Google'ın Tehdit Analiz Grubu (TAG), hedeflerin cihazlarına ticari casus yazılım ve kötü amaçlı uygulamalar yüklemek için Android, iOS ve Chrome Sıfır Gün ve N-Day güvenlik açıklarını kullanarak birkaç istismar zinciri keşfetti.
Saldırganlar, Kasım 2022'de tespit edilen ilk kampanyanın bir parçası olarak iOS ve Android kullanıcılarını ayrı istismar zincirleriyle hedef aldı.
Bit'i iterek metin mesajları kullandılar. Kurbanları İtalya, Malezya ve Kazakistan'dan meşru sevkiyat web sitelerine yönlendirmek için ilk olarak kısaltılmış bağlantıları ilk kez bir iOS Webkit Uzak Kod Yürütülmesi Zero-Day (CVE-20122-42856) istismarlarını tetikleyerek tetikleyerek gönderdikten sonra) ve bir sanal alan kaçışı (CVE-2021-30900) hata.
Meydan okulu iOS cihazlarında, tehdit aktörleri kurbanların yerini izlemelerine ve .ipa dosyalarını yüklemelerine izin veren bir yük bıraktı.
Aynı kampanyanın bir parçası olarak, bir android istismar zinciri de Krom GPU Sandbox Bypass Zero-Day (CVE-2022-4135) ile ARM GPU'ları içeren saldırı cihazlarına, bir ARM ayrıcalığı artış hatası (CVE-2022-38181), kullanıldı, ve bilinmeyen bir yüke sahip bir krom tipi karışıklık hatası (CVE-2022-3723).
"ARM, CVE-2022-38181 için bir düzeltme yayınladığında, Pixel, Samsung, Xiaomi, Oppo ve diğerleri de dahil olmak üzere birçok satıcı yamayı dahil etmedi, bu da saldırganların birkaç ay boyunca hatayı serbestçe kullanabildiği bir durumla sonuçlandı. "Google Tag'den Clément Lecigne.
Google Tag araştırmacıları, 0 gün ve N-Day birden fazla birden fazla kullanan Samsung Internet tarayıcı sürümlerini hedefleyen bir istismar zinciri bulduktan sonra Aralık 2022'de ikinci bir kampanya tespit edildi.
Birleşik Arap Emirlikleri'nden (BAE) hedefler, Heliconia sömürüsü çerçevesi için Variston paralı casus satıcısı tarafından oluşturulan ve aşağıdakiler de dahil olmak üzere uzun bir kusur listesini hedefleyen sayfaları kullanmaya yönlendirildi:
Sonunda, istismar zinciri, çok sayıda sohbet ve tarayıcı uygulamasından veri şifresini çözmek ve çıkarmak için tasarlanmış kütüphanelerle tamamlanan Android için C ++ tabanlı bir casus yazılım paketi uyguladı.
Her iki kampanya da son derece hedeflendi ve saldırganlar "düzeltme sürümü ile son kullanıcı cihazlarda tam olarak konuşlandırıldığında büyük zaman boşluğundan yararlandı" dedi Lecigne.
Diyerek şöyle devam etti: "Bu kampanyalar, gözetim satıcıları arasında istismarların ve tekniklerin paylaşıldığını ve tehlikeli hack aletlerinin çoğalmasını sağladığını gösterebilir."
Bu istismar zincirlerinin keşfi, Uluslararası Af Örgütü Güvenlik Laboratuvarı tarafından paylaşılan bulgular tarafından, saldırılarda kullanılan alanlar ve altyapı hakkında da bilgi yayınladı.
Uluslararası Af Örgütü bugün ayrı bir raporda, "Yeni keşfedilen casus yazılım kampanyası en az 2020'den beri aktif ve Google’ın Android işletim sistemi kullanıcıları da dahil olmak üzere hedeflenen mobil ve masaüstü cihazları hedef aldı."
"Casus yazılımlar ve sıfır gün istismarları, birden fazla ülkede medya web sitelerini sahte alan alan adları da dahil olmak üzere 1000'den fazla kötü niyetli alandan oluşan geniş bir ağdan teslim edildi."
Bu, paralı casus yazılım pazarına dikkat etmek ve araçlarını insan hakları ve siyasi aktivistlerin, gazetecilerin, politikacıların ve diğer yüksek olan diğer yüksek cihazlara kurmak için sömürdükleri sıfır gün güvenlik açıklarını izlemek için devam eden bir çabanın bir parçasıdır. Dünya çapında risk kullanıcıları.
Google, Mayıs 2022'de, dünya çapında hükümet destekli tehdit aktörlerine gözetim yetenekleri veya istismarları sattığı bilinen değişken seviyelerde kamuya maruz kalma ve sofistike olan 30'dan fazla satıcıyı aktif olarak izlediğini söyledi.
Kasım 2022'de Google Tag araştırmacıları, Heliconia olarak bilinen bir istismar çerçevesini bağladığını ve Chrome, Firefox ve Microsoft Defender güvenlik açıklarını Variston IT İspanyol yazılım şirketine hedeflediğini açıkladı.
Haziran 2022'de, bazı İnternet servis sağlayıcıları (ISS), Google'a göre İtalyan casus yazılım satıcısı RCS Labs'ın İtalya ve Kazakistan'daki Android ve iOS kullanıcılarının cihazlarını ticari gözetim araçlarıyla bulaşmasına yardımcı oldu.
Bir ay önce, devlet destekli saldırganların Cytrox tarafından geliştirilen Predator casus yazılımlarını kurmak için beş sıfır gün sömürdüğü Google Tag tarafından başka bir gözetim kampanyası getirildi.
GÜNCELLEME 29 Mart 10:12 EDT: Uluslararası Af Örgütü raporundan daha fazla bilgi eklendi.
Bilgisayar korsanları Pwn2own Vancouver'da sömürülen 27 sıfır gün için 1.035.000 dolar kazanıyor
Microsoft Teams, Virtualbox, Tesla Zero-Days Pwn2Oown'da sömürüldü
Apple düzeltmeleri yakın zamanda eski iPhone'larda Webkit Zero Day'i açıkladı
Android, iOS'ta yerleşik Microsoft 365 MFA almak için Outlook uygulaması
Bilgisayar korsanları, Windows, Android kötü amaçlı yazılımları itmek için sahte chatgpt uygulamalarını kullanır
Kaynak: Bleeping Computer