เมื่อเร็ว ๆ นี้ Kaspersky ค้นพบช่องโหว่ใหม่ที่ใช้ประโยชน์จากข้อบกพร่องที่ไม่รู้จัก ใน Chrome ซึ่ง Google ยืนยันว่ามี ช่องโหว่ Zero-day ในเบราว์เซอร์ของคุณและได้รับการจัดทำรายการเป็นไฟล์ CVE-2019-13720
ช่องโหว่นี้ สามารถใช้ประโยชน์จากการโจมตีโดยใช้การฉีดยาที่คล้ายกับ การโจมตีของ "หลุมรดน้ำ". การโจมตีประเภทนี้หมายถึงผู้ล่าที่แทนที่จะมองหาเหยื่อชอบที่จะรอในที่ที่มันจะมา (ในกรณีนี้คือในจุดที่มีน้ำให้ดื่ม)
ในขณะที่ การโจมตีถูกค้นพบในพอร์ทัลข้อมูลในภาษาเกาหลีซึ่งมีการแทรกโค้ด JavaScript ที่เป็นอันตรายลงในหน้าหลักซึ่งจะโหลดสคริปต์การทำโปรไฟล์จากไซต์ระยะไกล
การแทรกโค้ด JavaScript ขนาดเล็กอยู่ในดัชนีของหน้าเว็บ ซึ่งโหลดสคริปต์ระยะไกลจาก code.jquery.cdn.behindcrown
จากนั้นสคริปต์จะโหลดสคริปต์อื่น สคริปต์นี้ตรวจสอบว่าระบบของเหยื่อสามารถติดไวรัสได้หรือไม่โดยทำการเปรียบเทียบกับตัวแทนผู้ใช้ของเบราว์เซอร์ซึ่งต้องทำงานบน Windows เวอร์ชัน 64 บิตไม่ใช่กระบวนการ WOW64
ด้วย พยายามหาชื่อและเวอร์ชันของเบราว์เซอร์ ช่องโหว่ดังกล่าวพยายามใช้ประโยชน์จากข้อบกพร่องในเบราว์เซอร์ Google Chrome และสคริปต์จะตรวจสอบว่าเวอร์ชันนั้นมากกว่าหรือเท่ากับ 65 หรือไม่ (Chrome เวอร์ชันปัจจุบันคือ 78)
เวอร์ชัน Chrome ตรวจสอบสคริปต์การทำโปรไฟล์ หากตรวจสอบเวอร์ชันของเบราว์เซอร์สคริปต์จะเริ่มดำเนินการชุดคำขอ AJAX บนเซิร์ฟเวอร์ที่ควบคุมของผู้โจมตีซึ่งชื่อของเส้นทางชี้ไปที่อาร์กิวเมนต์ที่ส่งไปยังสคริปต์
คำขอแรกเป็นสิ่งที่จำเป็น สำหรับข้อมูลสำคัญเพื่อใช้ในภายหลัง ข้อมูลนี้รวมถึงสตริงที่เข้ารหัสฐานสิบหกหลายตัวที่บอกสคริปต์จำนวนชิ้นส่วนของรหัสการใช้ประโยชน์จริงที่จะดาวน์โหลดจากเซิร์ฟเวอร์ตลอดจน URL ไปยังไฟล์รูปภาพที่รวมคีย์สำหรับการอัปโหลดขั้นสุดท้ายและคีย์ RC4 เพื่อถอดรหัสส่วนของ รหัสของการใช้ประโยชน์
รหัสส่วนใหญ่ ใช้คลาสต่างๆที่เกี่ยวข้องกับส่วนประกอบเบราว์เซอร์ที่มีช่องโหว่ เนื่องจากข้อบกพร่องนี้ยังไม่ได้รับการแก้ไขในขณะที่เขียน Kaspersky จึงตัดสินใจที่จะไม่ใส่รายละเอียดเกี่ยวกับส่วนประกอบที่มีช่องโหว่นั้น ๆ
มีตารางขนาดใหญ่บางตารางที่มีตัวเลขแสดงถึงบล็อกเชลล์และรูปภาพ PE แบบฝัง
การหาประโยชน์ ใช้ข้อผิดพลาดเงื่อนไขการแข่งขันระหว่างสองเธรดเนื่องจากไม่มีเวลาที่เหมาะสม ในหมู่พวกเขา สิ่งนี้ทำให้ผู้โจมตีมีเงื่อนไขการใช้งานหลังรีลีส (UaF) ที่อันตรายมากเนื่องจากอาจนำไปสู่สถานการณ์การเรียกใช้โค้ดซึ่งเป็นสิ่งที่เกิดขึ้นในกรณีนี้
การหาประโยชน์จะพยายามทำให้ UaF สูญเสียข้อมูลสำคัญเป็นอันดับแรก ที่อยู่ 64 บิต (เช่นตัวชี้) สิ่งนี้ส่งผลให้เกิดหลายประการ:
- หากเปิดเผยที่อยู่สำเร็จแสดงว่าช่องโหว่นั้นทำงานได้อย่างถูกต้อง
- แอดเดรสที่เปิดเผยถูกใช้เพื่อค้นหาตำแหน่งของฮีป / สแต็กและแทนที่เทคนิค Address Space Format Randomization (ASLR)
- คำแนะนำที่เป็นประโยชน์อื่น ๆ สำหรับการหาประโยชน์เพิ่มเติมสามารถอยู่ได้โดยการดูทิศทางนี้
หลังจากนั้นคุณพยายามสร้างกลุ่มวัตถุขนาดใหญ่โดยใช้ฟังก์ชันวนซ้ำ สิ่งนี้ทำขึ้นเพื่อสร้างเค้าโครงฮีปที่กำหนดไว้ซึ่งเป็นสิ่งสำคัญสำหรับการแสวงหาผลประโยชน์ที่ประสบความสำเร็จ
ในขณะเดียวกันคุณกำลังพยายามใช้เทคนิคการพ่นฮีปที่มีจุดมุ่งหมายเพื่อนำตัวชี้เดิมที่เคยปล่อยออกมาก่อนหน้านี้ในส่วน UaF กลับมาใช้ใหม่
เคล็ดลับนี้สามารถใช้เพื่อสร้างความสับสนและทำให้ผู้โจมตีสามารถดำเนินการกับวัตถุสองชิ้นที่แตกต่างกันได้ (จากมุมมองของ JavaScript) แม้ว่าในความเป็นจริงแล้วจะอยู่ในพื้นที่หน่วยความจำเดียวกันก็ตาม
Google ได้ปล่อยอัปเดต Chrome ซึ่งแก้ไขข้อบกพร่องบน Windows, macOS และ Linux และขอแนะนำให้ผู้ใช้อัปเดตเป็น Chrome เวอร์ชัน 78.0.3904.87