Google закрыла уязвимость Chrome, которую, вероятно, эксплуатировали северокорейские хакеры

Google сообщила об обнаружении и закрытии уязвимости Chrome, которая позволяла запускать в браузере удалённое выполнение кода. Предполагается, что данную уязвимость эксплуатировали хакеры КНДР.

Источник изображения: Tomoyuki Mizuta / pixabay.com

Как сообщает британское издание The Register со ссылкой на сотрудника Google Адама Вайдеманна (Adam Weidemann), уязвимость Chrome была выявлена 10 февраля, и эксплуатировалась она как минимум с 4 января — ошибка в программе позволяла компрометировать браузер жертвы, захватывать контроль над компьютером и производить наблюдение. «Целевой аудиторией» северокорейских спецслужб были сотрудники американских компаний в сфере СМИ, высоких технологий, криптовалюты и финтеха, но не исключается, что злоумышленники работали также по другим странам и отраслям.

Эксплуатацией уязвимости занимались подконтрольные Пхеньяну группировки Operation Dream Job и Operation AppleJeus — они использовали один код эксплойта, но действовали по разным сценариям. Хакеры Operation Dream Job работали по сотрудникам СМИ, регистраторов доменов, интернет-провайдеров и поставщиков ПО. Злоумышленники маскировались под специалистов по кадрам, рассылая по электронной почте поддельные письма о вакансиях в Google, Oracle и Disney, маскируя сообщения под настоящие письма кадровых агентств. Пользователи переходили на сайты со скрытыми элементами iframe, посредством которых использовалась уязвимость для запуска произвольного кода. Группировка Operation AppleJeus специализировалась на людях, которые занимаются криптовалютой или заняты в финтех-отрасли — их тоже заманивали на фишинговые сайты со скрытыми элементами iframe.

При помощи машины JavaScript создавался идентификатор компьютера, и при выполнении некоего набора условий запускался эксплойт. Если удалённое выполнение кода производилось успешно, через JavaScript производилась попытка перейти на новый этап атаки, в рамках которой вредоносный код выходил за пределы песочницы браузера и добивался привилегированного доступа к машине в целом.

Хакеры мастерски заметали следы: всем жертвам отправлялись уникальные ссылки, которые становились недоступными после первого же перехода, каждый шаг шифровался алгоритмом AES, и при сбое на любом из этапов дальнейшая работа прекращалась. Сотрудник Google уточнил, что компании удалось отследить всю цепочку атаки по Chrome, и были свидетельства попыток реализовать аналогичный сценарий с Safari и Firefox, однако следы таких атак уже были уничтожены.

3dnews

Хочешь узнать больше - читай отзывы