Οι ερευνητές της ESET εντόπισαν μια άγνωστη μέχρι σήμερα ευπάθεια, CVE-2024-9680, σε προϊόντα της Mozilla, την οποία εκμεταλλεύεται η ομάδα προηγμένης επίμονης απειλής (APT) RomCom που συνδέεται με τη Ρωσία. Περαιτέρω ανάλυση αποκάλυψε μια άλλη ευπάθεια zero-day στα Windows: ένα σφάλμα κλιμάκωσης προνομίων, που ονομάστηκε CVE-2024-49039. Σε μια επιτυχημένη επίθεση, εάν το θύμα περιηγηθεί σε μια ιστοσελίδα που περιέχει το exploit, ο επιτιθέμενος μπορεί να εκτελέσει αυθαίρετο κώδικα - χωρίς να απαιτείται καμία αλληλεπίδραση με το χρήστη (zero click) - που στην προκειμένη περίπτωση οδηγεί στην εγκατάσταση της κερκόπορτας της ομάδας RomCom στον υπολογιστή του θύματος. Το backdoor που χρησιμοποιείται είναι ικανό να εκτελεί εντολές και να κατεβάζει πρόσθετα modules στον υπολογιστή του θύματος. Η κρίσιμη ευπάθεια που σχετίζεται με τη Mozilla και ανιχνεύτηκε από την ESET Research στις 8 Οκτωβρίου έχει βαθμολογία CVSS 9,8 σε κλίμακα από 0 έως 10. Το 2024, η ομάδα RomCom επιτέθηκε στην Ουκρανία και σε άλλες ευρωπαϊκές χώρες, καθώς και στις Ηνωμένες Πολιτείες. Σύμφωνα με την τηλεμετρία της ESET, από τις 10 Οκτωβρίου 2024 έως τις 4 Νοεμβρίου 2024, τα δυνητικά θύματα που επισκέφθηκαν ιστοσελίδες που φιλοξενούσαν το exploit βρίσκονταν κυρίως στην Ευρώπη και τη Βόρεια Αμερική.
Στις 8 Οκτωβρίου 2024, οι ερευνητές της ESET ανίχνευσαν την ευπάθεια CVE-2024-9680. Πρόκειται για ένα σφάλμα use-after-free στη λειτουργία timeline animation του Firefox. Η Mozilla επιδιόρθωσε την ευπάθεια στις 9 Οκτωβρίου 2024. Περαιτέρω ανάλυση αποκάλυψε μια άλλη ευπάθεια zero-day, στα Windows: ένα σφάλμα κλιμάκωσης προνομίων, η οποία ονομάστηκε CVE 2024 49039, που επιτρέπει σε κώδικα να εκτελείται εκτός του sandbox του Firefox. Η Microsoft κυκλοφόρησε μια επιδιόρθωση για αυτή τη δεύτερη ευπάθεια στις 12 Νοεμβρίου 2024.
Η ευπάθεια CVE-2024-9680 που εντοπίστηκε στις 8 Οκτωβρίου επιτρέπει σε ευάλωτες εκδόσεις του Firefox, του Thunderbird και του Tor Browser να εκτελούν κώδικα στο περιορισμένο πλαίσιο του προγράμματος περιήγησης. Σε συνδυασμό με την προηγουμένως άγνωστη ευπάθεια στα Windows, CVE-2024-49039, η οποία έχει βαθμολογία CVSS 8,8, μπορεί να εκτελεστεί αυθαίρετος κώδικας στο πλαίσιο του συνδεδεμένου χρήστη. Η σύνδεση δύο ευπαθειών zero-day εξόπλισε την ομάδα RomCom με ένα exploit που δεν απαιτεί καμία αλληλεπίδραση του χρήστη. Αυτό το επίπεδο πολυπλοκότητας καταδεικνύει την πρόθεση και τα μέσα του δράστη της απειλής να αποκτήσει ή να αναπτύξει κρυφές δυνατότητες. Επιπλέον, οι επιτυχείς προσπάθειες εκμετάλλευσης απέδωσαν την κερκόπορτα RomCom σε μια εκστρατεία που φαίνεται να είναι ευρέως διαδεδομένη.
