Yama açığı ve yapay zeka tabanlı güvenlik açığı keşiflerinin hızlanması, bu duruma katkıda bulunan faktörler olabilir.
Hem Chromium tabanlı tarayıcılardaki hem de Windows'un eski sürümlerindeki kritik güvenlik açıklarını hedef alan, neredeyse aynı olan bir istismar kiti, en az dört hacker grubu tarafından aktif olarak kullanılıyor; bu gruplardan bazılarının Çin hükümetiyle bağlantıları bulunmaktadır.
Güvenlik firması Proofpoint'ten araştırmacılar Çarşamba günü, kit'e verdikleri isim olan BlueMoon'un üç güvenlik açığını birbirine bağladığını ve böylece onu kullanan saldırganların istedikleri kötü amaçlı yazılımı yükleyebildiğini söylediler. BlueMoon, iki Chromium güvenlik açığını ve Windows 10 (Ekim 2018 Güncellemesi), Windows Server 2019, Windows 10 2004, Windows Server 2022 ve Windows 11'in ilk sürümündeki çekirdekte bulunan bir güvenlik açığını istismar ediyor. Bu üç güvenlik açığının tümü için son 24 saat içinde yamalar yayınlandı.
Hızla yaygınlaştırıldı, geniş çapta paylaşıldı
Saldırılar, birçok kampanyada görülen gizlilik özelliğinden yoksundu. Çoğu zaman, bilgisayar korsanları yeni keşfedilen güvenlik açıklarından, bu açıkların kullanım ömrünü uzatmak amacıyla ölçülü bir şekilde yararlanmak isterler. Proofpoint, bu yaygın ve göze çarpan istismar zincirinin nedenlerinden birinin, Chromium tedarik zincirindeki bir “yama boşluğundan” yararlanmak olduğunu öne sürdü; bu boşluk, geliştiriciler tarafından bir yamanın kullanıma sunulduğu an ile bu yamanın Chrome ve Edge gibi tarayıcılara entegre edildiği an arasındaki süreyi kapsar. Bir diğer olası etken ise, güvenlik açıklarını genellikle yalnızca insanlar tarafından yapılan keşiflerden daha hızlı tespit edebilen yapay zekanın (AI) kullanılmasıydı.
Bu iki faktör de saldırganları, fırsat penceresi kapanmadan önce hızlı hareket etmeye itmiş olabilir.
Proofpoint şunları söyledi:
- Tamamen silahlandırılmış bir Chrome istismar zinciri, tarihsel olarak yüksek değerli ve nadir bir yetenek olmuştur. BlueMoon, yüksek tespit sinyalleri veren bir şekilde geliştirildi, hızla devreye alındı ve birkaç gün içinde çok sayıda tehdit aktörü arasında paylaşıldı. Bu durum, yapay zeka ajanlarının tehdit aktörlerinin istismar geliştirme süreçlerini giderek daha fazla kolaylaştırmasıyla birlikte, bu tür yetenekler için maliyetin ve giriş engelinin azaldığını yansıtıyor olabilir. Bu durum, Chromium gibi açık kaynak kod tabanları için özellikle önemlidir; bu tür kod tabanlarında, kod tabanını kullanan son kullanıcılar yamayı uygulamadan önce, kaynak koddaki yamalar herkese açıktır. Bu durum, tehdit aktörlerine yamaları hızla tersine mühendislik yoluyla analiz etme ve son kullanıcılar için kararlı sürümler yayınlanmadan önce istismar araçları geliştirme fırsatı sunar.
Bu dört grup, çok çeşitli kuruluş ve şirketleri hedef aldı. Bu gruplar ve hedefler arasında şunlar yer alıyordu:
- TA412, Çin’e yakın, devlet destekli bir tehdit aktörü; 2024 yılında ABD hükümeti tarafından Çin’in sivil dış istihbarat teşkilatı adına suçlanan bu grup, ABD’deki sivil toplum kuruluşları, madencilik şirketleri ve fiziki emtia ticareti yapan firmalara defalarca saldırdı
- Çin ile bağlantılı bir casusluk grubu olan UNK_LateNight, çok sayıda ABD havacılık ve uzay şirketini hedef aldı
- UNK_DoubleCheck, Vietnamlı bir imalat şirketini hedef aldı
- UNK_QuietRacket’in faaliyetleri Singapur ve Endonezya’yı hedef aldı
İlk saldırı TA412 grubu tarafından gerçekleştirildi ve 28 Ağustos’ta başladı. Geri kalan saldırılar ise bu ayın başlarında başladı. Proofpoint, başka grupların da bu istismar kitine erişim sağlayıp sağlamadığının bilinmediğini belirtti.
Chrome’u hedef alan her iki güvenlik açığı da Google’ın açık kaynaklı JavaScript motoru olan V8’de bulunuyordu. Saldırganlar, V8’deki bir tür karışıklığı (type confusion) hatasını ve ayrı bir sanal alan kaçış (sandbox escape) açığını istismar ederek uzaktan kod çalıştırmayı başardılar. Ardından, kötü amaçlı kodun sistem haklarıyla çalışmasını sağlamak için eski Windows sürümlerindeki yerel ayrıcalık yükseltme açığını kullandılar. İlk V8 güvenlik açığı CVE-2026-85046, Windows hatası ise CVE-2026-85880 olarak takip ediliyor. Google, V8 sanal alan kaçışlarına CVE numarası atamıyor.
Proofpoint, “Gözlemlenen faaliyetin gerçekleştiği tarihte her iki V8 güvenlik açığı da ‘yama boşluğu’ niteliğinde sıfır gün güvenlik açıklarıydı” dedi. “Başka bir deyişle, bunlar Chromium’un halka açık üst kaynak kodunda zaten düzeltilmiş bilinen güvenlik açıkları olsalar da, kamuya açık en son kararlı Chrome ve Chromium tabanlı tarayıcı sürümlerinde hâlâ yamalanmamış durumdaydılar. Saldırı kiti geliştiricisinin, tarayıcı saldırı zincirini silah haline getirmek için bu halka açık Chromium yamalarını kullanmış olması muhtemeldir.”
BlueMoon’un kullanıldığına dair pek çok ipucu bırakmasına ve üç güvenlik açığının da yamalanmış olmasına rağmen, Proofpoint bu kitin yine de kullanılmaya devam edebileceğini belirtti. Araştırmacılar, “Kullanım kolaylığı göz önüne alındığında, yamalı sürümler tüm Chromium tabanlı tarayıcılara tam olarak yayıldıkça, bu kitin daha da yaygınlaşması ve casusluk ya da maddi kazanç amaçlı tehdit aktörleri tarafından benimsenmesi muhtemeldir,” dedi.
Kaynak: Four groups caught using the same Chrome and Windows exploit kit - Dan Goodin / ArsTechnica
.