Uma cadeia de exploits, quatro grupos de espionagem sem ligação entre si
A Proofpoint revelou a 9 de setembro que quatro grupos de piratas informáticos com motivação de espionagem, a maioria com suspeita de ligação à China, tinham adotado de forma independente a mesma cadeia de exploits num prazo de doze dias, uma ferramenta nova que os investigadores batizaram de BlueMoon. A TA412, um agente apoiado pelo estado chinês também conhecido como JungleBamboo, Violet Typhoon e APT31, foi observada pela primeira vez a usá-la a 28 de agosto contra ONG norte-americanas, empresas mineiras e casas de comércio de matérias-primas. A UNK_LateNight seguiu-se a 2 de setembro contra alvos aeroespaciais e de defesa dos Estados Unidos, a UNK_DoubleCheck no mesmo dia contra um fabricante vietnamita, e a UNK_QuietRacket a 3 de setembro contra alvos governamentais, de consultoria e financeiros na Indonésia e em Singapura.
A cadeia combina duas vulnerabilidades do Chrome no motor V8 do navegador, uma falha de type confusion e uma fuga da sandbox, com um erro de escalada de privilégios no kernel do Windows que afeta versões mais antigas. Nenhum dos quatro grupos parece estar a trabalhar em conjunto no sentido convencional, os seus alvos, regiões e ferramentas anteriores não se sobrepõem. O que partilham é uma capacidade com quatro semanas de existência que os quatro adotaram quase em simultâneo.
A janela que tornou isto possível
A correção subjacente do Chrome foi integrada no código open source do Chromium a 7 de agosto. A versão corrigida só chegou ao canal estável do Chrome, a versão que de facto é atualizada na maioria dos equipamentos dos utilizadores, a 3 de setembro.
| Data | Acontecimento |
|---|---|
| 7 de agosto | Correção do Chrome integrada no código open source, visível para quem estivesse atento |
| 28 de agosto | TA412 observada pela primeira vez a explorar a falha, antes de existir a correção estável |
| 2 a 3 de setembro | Mais três grupos sem ligação entre si adotam a mesma cadeia de exploits |
| 3 de setembro | O Chrome corrigido chega finalmente ao canal de lançamento estável |
Esse intervalo de quase quatro semanas entre uma correção publicada em código aberto e uma versão corrigida a chegar aos utilizadores comuns é um risco conhecido nos navegadores open source, e a atividade da TA412 a 28 de agosto mostra que a falha foi explorada como um autêntico dia zero antes mesmo de a própria defesa do Chrome estar disponível para instalação. Os três grupos que se seguiram no início de setembro podem ter construído a sua própria versão a partir da mesma divulgação pública em vez de copiarem diretamente a TA412, o que explicaria a adoção quase simultânea sem qualquer coordenação entre eles.
A própria explicação da Proofpoint é a verdadeira história
Quatro grupos ligados a estados e sem ligação entre si convergirem para uma única cadeia de exploits em doze dias não é a forma habitual como esta capacidade se costuma espalhar. A própria avaliação da Proofpoint chama-lhe "uma implementação apressada e não uma operação madura e planeada a longo prazo", e aponta uma causa provável concreta: agentes de IA que reduzem o custo e a barreira de competências necessários para construir exploits funcionais a partir de uma divulgação pública de vulnerabilidades. Os investigadores referem duas explicações possíveis que não se excluem mutuamente, um corretor comercial de exploits partilhado a fornecer vários clientes estatais ao mesmo tempo, ou desenvolvimento assistido por IA que permite a cada grupo construir a sua própria versão com rapidez suficiente para parecer coordenado mesmo sem qualquer contacto entre eles.
Qualquer uma das explicações descreve a mesma mudança: o intervalo entre uma vulnerabilidade tornar-se pública e um exploit funcional chegar a várias mãos costumava medir-se em meses. Aqui mediu-se em dias, entre quatro grupos sem relação conhecida. A cadeia de exploits é o incidente. O calendário comprimido é a tendência, e essa vai sobreviver a este ciclo de correções em particular.
Isto não é apenas um problema para o aeroespacial e a mineração
Os alvos nomeados até agora situam-se no aeroespacial, defesa, mineração, comércio de matérias-primas e consultoria governamental fora da Europa, mas o software vulnerável é o Chrome e o Windows, instalado em praticamente todos os computadores que uma empresa da UE ou do Reino Unido utiliza. Uma capacidade que se espalhou a quatro grupos ligados a estados e sem ligação entre si em menos de duas semanas não fica confinada aos seus primeiros alvos, e o custo decrescente que a Proofpoint descreve aplica-se a qualquer setor ou região para onde um quinto ou sexto grupo decida apontar a seguir.
A medida concreta a reter sobrevive aos números de CVE específicos: qualquer organização que não estivesse totalmente atualizada no canal estável do Chrome e nas últimas atualizações de segurança do Windows esteve exposta durante quase um mês, e as obrigações de notificação de incidentes da NIS2 já exigem saber se essa atualização chegou de facto a cada dispositivo gerido, não apenas que uma atualização foi publicada. Se o desenvolvimento de exploits assistido por IA continuar a comprimir este calendário como a Proofpoint sugere, o intervalo prático entre uma correção existir e uma correção proteger de facto é o número que importa, não a pontuação de gravidade do CVE.
Leia a seguir: A Google chamou-lhe médio. A CISA deu 15 dias. | O Próximo Zero-Day do Chrome Segue para Bruxelas
