Jeden łańcuch exploitów, cztery niepowiązane grupy szpiegowskie
Proofpoint ujawnił 9 września, że cztery odrębne grupy hakerskie o motywacji szpiegowskiej, w większości podejrzewane o powiązania z Chinami, niezależnie od siebie przyjęły ten sam łańcuch exploitów w ciągu dwunastu dni, nowe narzędzie, które badacze nazwali BlueMoon. TA412, aktor powiązany z chińskim państwem, znany także jako JungleBamboo, Violet Typhoon i APT31, po raz pierwszy zaobserwowano używający go 28 sierpnia przeciwko amerykańskim organizacjom pozarządowym, firmom górniczym i spółkom handlującym surowcami. UNK_LateNight dołączył 2 września, atakując amerykańskie cele z sektora lotniczego i obronnego, UNK_DoubleCheck tego samego dnia uderzył w wietnamskiego producenta, a UNK_QuietRacket 3 września zaatakował cele rządowe, doradcze i finansowe w Indonezji i Singapurze.
Łańcuch łączy dwie luki w silniku V8 przeglądarki Chrome, błąd type confusion i ucieczkę z piaskownicy, z błędem eskalacji uprawnień w jądrze Windows, który dotyczy starszych wersji. Żadna z czterech grup nie wydaje się współpracować w konwencjonalnym sensie, ich cele, regiony i wcześniejsze narzędzia się nie pokrywają. Łączy je zdolność sprzed czterech tygodni, którą wszystkie cztery przejęły niemal jednocześnie.
Okno, które to umożliwiło
Bazowa poprawka Chrome trafiła do otwartego kodu Chromium 7 sierpnia. Załatana wersja dotarła do kanału stabilnego Chrome, czyli wersji faktycznie aktualizowanej na większości urządzeń użytkowników, dopiero 3 września.
| Data | Wydarzenie |
|---|---|
| 7 sierpnia | Poprawka Chrome trafia do otwartego kodu, widoczna dla każdego, kto obserwował |
| 28 sierpnia | Pierwsza zaobserwowana próba wykorzystania luki przez TA412, zanim istniała stabilna poprawka |
| Od 2 do 3 września | Trzy kolejne, niepowiązane grupy przejmują ten sam łańcuch exploitów |
| 3 września | Załatany Chrome w końcu trafia do stabilnego kanału wydań |
Ta niemal czterotygodniowa luka między poprawką trafiającą do publicznego kodu a załataną wersją docierającą do zwykłych użytkowników to znane ryzyko w przeglądarkach open source, a aktywność TA412 z 28 sierpnia pokazuje, że luka została wykorzystana jako prawdziwy zero-day, zanim własna obrona Chrome była w ogóle dostępna do instalacji. Trzy grupy, które dołączyły na początku września, mogły zbudować własną wersję na podstawie tego samego publicznego ujawnienia, zamiast kopiować bezpośrednio TA412, co tłumaczyłoby niemal jednoczesne przyjęcie bez żadnej koordynacji między nimi.
Własne wyjaśnienie Proofpoint to prawdziwa historia
To, że cztery niepowiązane grupy powiązane z państwami zbiegają się na jednym łańcuchu exploitów w ciągu dwunastu dni, nie jest typowym sposobem, w jaki ta zdolność się rozprzestrzenia. Własna ocena Proofpoint nazywa to "pospiesznym wdrożeniem, a nie dojrzałą, długo planowaną operacją", i wskazuje konkretną prawdopodobną przyczynę: agentów SI, którzy obniżają koszt i próg umiejętności potrzebnych do zbudowania działającego exploita na podstawie publicznego ujawnienia luki. Badacze wymieniają dwa możliwe, wzajemnie się niewykluczające wyjaśnienia, wspólnego komercyjnego brokera exploitów zaopatrującego kilku klientów państwowych naraz, lub rozwój wspomagany przez SI, który pozwala każdej grupie zbudować własną wersję wystarczająco szybko, by wyglądać na skoordynowaną, nawet bez żadnego kontaktu między nimi.
Obie te wyjaśnienia opisują tę samą zmianę: luka między ujawnieniem podatności a działającym exploitem trafiającym w wiele rąk dawniej była mierzona w miesiącach. Tutaj zmierzono ją w dniach, w czterech grupach bez znanego powiązania. Łańcuch exploitów to incydent. Skompresowany harmonogram to trend, który przetrwa ten konkretny cykl poprawek.
To nie tylko problem lotnictwa i górnictwa
Wskazane dotychczas cele należą do sektorów lotniczego, obronnego, górniczego, handlu surowcami i doradztwa rządowego poza Europą, ale podatnym oprogramowaniem są Chrome i Windows, zainstalowane niemal na każdym komputerze, którego używa firma z UE lub Wielkiej Brytanii. Zdolność, która rozprzestrzeniła się na cztery niepowiązane grupy powiązane z państwami w niecałe dwa tygodnie, nie pozostaje ograniczona do swoich pierwszych celów, a malejący koszt opisywany przez Proofpoint dotyczy dowolnej branży czy regionu, w który piąta lub szósta grupa postanowi uderzyć w następnej kolejności.
Konkretne działanie do podjęcia przetrwa poszczególne numery CVE: każda organizacja, która nie była w pełni aktualna w kanale stabilnym Chrome i najnowszych aktualizacjach zabezpieczeń Windows, była narażona przez niemal miesiąc, a obowiązki zgłaszania incydentów wynikające z NIS2 już teraz wymagają wiedzy, czy ta aktualizacja rzeczywiście dotarła do każdego zarządzanego urządzenia, a nie tylko, że aktualizację opublikowano. Jeśli rozwój exploitów wspomagany przez SI będzie dalej kompresował ten harmonogram, jak sugeruje Proofpoint, to praktyczna luka między istnieniem poprawki a poprawką, która rzeczywiście chroni, jest liczbą, która się liczy, a nie oceną istotności CVE.
Czytaj dalej: Google nazwał to średnim. CISA dała 15 dni. | Kolejny dzień zerowy Chrome'a trafia do Brukseli
