Diversi gruppi di hacker hanno utilizzato lo stesso malware per Chrome nell'arco di una settimana: cosa significa?
Scopri perché diversi gruppi di hacker utilizzano lo stesso malware per Chrome in una sola settimana. Comprendi i rischi reali, il loro impatto sulla tua sicurezza digitale e come proteggere i tuoi dati.
Le cose più importanti che devi sapere
- I gruppi di hacker sfruttano la "lacuna" tra la correzione di Google per le vulnerabilità di Chromium e gli aggiornamenti del browser, e l'intelligenza artificiale ha accelerato la scoperta delle vulnerabilità, abbassando la soglia di accesso per lo sviluppo di exploit.
- Il malware BlueMoon includeva lo sfruttamento di due vulnerabilità critiche nel motore Chromium V8 (una con un livello di gravità di 8.8/10) e una vulnerabilità di buffer overflow di Windows che consentiva l'escalation dei privilegi a SYSTEM.
- Gli utenti dovrebbero aggiornare immediatamente i propri sistemi operativi e browser basati su Chromium per garantire la protezione contro le vulnerabilità recentemente corrette.
Gli esperti hanno avvertito che quattro gruppi di hacker, alcuni con legami con il governo cinese, sono stati visti utilizzare esattamente lo stesso exploit kit nell'arco di una sola settimana, il che suggerisce una sorta di "paura di perdersi qualcosa" (FOMO) tra i criminali.
I ricercatori di sicurezza di Proofpoint hanno rivelato i dettagli di BlueMoon, un pacchetto di exploit che sfrutta tre vulnerabilità di sicurezza : due in Chromium e una nelle versioni precedenti di Windows, tra cui: Windows 10 (aggiornamento di ottobre 2018), Windows Server 2019, Windows 10 2004, Windows Server 2022 e la versione iniziale di Windows 11.
Questo pacchetto di exploit è stato osservato per la prima volta il 28 agosto 2026, utilizzato da un gruppo di hacker noto come TA412, un gruppo sponsorizzato dallo stato cinese che in passato ha preso di mira aziende che utilizzano Microsoft SharePoint. TA412, noto anche come Violet Typhoon, ha utilizzato BlueMoon "per colpire ripetutamente un piccolo numero di organizzazioni non governative (ONG) statunitensi, società minerarie e società di trading di materie prime fisiche".
Poco dopo, sono stati identificati altri tre gruppi: UNK_LateNight, un altro gruppo di spionaggio sostenuto dalla Cina che ha preso di mira diverse aziende aerospaziali statunitensi; UNK_DoubleCheck, un gruppo che ha preso di mira un'azienda manifatturiera in Vietnam; e UNK_QuietRacket, un gruppo di hacker che ha preso di mira organizzazioni a Singapore e in Indonesia.
Ciò che accomuna tutti questi gruppi è lo scarso impegno profuso nel nascondere le proprie attività. Questo è insolito, poiché un approccio occulto in genere garantisce che una vulnerabilità possa essere sfruttata per un periodo più lungo.
La corsa allo sfruttamento delle vulnerabilità di Chromium
Il malware BlueMoon sfrutta tre vulnerabilità di sicurezza: due in Chromium e una nelle versioni precedenti di Windows. Le vulnerabilità di Chromium sono state scoperte in V8, il motore JavaScript utilizzato dai browser per consentire alle applicazioni di funzionare in modo efficiente. La prima vulnerabilità è un errore di "sovrapposizione di specie", identificato con il codice CVE-2026-85046, e ha ricevuto un punteggio di gravità di 8.8/10 (alto). La seconda è una vulnerabilità di "fuga dall'ambiente di isolamento", per la quale Google non ha assegnato un codice CVE né un punteggio di gravità.
La vulnerabilità di Windows, identificata come CVE-2026-85880, ha un livello di gravità pari a 7.8/10 (alto). Questa vulnerabilità è descritta come un "buffer overflow basato sull'heap" nella chiamata di procedura locale avanzata di Windows, che consente agli aggressori che possono già eseguire codice all'interno di un AppContainer con privilegi limitati di eludere l'ambiente di isolamento ed elevare i propri privilegi al livello SYSTEM. Ciò non richiede alcuna interazione aggiuntiva da parte dell'utente.
Proofpoint ha una teoria sul perché i criminali scelgano di operare apertamente piuttosto che nell'ombra. Sembra esserci una finestra temporale molto breve tra la correzione di una vulnerabilità in Chromium da parte di Google e il rilascio dell'aggiornamento in un browser come Edge o Brave. Questa finestra temporale permette inoltre ai criminali di capire come Google risolve la vulnerabilità, di effettuare un'ingegneria inversa e di rilasciare un exploit prima che la patch del browser venga rilasciata. Ciò significa che non c'è tempo per rimanere nascosti.
Non c'è tempo per nascondersi
Proofpoint ha dichiarato che "entrambe le vulnerabilità di V8 erano exploit zero-day che sfruttavano una 'lacuna di patch' al momento dell'attività osservata". Hanno aggiunto: "In altre parole, sebbene queste vulnerabilità fossero già note e corrette nel codice sorgente pubblico di Chromium, non sono state corrette nelle ultime versioni stabili di Chrome e dei browser basati su Chromium disponibili pubblicamente. È probabile che lo sviluppatore dell'exploit kit abbia utilizzato questi aggiornamenti di Chromium disponibili pubblicamente per sfruttare la catena di exploit del browser".
Un altro fattore importante è l'intelligenza artificiale (IA). L'IA sembra aver accelerato notevolmente il processo di individuazione delle vulnerabilità, abbassando la barriera d'ingresso e rendendo più trasparenti le azioni degli autori delle minacce.
Proofpoint ha confermato che "una catena di exploit per Chrome completamente funzionante è stata storicamente una capacità rara e di grande valore. BlueMoon è stato sviluppato, implementato e condiviso rapidamente tra diversi attori malevoli nel giro di pochi giorni, dimostrando un'elevata capacità di rilevamento. Ciò potrebbe riflettere una diminuzione dei costi e delle barriere all'ingresso per questo tipo di capacità, poiché i fattori di intelligenza artificiale consentono sempre più lo sviluppo di exploit da parte degli attori malevoli."
Tutte e tre le vulnerabilità sono state corrette, quindi assicurati di utilizzare la versione più recente sia del sistema operativo che del browser Chromium.
via Ars Technica
I commenti sono chiusi.