Candiru использовала CVE-2022-2294 для атак на пользователей

В марте 2022 года Candiru, поставщик шпионского ПО, также известный как оператор DevilsTongue, проводил целевые атаки через заражённые сайты на пользователей из Ливана, Турции, Йемена и Палестины. Среди целей были журналисты и сотрудники новостного агентства в Ливане. Злоумышленники скомпрометировали связанный с новостями сайт и внедрили код перенаправления посетителей на сервер эксплуатации уязвимостей.

Перенаправление и отбор посетителей

JavaScript-код направлял выбранных посетителей через несколько доменов, контролируемых злоумышленниками. Сохранившиеся артефакты межсайтового скриптинга (XSS), в том числе тестовые оповещения, указывают, что злоумышленники, вероятно, проверяли сайт на уязвимость к XSS до внедрения вредоносного кода перенаправления.

Сервер эксплуатации уязвимостей определял потенциальных жертв примерно по 50 атрибутам браузера и системы. В их число входили:

• язык и часовой пояс;
• характеристики экрана и тип устройства;
• установленные плагины;
• источник перехода;
• доступная память;
• поддержка cookie.

Профилирование помогало ограничивать эксплуатацию целевыми объектами. Для подходящих жертв сервер устанавливал зашифрованный канал доставки. Для обмена ключами применялся RSA-2048, для шифрования данных использовался AES-256-CBC. Канал работал поверх TLS, чтобы скрыть трафик эксплуатации даже от сторон, анализирующих расшифрованные HTTP-сессии.

Эксплуатация уязвимости в браузере

Основная эксплуатация использовала переполнение буфера в куче WebRTC, зарегистрированное как CVE-2022-2294. Оно позволяло выполнить шеллкод в процессе рендеринга Google Chrome на Windows. Эксплойт сочетался с отдельной эксплуатацией для выхода из песочницы, которую не удалось восстановить.

4 июля 2022 года Google устранила уязвимость в Chrome 103.0.5060.114. Поскольку её корневая причина находилась в WebRTC, потенциально могли быть затронуты браузеры на базе Chromium и другие браузеры с интегрированным WebRTC, включая Safari.

Попытка получить доступ к ядру

После эксплуатации уязвимости в браузере шпионское ПО DevilsTongue попыталось получить доступ на уровне ядра с помощью техники Bring Your Own Vulnerable Driver. Вредоносное ПО использовало легитимный подписанный, но уязвимый драйвер ядра. Его разместили в файле C:\Windows\System32\drivers\HW.sys, а затем загрузили в систему. Создание и загрузка драйвера могут служить потенциальными точками обнаружения.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.