Η ομάδα APT RomCom (επίσης γνωστή ως Storm-0978, Tropical Scorpius ή UNC2596) είναι μια ομάδα που συνδέεται με τη Ρωσία και διεξάγει τόσο ευκαιριακές εκστρατείες εναντίον επιλεγμένων επιχειρηματικών τομέων όσο και στοχευμένες επιχειρήσεις κατασκοπείας. Η εστίαση της ομάδας έχει μετατοπιστεί και περιλαμβάνει επιχειρήσεις κατασκοπείας για τη συλλογή πληροφοριών, παράλληλα με τις πιο συμβατικές επιχειρήσεις ηλεκτρονικού εγκλήματος. Το 2024, η ESET ανακάλυψε επιχειρήσεις κυβερνοκατασκοπείας και κυβερνοεγκλήματος της RomCom εναντίον κρατικών φορέων, του αμυντικού και ενεργειακού τομέα στην Ουκρανία, του φαρμακευτικού και του ασφαλιστικού τομέα στις ΗΠΑ, του νομικού τομέα στη Γερμανία και κρατικών φορέων στην Ευρώπη.
«Η εκστρατεία αποτελείται από μια ψεύτικη ιστοσελίδα που κατευθύνει το πιθανό θύμα στον διακομιστή που φιλοξενεί το exploit, και αν το exploit πετύχει, εκτελείται shellcode που κατεβάζει και εκτελεί το backdoor RomCom. Αν και δε γνωρίζουμε πώς διανέμεται ο σύνδεσμος προς την ψεύτικη ιστοσελίδα, ωστόσο, αν κάποιος επισκεφτεί τη σελίδα χρησιμοποιώντας ένα ευάλωτο πρόγραμμα περιήγησης, ένα ωφέλιμο φορτίο φορτώνεται και εκτελείται στον υπολογιστή του θύματος χωρίς να απαιτείται αλληλεπίδραση από τον χρήστη», αναφέρει ο ερευνητής της ESET Damien Schaeffer, ο οποίος ανακάλυψε και τις δύο ευπάθειες. «Θα θέλαμε να ευχαριστήσουμε την ομάδα της Mozilla για την πολύ καλή ανταπόκρισή της και να τονίσουμε την εντυπωσιακή εργασιακή της ηθική που την οδήγησε να κυκλοφορήσει ένα patch μέσα σε μία ημέρα». Κάθε ευπάθεια διορθώθηκε από τη Mozilla και τη Microsoft.
Αυτή είναι τουλάχιστον η δεύτερη φορά που η ομάδα APT RomCom βρέθηκε να εκμεταλλεύεται μια σημαντική ευπάθεια zero-day, μετά την εκμετάλλευση της ευπάθειας CVE-2023-36884 μέσω του Microsoft Word τον Ιούνιο του 2023.
Για λεπτομερή ενημέρωση και τεχνική ανάλυση των ευπαθειών που εντοπίστηκαν, ανατρέξτε στο τελευταίο blogpost της ESET Research «RomCom exploits Firefox and Windows zero days in the wild» στο WeLiveSecurity.com. Βεβαιωθείτε ότι ακολουθείτε την ESET Research στο Twitter (σήμερα γνωστό ως X) για τα τελευταία νέα.
Σχετικά με την ESET
Εδώ και 30 χρόνια, η ESET® αναπτύσσει λογισμικό και υπηρεσίες κορυφαίου επιπέδου για την ασφάλεια επιχειρήσεων και καταναλωτών σε όλο τον κόσμο. Οι λύσεις της ESET, που καλύπτουν ένα ευρύ φάσμα, από την προστασία endpoint και mobile, έως την κρυπτογράφηση και την πιστοποίηση διπλού παράγοντα, διακρίνονται για τις υψηλές επιδόσεις και την ευκολία στη χρήση, προσφέροντας σε καταναλωτές και επιχειρήσεις την ευκαιρία να απολαμβάνουν με ξεγνοιασιά όλες τις δυνατότητες της τεχνολογίας τους. Η ESET προστατεύει και παρακολουθεί όλο το 24ωρο αθόρυβα, προσαρμόζοντας και ανανεώνοντας τις άμυνες της σε πραγματικό χρόνο, ώστε οι χρήστες να είναι ασφαλείς και οι επιχειρήσεις να λειτουργούν αδιάκοπα. Οι απειλές μεταβάλλονται διαρκώς και απαιτούν μια εταιρεία IT ασφάλειας που μπορεί να εξελίσσεται. Διαθέτει παγκοσμίως κέντρα R&D που την υποστηρίζουν, και αποτελεί την πρώτη εταιρεία ασφάλειας IT που έχει φτάσει τον αριθμό των 100 βραβείων Virus Bulletin VB100, χωρίς να έχει χάσει ούτε ένα «in-the-wild» ιό από το 2003. Η ESET διαθέτει τοπικά γραφεία σε Αθήνα και Λευκωσία, καθώς κι ένα εκτεταμένο δίκτυο συνεργατών σε Ελλάδα και Κύπρο. Για περισσότερες πληροφορίες επισκεφθείτε το www.eset.com/gr.
Μάθετε πρώτοι τα νέα της ESET Hellas: