Google Details Actieve campagne misbruikt nu gepatchte macOS Zero-Day

Een team van onderzoekers dat samenwerkt met de Threat Analysis Group van Google, informeerde over een gerichte kwaadaardige campagne die was gericht op verschillende websites in Hong Kong en bezoekers daarop had getarget via een zero-day-kwetsbaarheid in macOS.

Het goede nieuws is dat de bug nu door Apple is verholpen. De fout werd opgespoord en gecodificeerd onder de aanduiding CVE-2021-30869 en kreeg een ernstscore van 7,8.

Het Google-team meldde de bug aan Apple, die deze naar behoren heeft opgelost in een macOS-update van september 2021 naar de Catalina-versie van het besturingssysteem. In hun rapport zei Apple dat de fout schadelijke programma's in staat stelde "willekeurige code uit te voeren met kernelprivileges". De informatie over de bug in de National Vulnerability Database beschrijft het als een "typeverwarring".

Nu er voldoende tijd is verstreken sinds de fout was gepatcht, onthulden de onderzoekers van Google aanvullende informatie over de aanval.

De aanval was gebaseerd op het invoegen van twee browser-iframes in een webpagina, één ontworpen om te werken op iOS en de andere op macOS. Beide frames haalden exploits van een server die werd beheerd door de kwaadwillenden achter de aanvallen.

Na analyse van de payload en tot de ontdekking dat deze zeer geavanceerd was, verklaarde Google ook dat dit waarschijnlijk het werk was van een team van zeer bekwame, waarschijnlijk door de staat gesteunde actoren.

De bedreigingsactoren gebruikten een combinatie van een kwetsbaarheid en een exploit, die hen samen in staat stelden verhoogde privileges te verkrijgen en hen uiteindelijk root-toegang gaven tot het Mac-systeem van het slachtoffer.

Zodra root-toegang was verkregen, zouden de hackers stilletjes de uiteindelijke payload downloaden en implementeren, die onopgemerkt op het systeem van het slachtoffer zou blijven en de activiteit van de gebruiker zou bespioneren.

Het onderzoek dat over de aanval werd gepubliceerd, noemde niet specifiek de websites die het doelwit waren van de aanval, maar vermeldde wel dat onder hen een politieke groepering en een media-outlet in Hong Kong waren.