Exploit

Un exploit est un programme, un morceau de code ou un ensemble de commandes conçu pour exploiter une vulnérabilité dans un système logiciel. Les pirates informatiques utilisent des exploits pour accéder à un système, élever ce niveau d’accès afin d’obtenir des autorisations d’administrateur ou (root), puis utiliser cet accès pour installer des logiciels malveillants, extraire des informations ou perturber les opérations.

Les vulnérabilités d’un système logiciel peuvent prendre de nombreuses formes. Certaines vulnérabilités résultent de bogues ou d’oublis dans le code logiciel ; d’autres sont dues à des erreurs commises par un administrateur système lors de la configuration. De même, les façons dont un exploit peut cibler des systèmes peuvent également prendre de nombreuses formes. Certains exploits ciblent les vulnérabilités des navigateurs web, des clients de messagerie ou d’autres logiciels qui ouvrent des fichiers provenant d’Internet. D’autres se propagent seuls sur un réseau informatique, infectant d’abord le premier ordinateur par d’autres moyens, puis analysant les ordinateurs voisins et exécutant automatiquement l’exploit sur les ordinateurs vulnérables.

Une fois qu’un exploit est connu du développeur du logiciel vulnérable, celui-ci peut publier un correctif pour combler la faille. Plus une vulnérabilité est connue depuis longtemps, plus le nombre de pirates qui y ont accès est élevé. Il est donc important d’installer régulièrement les mises à jour de sécurité et les définitions antivirus. Un exploit utilisé par des pirates avant que les développeurs du logiciel concerné en aient connaissance est appelé exploit zero-day, car le développeur n’a eu aucun jour de préavis pour publier un correctif et doit agir rapidement pour le corriger.

NOTE: De nombreuses entreprises de sites web et de logiciels proposent des programmes de bug bounty afin d’encourager les pirates informatiques éthiques à trouver et à signaler les vulnérabilités avant qu’elles ne puissent être exploitées par des pirates criminels.