Zero-Day Vulnerability

Marché des zero-days — broker et tarification

Le marché des zero-days est divisé en segments légaux et illégaux. Le marché légal (bug bounties et brokers) : les programmes de bug bounty des grands vendeurs (Microsoft offre jusqu'à 250 000$ pour un zero-day Windows RCE, Apple jusqu'à 2 millions$ pour certaines failles iOS) et les brokers privés comme Zerodium (publie ses tarifs — ex: 2,5M$ pour un zero-day iOS avec persistence). Crowdfense et d'autres brokers paient des prix similaires et revendent aux gouvernements et agences de renseignement. Le marché illégal (dark web) : exploit kits contenant des zero-days se négocient de 50 000$ à plusieurs millions selon la cible et la fiabilité. La valeur d'un zero-day diminue dès que le vendeur est notifié (disclosure) ou que l'exploit devient public — d'où la tension entre les chercheurs qui veulent améliorer la sécurité (disclosure) et les acheteurs qui veulent préserver la valeur (non-disclosure).

Zero-Day Detection — défenses comportementales

Sans signature disponible, la détection des exploits zero-day repose sur l'analyse comportementale. Les EDR modernes (CrowdStrike Falcon, Microsoft Defender for Endpoint, SentinelOne) utilisent des modèles ML pour détecter les comportements caractéristiques de l'exploitation d'une vulnérabilité — même sans signature connue. Comportements suspects post-exploitation : processus système légitimes (explorer.exe, svchost.exe) qui initient des connexions réseau vers des IPs externes (signe d'injection de code), exécution de shells depuis des processus inattendus (un navigateur web qui exécute cmd.exe), allocation de mémoire exécutable dans un processus système (injection de shellcode), et exploitation de techniques de privilege escalation connues. Les solutions de Deception (honeypots, HoneyTokens) détectent les attaquants qui exploitent un zero-day en observant leurs actions post-exploitation — même si l'exploitation initiale n'est pas détectée, les actions suivantes (reconnaissance, mouvement latéral) déclenchent des alertes.

Timeline d'un zero-day — de la découverte au patch

Le cycle de vie d'une vulnérabilité zero-day suit plusieurs phases. Découverte : un chercheur (interne ou externe), un attaquant, ou un service de threat intel identifie la vulnérabilité. If externe malveillant : exploitation silencieuse jusqu'à détection (dwell time pouvant être de mois ou années). If chercheur éthique : notification au vendeur via sa politique de divulgation responsable (90 jours pour Google Project Zero, 90-120 jours généralement). Développement du patch : le vendeur analyse, développe, et teste le correctif. Coordination : coordination avec les autres projets affectés (une vulnérabilité dans OpenSSL affecte des milliers de produits qui doivent être notifiés et patcher en même temps). Patch Tuesday (Microsoft) ou release au fil de l'eau selon le vendeur. Fenêtre de vulnérabilité résiduelle : entre l'annonce du patch et son déploiement effectif par les organisations, les exploits deviennent publics — les N-day exploits (exploits pour des vulnérabilités connues mais non encore patchées) sont presque aussi dangereux que les zero-days. La rapidité de patching après une divulgation est donc critique.