Η ευπάθεια του Chrome Zero-Day δεν επιδιορθώνεται για έναν μήνα
Οι ερευνητές ασφαλείας ανακάλυψαν δύο ξεχωριστές κακόβουλες καμπάνιες που εκμεταλλεύονταν μια ευπάθεια zero-day στο πρόγραμμα περιήγησης Chrome. Τα σφάλματα χρησιμοποιήθηκαν ενεργά στη φύση για περίπου ένα μήνα πριν φτάσει το έμπλαστρο.
Δύο ομάδες, δύο επιθέσεις
Η ομάδα ανάλυσης απειλών της Google εντόπισε την ευπάθεια στις αρχές Φεβρουαρίου και η Google κυκλοφόρησε μια ενημέρωση κώδικα για αυτήν μόλις τέσσερις ημέρες αργότερα, μαζί με την αναφορά σφαλμάτων. Η ευπάθεια παρακολουθήθηκε με τον προσδιορισμό CVE-2022-0609 και αποτελούσε ένα πρόβλημα χωρίς χρήση με το στοιχείο του προγράμματος περιήγησης που είναι υπεύθυνο για την κινούμενη εικόνα. Η ευπάθεια είχε ήδη αξιοποιηθεί ενεργά στη φύση.
Οι ερευνητές εντόπισαν την κακόβουλη δραστηριότητα που σχετίζεται με το σφάλμα με μερικούς απειλητικούς παράγοντες που ονομάζονταν Operation Dream Job και Operation AppleJesus. Και οι δύο πιστεύεται ότι είναι βορειοκορεατικοί παράγοντες απειλών. Οι επιθέσεις που πραγματοποιήθηκαν από τους χάκερ επικεντρώθηκαν κυρίως σε οντότητες των ΗΠΑ από διάφορους τομείς, από κρυπτογράφηση έως μέσα ενημέρωσης. Ωστόσο, οι ερευνητές δεν αποκλείουν το ενδεχόμενο οι επιθέσεις να είχαν επιπλέον στόχους εκτός των ΗΠΑ.
Ίδιο κιτ εκμετάλλευσης, διαφορετικές μέθοδοι
Παρόλο που οι δύο δράστες απειλών χρησιμοποίησαν ένα και το ίδιο κιτ εκμετάλλευσης στις επιθέσεις τους, χρησιμοποίησαν διαφορετικές τεχνικές και στόχευσαν διαφορετικές οντότητες.
Οι επιθέσεις χρησιμοποίησαν πλαστά email προσφοράς εργασίας με κακόβουλους συνδέσμους μέσα, παραπλανώντας εργοδότες υψηλού προφίλ, ιδιαίτερα επιθυμητούς. Μόλις το θύμα κάνει κλικ στον κακόβουλο σύνδεσμο σε μια προσπάθεια να δει την πλήρη ψεύτικη προσφορά εργασίας, το πρόγραμμα περιήγησης θα φορτώσει ένα αόρατο iframe, το οποίο με τη σειρά του αναπτύσσει το κιτ εκμετάλλευσης.
Το AppleJesus επικεντρώθηκε σε διαφορετικούς στόχους, κυρίως εργαζόμενος στον τομέα της κρυπτογράφησης και των χρηματοοικονομικών. Το κιτ εκμετάλλευσης που χρησιμοποιήθηκε στην επίθεση ήταν το ίδιο.
Τα iframes φιλοξενήθηκαν σε σελίδες που είτε λειτουργούσαν και ανήκαν στους παράγοντες απειλών, είτε σε σελίδες ιστοτόπων που οι χάκερ είχαν προηγουμένως παραβιάσει με επιτυχία και μπορούσαν να φιλοξενήσουν τα κακόβουλα στοιχεία σε αυτά.
Το ζήτημα έχει διορθωθεί, αλλά αυτό εξακολουθεί να αφήνει το ζήτημα με το διάστημα αρκετών εβδομάδων που οι φορείς απειλών θα μπορούσαν να έχουν εκμεταλλευτεί την ευπάθεια μεταξύ των συστημάτων που εκτελούν τις μη επιδιορθωμένες εκδόσεις του Chrome.