Een gecoördineerde zero-dayaanval treft begin september

Beveiligingsonderzoekers van Volexity hebben een dreigingsactor bekend als UTA0565 gekoppeld aan een golf van aanvallen die plaatsvonden op 3 en 4 september. Volgens de bevindingen van Volexity schakelde de groep drie afzonderlijke zero-daykwetsbaarheden aaneen, twee in Google Chrome en één in Windows, om doelwitten te compromitteren via nagebootste websites die er legitiem uitzagen. Het einddoel van de operatie was het plaatsen van een stuk malware dat onderzoekers CLEANGULP hebben genoemd.

Zero-days, kwetsbaarheden die worden misbruikt voordat een leverancier een patch heeft uitgebracht, behoren tot de gevaarlijkste instrumenten in het arsenaal van een aanvaller, omdat er op het moment van de aanval geen oplossing beschikbaar is. Het aaneenschakelen van drie ervan, verspreid over zowel een browser als een besturingssysteem, wijst op een actor met veel middelen en technische sophistication. Dit is geen smash-and-grabcampagne; het weerspiegelt zorgvuldige planning en toegang tot exploitontwikkelingscapaciteit die doorgaans duur is om te verwerven of op te bouwen.

Hoe CLEANGULP binnenkomt en blijft

Op basis van de rapportage van Volexity begint de aanvalsketen met een nagebootste site die een slachtoffer wordt verleid te bezoeken. Eenmaal daar worden de Chrome-zero-days gebruikt om initiële code-uitvoering in de browser te verkrijgen, en de Windows-zero-day wordt vervolgens gebruikt om die toegang te escaleren en uit de normale beveiligingsgrenzen van de browser te breken. Vanaf daar wordt CLEANGULP op de machine van het slachtoffer geïnstalleerd.

Verdedigers die de indicators of compromise van Volexity doornemen, hebben nu zicht op hoe CLEANGULP persistentie vestigt op geïnfecteerde systemen, samen met de specifieke bestanden die het dropt en de command-and-controlinfrastructuur (C2) waarmee het communiceert. Voor beveiligingsteams zijn deze details belangrijk omdat ze een abstracte dreiging omzetten in iets waarnaar ze daadwerkelijk kunnen zoeken in logs, endpointtelemetrie en netwerkverkeer. Huntinggidsen zoals deze zijn juist waardevol omdat ze organisaties laten controleren of ze al door de campagne zijn geraakt, in plaats van er pas achteraf achter te komen.

Dit patroon, waarbij één gecompromitteerd toegangspunt wordt gebruikt om privileges te escaleren en een aangepaste malwarepayload te droppen, wordt een terugkerend thema in recente zero-dayonthullingen. Vergelijkbare escalatietactieken werden gezien toen SonicWall SMA-zero-days werden misbruikt om aangepaste malware te plaatsen, en opnieuw toen UTA0533-hackers SonicWall SMA-zero-days misbruikten om voet aan de grond te krijgen in bedrijfsnetwerken. Aanvallers geven steeds vaker de voorkeur aan geketend misbruik omdat het hen in staat stelt gelaagde verdedigingen te omzeilen die waren ontworpen om een enkel storingspunt te stoppen.

Waarom dit verder reikt dan het bedrijfsleven

Het is verleidelijk om een zero-dayketen van browser en besturingssysteem te behandelen als puur een bedrijfsbeveiligingsprobleem, maar de realiteit is breder. Chrome is een van de meest gebruikte browsers ter wereld, en Windows blijft het dominante desktopbesturingssysteem voor zowel bedrijven als particulieren. Een campagne met nagebootste websites vereist niet dat een slachtoffer bij een specifiek bedrijf werkt; er is alleen iemand, ergens, nodig die op een kwaadaardige link klikt. Dat maakt dit type aanval zowel een privacyzorg voor alledaagse gebruikers als een beveiligingszorg voor IT-afdelingen.

Zodra CLEANGULP is geïnstalleerd, kan een aanvaller met persistentie op een apparaat mogelijk toegang krijgen tot persoonlijke bestanden, browsegeschiedenis, opgeslagen inloggegevens en communicatie, afhankelijk van wat de malware is ontworpen om te verzamelen. Zelfs gebruikers die nooit direct interactie hebben met de organisaties die oorspronkelijk door UTA0565 werden geviseerd, kunnen worden getroffen als ze een nagebootste site bezoeken die als onderdeel van dezelfde infrastructuur is opgezet. Dit sluit aan bij een bredere trend waarbij zero-daymisbruik verder reikt dan de oorspronkelijke doelenlijst, een patroon dat ook zichtbaar is in incidenten zoals de Check Point SmartConsole-zero-day die in aanvallen werd misbruikt en het langere blootstellingsvenster dat te zien was bij de SonicWall SMA 1000-zero-day die 22 dagen lang door INC-ransomware werd gebruikt.

Wat dit voor jou betekent

De meeste lezers zullen geen direct doelwit zijn van een operatie op nation-state-niveau zoals die van UTA0565, maar de onderliggende les geldt breed: houd je browser en besturingssysteem bijgewerkt. Chrome en Windows brengen beide regelmatig beveiligingspatches uit, en zodra een zero-day publiek bekend wordt, zoals deze nu is geworden door de onthulling van Volexity, bewegen leveranciers doorgaans snel om deze te patchen. Het uitstellen van updates laat je blootgesteld gedurende precies het venster waarin aanvallers weten dat het lek bestaat en verdedigers koortsachtig proberen het te dichten.

Het is ook de moeite waard om de gewoonte op te bouwen links te wantrouwen voordat je klikt, vooral links die je ontvangt via e-mail, berichtenapps of zoekresultaten die naar onbekende domeinen leiden. Nagebootste sites zijn ontworpen om overtuigend te lijken, dus het hoveren over een link om de werkelijke bestemmings-URL te controleren, of direct naar een bekende site navigeren in plaats van erdoorheen te klikken, kan de initiële compromittering voorkomen voordat deze begint.

Bruikbare conclusies

  • Werk Chrome en Windows bij zodra patches beschikbaar komen, vooral na zero-dayonthullingen zoals deze.
  • Vermijd het klikken op onbekende links, en verifieer URL's voordat je inloggegevens invoert of bestanden downloadt.
  • Beveiligingsteams moeten de door Volexity gepubliceerde indicators of compromise voor CLEANGULP doornemen, inclusief bestands-, persistentie- en C2-details, en deze controleren tegen endpoint- en netwerklogs.
  • Behandel browserbeveiligingsupdates met dezelfde urgentie als besturingssysteempaches; beide werden samen misbruikt in deze campagne.
  • Blijf op de hoogte van lopende zero-dayonthullingen, aangezien geketend misbruik across meerdere producten een steeds vaker voorkomende aanvalstechniek is.