یک کیت اکسپلویت تقریباً یکسان که آسیب‌پذیری‌های مهم در مرورگرهای مبتنی بر Chromium و نسخه‌های قدیمی‌تر ویندوز را هدف می‌گیرد، حالا توسط دست‌کم چهار گروه هکری به‌صورت فعال استفاده شده است؛ گروه‌هایی که برخی از آن‌ها با دولت چین ارتباط دارند.
پژوهشگران شرکت امنیتی Proofpoint اعلام کرده‌اند این کیت که آن را BlueMoon نام‌گذاری کرده‌اند، سه آسیب‌پذیری را زنجیروار به هم متصل می‌کند تا مهاجمان بتوانند در نهایت هر بدافزاری را که می‌خواهند روی سیستم قربانی نصب کنند. این زنجیره شامل دو ضعف امنیتی در Chromium و یک آسیب‌پذیری در هسته ویندوز است.
نسخه‌های هدف قرار گرفته شامل Windows 10 Oct. 2018 Update، Windows Server 2019، Windows 10 2004، Windows Server 2022 و نسخه اولیه Windows 11 هستند. هر سه آسیب‌پذیری طی ۲۴ ساعت گذشته وصله امنیتی دریافت کرده‌اند.
BlueMoon چگونه کار می‌کند؟
این کیت اکسپلویت برای نفوذ، از ترکیب چند نقص امنیتی استفاده می‌کند. در عمل، مهاجم ابتدا از ضعف‌های موجود در مرورگرهای مبتنی بر Chromium مانند Chrome و Edge بهره می‌برد و سپس از آسیب‌پذیری موجود در کرنل ویندوز برای افزایش سطح دسترسی استفاده می‌کند. نتیجه نهایی، باز شدن مسیر برای نصب بدافزار دلخواه روی دستگاه قربانی است.
چیزی که این حملات را جلب توجه می‌کند، فقط خود زنجیره اکسپلویت نیست؛ بلکه سرعت بالای توسعه، استقرار و اشتراک‌گذاری آن میان چند بازیگر تهدید است.
چرا این حملات تا این حد سریع گسترش پیدا کردند؟
به گفته Proofpoint، این حملات بر خلاف بسیاری از کمپین‌های پیشرفته، چندان پنهان‌کارانه نبودند. معمولاً مهاجمان ترجیح می‌دهند از آسیب‌پذیری‌های تازه کشف‌شده با احتیاط و در مقیاس محدود استفاده کنند تا عمر عملیاتی آن‌ها بیشتر شود. اما در این مورد، ماجرا متفاوت بوده است.
یکی از دلایل احتمالی، سوءاستفاده از چیزی است که پژوهشگران آن را patch gap یا شکاف زمانی وصله می‌نامند؛ یعنی فاصله بین زمانی که توسعه‌دهندگان اصلی وصله را منتشر می‌کنند و زمانی که این وصله در مرورگرهایی مثل Chrome و Edge به‌طور کامل اعمال می‌شود.
در این بازه کوتاه، مهاجمان می‌توانند کد وصله را بررسی کنند، متوجه ماهیت آسیب‌پذیری شوند و پیش از آن‌که نسخه پایدار مرورگرها به‌روزرسانی شود، اکسپلویت خود را آماده کنند.
نقش احتمالی هوش مصنوعی در توسعه اکسپلویت
Proofpoint احتمال می‌دهد که استفاده از ابزارهای مبتنی بر هوش مصنوعی هم در این سرعت بالا نقش داشته باشد. این ابزارها می‌توانند در برخی موارد، شناسایی و تحلیل آسیب‌پذیری‌ها را سریع‌تر از روش‌های صرفاً انسانی انجام دهند و هزینه ساخت چنین زنجیره‌هایی را کاهش دهند.
این موضوع به‌ویژه در پروژه‌های متن‌باز مانند Chromium اهمیت بیشتری پیدا می‌کند؛ جایی که وصله‌های بالادستی به‌صورت عمومی در دسترس هستند و همین مسئله فرصت مناسبی برای مهندسی معکوس وصله‌ها در اختیار مهاجمان قرار می‌دهد.
چرا BlueMoon مهم است؟
Proofpoint تأکید کرده که یک زنجیره اکسپلویت کامل و آماده برای Chrome در گذشته معمولاً قابلیت کمیاب و بسیار ارزشمندی محسوب می‌شد. اما BlueMoon نشان می‌دهد که این سطح از توانمندی حالا سریع‌تر ساخته می‌شود، زودتر وارد فاز عملیاتی می‌شود و بین چند گروه تهدید هم به اشتراک گذاشته می‌شود.
- زنجیره حمله کامل شامل سه آسیب‌پذیری مهم است.
- چند گروه هکری تقریباً هم‌زمان از آن استفاده کرده‌اند.
- اهداف حمله طیف گسترده‌ای از سازمان‌ها و شرکت‌ها را شامل می‌شود.
- مرورگرهای مبتنی بر Chromium و چند نسخه مهم ویندوز در معرض خطر بوده‌اند.
- وصله‌های امنیتی برای هر سه آسیب‌پذیری منتشر شده و به‌روزرسانی فوری اهمیت بالایی دارد.
چه کسانی در معرض خطر هستند؟
بر اساس گزارش منتشرشده، این چهار گروه هکری مجموعه متنوعی از شرکت‌ها و سازمان‌ها را هدف گرفته‌اند. اگرچه جزئیات کامل فهرست اهداف در متن حاضر نیامده، اما گستردگی هدف‌گیری نشان می‌دهد این حملات به یک صنعت یا منطقه خاص محدود نبوده‌اند.
برای کاربران عادی و سازمان‌ها، پیام اصلی روشن است: اگر از Chrome، Edge یا نسخه‌های قدیمی‌تر ویندوز استفاده می‌کنید، به‌روزرسانی فوری مرورگر و سیستم‌عامل باید در اولویت باشد.
اقدام ضروری برای کاربران و شرکت‌ها
از آن‌جا که وصله‌های امنیتی منتشر شده‌اند، بهترین راهکار این است که همه سیستم‌ها در سریع‌ترین زمان ممکن به آخرین نسخه به‌روزرسانی شوند. سازمان‌ها هم بهتر است علاوه بر نصب آپدیت‌ها، لاگ‌های امنیتی و رفتارهای مشکوک روی مرورگرها و سیستم‌های ویندوزی را با دقت بیشتری بررسی کنند.
- مرورگر Chrome یا Edge را فوراً به آخرین نسخه ارتقا دهید.
- به‌روزرسانی‌های امنیتی ویندوز را بدون تأخیر نصب کنید.
- سیستم‌های قدیمی‌تر را از نظر نشانه‌های آلودگی بررسی کنید.
- در محیط‌های سازمانی، مانیتورینگ رفتارهای غیرعادی را افزایش دهید.
گزارش BlueMoon یک هشدار جدی برای دنیای امنیت سایبری است: فاصله بین انتشار وصله، مهندسی معکوس آن و تبدیلش به اکسپلویت حالا از همیشه کوتاه‌تر شده است.
نظر، سوال یا تجربه خود را درباره این مطلب با سایر کاربران اوکالا به اشتراک بگذارید.