Nesen, Kaspersky atklāja jaunu izmantojumu, kas izmantoja nezināmu trūkumu pārlūkā Chrome, kuru Google ir apstiprinājis nulles dienas ievainojamība pārlūkprogrammā un ka tas jau ir katalogs kā CVE-2019-13720.
Šī ievainojamība var izmantot, izmantojot uzbrukumu, izmantojot līdzīgu injekciju uzbrukums "Laistīšanas caurums". Šis uzbrukuma veids attiecas uz plēsēju, kurš tā vietā, lai meklētu upuri, dod priekšroku gaidīt vietā, kur ir pārliecināts, ka tas nāks (šajā gadījumā dzeramā ūdens punktā).
Kopš tā laika uzbrukums tika atklāts informācijas portālā korejiešu valodā, kurā galvenajā lapā ir ievietots ļaunprātīgs JavaScript kods, kas savukārt ielādē profilēšanas skriptu no attālās vietnes.
Tīmekļa lapas rādītājā bija ievietots neliels JavaScript koda ielikums kas ielādēja attālo skriptu no code.jquery.cdn.behindcrown
Pēc tam skripts ielādē citu skriptu. Šis skripts pārbauda, vai cietušā sistēma var būt inficēta, veicot salīdzinājumu ar pārlūkprogrammas lietotāju aģentu, kuram jādarbojas Windows 64 bitu versijā, nevis WOW64 procesam.
arī mēģiniet iegūt pārlūkprogrammas nosaukumu un versiju. Ievainojamība mēģina izmantot kļūdu pārlūkprogrammā Google Chrome, un skripts pārbauda, vai versija ir lielāka vai vienāda ar 65 (pašreizējā Chrome versija ir 78).
Chrome versija pārbauda profilēšanas skriptu. Ja pārlūkprogrammas versija ir apstiprināta, skripts sāk izpildīt AJAX pieprasījumu sēriju uzbrucēja kontrolētajā serverī, kur ceļa nosaukums norāda uz skriptam nodoto argumentu.
Pirmais pieprasījums ir nepieciešams svarīgu informāciju vēlākai izmantošanai. Šī informācija ietver vairākas sešpadsmit kodētās virknes, kas skriptam norāda, cik daudz faktiskā izmantošanas koda gabalu ir jāielādē no servera, kā arī URL attēla failam, kurā iekļauta atslēga pēdējai augšupielādei un RC4 atslēga, lai atšifrētu gabalus izmantošanas kods.
Lielākā daļa koda izmanto dažādas klases, kas saistītas ar noteiktu neaizsargātu pārlūka komponentu. Tā kā šī kļūda rakstīšanas laikā vēl nebija novērsta, Kaspersky nolēma neiekļaut sīkāku informāciju par konkrēto neaizsargāto komponentu.
Ir dažas lielas tabulas ar skaitļiem, kas attēlo čaulas kodu bloku un iegultu PE attēlu.
Izmantot izmantoja sacīkšu stāvokļa kļūdu starp diviem pavedieniem pareiza laika trūkuma dēļ starp viņiem. Tas uzbrucējam rada ļoti bīstamu lietošanas pēc atbrīvošanas (UaF) nosacījumu, jo tas var novest pie koda izpildes scenārijiem, kas tieši šajā gadījumā notiek.
Izmantošana vispirms mēģina likt UaF zaudēt svarīgu informāciju 64 bitu adrese (piemēram, rādītājs). Tā rezultātā ir vairākas lietas:
- ja adrese tiek veiksmīgi atklāta, tas nozīmē, ka izmantošana darbojas pareizi
- atklāta adrese tiek izmantota, lai uzzinātu, kur atrodas kaudze / kaudze un kas ignorē adrešu telpas formāta nejaušināšanas (ASLR) tehniku
- dažus citus noderīgus norādījumus turpmākai izmantošanai varētu atrast, skatoties tuvu šim virzienam.
Pēc tam jūs mēģināt izveidot lielu objektu grupu, izmantojot rekursīvo funkciju. Tas tiek darīts, lai izveidotu deterministisku kaudzes izkārtojumu, kas ir svarīgs veiksmīgai izmantošanai.
Tajā pašā laikā jūs mēģināt izmantot kaudzes izsmidzināšanas tehniku, kuras mērķis ir atkārtoti izmantot to pašu rādītāju, kas iepriekš tika izlaists UaF daļā.
Šo triku varētu izmantot, lai sajauktu un uzbrucējam dotu iespēju darboties ar diviem dažādiem objektiem (no JavaScript viedokļa), kaut arī tie faktiski atrodas vienā atmiņas reģionā.
Google ir izlaidis Chrome atjauninājumu kas novērš kļūdu Windows, macOS un Linux, un lietotāji tiek aicināti atjaunināt uz Chrome versiju 78.0.3904.87.