Unos hackers vinculados a China aprovechan una cadena de vulnerabilidades «zero-day» en Chrome y Windows para instalar GRIMWEDGE

Un grupo de ata­can­tes vin­cu­la­dos a China, iden­ti­fi­ca­do por in­ves­ti­ga­do­res como UTA0560, llevó a cabo una cam­pa­ña de phishing di­ri­gi­da a múl­ti­ples or­ga­ni­za­cio­nes no gu­ber­na­men­ta­les. Los co­rreos elec­tró­ni­cos con­te­nían en­la­ces hacia la pá­gi­na web de una uni­ver­si­dad en Es­ta­dos Uni­dos que apro­ve­cha­ban una vul­ne­ra­bi­li­dad de tipo se­cuen­cias de co­man­dos en si­tios cru­za­dos (XSS) re­fle­ja­do, re­di­ri­gien­do a los usua­rios hacia una in­fra­es­truc­tu­ra con­tro­la­da por los agre­so­res para ac­ti­var una ca­de­na de ex­plo­ta­ción múl­ti­ple.

Esta ca­de­na de ata­ques uti­li­za­ba tres fa­llas de se­gu­ri­dad dis­tin­tas, afec­tan­do tanto a Goo­gle Chro­me como a Win­dows Ad­van­ced Local Pro­ce­du­re Call (ALPC), para lo­grar la eje­cu­ción ar­bi­tra­ria de có­di­go tras eva­dir los en­tor­nos ais­la­dos del na­ve­ga­dor. Como re­sul­ta­do, los ata­can­tes des­ple­ga­ban una puer­ta tra­se­ra de Ja­vaS­cript lla­ma­da GRIMWEDGE, la cual ope­ra­ba en la me­mo­ria y per­mi­tía rea­li­zar ta­reas de re­co­no­ci­mien­to del sis­te­ma, ges­tión de ar­chi­vos y pro­ce­sos, ade­más de la eje­cu­ción de co­man­dos.

Asi­mis­mo, otro grupo de ame­na­zas aso­cia­do con China, co­no­ci­do como Jun­gle­Bam­boo o APT31, fue de­tec­ta­do uti­li­zan­do la misma ca­de­na de vul­ne­ra­bi­li­da­des du­ran­te un pe­rio­do si­mi­lar. Este se­gun­do actor em­pleó la bre­cha para ins­ta­lar un car­ga­dor que pos­te­rior­men­te des­ple­ga­ba LONGTALE, una ex­ten­sión de Chro­me orien­ta­da al robo de cre­den­cia­les, cap­tu­ra de se­sio­nes, coo­kies y pul­sa­cio­nes de te­cla­do, si­mu­lan­do ser una he­rra­mien­ta le­gí­ti­ma.

El uso casi si­mul­tá­neo de estos fa­llos por parte de di­fe­ren­tes gru­pos su­gie­re que la ca­de­na de ex­plo­ta­ción pudo ser com­par­ti­da o co­mer­cia­li­za­da por el de­sa­rro­lla­dor de los ex­ploits. La si­tua­ción se vio pro­pi­cia­da por una bre­cha de par­ches, ya que las co­rrec­cio­nes para los erro­res de Chro­me ya se en­con­tra­ban en el có­di­go fuen­te de có­di­go abier­to de Chro­mium, pero aún no se ha­bían im­ple­men­ta­do en una ver­sión es­ta­ble y ofi­cial del na­ve­ga­dor.