Google Details Aktive Kampagne, die jetzt gepatchtes macOS Zero-Day missbraucht

Ein Forscherteam, das mit der Threat Analysis Group von Google zusammenarbeitet, informierte über eine gezielte bösartige Kampagne, die sich auf mehrere Websites in Hongkong konzentrierte und Besucher über eine Zero-Day-Sicherheitslücke in macOS anvisierte.

Die gute Nachricht ist, dass der Fehler nun von Apple behoben wurde. Der Fehler wurde nachverfolgt und unter der Bezeichnung CVE-2021-30869 kodifiziert und ihm wurde ein Schweregrad von 7,8 zugewiesen.

Das Google-Team hat den Fehler Apple gemeldet, der ihn ordnungsgemäß in einem macOS-Update vom September 2021 auf die Catalina-Version des Betriebssystems behoben hat. In ihrem Bericht sagte Apple, dass der Fehler es bösartigen Anwendungen ermöglichte, "willkürlichen Code mit Kernel-Privilegien auszuführen". Die Informationen zu dem Fehler in der National Vulnerability Database beschreiben ihn als "Typenverwirrung".

Nun, da seit dem Beheben des Fehlers eine angemessene Zeit vergangen ist, haben die Google-Forscher zusätzliche Informationen über den Angriff preisgegeben.

Der Angriff beruhte auf dem Einfügen von zwei Browser-Iframes in eine Webseite, von denen einer für iOS und der andere für macOS entwickelt wurde. Beide Frames zogen Exploits von einem Server ab, der von den bösartigen Akteuren hinter den Angriffen betrieben wurde.

Nachdem Google die Nutzlast analysiert und herausgefunden hatte, dass sie hoch entwickelt war, stellte Google außerdem fest, dass es sich wahrscheinlich um das Werk eines Teams sehr hochqualifizierter, wahrscheinlich staatlich unterstützter Akteure handelt.

Die Bedrohungsakteure nutzten eine Kombination aus einer Schwachstelle und einem Exploit, die es ihnen zusammen ermöglichten, erhöhte Berechtigungen zu erlangen und ihnen schließlich Root-Zugriff auf das Mac-System des Opfers zu gewähren.

Sobald der Root-Zugriff erlangt wurde, würden die Hacker leise die endgültige Nutzlast herunterladen und bereitstellen, die sich unentdeckt auf dem Opfersystem befindet und die Aktivitäten des Benutzers ausspioniert.

Die zu dem Angriff veröffentlichten Recherchen nannten die Websites, auf die der Angriff abzielte, nicht speziell, erwähnte jedoch, dass sich darunter eine politische Gruppe und ein Medienunternehmen in Hongkong befanden.