наскоро, Kaspersky откри нов експлойт, който се възползва от неизвестен недостатък в Chrome, което Google потвърди, че има уязвимост от нулев ден във вашия браузър и че той вече е каталогизиран като CVE-2019-13720.
Тази уязвимост може да се използва с помощта на атака, използвайки инжекция, подобна на атака на "Полива за дупки". Този тип атака се отнася до хищник, който вместо да търси плячка, предпочита да изчака на място, където е сигурно, че ще дойде (в този случай в точка от водата за пиене).
като нападението е открито на информационен портал на корейски език, в който в главната страница е вмъкнат злонамерен JavaScript код, който от своя страна зарежда скрипт за профилиране от отдалечен сайт.
Малка вложка на JavaScript код се помещава в индекса на уеб страницата който зареди отдалечен скрипт от code.jquery.cdn.behindcrown
След това скриптът зарежда друг скрипт. Този скрипт проверява дали системата на жертвата може да бъде заразена, като прави сравнение с потребителския агент на браузъра, който трябва да работи на 64-битова версия на Windows, а не да бъде процес WOW64.
също опитайте се да получите името и версията на браузъра. Уязвимостта се опитва да използва грешката в браузъра Google Chrome и скриптът проверява дали версията е по-голяма или равна на 65 (текущата версия на Chrome е 78).
Версията на Chrome потвърждава скрипта за профилиране. Ако версията на браузъра е потвърдена, скриптът започва да изпълнява поредица от AJAX заявки на контролирания от нападателя сървър, където името на пътя сочи към аргумента, предаден на скрипта.
Първото искане е необходимо за важна информация за по-късна употреба. Тази информация включва множество шестнадесетични кодирани низове, които казват на скрипта колко парчета от действителния експлойт код да се изтеглят от сървъра, както и URL към файла с изображение, който включва ключ за окончателното качване и RC4 ключ за дешифриране на парчета от код на експлоата.
По-голямата част от кода използва различни класове, свързани с определен уязвим компонент на браузъра. Тъй като по време на писането тази грешка все още не е била отстранена, Kaspersky реши да не включва подробности за конкретния уязвим компонент.
Има няколко големи таблици с числа, представляващи блок с черупки и вградено PE изображение.
Подвигът използва грешка в условията на състезание между две нишки поради липса на подходящо време между тях. Това дава на нападателя много опасно условие за използване след освобождаване (UaF), защото може да доведе до сценарии за изпълнение на кода, което е точно това, което се случва в този случай.
Експлойтът първо се опитва да накара UaF да загуби важна информация 64-битов адрес (като указател). Това води до няколко неща:
- ако адресът е разкрит успешно, това означава, че експлойтът работи правилно
- разкрит адрес се използва, за да се установи къде се намира купчината / стека и това отменя техниката на рандомизацията на формата на адресното пространство (ASLR)
- някои други полезни указатели за по-нататъшна експлоатация могат да бъдат намерени, като се погледне близо до тази посока.
След това се опитвате да създадете голяма група обекти, използвайки рекурсивна функция. Това се прави, за да се създаде детерминирано оформление на купчината, което е важно за успешното използване.
В същото време се опитвате да използвате техника за пръскане на купчина, която има за цел да използва повторно същия указател, който преди беше пуснат в UaF частта.
Този трик би могъл да се използва, за да обърка и да даде възможност на нападателя да оперира два различни обекта (от гледна точка на JavaScript), въпреки че те всъщност са в един и същ регион на паметта.
Google пусна актуализация на Chrome който отстранява недостатъка на Windows, macOS и Linux, а потребителите се насърчават да надстроят до версия Chrome 78.0.3904.87