Уязвимость нулевого дня в Chrome не исправляют уже месяц
Исследователи безопасности обнаружили две отдельные вредоносные кампании, которые использовали уязвимость нулевого дня в браузере Chrome. Ошибки активно эксплуатировались в дикой природе примерно за месяц до выхода патча.
Две группы, две атаки
Собственная группа анализа угроз Google обнаружила уязвимость еще в начале февраля, и всего четыре дня спустя Google выпустила для нее исправление вместе с отчетом об ошибке. Уязвимость была отслежена под обозначением CVE-2022-0609 и заключалась в проблеме использования после освобождения с компонентом браузера, отвечающим за анимацию. Уязвимость уже активно эксплуатировалась в дикой природе.
Исследователи отследили вредоносную активность, связанную с ошибкой, с парой злоумышленников под названием Operation Dream Job и Operation AppleJesus. Оба они считаются северокорейскими угрозами. Атаки, проведенные хакерами, были сосредоточены в первую очередь на американских организациях из ряда секторов, от криптовалют до СМИ. Однако исследователи не исключают, что у атак были дополнительные цели за пределами США.
Тот же набор эксплойтов, разные методы
Несмотря на то, что два злоумышленника использовали один и тот же набор эксплойтов в своих атаках, они использовали разные методы и нацелены на разные объекты.
В атаках использовались поддельные электронные письма с предложениями работы с вредоносными ссылками в них, подделка высокопоставленных и очень желанных работодателей. Как только жертва нажимает на вредоносную ссылку, чтобы увидеть полное поддельное предложение о работе, браузер загружает невидимый iframe, который, в свою очередь, развертывает набор эксплойтов.
AppleJesus сосредоточился на разных целях, в основном работая в сфере криптовалют и финансов. Набор эксплойтов, использованный в атаке, был таким же.
iframe размещались на страницах, которые либо управлялись и принадлежали злоумышленникам, либо на страницах веб-сайтов, которые хакеры ранее успешно скомпрометировали и могли размещать на них вредоносные элементы.
Проблема была исправлена, но по-прежнему остается проблема с периодом в несколько недель, когда злоумышленники могли использовать уязвимость в системах, на которых установлены неисправленные версии Chrome.