Los investigadores de ciberseguridad han detectado m\u00faltiples campa\u00f1as de explotaci\u00f3n que aprovechan fallas ahora parcheadas en los navegadores Apple Safari y Google Chrome para infectar a usuarios m\u00f3viles con malware que roba informaci\u00f3n.<\/p>\n
“Estas campa\u00f1as lanzaron exploits de n d\u00edas para los cuales hab\u00eda parches disponibles, pero que a\u00fan ser\u00edan efectivos contra dispositivos sin parches”, dijo Clement Lecigne, investigador del Grupo de An\u00e1lisis de Amenazas de Google (TAG). dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n La actividad, observada entre noviembre de 2023 y julio de 2024, se destaca por entregar exploits mediante un ataque de abrevadero en los sitios web del gobierno de Mongolia, cabinet.gov.[.]mn y mfa.gov[.]Minnesota.<\/p>\n El conjunto de intrusiones se ha atribuido con moderada confianza a un actor de amenazas respaldado por el estado ruso con nombre en c\u00f3digo APT29 (tambi\u00e9n conocido como Midnight Blizzard), y se han observado paralelismos entre los exploits utilizados en las campa\u00f1as y los vinculados previamente a los proveedores de vigilancia comercial (CSV) Intellexa y NSO Group, lo que indica una reutilizaci\u00f3n de exploits.<\/p>\n Las vulnerabilidades en el centro de las campa\u00f1as se enumeran a continuaci\u00f3n:<\/p>\n Se dice que las campa\u00f1as de noviembre de 2023 y febrero de 2024 implicaron la vulneraci\u00f3n de los dos sitios web del gobierno de Mongolia, tanto el primero como el \u00fanico, mfa.gov.[.]mn en este \u00faltimo: entregar un exploit para CVE-2023-41993 por medio de un componente iframe malicioso que apunta a un dominio controlado por el actor.<\/p>\n “Cuando se visitaban los sitios con un iPhone o iPad, usaban un iframe para ofrecer una carga \u00fatil de reconocimiento, que realizaba comprobaciones de validaci\u00f3n antes de descargar e implementar finalmente otra carga \u00fatil con el exploit WebKit para exfiltrar las cookies del navegador del dispositivo”, dijo Google.<\/p>\n La carga \u00fatil es un marco de robo de cookies que Google TAG detall\u00f3 previamente en relaci\u00f3n con la explotaci\u00f3n de 2021 de un d\u00eda cero de iOS (CVE-2021-1879) para recolectar cookies de autenticaci\u00f3n de varios sitios web populares, incluidos Google, Microsoft, LinkedIn, Facebook, Yahoo, GitHub y Apple iCloud, y enviarlas a trav\u00e9s de WebSocket a una direcci\u00f3n IP controlada por el atacante.<\/p>\n “La v\u00edctima necesitar\u00eda tener una sesi\u00f3n abierta en estos sitios web desde Safari para que las cookies se filtren con \u00e9xito”, se\u00f1al\u00f3 Google en ese momento, y agreg\u00f3 que “los atacantes utilizaron la mensajer\u00eda de LinkedIn para atacar a funcionarios gubernamentales de pa\u00edses de Europa occidental envi\u00e1ndoles enlaces maliciosos”.<\/p>\n El hecho de que el m\u00f3dulo ladr\u00f3n de cookies tambi\u00e9n se\u00f1ale el sitio web “webmail.mfa.gov[.]”mn” sugiere que los empleados del gobierno de Mongolia eran un objetivo probable de la campa\u00f1a de iOS.<\/p>\n El mfa.gov[.]El sitio web mn fue infectado por tercera vez en julio de 2024 para inyectar c\u00f3digo JavScript que redirig\u00eda a los usuarios de Android que usaban Chrome a un enlace malicioso que serv\u00eda una cadena de explotaci\u00f3n que combinaba las fallas CVE-2024-5274 y CVE-2024-4671 para implementar una carga \u00fatil que robaba informaci\u00f3n del navegador.<\/p>\n En particular, la secuencia de ataque utiliza CVE-2024-5274 para comprometer el renderizador y CVE-2024-4671 para lograr una vulnerabilidad de escape de sandbox, lo que en \u00faltima instancia hace posible salir de Chrome. aislamiento del sitio<\/a> protecciones y entregar un malware ladr\u00f3n.<\/p>\n “Esta campa\u00f1a ofrece un binario simple que elimina todos los informes de fallas de Chrome y extrae las siguientes bases de datos de Chrome para volver a track-adv[.]”servidor com, similar a la carga \u00fatil final b\u00e1sica vista en las campa\u00f1as iOS anteriores”, se\u00f1al\u00f3 Google TAG.<\/p>\n El gigante tecnol\u00f3gico dijo adem\u00e1s que los exploits utilizados en el ataque de agujero de agua de noviembre de 2023 y por Intellexa en septiembre de 2023 comparten el mismo c\u00f3digo de activaci\u00f3n, un patr\u00f3n tambi\u00e9n observado en los activadores de CVE-2024-5274 utilizados en el ataque de agujero de agua de julio de 2024 y por NSO Group en mayo de 2024.<\/p>\n Es m\u00e1s, se dice que el exploit para CVE-2024-4671 comparte similitudes con un escape sandbox de Chrome anterior que se descubri\u00f3 que Intellexa usaba en la naturaleza en relaci\u00f3n con otra falla de Chrome, CVE-2021-37973, que fue abordada por Google en septiembre de 2021.<\/p>\n Si bien actualmente no est\u00e1 claro c\u00f3mo los atacantes lograron adquirir los exploits para las tres fallas, los hallazgos dejan muy en claro que los actores de los estados nacionales est\u00e1n utilizando exploits de d\u00eda n que originalmente fueron utilizados como d\u00edas cero por los CSV.<\/p>\n Sin embargo, esto plantea la posibilidad de que los exploits hayan sido obtenidos de un corredor de vulnerabilidades que previamente los vendi\u00f3 a los proveedores de spyware como d\u00edas cero, un suministro constante de los cuales mantiene la pelota en movimiento mientras Apple y Google refuerzan sus defensas.<\/p>\n “Adem\u00e1s, los ataques de tipo watering hole siguen siendo una amenaza en la que se pueden utilizar exploits sofisticados para atacar a quienes visitan los sitios con regularidad, incluso en dispositivos m\u00f3viles”, afirmaron los investigadores. “Los watering holes todav\u00eda pueden ser una v\u00eda eficaz para los exploits de tipo n-day que atacan masivamente a una poblaci\u00f3n que a\u00fan podr\u00eda utilizar navegadores sin parches”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/Hackers-rusos-aprovechan-fallos-de-Safari-y-Chrome-en-ciberataque.png\")
<\/a><\/center><\/div>\n\n
\n
\n
<\/a><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n