Новий експлойт-кіт швидко поширюється серед шпигунських груп
Дослідники з безпеки виявили раніше недокументований експлойт-кіт під назвою BlueMoon, який поєднує дві zero-day вразливості Chrome V8 з уразливістю Windows, щоб компрометувати цілі через фішингові кампанії. Це відкриття є примітним не лише технічною складністю ланцюжка експлойтів, а й тим, як швидко він поширився: щонайменше чотири різні шпигунські кластери загроз, включно з групою, відомою як APT31, були помічені за використанням одного й того самого кіта протягом приблизно одного тижня один від одного.
Така швидка, паралельна адаптація в різних шпигунських операціях є незвичною. Хакерські групи національних держав зазвичай ретельно охороняють свої найцінніші інструменти, оскільки їх повторне використання підвищує ризик виявлення та атрибуції. Той факт, що кілька кластерів були спіймані на використанні ідентичного коду експлойту в такому вузькому вікні, свідчить або про спільного постачальника наступальних інструментів, або про витік, яким кілька груп швидко скористалися.
Як працює ланцюжок BlueMoon
BlueMoon поєднує дві zero-day вразливості в JavaScript-рушії V8 браузера Chrome, компоненті, відповідальному за виконання коду на вебсторінках, з окремою вразливістю в Windows. За словами дослідників, які виявили цю активність, ланцюжок доставляється через фішингові електронні листи, покликані заманити цілі на відвідування шкідливої вебсторінки. Щойно браузер жертви завантажує сторінку, вразливості Chrome дозволяють зловмисникам виконувати код у браузері, а вразливість Windows потім використовується для підвищення привілеїв і виходу з пісочниці безпеки браузера, надаючи зловмиснику глибший доступ до скомпрометованої машини.
Цей двоетапний підхід, компрометація браузера з подальшим підвищенням привілеїв операційної системи, є характерною ознакою висококласних шпигунських інструментів. Він не вимагає від жертви жодних дій, крім кліку на посилання, і саме тому фішинг залишається таким ефективним механізмом доставки навіть проти добре захищених організацій.
Чому чотири групи використали той самий інструмент
Збіг між APT31 та іншими кластерами, що використовували BlueMoon, вказує на ширшу тенденцію в хакерстві, спонсорованому державами: зростаючу централізацію розробки експлойтів. Замість того, щоб кожна група створювала власні ланцюжки zero-day з нуля, докази свідчать, що деякі шпигунські операції тепер отримують експлойт-кіти від спільних постачальників або підрядників, а потім розгортають їх незалежно проти власних списків цілей. Це відображає моделі, які спостерігаються в індустрії комерційного шпигунського програмного забезпечення, де один брокер експлойтів може одночасно постачати кількох урядових клієнтів.
Ключовим фактором, що уможливлює такий тип атаки, є так званий розрив у патчах: проміжок часу між моментом, коли вразливість виправляється у відкритому вихідному коді Chromium, на якому базуються Chrome та інші браузери, і моментом, коли це виправлення фактично досягає кінцевих користувачів через оновлення. Зловмисники, які відстежують публічні зміни коду Chromium, іноді можуть зворотно розробити робочий експлойт для основної вразливості, перш ніж більшість користувачів встановлять патч, отримуючи вузьку, але цінну можливість для удару.
Що це означає для вас
Більшість людей не є прямою ціллю шпигунських кампаній національних держав, подібних до цієї, які, схоже, зосереджені на конкретних організаціях та особах, що становлять розвідувальну цінність. Але основні техніки, доставка через фішинг і швидка експлуатація незапатчених вразливостей браузера, це ті самі тактики, які зрештою просочуються в ширшу кіберзлочинність. Ланцюжки zero-day, які починаються в цільових шпигунських операціях, часто перепрофілюються або копіюються менш витонченими акторами, щойно деталі стають публічними.
Більш безпосередній висновок — це нагадування про те, наскільки ваша повсякденна безпека залежить від підтримання програмного забезпечення в актуальному стані. Виробники браузерів випускають патчі для активно експлуатованих вразливостей так швидко, як можуть, але цей захист працює лише якщо ви фактично встановлюєте оновлення. Zero-day, що залишається незапатченим на вашій машині навіть на кілька зайвих днів, є реальною можливістю для зловмисників, як показує цей випадок.
Цей епізод також вписується в ширшу картину інструментів, здатних до спостереження, які привертають увагу захисників приватності та регуляторів. Так само як зростає занепокоєння щодо споживчих пристроїв із вбудованими камерами та постійно активними сенсорами, випадки, як-от кримінальні звинувачення Німеччини проти Meta щодо її розумних окулярів із камерою, показують, що як уряди, так і приватні компанії змушені відповідати за те, як технології, суміжні зі спостереженням, розгортаються і проти кого.
Практичні кроки для захисту
Хоча BlueMoon був створений для високоцінних шпигунських цілей, базові заходи захисту стосуються всіх. Налаштуйте браузер на автоматичне оновлення, а не ручне, оскільки Chrome та інші браузери на базі Chromium часто випускають екстрені патчі для активно експлуатованих вразливостей. Також підтримуйте оновлення Windows актуальними, оскільки цей ланцюжок атак покладався на вразливість Windows для завершення компрометації. Будьте обережні з несподіваними посиланнями в електронних листах, навіть тими, що виглядають як від знайомих контактів, оскільки фішинг залишається точкою входу для всього цього ланцюжка атак. Організаціям, які обробляють конфіденційні дані, також варто розглянути інструменти ізоляції браузера та системи виявлення на кінцевих точках, які можуть виявити спроби підвищення привілеїв навіть після початкової компрометації.
Виявлення BlueMoon — корисне нагадування про те, що розрив між виправленням вразливості на стороні розробника та потраплянням цього патча на ваш пристрій — це саме те місце, де зловмисники процвітають. Підтримання актуальності оновлень залишається одним із найпростіших і найефективніших доступних засобів захисту.
