Google a commis une lacune critique dans Chrome hier pour lutter contre une vulnérabilité zéro-jour activement exploitée par les pirates pour violer les défenses du navigateur et les machines cibles de bogue. Identifié comme CVE-2023-6345il marque la première attaque zéro jour cette année en ciblant Chrome, avec des exploitations réelles déjà en cours.
Parmi les premiers à signaler l’exploit, il y avait une équipe de Kaspersky. Ils découvert la faille lors d’une sonde sur l’opération Stealer, une attaque, ciblant les utilisateurs via des e-mails attrayants propulsant les destinataires de faux forums académiques; Un subterfuge menant à un réseau de domaines malveillants.
L’opération a visé de nombreuses cibles russes, frappant des maisons de médias, des établissements universitaires et des entités gouvernementales, avec furtivité et précision. L’équipage derrière l’opération Academy Stealer a fait ses devoirs. Ils ont compris comment se faufiler devant le bac à sable de Chrome – l’une des défenses de premier plan du navigateur qui sépare les actions Web de l’espace numérique plus large d’un utilisateur.
Avec cette barrière violée, l’équipage voyou a déchaîné des logiciels malveillants directement sur des systèmes ciblés. En horrifiant, cette introduction par effraction spyware est passée pratiquement inaperçue. « Cela a permis aux attaquants de contourner la protection du bac à sable de Google Chrome comme s’il n’existait même pas », a fait remarquer les chercheurs de Kaspersky. Aucune mineure exploite cela, mais tout à fait l’opération détaillée, pour avoir dépassé les obstacles de Chrome et a creusé des logiciels espions en systèmes. La simplicité dément le danger de tels exploits. Les forces néfastes perfectionnent continuellement leurs compétences pour trouver de nouvelles lacunes, et Chrome, malgré ses garanties, n’est pas entièrement à l’abri.
Il est alarmant de voir comment la nature furtive de cet exploit souligne les limites des mesures de sécurité qui nécessitent une intrusion manifeste pour déclencher des défenses; Les violations non détectées définiront de plus en plus la cyber-guerre.
Les résultats de l’équipe de Kaspersky ont préparé le terrain pour une meilleure prise de conscience des déguisements des attaques de phishing. Avec un œil toujours réglé sur l’attrait d’une réussite scolaire, les employés pourraient désormais rendre plus sage à des courriels promettant une bourse ou une subvention, mais provenant d’adresses douteuses.
Ce qui est effrayant ici devient le potentiel pour de telles opérations sophistiquées pour cibler les populations plus larges, pas seulement les secteurs spécialisés. Lorsque les cybercriminels d’élite choisissent des cibles douces pour essayer leurs nouveaux hacks, c’est généralement une question de temps avant que ces tactiques ne se propagent à des campagnes de phishing plus prolifiques. Les utilisateurs restent sur le crochet pour garder leur garde et se déplacer avec prudence sur les e-mails qu’ils cliquent.
Alors que Chrome épouse des garanties plus complexes à la suite de cette violation, les mécanismes de défense en temps réel se mettent à jour en synchronisation avec des menaces identifiées pourraient bientôt voler sous le radar. Les utilisateurs devront continuellement être plus vigilants pour discerner les menaces crédibles des demandes en ligne légitimes.
