Posté le janvier 16, 2021 à 11:07
LES HACKERS INFECTENT LES APPAREILS ANDROID ET WINDOWS EN UTILISANT DES VULNÉRABILITÉS ZERO DAYS
Les chercheurs de Google ont fourni des détails sur une importante campagne de piratage informatique qu’ils ont découverte au début de l’année dernière. Selon les informations, les acteurs malveillants qui ont perpétué l’attaque ont monté une série d’attaques sur les appareils Android et Windows en utilisant la vulnérabilité zero day.
Google a publié le rapport en six parties qui fournit tous les détails de ce qu’il appelle une opération de piratage sophistiquée qui a touché plusieurs propriétaires d’appareils Windows et Android.
Les attaques, selon le rapport, ont été menées par deux serveurs d’exploit qui ont fourni des chaînes d’exploitation différentes en utilisant des attaques de point d’eau (ou watering hole).
Google a déclaré que beaucoup de ces exploits étaient des zero days, ce qui signifie qu’ils visaient des failles que Microsoft, Google ou tout autre chercheur extérieur ne connaissaient pas.
Cependant, l’information est arrivée après que Google et Microsoft aient tous deux corrigé les vulnérabilités. Selon le rapport, les exploits ont infecté les sites qui étaient fréquemment ciblés et y ont placé des codes qui ont installé le logiciel malveillant sur les appareils des visiteurs. En d’autres termes, lorsque l’utilisateur se rend sur le site infecté avec son appareil, celui-ci est presque immédiatement infecté par le logiciel malveillant.
Les sites piégés utilisaient deux serveurs d’exploit, un pour les utilisateurs d’Android et un autre pour les utilisateurs de Windows.
« Un serveur visait les utilisateurs de Windows, l’autre les utilisateurs d’Android », a souligné l’équipe de sécurité de Google.
Les deux serveurs d’exploit ont utilisé les failles de Google Chrome
L’équipe de recherche de Google a également rappelé que les deux serveurs d’exploit ont utilisé les vulnérabilités de Google Chrome pour accéder dans un premier temps aux appareils des victimes. Après avoir obtenu un point d’entrée initial dans les navigateurs des utilisateurs, les acteurs malveillants ont déployé un exploit au niveau du système d’exploitation pour renforcer leur contrôle sur les appareils des victimes.
L’exploit implique également des vulnérabilités n-day
Les chercheurs de Google ont ajouté qu’outre la vulnérabilité zero day, la chaîne d’exploitation comprend également des vulnérabilités n-day.
Ici, le zero day représente la vulnérabilité non connue des fabricants de logiciels, tandis que les n-days sont des vulnérabilités déjà corrigées qui sont encore exploitées dans la nature.
Alors que les appareils Android ont été ciblés par des failles n-day, la majorité des appareils Windows ont été ciblés par des failles zero-day. Cependant, les chercheurs ont quand même reconnu que les vulnérabilités zero day auraient pu être utilisées sur les deux appareils.
L’attaque était très sophistiquée
Dans d’autres attaques, les attaquants ont choisi de ne pas procéder à une exploitation quelconque ou à une exploitation complète du système. Les chercheurs ont également déclaré qu’ils ne pouvaient pas déterminer quels paramètres étaient utilisés avant de décider des voies d’exploitation « lentes » ou « rapides ».
Mais une chose est sûre en ce qui concerne les attaques, car les acteurs malveillants ont conçu les chaînes d’exploitation de manière à ce qu’elles soient utilisées de manière modulaire pour des raisons de flexibilité et d’efficacité. C’est une preuve supplémentaire qu’ils étaient des professionnels et qu’ils utilisaient des techniques de piratage très sophistiquées dans leurs exploits.
Les chercheurs ont conclu que l’attaque était unique en raison de la maturité de l’opération, du ciblage, de l’exploitation forestière, des chaînes d’exploitation interchangeables, ainsi que de la modularité des charges utiles.
Quatre vulnérabilités zero day de Windows découvertes
L’équipe de Google a passé plusieurs mois à analyser les attaques en examinant les activités qui ont eu lieu après l’exploitation sur les appareils Android. D’autres charges utiles ont été livrées, qui ont permis de récupérer des données de localisation, des informations sur les empreintes digitales des appareils, une liste des applications installées et une liste des processus en cours d’exécution pour le téléphone.
Les chercheurs de Google ont révélé des analyses des causes profondes des quatre vulnérabilités zero day de Windows qu’ils ont découvertes.
Selon l’équipe, la première vulnérabilité est le CVE-2020-6418, qui est une vulnérabilité de confusion trouvée lors de l’exécution de code à distance. Cette faille se trouve dans le Turbofan de Google Chrome, le composant utilisé lors de l’exécution de code JavaScript. Il donne à un attaquant distant la possibilité de causer potentiellement une corruption massive par le biais d’une page HTML élaborée.
La deuxième vulnérabilité est connue sous le nom de CVE-2020-0938, qui est une vulnérabilité insignifiante de corruption de stack dans le pilote de police Windows. Elle est exécutée en chargeant une police de type 1, y compris un objet BlendDesignPositions de conception unique.
D’après ce que les chercheurs ont appris sur les cibles, les hackers exploitaient une « infrastructure de ciblage complexe », bien qu’ils n’utilisent pas cette approche à chaque fois.
Dans d’autres cas, les acteurs de la menace ont utilisé ce que l’on appelle un premier exploit de rendu pour développer les empreintes digitales détaillées des utilisateurs à partir du sandbox. L’équipe de Google a déclaré que l’acteur malveillant utilisait une méthode plus lente, qui renvoie plusieurs paramètres à partir de l’appareil de l’utilisateur. Cela est généralement fait par les acteurs malveillants avant qu’ils ne poursuivent l’exploitation en utilisant la sandbox escape.
