Οι ερευνητές της ESET εντόπισαν μια άγνωστη μέχρι σήμερα ευπάθεια, CVE-2024-9680, σε προϊόντα της Mozilla, την οποία εκμεταλλεύεται η ομάδα προηγμένης επίμονης απειλής (APT) RomCom που συνδέεται με τη Ρωσία. Περαιτέρω ανάλυση αποκάλυψε μια άλλη ευπάθεια zero-day στα Windows: ένα σφάλμα κλιμάκωσης προνομίων, που ονομάστηκε CVE-2024-49039. Σε μια επιτυχημένη επίθεση, εάν το θύμα περιηγηθεί σε μια ιστοσελίδα που περιέχει το exploit, ο επιτιθέμενος μπορεί να εκτελέσει αυθαίρετο κώδικα – χωρίς να απαιτείται καμία αλληλεπίδραση με το χρήστη (zero click) – που στην προκειμένη περίπτωση οδηγεί στην εγκατάσταση της κερκόπορτας της ομάδας RomCom στον υπολογιστή του θύματος. Το backdoor που χρησιμοποιείται είναι ικανό να εκτελεί εντολές και να κατεβάζει πρόσθετα modules στον υπολογιστή του θύματος. Η κρίσιμη ευπάθεια που σχετίζεται με τη Mozilla και ανιχνεύτηκε από την ESET Research στις 8 Οκτωβρίου έχει βαθμολογία CVSS 9,8 σε κλίμακα από 0 έως 10. Το 2024, η ομάδα RomCom επιτέθηκε στην Ουκρανία και σε άλλες ευρωπαϊκές χώρες, καθώς και στις Ηνωμένες Πολιτείες. Σύμφωνα με την τηλεμετρία της ESET, από τις 10 Οκτωβρίου 2024 έως τις 4 Νοεμβρίου 2024, τα δυνητικά θύματα που επισκέφθηκαν ιστοσελίδες που φιλοξενούσαν το exploit βρίσκονταν κυρίως στην Ευρώπη και τη Βόρεια Αμερική.

Στις 8 Οκτωβρίου 2024, οι ερευνητές της ESET ανίχνευσαν την ευπάθεια CVE-2024-9680. Πρόκειται για ένα σφάλμα use-after-free στη λειτουργία timeline animation του Firefox. Η Mozilla επιδιόρθωσε την ευπάθεια στις 9 Οκτωβρίου 2024. Περαιτέρω ανάλυση αποκάλυψε μια άλλη ευπάθεια zero-day, στα Windows: ένα σφάλμα κλιμάκωσης προνομίων, η οποία ονομάστηκε CVE 2024 49039, που επιτρέπει σε κώδικα να εκτελείται εκτός του sandbox του Firefox. Η Microsoft κυκλοφόρησε μια επιδιόρθωση για αυτή τη δεύτερη ευπάθεια στις 12 Νοεμβρίου 2024.

Η ευπάθεια CVE-2024-9680 που εντοπίστηκε στις 8 Οκτωβρίου επιτρέπει σε ευάλωτες εκδόσεις του Firefox, του Thunderbird και του Tor Browser να εκτελούν κώδικα στο περιορισμένο πλαίσιο του προγράμματος περιήγησης. Σε συνδυασμό με την προηγουμένως άγνωστη ευπάθεια στα Windows, CVE-2024-49039, η οποία έχει βαθμολογία CVSS 8,8, μπορεί να εκτελεστεί αυθαίρετος κώδικας στο πλαίσιο του συνδεδεμένου χρήστη. Η σύνδεση δύο ευπαθειών zero-day εξόπλισε την ομάδα RomCom με ένα exploit που δεν απαιτεί καμία αλληλεπίδραση του χρήστη. Αυτό το επίπεδο πολυπλοκότητας καταδεικνύει την πρόθεση και τα μέσα του δράστη της απειλής να αποκτήσει ή να αναπτύξει κρυφές δυνατότητες. Επιπλέον, οι επιτυχείς προσπάθειες εκμετάλλευσης απέδωσαν την κερκόπορτα RomCom σε μια εκστρατεία που φαίνεται να είναι ευρέως διαδεδομένη.

Η ομάδα APT RomCom (επίσης γνωστή ως Storm-0978, Tropical Scorpius ή UNC2596) είναι μια ομάδα που συνδέεται με τη Ρωσία και διεξάγει τόσο ευκαιριακές εκστρατείες εναντίον επιλεγμένων επιχειρηματικών τομέων όσο και στοχευμένες επιχειρήσεις κατασκοπείας. Η εστίαση της ομάδας έχει μετατοπιστεί και περιλαμβάνει επιχειρήσεις κατασκοπείας για τη συλλογή πληροφοριών, παράλληλα με τις πιο συμβατικές επιχειρήσεις ηλεκτρονικού εγκλήματος. Το 2024, η ESET ανακάλυψε επιχειρήσεις κυβερνοκατασκοπείας και κυβερνοεγκλήματος της RomCom εναντίον κρατικών φορέων, του αμυντικού και ενεργειακού τομέα στην Ουκρανία, του φαρμακευτικού και του ασφαλιστικού τομέα στις ΗΠΑ, του νομικού τομέα στη Γερμανία και κρατικών φορέων στην Ευρώπη.

«Η εκστρατεία αποτελείται από μια ψεύτικη ιστοσελίδα που κατευθύνει το πιθανό θύμα στον διακομιστή που φιλοξενεί το exploit, και αν το exploit πετύχει, εκτελείται shellcode που κατεβάζει και εκτελεί το backdoor RomCom. Αν και δε γνωρίζουμε πώς διανέμεται ο σύνδεσμος προς την ψεύτικη ιστοσελίδα, ωστόσο, αν κάποιος επισκεφτεί τη σελίδα χρησιμοποιώντας ένα ευάλωτο πρόγραμμα περιήγησης, ένα ωφέλιμο φορτίο φορτώνεται και εκτελείται στον υπολογιστή του θύματος χωρίς να απαιτείται αλληλεπίδραση από τον χρήστη», αναφέρει ο ερευνητής της ESET Damien Schaeffer, ο οποίος ανακάλυψε και τις δύο ευπάθειες. «Θα θέλαμε να ευχαριστήσουμε την ομάδα της Mozilla για την πολύ καλή ανταπόκρισή της και να τονίσουμε την εντυπωσιακή εργασιακή της ηθική που την οδήγησε να κυκλοφορήσει ένα patch μέσα σε μία ημέρα». Κάθε ευπάθεια διορθώθηκε από τη Mozilla και τη Microsoft.

Αυτή είναι τουλάχιστον η δεύτερη φορά που η ομάδα APT RomCom βρέθηκε να εκμεταλλεύεται μια σημαντική ευπάθεια zero-day, μετά την εκμετάλλευση της ευπάθειας CVE-2023-36884 μέσω του Microsoft Word τον Ιούνιο του 2023.

Για λεπτομερή ενημέρωση και τεχνική ανάλυση των ευπαθειών που εντοπίστηκαν, ανατρέξτε στο τελευταίο blogpost της ESET Research «RomCom exploits Firefox and Windows zero days in the wild» στο WeLiveSecurity.com. Βεβαιωθείτε ότι ακολουθείτε την ESET Research στο Twitter (σήμερα γνωστό ως X) για τα τελευταία νέα.