Nuovo kit di attacco BlueMoon sfrutta vulnerabilità Chrome e Windows in un’era di esploitation AI

Quattro gruppi di attacco, tra cui alcuni con legami con il governo cinese, stanno utilizzando un nuovo kit di esploitation denominato BlueMoon, che sfrutta vulnerabilità in Chrome e Windows. L’attacco, rilevato da Proofpoint, ha iniziato il 28 agosto e ha colpito organizzazioni negli Stati Uniti e in Asia Sudorientale. Il kit sfrutta due vulnerabilità in V8, l’engine JavaScript di Google, e una vulnerabilità in Windows, tutte già patchate ma non completamente applicate ai browser pubblici. L’uso di AI sembra accelerare lo sviluppo e la diffusione di tali attacchi, riducendo i costi e le barriere per gli attaccanti.

Attacchi su organizzazioni USA e in Asia Sudorientale

Il gruppo TA412, un attore di spionaggio cinese, ha iniziato i primi attacchi il 28 agosto, mirando a organizzazioni non governative, aziende minerarie e società di commercio di beni fisici negli Stati Uniti. Altri gruppi, tra cui UNK_LateNight, UNK_DoubleCheck e UNK_QuietRacket, hanno seguito con attacchi su aziende aereospaziali statunitensi, un’azienda vietnamita e organizzazioni in Indonesia e Singapore. Gli attacchi utilizzano tecniche di phishing per indurre le vittime a cliccare su link dannosi, attivando vulnerabilità in Chrome e Windows per scaricare malware.

Vulnerabilità sfruttate e patch gap

Il kit BlueMoon sfrutta due vulnerabilità in V8, che permettono l’esecuzione di codice remoto e l’escape dal sandbox del browser. La vulnerabilità Windows, invece, consente l’escalation di privilegi, permettendo al malware di eseguirsi con diritti di sistema. Le vulnerabilità sono state patchate in Chrome e Windows, ma il loro utilizzo è stato possibile grazie al “patch gap”, un periodo in cui le patch non erano ancora applicate ai browser pubblici. Questo ha permesso agli attaccanti di sviluppare e diffondere rapidamente il kit, sfruttando le patch disponibili nel codice sorgente di Chromium.

Entrambe le vulnerabilità V8 erano ‘zero-day’ nel momento in cui si osservava l’attività. In altre parole, mentre erano vulnerabilità note e già corrette nel codice sorgente upstream di Chromium, rimanevano non patchate nelle versioni stabili di Chrome e browser basati su Chromium disponibili al pubblico. Questo ha creato una finestra di opportunità per gli attaccanti di sviluppare e diffondere rapidamente il kit BlueMoon.

Il kit è stato utilizzato da diversi gruppi, alcuni dei quali con legami con il governo cinese, e ha mostrato un’ampia diffusione. Gli attacchi hanno causato l’installazione di malware, tra cui estensioni browser malevole, backdoor e strumenti di sorveglianza. L’uso di AI sembra accelerare lo sviluppo di tali attacchi, riducendo i costi e le barriere per gli attaccanti. Questo modello di sviluppo rapido e sfruttamento del patch gap è probabilmente destinato a ripetersi. Il team di Proofpoint ha affermato che il modello di sviluppo rapido e sfruttamento del patch gap è probabilmente destinato a ripetersi, poiché diventa sempre più accessibile. L’espansione del kit BlueMoon potrebbe portare a ulteriori attacchi da parte di attori motivati da spionaggio o da interessi finanziari.