Kaspersky detecta vulnerabilidade no Google Chrome

A companhia reportou-a ao Google, que já disponibilizou a correção. Após a análise PoC (prova de conceito) enviada, o Google confirmou que  esta é uma vulnerabilidade em dia zero (zero-day).

Compartilhar:

A Kaspersky encontrou uma vulnerabilidade desconhecida, nomeada por CVE-2019-13720, no navegador Google Chrome. Vulnerabilidades zero day são falhas não conhecidas em software, que podem ser exploradas por criminosos para causar danos inesperados às vítimas. Esse novo exploit foi usado em ataques injeção de código malicioso no estilo de watering hole, estava hospedado em um portal de notícias em coreano. Um código Javascript malicioso era injetado na página principal, que por sua vez carregava um script de identificação para um servidor remoto, para verificar se o sistema da vítima poderia ser infectado, examinando as versões do navegador utilizado.

 

O ataque então tentava explorar a vulnerabilidade no navegador Google Chrome e o script checava se a versão 65 ou anterior era usada. Esse exploit dava ao criminoso uma condição de Use-After-Free (UaF), que é bastante perigosa, pois permite cenários onde a execução de códigos maliciosos são permitidos.

A vulnerabilidade detectada foi usada no que os especialistas da Kaspersky chamam de “Operação WizardOpium”. Certas semelhanças no código apontam para um possível vínculo entre esta campanha e os ataques realizados pelo Lazarus. Além disso, o perfil do site de destino é semelhante ao encontrado em ataques anteriores do tipo DarkHotel, que implementaram recentemente ataques comparáveis de bandeira falsa.

A vulnerabilidade foi detectada pela tecnologia Exploit Prevention da Kaspersky, incorporada na maioria dos produtos da empresa.
 

“A descoberta do zero-day no Google Chrome demonstra mais uma vez que apenas a colaboração entre a comunidade de segurança e os desenvolvedores de software, bem como o investimento constante em tecnologias de prevenção, podem nos manter protegidos contra ataques repentinos e ocultos”, disse Anton Ivanov, especialista em segurança da Kaspersky.

 

Destaques

Colunas & Blogs

Conteúdos Relacionados

Security Report | Overview

Anatel abre consulta para habilitar avaliação de Segurança em aparelhos móveis

Medida visa aumentar a proteção de dados corporativos e dos consumidores, e as contribuições podem ser feitas até 29 de...
Security Report | Overview

Deepfakes: Os desafios da Era da Informação manipulada

Diversas situações cotidianas recentes demonstraram a necessidade de manter atenção redobrada aos deepfakes que circulam nas redes, devido a sua...
Security Report | Overview

Hacktivismo puxa aumento de ataques DDoS no Brasil, alerta especialista

Pesquisadores da Check Point Software voltam a alertar sobre a ascensão de ataques de hackers em nome de ideologias e...
Security Report | Overview

EUA e Reino Unido movem sanções conjuntas em resposta a ciberataques chineses

Especialistas da Check Point Software analisaram os ataques do grupo de hackers APT31, afiliado ao Estado chinês, contra os governos...