RomCom khai thác lỗ hổng Zero-Day của Firefox và Windows trong các cuộc tấn công mạng tinh vi
Nhóm tin tặc liên kết với Nga có tên gọi RomCom đã có liên quan đến việc khai thác lỗ hổng zero-day của hai lỗ hổng bảo mật, một trong Mozilla Firefox và một trong Microsoft Windows, như một phần của các cuộc tấn công được thiết kế để đưa phần mềm độc hại cùng tên vào hệ thống của nạn nhân.
ESET cho biết trong một báo cáo chia sẻ với The Hacker News: "Trong một cuộc tấn công thành công, nếu nạn nhân duyệt một trang web có chứa mã khai thác, kẻ tấn công có thể chạy mã tùy ý - mà không cần bất kỳ tương tác nào của người dùng (không cần nhấp chuột) - trong trường hợp này dẫn đến việc cài đặt cửa hậu của RomCom trên máy tính của nạn nhân " .
Các lỗ hổng đang được đề cập được liệt kê dưới đây -
- CVE-2024-9680 (Điểm CVSS: 9,8) - Lỗ hổng sử dụng sau khi giải phóng trong thành phần Hoạt ảnh của Firefox (Đã được Mozilla vá vào tháng 10 năm 2024)
- CVE-2024-49039 (Điểm CVSS: 8,8) - Lỗ hổng leo thang đặc quyền trong Windows Task Scheduler (Đã được Microsoft vá vào tháng 11 năm 2024)
RomCom , còn được gọi là Storm-0978, Tropical Scorpius, UAC-0180, UNC2596 và Void Rabisu, có thành tích thực hiện cả hoạt động tội phạm mạng và gián điệp kể từ ít nhất năm 2022.
Các cuộc tấn công này đáng chú ý vì triển khai RomCom RAT, một phần mềm độc hại được duy trì tích cực, có khả năng thực thi lệnh và tải xuống các mô-đun bổ sung vào máy của nạn nhân.
Chuỗi tấn công được công ty an ninh mạng Slovakia phát hiện liên quan đến việc sử dụng một trang web giả mạo (economistjournal\[.\]cloud) chịu trách nhiệm chuyển hướng nạn nhân tiềm năng đến một máy chủ (redjournal\[.\]cloud) lưu trữ phần mềm độc hại, sau đó kết hợp cả hai lỗ hổng để thực thi mã và thả RomCom RAT.
Hiện tại vẫn chưa biết cách phân phối các liên kết đến trang web giả mạo, nhưng người ta phát hiện ra rằng lỗ hổng sẽ được kích hoạt nếu trang web được truy cập từ phiên bản dễ bị tấn công của trình duyệt Firefox.
ESET giải thích: "Nếu nạn nhân sử dụng trình duyệt dễ bị tấn công truy cập vào trang web có chứa lỗ hổng này, lỗ hổng sẽ được kích hoạt và mã lệnh sẽ được thực thi trong một quy trình nội dung ".
"Shellcode bao gồm hai phần: phần đầu tiên lấy phần thứ hai từ bộ nhớ và đánh dấu các trang chứa nó là có thể thực thi, trong khi phần thứ hai triển khai trình tải PE dựa trên dự án nguồn mở Shellcode Reflective DLL Injection ( RDI )."
Kết quả là một sandbox escape cho Firefox cuối cùng dẫn đến việc tải xuống và thực thi RomCom RAT trên hệ thống bị xâm phạm. Điều này được thực hiện bằng cách sử dụng một thư viện nhúng ("PocLowIL") được thiết kế để thoát khỏi quá trình nội dung sandbox của trình duyệt bằng cách sử dụng lỗ hổng Windows Task Scheduler để có được các đặc quyền nâng cao.
Dữ liệu đo từ xa do ESET thu thập cho thấy phần lớn nạn nhân truy cập vào trang web lưu trữ mã độc đều ở Châu Âu và Bắc Mỹ.
Thực tế là CVE-2024-49039 cũng được Nhóm phân tích mối đe dọa (TAG) của Google phát hiện và báo cáo độc lập cho Microsoft cho thấy có thể có nhiều hơn một tác nhân đe dọa đã khai thác lỗ hổng này như một lỗ hổng zero-day.
Điều đáng chú ý là đây là lần thứ hai RomCom bị phát hiện khai thác lỗ hổng zero-day ngoài thực tế, sau lần khai thác CVE-2023-36884 thông qua Microsoft Word vào tháng 6 năm 2023.
"Việc kết nối hai lỗ hổng zero-day đã trang bị cho RomCom một công cụ khai thác không cần tương tác của người dùng", ESET cho biết. "Mức độ tinh vi này cho thấy ý chí và phương tiện của kẻ tấn công để có được hoặc phát triển các khả năng tàng hình".