Обнаружен фреймворк для атак на уязвимости Chrome, Firefox и Defender

Обнаружен фреймворк для атак на уязвимости Chrome, Firefox и Defender

Обнаружен фреймворк для атак на уязвимости Chrome, Firefox и Defender

Проведенный Google TAG (Threat Analysis Group) анализ показал, что фреймворк состоит из трех модулей, предназначенных для эксплуатации известных уязвимостей в Chrome, Firefox либо Microsoft Defender. В состав Heliconia также включены инструменты, необходимые для развертывания полезной нагрузки.

О появлении новой угрозы эксперты узнали из отчета об уязвимостях, поданного анонимно в рамках программы по поиску багов в Chrome. Заявитель привел также способы эксплойта, приложив архив с исходными кодами, поименованными как Heliconia Noise, Heliconia Soft и Files.

Как оказалось, это модули, входящие в состав фреймворка. В исходниках был также обнаружен скрипт, сливающий имена проекта (heliconia), создателя (несколько вариантов) и компании-разработчика (variston).

В последнем случае это вполне может быть испанская Variston IT, подвигающая свои услуги по созданию кастомных ИБ-решений. Исследователи подозревают, что на самом деле эта небольшая компания занимается разработкой коммерческих программ-шпионов, которые некоторые страны используют для слежки за диссидентами, правозащитниками и журналистами (вспомним Pegasus производства NSO Group).

Согласно результатам исследования, фреймворк Heliconia состоит из трех модулей:

  • Noise для эксплойт-атаки на Chrome (RCE-уязвимость в движке V8, побег из песочницы, установка агента);
  • Soft с вредоносным PDF — эксплойтом CVE-2021-42298 для Microsoft Defender (повышение привилегий до SYSTEM, загрузка и запуск агента);
  • Files, запускающий цепочку эксплойтов для Firefox на Windows и Linux (CVE-2022-26485, побег из песочницы, специфичный для Windows-версии браузера).

Все перечисленные уязвимости вендоры уже закрыли, однако Google TAG не исключает, что соответствующие эксплойты могли применяться в атаках еще до выхода патчей (как 0-day). Данных об использовании Heliconia злоумышленниками пока нет.

Старое сообщение выбило Telegram из App Store: Дуров обвинил вымогателя

Павел Дуров (внесён в перечень террористов и экстремистов Росфинмониторинга) объяснил временное исчезновение Telegram из App Store атакой вымогателя. По его версии, злоумышленник отредактировал старое сообщение в публичной группе и добавил туда незаконный контент, предварительно изменённый с помощью ИИ.

Трюк позволил спрятать публикацию от участников активного чата: пользователи её практически не видели и не могли пожаловаться модераторам.

Зато сам автор оперативно отправил жалобу Apple. Компания обнаружила материалы с сексуальным насилием над детьми (CSAM) и удалила Telegram из магазина приложений.

По словам Дурова, за атакой стоял вымогатель, который требует деньги у владельцев публичных групп, угрожая подбросить запрещённые материалы и пожаловаться Apple. Для этого используются автоматизированные аккаунты и технические уловки, способные обойти привычные фильтры модерации.

Telegram и экспериментальный Telegram X пропали из App Store утром 4 августа сразу в нескольких странах, включая Россию, Турцию и США. Примерно через полтора часа приложения вернулись. Всё это время у части пользователей не работали пуш-уведомления на iOS. Версии для macOS и Android инцидент не затронул.

Apple заявила, что восстановила приложения после того, как Telegram удалил запрещённый материал и заблокировал распространившего его пользователя. Дуров, однако, возмутился тем, что корпорация сначала нажала красную кнопку и только потом стала разбираться: перед удалением мессенджера с его администрацией якобы никто не связался.

Основатель Telegram предупредил, что такой механизм опасен для любых платформ с пользовательским контентом. Получается удобная схема: спрятать запрещённый материал, самому же пожаловаться и устроить приложению внезапный вылет из App Store.

Telegram призвал Apple одинаково строго проверять жалобы на все приложения.

RSS: Новости на портале Anti-Malware.ru