Google a confirmé qu’il avait corrigé une grave vulnérabilité de sécurité dans son Internet Chrome Navigateur ce qui a permis à des acteurs malveillants d’espionner des personnes et potentiellement de prendre le contrôle de leurs appareils.

Dans un article de blogAdam Weidemann du groupe d’analyse des menaces de Google a déclaré que la faille était utilisée dans la nature dès le 4 janvier par deux entités de cybercriminalité distinctes.

Ces deux groupes sont connus sous le nom d’opération Dream Job et d’opération AppleJeus, et tous deux auraient des liens étroits avec le gouvernement de la Corée du Nord.

Nettoyer les indices

Selon Google, les deux groupes utilisaient la même vulnérabilité, mais leur approche, ainsi que leurs cibles, diffèrent. La société affirme que si l’opération Dream Job ciblait les personnes travaillant dans les principaux organes de presse, les bureaux d’enregistrement de domaines, les fournisseurs d’hébergement et les fournisseurs de logiciels, l’opération AppleJeus ciblait les personnes travaillant dans les secteurs de la crypto-monnaie et de la fintech.

Leurs méthodes étaient également différentes. Le premier a assumé l’identité des recruteurs, envoyant de fausses demandes de renseignements pour des postes vacants chez Google, Oracle ou Disney, et distribuant des liens vers des sites Web imitant Indeed, ZipRecruiter ou DisneyCareers.

Ces sites étaient chargés d’un iframe caché qui exploitait la faille et permettait l’exécution de code à distance.

Ce dernier, d’autre part, a fait une chose similaire en créant de faux sites Web, mais il compromettait également les sites légitimes et installait également les iframes armés sur eux.

Les chercheurs disent également que les groupes étaient bons pour cacher leurs traces, une fois le travail terminé. S’ils réussissent à exécuter du code distant, ils chercheront à obtenir un accès supplémentaire au point de terminaison cible, après quoi ils essaieront de supprimer toutes les traces de leur existence.

« Soucieux de protéger leurs exploits, les attaquants ont déployé plusieurs mesures de protection pour rendre difficile la récupération par les équipes de sécurité de l’une des étapes », écrit Weidemann.

Google affirme que les attaquants feraient apparaître les iframes « uniquement à des moments spécifiques », et que les victimes obtiendraient des liens uniques qui ont expiré une fois activés. Chaque étape de l’attaque était chiffrée avec l’algorithme AES, et si l’une des étapes échouait, l’opération entière s’arrêtait.

La vulnérabilité a été corrigée le 14 février.

Via: Le registre