Em nosso relatório global de segurança 2016, Um ano recorde para ameaças empresariais, falamos sobre o cenário de vulnerabilidades durante o ano e as tendências observadas. Vamos analisar alguns dos principais aspectos observados em 2016.

1. Zero Day Initiative da Trend Micro (ZDI), com o apoio de seus mais de 3 mil pesquisadores independentes de vulnerabilidades, identificou e divulgou, de forma responsável, 678 vulnerabilidades em 2016. Houve algumas tendências interessantes, que podem ser observadas nos dados abaixo:

•  A primeira delas é que a Microsoft continua a minimizar o número de vulnerabilidades em seus produtos ao longo do tempo. Isso é uma boa notícia, mas a notícia ruim é que a Microsoft teve um aumento de 2.100% no número de vulnerabilidades encontradas no Edge. Isso também foi mostrado no Pwn2Own 2017, tendo em vista que o Edge foi o navegador mais explorado no concurso.

• A segunda tendência foi uma queda geral nas vulnerabilidades encontradas no Adobe, mas o Acrobat Reader foi o segundo programa com o maior número de vulnerabilidades identificadas em 2016.

• 0-Days, que são vulnerabilidades com ataques ativos antes da divulgação de correções, tiveram uma queda em 2016, na comparação com o ano de 2015. Essa é uma boa notícia, mas recentemente também vimos com o hack da CIA que é muito provável que haja inúmeros 0-Days por aí, que não foram divulgados.

• O sistema Android teve grande aumento (206 %) no número de vulnerabilidades identificadas. Os pesquisadores da Trend Micro identificaram 54 vulnerabilidades para o Google Android em 2016.

• Um aumento de 421 % nas vulnerabilidades SCADA foi divulgado em 2016, o que não é uma boa notícia para esses fabricantes, devido aos desafios com o gerenciamento de atualizações para esses dispositivos.

2. No mercado de exploit kits observamos diversas mudanças. O exploit kit Angler encerrou suas operações após a prisão de diversos cibercriminosos na Rússia. O Neutrino tentou ocupar o seu lugar, mas aparentemente não obteve muito sucesso, como pode ser observado no gráfico abaixo.

3. Também observamos uma queda no número de novas vulnerabilidades adicionadas aos exploit kits em 2016, mas isso não significa necessariamente que os exploit kits são menos eficazes. Regularmente vemos vulnerabilidades mais antigas sendo usadas em ​​exploit kits, pois isso ainda parece funcionar como uma forma de causar uma falha de segurança nos sistemas. Na verdade, em 2016, observamos um alto uso de ransomwares usados em exploit kits como a opção primária de infecção.

Apesar de termos observados quedas e aumentos no número comparativo de vulnerabilidades de fornecedores, a verdade é que os cibercriminosos vão continuar a utilizar exploits para infectar suas vítimas.  As pessoas e organizações não devem achar que essas quedas significam que podem demorar mais para aplicar as correções em seus sistemas.  Atualmente, a gestão de correções permanece tão crítica como sempre foi e correções virtuais podem ser usadas para dar mais tempo para administrar a correção do fornecedor.

Nos casos em que o ZDI administrou o processo de divulgação, eles conseguiram proteger os clientes do NGIPS TippingPoint, em média, 57 dias antes da divulgação da correção do fornecedor.