Набор эксплойтов BlueMoon для Chrome за несколько дней перешёл к четырём группам

Сценарий атаки почти всегда одинаков. Сначала человек получает письмо с правдоподобным поводом: приглашением на конференцию, запросом коммерческого предложения или вопросом о стажировке. Затем он переходит по ссылке на сайт, который контролируют злоумышленники. Там на несколько секунд открывается страница загрузки. В этот момент браузер незаметно атакуется. После этого человека перенаправляют на настоящий сайт, например на страницу реальной отраслевой конференции. Подмена остаётся незамеченной.

В цепочке используются три уязвимости. Две из них находятся в движке, который обрабатывает сценарии внутри браузера, а третья - в ядре Windows. Первая позволяет выполнить произвольный код, вторая обходит изоляцию браузера, третья повышает права программы в системе.

Показательно, что обе браузерные уязвимости уже были исправлены в открытом коде проекта Chromium. Однако исправления не успели попасть в стабильные сборки браузеров, доступные пользователям. По данным Proofpoint, это открыло почти четырёхнедельное окно, в течение которого злоумышленники могли изучать изменения в коде и готовить атаку. Такой разрыв между публикацией исправления и его доставкой до пользователей называют патч-гэпом. Третья уязвимость затрагивает только старые сборки Windows. Поэтому круг реальных целей заметно сужается.

Дополнительный признак указывает на спешную подготовку, а не на многолетнюю разработку. В коде остались подробные журналы работы, развёрнутые комментарии и заметки о прошлых ошибках. Сохранился даже отдельный документ с историей правок и объяснением принятых решений. Подобный набор артефактов обычно сопутствует разработке с участием систем искусственного интеллекта, хотя прямых доказательств этого нет. Кроме того, по умолчанию после успешной атаки загружается и запускается всего один исполняемый файл. Такой сценарий оставляет много следов для средств защиты. Следовательно, скорость внедрения здесь важнее скрытности.

Первым набор применил TA412 - группировка, которую связывают с Китаем. С 28 августа она атаковала неправительственные организации, горнодобывающие компании и торговые фирмы в США. Злоумышленники выдавали себя за студентов, ищущих стажировку, и за организаторов научной конференции. После заражения на компьютер попадало вредоносное расширение браузера, замаскированное под помощник Google Gemini. Расширение ведёт слежку, собирает учётные данные, читает содержимое вкладок, делает снимки экрана и записывает нажатия клавиш.

Второй эпизод начался 2 сентября. Группировка UNK_LateNight рассылала письма сотрудникам аэрокосмических компаний США. Темы писем касались запросов коммерческих предложений для оборонной отрасли. В результате на устройствах закреплялась программа удалённого доступа ShadowPad. Она похищает данные профилей браузера, перехватывает сетевой трафик и передаёт сведения на сервер управления.

Примерно тогда же группа UNK_DoubleCheck атаковала производителя во Вьетнаме. Письма приходили с поддельного адреса государственного ведомства Юго-Восточной Азии. Здесь набор эксплойтов впервые применили вместе с обфускацией - намеренным запутыванием кода. Третья группировка, UNK_QuietRacket, работала по государственным, консалтинговым и финансовым организациям Индонезии и Сингапура. Все её страницы были посвящены отраслевым конференциям.

Последствия таких атак выходят за рамки одного компьютера. Украденные учётные данные открывают доступ к корпоративной почте и внутренним системам. Снимки экрана и записи нажатий клавиш раскрывают переписку, коммерческие условия и техническую документацию. Для промышленных и торговых компаний это означает утрату переговорных позиций. Для государственных структур - утечку служебной информации.

Защита в этой ситуации строится на нескольких базовых мерах. В первую очередь нужно обновлять браузеры и операционную систему. Устаревшие сборки Windows лучше заменить, поскольку часть атак рассчитана именно на них. Далее следует ограничить права пользователей и запретить запуск посторонних программ из временных папок. Также полезно контролировать устанавливаемые расширения браузера и включить двухфакторную аутентификацию. Сотрудников стоит научить проверять отправителя и повод письма перед переходом по ссылке.

Ценность готового набора эксплойтов для браузера всегда была высокой. Теперь он доступен сразу нескольким группировкам и распространяется за считаные дни. Это говорит о снижении порога входа в разработку подобных инструментов. Открытый код крупных проектов ускоряет поиск ошибок и создаёт всё новые окна патч-гэпа. Схожая картина ранее наблюдалась вокруг почтовых и корпоративных платформ. Пока исправления доходят до пользователей с задержкой, такие наборы будут появляться снова.