Οι hackers RomCom (που συνδέονται με τη Ρωσία) φαίνεται να εκμεταλλεύονται δύο zero-day ευπάθειες (του Mozilla Firefox και των Windows), με σκοπό να διανείμουν το ομώνυμο backdoor σε συστήματα θυμάτων.
Όπως αποκάλυψε η ESET, εάν ένα θύμα περιηγηθεί σε μια ιστοσελίδα που περιέχει το exploit, υπάρχει κίνδυνος εκτέλεσης αυθαίρετου κώδικα –χωρίς να απαιτείται αλληλεπίδραση χρήστη (zero click). Σε αυτή την περίπτωση, ένας επιτιθέμενος μπορεί να εκτελέσει κώδικα που θα οδηγήσει στην εγκατάσταση του backdoor RomCom στον υπολογιστή του θύματος.
Δείτε επίσης: Οι hackers RomCom στοχεύουν ουκρανικές υπηρεσίες με το SingleCamper RAT
Οι δύο ευπάθειες που χρησιμοποιούνται από τους hackers RomCom είναι:
Clone Alpha: Νέο επαναστατικό ανθρωποειδές ρομπότ
- CVE-2024-9680 (βαθμολογία CVSS: 9,8): Μια ευπάθεια use-after-free στο Animation component του Firefox. Η ευπάθεια διορθώθηκε τον Οκτώβριο του 2024.
- CVE-2024-49039 (βαθμολογία CVSS: 8,8): Μια ευπάθεια κλιμάκωσης προνομίων στο Windows Task Scheduler. Η Microsoft διόρθωσε την εν λόγω ευπάθεια τον Νοέμβριο του 2024.
Οι hackers RomCom, επίσης γνωστοί ως Storm-0978, Tropical Scorpius, UAC-0180, UNC2596 και Void Rabisu, διεξάγουν κυβερνοεπιθέσεις και κατασκοπεία τουλάχιστον από το 2022. Συνήθως, αναπτύσσουν το ομώνυμο RomCom RAT, που εκτελεί εντολές και να κατεβάζει πρόσθετα κακόβουλα modules στον υπολογιστή του θύματος.
Σύμφωνα με την ESET, η επίθεση περιλαμβάνει τη χρήση ενός πλαστού ιστότοπου (economistjournal[.]cloud) που είναι υπεύθυνος για την ανακατεύθυνση των υποψήφιων θυμάτων σε έναν διακομιστή (redjournal[.]cloud) που φιλοξενεί το κακόβουλο payload. Αυτό, με τη σειρά του, συνδυάζει και τις δύο ευπάθειες για την εκτέλεση κώδικα και την εγκατάσταση του RomCom RAT.
Δείτε επίσης: Οι hackers Salt Typhoon στοχεύουν τηλεπικοινωνίες με το GhostSpider backdoor
Προς το παρόν δεν είναι γνωστό πώς διανέμονται οι σύνδεσμοι προς τον ψεύτικο ιστότοπο, αλλά έχει διαπιστωθεί ότι η εκμετάλλευση ενεργοποιείται όταν ο χρήστης επισκέπτεται τον ιστότοπο από μια ευάλωτη έκδοση του Firefox.
“Εάν ένα θύμα που χρησιμοποιεί ένα ευάλωτο πρόγραμμα περιήγησης επισκεφτεί μια ιστοσελίδα που εξυπηρετεί αυτό το exploit, ενεργοποιείται η ευπάθεια και εκτελείται ο shellcode σε ένα content process“, εξήγησε η ESET.
Ο shellcode αποτελείται από δύο μέρη, τα οποία αναλαμβάνουν διαφορετικές εργασίες. Το αποτέλεσμα είναι ένα sandbox escape για τον Firefox που τελικά οδηγεί στη λήψη και την εκτέλεση του RomCom RAT στο παραβιασμένο σύστημα. Αυτό επιτυγχάνεται μέσω μιας ενσωματωμένης βιβλιοθήκης (“PocLowIL”) που έχει σχεδιαστεί για να ξεφεύγει από το sandboxed content process του προγράμματος περιήγησης, ενεργοποιώντας και την ευπάθεια του Windows Task Scheduler για την απόκτηση περισσότερων προνομίων.
Δείτε επίσης: Οι Βορειοκορεάτες hackers Sapphire Sleet έχουν κλέψει crypto αξίας $ 10 εκατ.
“Η σύνδεση δύο zero-day ευπαθειών βοήθησε τους hackers RomCom να φτιάξουν ένα exploit που δεν απαιτεί αλληλεπίδραση με τον χρήστη“, δήλωσε η ESET.
Τα δεδομένα που συγκέντρωσε η ESET δείχνουν ότι η πλειονότητα των θυμάτων που επισκέφθηκαν τον κακόβουλο ιστότοπο βρίσκονταν στην Ευρώπη και τη Βόρεια Αμερική.
Για να παραμείνουν μπροστά από αυτές τις απειλές, οι οργανισμοί πρέπει να αξιολογούν και να ενημερώνουν τακτικά τα πρωτόκολλα ασφαλείας τους, να εκπαιδεύουν τους υπαλλήλους τους σχετικά με απειλές στον κυβερνοχώρο και να συνεργάζονται με αξιόπιστους συνεργάτες στον τομέα της κυβερνοασφάλειας για προληπτική παρακολούθηση και αντιμετώπιση περιστατικών.
Παραμένοντας σε επαγρύπνηση και λαμβάνοντας αυτές τις απαραίτητες προφυλάξεις, οι εταιρείες μπορούν να αμυνθούν από επιθέσεις από hackers, όπως οι RomCom, και να προστατεύσουν τα ευαίσθητα δεδομένα τους από τον κίνδυνο παραβίασης.
Πηγή: thehackernews.com
, με σκοπό να διανείμουν backdoor σε συστήματα){kind=link}