la dificultad de explotación, la motivación del actor de amenazas, el valor objetivo y la complejidad general del ataque influyen en el TTE. La correlación directa o aislada con la disponibilidad de PoC es errónea.