En exploitkedja, fyra obesläktade spionagegrupper
Proofpoint avslöjade den 9 september att fyra separata, spionagemotiverade hackargrupper, de flesta med misstänkt koppling till Kina, oberoende av varandra hade börjat använda samma exploitkedja inom en period på tolv dagar, ett nytt verktyg som forskarna kallade BlueMoon. TA412, en aktör med stöd av kinesiska staten även känd som JungleBamboo, Violet Typhoon och APT31, observerades först använda den den 28 augusti mot amerikanska ideella organisationer, gruvbolag och råvaruhandelsföretag. UNK_LateNight följde den 2 september mot amerikanska flyg- och försvarsmål, UNK_DoubleCheck samma dag mot en vietnamesisk tillverkare, och UNK_QuietRacket den 3 september mot myndighets-, konsult- och finansmål i Indonesien och Singapore.
Kedjan kombinerar två Chrome-sårbarheter i webbläsarens V8-motor, ett type confusion-fel och en sandbox-flykt, med en Windows-kärnbugg för behörighetseskalering som drabbar äldre versioner. Ingen av de fyra grupperna verkar samarbeta i konventionell mening, deras mål, regioner och tidigare verktyg överlappar inte. Det de delar är en fyra veckor gammal förmåga som alla fyra tog till sig nästan samtidigt.
Fönstret som gjorde detta möjligt
Den underliggande Chrome-rättningen checkades in i Chromiums öppna källkod den 7 augusti. Den patchade versionen nådde inte Chromes stable-kanal, den version som faktiskt uppdateras på de flesta användares datorer, förrän den 3 september.
| Datum | Händelse |
|---|---|
| 7 augusti | Chrome-rättning checkas in i öppen källkod, synlig för alla som höll koll |
| 28 augusti | TA412 observeras för första gången utnyttja felet, innan den stabila rättningen fanns |
| 2 till 3 september | Tre ytterligare, obesläktade grupper börjar använda samma exploitkedja |
| 3 september | Den patchade Chrome når äntligen stable-utgivningskanalen |
Det nästan fyra veckor långa glappet mellan en rättning som landar i publik kod och en patchad version som når vanliga användare är en känd risk i webbläsare med öppen källkod, och TA412:s aktivitet den 28 augusti visar att felet utnyttjades som en äkta zero-day innan Chromes eget skydd ens gick att installera. De tre grupper som följde i början av september kan ha byggt sin egen version utifrån samma publika avslöjande i stället för att kopiera TA412 direkt, vilket skulle förklara den nästan samtidiga spridningen utan någon samordning mellan dem.
Proofpoints egen förklaring är den egentliga nyheten
Att fyra obesläktade, statskopplade grupper konvergerar mot en enda exploitkedja inom tolv dagar är inte hur denna förmåga normalt sprids. Proofpoints egen bedömning kallar det "en förhastad utrullning snarare än en mogen, långsiktigt planerad operation", och pekar på en konkret trolig orsak: AI-agenter som sänker kostnaden och kompetenströskeln för att bygga fungerande exploits utifrån en publik sårbarhetsrapport. Forskarna nämner två möjliga förklaringar som inte utesluter varandra, en delad kommersiell exploitmäklare som förser flera statliga kunder samtidigt, eller AI-understödd utveckling som låter varje grupp bygga sin egen version tillräckligt snabbt för att verka samordnad, även utan kontakt mellan dem.
Båda förklaringarna beskriver samma förändring: glappet mellan att en sårbarhet blir publik och en fungerande exploit når flera händer brukade mätas i månader. Här mättes det i dagar, över fyra grupper utan känd relation. Exploitkedjan är händelsen. Den komprimerade tidslinjen är trenden, och den kommer att överleva denna specifika patchcykel.
Detta är inte bara ett problem för flyg och gruvdrift
De mål som namngivits hittills finns inom flyg, försvar, gruvdrift, råvaruhandel och myndighetsrådgivning utanför Europa, men den sårbara programvaran är Chrome och Windows, installerad på i stort sett varje dator som ett EU- eller Storbritannien-baserat företag använder. En förmåga som spreds till fyra obesläktade, statskopplade grupper på under två veckor stannar inte vid sina första mål, och den fallande kostnaden som Proofpoint beskriver gäller vilken bransch eller region som helst som en femte eller sjätte grupp väljer att rikta in sig på härnäst.
Den konkreta åtgärden överlever de specifika CVE-numren: varje organisation som inte var helt uppdaterad på Chromes stable-kanal och de senaste Windows-säkerhetsuppdateringarna var exponerad i nästan en månad, och NIS2:s krav på incidentrapportering kräver redan att man vet om den uppdateringen faktiskt nådde varje hanterad enhet, inte bara att en uppdatering publicerades. Om AI-understödd exploitutveckling fortsätter att komprimera denna tidslinje som Proofpoint antyder, är det praktiska glappet mellan att en rättning finns och en rättning som faktiskt skyddar det tal som spelar roll, inte CVE-allvarlighetsgraden.
Läs vidare: Google kallade den medel. CISA gav 15 dagar. | Chromes nästa zero-day skickas till Bryssel
