Een exploitketen, vier onafhankelijke spionagegroepen
Proofpoint maakte op 9 september bekend dat vier afzonderlijke, door spionage gedreven hackersgroepen, de meeste met een vermoede band met China, onafhankelijk van elkaar binnen een periode van twaalf dagen dezelfde exploitketen hadden overgenomen, een nieuw hulpmiddel dat de onderzoekers BlueMoon noemden. TA412, een door de Chinese staat gesteunde actor ook bekend als JungleBamboo, Violet Typhoon en APT31, werd voor het eerst waargenomen op 28 augustus tegen Amerikaanse ngo's, mijnbouwbedrijven en handelaren in grondstoffen. UNK_LateNight volgde op 2 september tegen Amerikaanse doelwitten in de lucht- en ruimtevaart en defensie, UNK_DoubleCheck dezelfde dag tegen een Vietnamese fabrikant, en UNK_QuietRacket op 3 september tegen overheids-, advies- en financiële doelwitten in Indonesië en Singapore.
De keten combineert twee Chrome-kwetsbaarheden in de V8-engine van de browser, een type-confusionfout en een sandbox-ontsnapping, met een fout in de Windows-kernel voor rechtenverhoging die oudere builds treft. Geen van de vier groepen lijkt op conventionele wijze samen te werken, hun doelwitten, regio's en eerdere hulpmiddelen overlappen niet. Wat ze delen is een vier weken oud vermogen dat alle vier bijna gelijktijdig oppikten.
Het venster dat dit mogelijk maakte
De onderliggende Chrome-fix werd op 7 augustus vastgelegd in de opensourcecode van Chromium. De gepatchte versie bereikte pas op 3 september het stable-releasekanaal van Chrome, de versie die op de meeste apparaten van gebruikers daadwerkelijk wordt bijgewerkt.
| Datum | Gebeurtenis |
|---|---|
| 7 augustus | Chrome-fix vastgelegd in opensourcecode, zichtbaar voor iedereen die meekeek |
| 28 augustus | TA412 voor het eerst waargenomen bij het misbruiken van de fout, voordat de stable-patch bestond |
| 2 tot 3 september | Drie andere, onafhankelijke groepen nemen dezelfde exploitketen over |
| 3 september | De gepatchte Chrome bereikt eindelijk het stable-releasekanaal |
Dat bijna vier weken durende gat tussen een fix die in publieke code belandt en een gepatchte build die gewone gebruikers bereikt, is een bekend risico bij opensourcebrowsers, en de activiteit van TA412 op 28 augustus toont dat de fout als echte zero-day werd misbruikt nog voordat Chromes eigen verdediging zelfs maar te installeren was. De drie groepen die begin september volgden, hebben mogelijk hun eigen versie gebouwd op basis van dezelfde publieke openbaarmaking in plaats van TA412 rechtstreeks te kopiëren, wat de bijna gelijktijdige overname zonder enige onderlinge afstemming zou verklaren.
Proofpoints eigen verklaring is het echte verhaal
Dat vier onafhankelijke, aan staten gelieerde groepen binnen twaalf dagen uitkomen bij dezelfde exploitketen is niet hoe dit vermogen zich normaal verspreidt. Proofpoints eigen inschatting noemt het "een overhaaste inzet in plaats van een volwassen, langdurig geplande operatie", en wijst op een specifieke waarschijnlijke oorzaak: AI-agenten die de kosten en de benodigde vaardigheid verlagen om werkende exploits te bouwen vanuit een publieke kwetsbaarheidsmelding. De onderzoekers noemen twee mogelijke verklaringen die elkaar niet uitsluiten, een gedeelde commerciële exploitmakelaar die meerdere staatsklanten tegelijk bedient, of AI-ondersteunde ontwikkeling waardoor elke groep snel genoeg zijn eigen versie kan bouwen om gecoördineerd te lijken, zelfs zonder contact tussen hen.
Beide verklaringen beschrijven dezelfde verschuiving: het gat tussen het openbaar worden van een kwetsbaarheid en een werkende exploit die meerdere handen bereikt, werd vroeger gemeten in maanden. Hier werd het gemeten in dagen, over vier groepen zonder bekende onderlinge relatie. De exploitketen is het incident. Het samengeperste tijdsbestek is de trend, en die zal deze specifieke patchcyclus overleven.
Dit is niet alleen een probleem voor de lucht- en ruimtevaart en mijnbouw
De tot nu toe genoemde doelwitten bevinden zich in de lucht- en ruimtevaart, defensie, mijnbouw, grondstoffenhandel en overheidsadvies buiten Europa, maar de kwetsbare software is Chrome en Windows, geïnstalleerd op vrijwel elk bureaublad dat een EU- of Britse onderneming gebruikt. Een vermogen dat zich in minder dan twee weken verspreidde naar vier onafhankelijke, aan staten gelieerde groepen blijft niet beperkt tot de eerste doelwitten, en de dalende kosten die Proofpoint beschrijft gelden voor welke sector of regio dan ook waarop een vijfde of zesde groep vervolgens besluit te richten.
De concrete actie overleeft de specifieke CVE-nummers: elke organisatie die niet volledig up-to-date was met het stable-kanaal van Chrome en de nieuwste Windows-beveiligingsupdates, was bijna een maand lang blootgesteld, en de meldplicht voor incidenten onder NIS2 vereist nu al te weten of die update daadwerkelijk elk beheerd apparaat heeft bereikt, niet alleen dat er een update is uitgebracht. Als AI-ondersteunde exploitontwikkeling dit tijdsbestek blijft inkorten zoals Proofpoint suggereert, is het praktische gat tussen het bestaan van een fix en een fix die daadwerkelijk beschermt het cijfer dat telt, niet de CVE-ernstscore.
Lees hierna: Google noemde het gemiddeld. De CISA gaf 15 dagen. | Chrome's Volgende Zero-Day Gaat naar Brussel
