En exploitkæde, fire spionagegrupper uden forbindelse
Proofpoint offentliggjorde den 9. september, at fire separate spionagemotiverede hackergrupper, de fleste med en formodet Kina-forbindelse, uafhængigt af hinanden havde taget den samme exploitkæde i brug inden for et tidsrum på tolv dage, et nyt værktøj, som forskerne kaldte BlueMoon. TA412, en kinesisk statsstøttet aktør også kendt som JungleBamboo, Violet Typhoon og APT31, blev første gang observeret bruge den den 28. august mod amerikanske ngo'er, mineselskaber og råvarehandelsvirksomheder. UNK_LateNight fulgte den 2. september mod amerikanske mål inden for luftfart og forsvar, UNK_DoubleCheck samme dag mod en vietnamesisk producent, og UNK_QuietRacket den 3. september mod myndigheds-, konsulent- og finansielle mål i Indonesien og Singapore.
Kæden kombinerer to Chrome-sårbarheder i browserens V8-motor, en type confusion-fejl og en sandbox-flugt, med en fejl i Windows-kernen, der giver forhøjede rettigheder og rammer ældre builds. Ingen af de fire grupper ser ud til at samarbejde i konventionel forstand, deres mål, regioner og tidligere værktøjer overlapper ikke. Det, de deler, er en fire uger gammel kapacitet, som alle fire tog i brug næsten samtidig.
Vinduet, der gjorde dette muligt
Den underliggende Chrome-rettelse blev tilføjet til Chromiums open source-kode den 7. august. Den patchede version nåede først Chromes stable-kanal, den udgave der rent faktisk opdateres på de fleste brugeres maskiner, den 3. september.
| Dato | Begivenhed |
|---|---|
| 7. august | Chrome-rettelse tilføjet open source-koden, synlig for enhver der holdt øje |
| 28. august | TA412 observeret for første gang udnytte fejlen, før den stable rettelse fandtes |
| 2. til 3. september | Tre yderligere, ubeslægtede grupper tager den samme exploitkæde i brug |
| 3. september | Den patchede Chrome når endelig stable-udgivelseskanalen |
Det næsten fire uger lange hul mellem en rettelse, der lander i offentlig kode, og en patchet build, der når almindelige brugere, er en kendt risiko ved open source-browsere, og TA412's aktivitet den 28. august viser, at fejlen blev udnyttet som en ægte zero-day, før Chromes eget forsvar overhovedet var muligt at installere. De tre grupper, der fulgte i starten af september, kan have bygget deres egen version ud fra den samme offentlige offentliggørelse i stedet for at kopiere TA412 direkte, hvilket ville forklare den næsten samtidige udbredelse uden nogen koordinering mellem dem.
Proofpoints egen forklaring er den egentlige historie
At fire ubeslægtede, statstilknyttede grupper samler sig om én exploitkæde inden for tolv dage er ikke, hvordan denne kapacitet normalt spreder sig. Proofpoints egen vurdering kalder det "en forhastet udrulning snarere end en moden, langsigtet planlagt operation", og peger på en konkret sandsynlig årsag: AI-agenter, der sænker omkostningerne og kompetencebarrieren ved at bygge fungerende exploits ud fra en offentlig sårbarhedsoffentliggørelse. Forskerne nævner to mulige forklaringer, der ikke udelukker hinanden, en delt kommerciel exploit-mægler, der forsyner flere statslige kunder på samme tid, eller AI-understøttet udvikling, der lader hver gruppe bygge sin egen version hurtigt nok til at fremstå koordineret, selv uden kontakt mellem dem.
Begge forklaringer beskriver det samme skift: kløften mellem en sårbarhed, der bliver offentlig, og en fungerende exploit, der når flere hænder, blev tidligere målt i måneder. Her blev den målt i dage, på tværs af fire grupper uden kendt relation. Exploitkæden er hændelsen. Den komprimerede tidslinje er tendensen, og den vil overleve denne specifikke patch-cyklus.
Dette er ikke kun et problem for luftfart og minedrift
De hidtil navngivne mål ligger inden for luftfart, forsvar, minedrift, råvarehandel og myndighedsrådgivning uden for Europa, men den sårbare software er Chrome og Windows, installeret på stort set enhver desktop, en EU- eller UK-virksomhed kører. En kapacitet, der spredte sig til fire ubeslægtede, statstilknyttede grupper på under to uger, forbliver ikke begrænset til sine første mål, og de faldende omkostninger, Proofpoint beskriver, gælder for hvilken som helst branche eller region, en femte eller sjette gruppe beslutter at rette sig mod som det næste.
Det konkrete handlingspunkt overlever de specifikke CVE-numre: enhver organisation, der ikke var fuldt opdateret på Chromes stable-kanal og de nyeste Windows-sikkerhedsopdateringer, var eksponeret i næsten en måned, og NIS2's krav om hændelsesrapportering kræver allerede, at man ved, om den opdatering rent faktisk nåede hver eneste administrerede enhed, ikke blot at en opdatering blev udgivet. Hvis AI-understøttet exploit-udvikling fortsætter med at komprimere denne tidslinje, som Proofpoint antyder, er den praktiske kløft mellem en rettelse, der findes, og en rettelse, der rent faktisk beskytter, det tal, der betyder noget, ikke CVE-alvorlighedsscoren.
Læs videre: Google kaldte den medium. CISA gav 15 dage. | Chromes næste zero-day sendes til Bruxelles
