Eine Exploit-Kette, vier unabhängige Spionagegruppen
Proofpoint legte am 9. September offen, dass vier unabhängige, spionagemotivierte Hackergruppen, die meisten mit vermutetem China-Bezug, innerhalb von zwölf Tagen unabhängig voneinander dieselbe Exploit-Kette übernommen hatten, ein neues Werkzeug, das die Forscher BlueMoon nannten. TA412, ein chinesischer staatlich gestützter Akteur, der auch als JungleBamboo, Violet Typhoon und APT31 bekannt ist, wurde erstmals am 28. August beim Einsatz gegen US-NGOs, Bergbauunternehmen und Rohstoffhändler beobachtet. UNK_LateNight folgte am 2. September gegen US-Luftfahrt- und Verteidigungsziele, UNK_DoubleCheck am selben Tag gegen einen vietnamesischen Hersteller, und UNK_QuietRacket am 3. September gegen Regierungs-, Beratungs- und Finanzziele in Indonesien und Singapur.
Die Kette kombiniert zwei Chrome-Schwachstellen in der V8-Engine des Browsers, einen Type-Confusion-Fehler und eine Sandbox-Umgehung, mit einem Windows-Kernel-Fehler zur Rechteausweitung, der ältere Builds betrifft. Keine der vier Gruppen scheint im herkömmlichen Sinne zusammenzuarbeiten, ihre Ziele, Regionen und bisherigen Werkzeuge überschneiden sich nicht. Was sie verbindet, ist eine vier Wochen alte Fähigkeit, die alle vier fast gleichzeitig aufgriffen.
Das Zeitfenster, das dies möglich machte
Der zugrunde liegende Chrome-Fix wurde am 7. August in den Open-Source-Code von Chromium eingespielt. Die gepatchte Version erreichte den Stable-Release-Kanal von Chrome, also die Version, die auf den meisten Nutzergeräten tatsächlich aktualisiert wird, erst am 3. September.
| Datum | Ereignis |
|---|---|
| 7. August | Chrome-Fix im Open-Source-Code eingespielt, sichtbar für jeden, der mitliest |
| 28. August | TA412 erstmals bei der Ausnutzung der Schwachstelle beobachtet, bevor der Stable-Patch existierte |
| 2. bis 3. September | Drei weitere, nicht verbundene Gruppen übernehmen dieselbe Exploit-Kette |
| 3. September | Der gepatchte Chrome erreicht schließlich den Stable-Release-Kanal |
Diese fast vierwöchige Lücke zwischen einem Fix im öffentlichen Code und einem gepatchten Build, der gewöhnliche Nutzer erreicht, ist ein bekanntes Risiko bei Open-Source-Browsern, und TA412s Aktivität am 28. August zeigt, dass die Lücke als echter Zero-Day ausgenutzt wurde, noch bevor Chromes eigene Verteidigung überhaupt installierbar war. Die drei Gruppen, die Anfang September folgten, haben ihre eigene Version möglicherweise aus derselben öffentlichen Offenlegung gebaut, statt TA412 direkt zu kopieren, was die nahezu gleichzeitige Übernahme ohne jede Abstimmung zwischen ihnen erklären würde.
Proofpoints eigene Erklärung ist die eigentliche Geschichte
Dass vier unabhängige, staatlich verbundene Gruppen innerhalb von zwölf Tagen auf eine einzige Exploit-Kette zusteuern, ist nicht die übliche Art, wie sich diese Fähigkeit verbreitet. Proofpoints eigene Einschätzung nennt es "eine überstürzte Bereitstellung statt einer ausgereiften, langfristig geplanten Operation", und verweist auf eine konkrete wahrscheinliche Ursache: KI-Agenten, die die Kosten und die nötigen Fähigkeiten senken, um aus einer öffentlichen Schwachstellenmeldung einen funktionierenden Exploit zu bauen. Die Forscher nennen zwei mögliche, einander nicht ausschließende Erklärungen, einen gemeinsamen kommerziellen Exploit-Broker, der mehrere staatliche Kunden gleichzeitig beliefert, oder KI-gestützte Entwicklung, die es jeder Gruppe erlaubt, ihre eigene Version schnell genug zu bauen, um koordiniert zu wirken, obwohl kein Kontakt zwischen ihnen bestand.
Beide Erklärungen beschreiben denselben Wandel: Die Zeitspanne zwischen der Veröffentlichung einer Schwachstelle und einem funktionierenden Exploit in mehreren Händen wurde früher in Monaten gemessen. Hier waren es Tage, über vier Gruppen hinweg ohne bekannte Verbindung untereinander. Die Exploit-Kette ist der Vorfall. Der komprimierte Zeitrahmen ist der Trend, und der wird diesen einzelnen Patch-Zyklus überdauern.
Das ist nicht nur ein Problem für Luftfahrt und Bergbau
Die bisher genannten Ziele liegen in Luftfahrt, Verteidigung, Bergbau, Rohstoffhandel und Regierungsberatung außerhalb Europas, doch die verwundbare Software ist Chrome und Windows, installiert auf praktisch jedem Desktop, den ein EU- oder UK-Unternehmen betreibt. Eine Fähigkeit, die sich in weniger als zwei Wochen auf vier unabhängige, staatlich verbundene Gruppen ausgebreitet hat, bleibt nicht auf ihre ersten Ziele beschränkt, und die sinkenden Kosten, die Proofpoint beschreibt, gelten für jede Branche oder Region, auf die eine fünfte oder sechste Gruppe als nächstes zielt.
Der konkrete Handlungsbedarf überdauert die einzelnen CVE-Nummern: Jede Organisation, die nicht vollständig auf dem aktuellen Stable-Kanal von Chrome und den neuesten Windows-Sicherheitsupdates war, war fast einen Monat lang exponiert, und die Meldepflichten von NIS2 verlangen bereits zu wissen, ob dieses Update tatsächlich jedes verwaltete Gerät erreicht hat, nicht nur, dass ein Update veröffentlicht wurde. Wenn KI-gestützte Exploit-Entwicklung diesen Zeitrahmen weiter so verkürzt, wie Proofpoint es nahelegt, dann zählt die praktische Lücke zwischen einem existierenden Fix und einem tatsächlich schützenden Fix, nicht der CVE-Schweregrad.
Weiterlesen: Google nannte es Medium. Die CISA gab 15 Tage. | Chromes nächster Zero-Day geht nach Brüssel
