Una catena di exploit, quattro gruppi di spionaggio senza legami
Proofpoint ha rivelato il 9 settembre che quattro gruppi di hacker motivati dallo spionaggio, la maggior parte con un sospetto legame con la Cina, avevano adottato in modo indipendente la stessa catena di exploit nell'arco di dodici giorni, uno strumento nuovo che i ricercatori hanno chiamato BlueMoon. TA412, un attore sostenuto dallo stato cinese noto anche come JungleBamboo, Violet Typhoon e APT31, è stato osservato per la prima volta usarla il 28 agosto contro ONG statunitensi, aziende minerarie e società di commercio di materie prime. UNK_LateNight è seguito il 2 settembre contro obiettivi aerospaziali e della difesa statunitensi, UNK_DoubleCheck lo stesso giorno contro un produttore vietnamita, e UNK_QuietRacket il 3 settembre contro obiettivi governativi, di consulenza e finanziari in Indonesia e Singapore.
La catena combina due vulnerabilità di Chrome nel motore V8 del browser, un difetto di type confusion e una fuga dalla sandbox, con un bug di escalation dei privilegi nel kernel di Windows che colpisce le build più vecchie. Nessuno dei quattro gruppi sembra collaborare in senso convenzionale, i loro obiettivi, le regioni e gli strumenti precedenti non si sovrappongono. Ciò che condividono è una capacità vecchia di quattro settimane che tutti e quattro hanno adottato quasi simultaneamente.
La finestra che ha reso tutto questo possibile
La correzione di Chrome alla base è stata inserita nel codice open source di Chromium il 7 agosto. La versione con la patch non ha raggiunto il canale stable di Chrome, la versione che si aggiorna realmente sui dispositivi della maggior parte degli utenti, fino al 3 settembre.
| Data | Evento |
|---|---|
| 7 agosto | Correzione di Chrome inserita nel codice open source, visibile a chiunque la osservasse |
| 28 agosto | TA412 osservato per la prima volta mentre sfrutta il difetto, prima che esistesse la patch stable |
| Dal 2 al 3 settembre | Altri tre gruppi senza legami tra loro adottano la stessa catena di exploit |
| 3 settembre | Il Chrome con la patch raggiunge finalmente il canale di rilascio stable |
Quel divario di quasi quattro settimane tra una correzione pubblicata nel codice pubblico e una build con la patch che raggiunge gli utenti comuni è un rischio noto nei browser open source, e l'attività di TA412 del 28 agosto dimostra che è stata sfruttata come un vero zero-day prima ancora che la difesa di Chrome fosse disponibile da installare. I tre gruppi che sono seguiti nei primi giorni di settembre potrebbero aver costruito una propria versione a partire dalla stessa divulgazione pubblica invece di copiare direttamente TA412, il che spiegherebbe l'adozione quasi simultanea senza alcun coordinamento tra loro.
La spiegazione di Proofpoint è la vera notizia
Che quattro gruppi legati a stati e senza legami tra loro convergano su un'unica catena di exploit nell'arco di dodici giorni non è il modo abituale in cui questa capacità si diffonde. La valutazione di Proofpoint la definisce "una distribuzione affrettata piuttosto che un'operazione matura e pianificata a lungo termine", e indica una causa probabile precisa: agenti IA che abbassano il costo e la barriera di competenza necessari per costruire exploit funzionanti a partire da una divulgazione pubblica di vulnerabilità. I ricercatori indicano due possibili spiegazioni non reciprocamente esclusive, un broker commerciale di exploit condiviso che rifornisce più clienti statali contemporaneamente, oppure uno sviluppo assistito dall'IA che permette a ciascun gruppo di costruire la propria versione abbastanza in fretta da sembrare coordinato anche senza alcun contatto tra loro.
Entrambe le spiegazioni descrivono lo stesso cambiamento: il divario tra la divulgazione pubblica di una vulnerabilità e un exploit funzionante che raggiunge più mani si misurava un tempo in mesi. Qui si è misurato in giorni, tra quattro gruppi senza alcuna relazione nota. La catena di exploit è l'incidente. La tempistica compressa è la tendenza, e sopravviverà a questo specifico ciclo di patch.
Non è solo un problema per l'aerospaziale e il settore minerario
Gli obiettivi nominati finora si trovano nei settori aerospaziale, della difesa, minerario, del commercio di materie prime e della consulenza governativa fuori dall'Europa, ma il software vulnerabile è Chrome e Windows, installato su praticamente ogni desktop utilizzato da un'azienda dell'UE o del Regno Unito. Una capacità diffusasi a quattro gruppi legati a stati e senza legami tra loro in meno di due settimane non resta confinata ai suoi primi obiettivi, e il costo in calo descritto da Proofpoint si applica a qualsiasi settore o regione verso cui un quinto o un sesto gruppo decida di puntare in seguito.
L'azione concreta da intraprendere sopravvive ai numeri specifici dei CVE: qualsiasi organizzazione non pienamente aggiornata sul canale stable di Chrome e sugli ultimi aggiornamenti di sicurezza di Windows è rimasta esposta per quasi un mese, e gli obblighi di segnalazione degli incidenti della NIS2 richiedono già di sapere se quell'aggiornamento ha effettivamente raggiunto ogni dispositivo gestito, non solo che un aggiornamento sia stato pubblicato. Se lo sviluppo di exploit assistito dall'IA continua a comprimere questa tempistica come suggerisce Proofpoint, il divario pratico tra l'esistenza di una correzione e una correzione che protegge davvero è il dato che conta, non il punteggio di gravità del CVE.
Da leggere ora: Google l'ha detto medio. La CISA ha dato 15 giorni. | Il Prossimo Zero-Day di Chrome Finisce a Bruxelles
