Una serie de ciberataques contra usuarios periodistas utilizando un 'vulnerabilidad de día cero' en el navegador Google Chrome (bautizada como CVE-2022-2294) que no requiere de ninguna intervención del usuario, simplemente hacer clic en el enlace, ni descargar nada. 

Vulnerabilidad en Chrome utilizada para infectar a periodistas

Se descubrió que el proveedor israelí de spyware Candiru usaba una vulnerabilidad de día cero en Google Chrome para espiar a periodistas y otras personas de alto interés en el Medio Oriente con el spyware 'DevilsTongue'.

La falla rastreada como CVE-2022-2294 es un desbordamiento de búfer de alta gravedad en WebRTC que, si se explota con éxito, puede conducir a la ejecución de código en el dispositivo de destino.

Cuando Google parchó el día cero el 4 de julio, reveló que la falla estaba bajo explotación activa, pero no proporcionó más detalles.

En un informe los investigadores de amenazas de Avast, que descubrieron la vulnerabilidad y la informaron a Google, revelan que la descubrieron después de investigar los ataques de spyware en sus clientes.

• Según Avast, Candiru comenzó a explotar CVE-2022-2294 en marzo de 2022 y se dirigió a usuarios de Líbano, Turquía, Yemen y Palestina.

"La información recopilada incluye el idioma de la víctima, la zona horaria, la información de la pantalla, el tipo de dispositivo, los complementos del navegador, la referencia, la memoria del dispositivo, la funcionalidad de las cookies y más", explica el informe de Avast.

En el caso de Líbano, el día cero permitió a los actores lograr la ejecución de shellcode dentro de un proceso de representación y se encadenó aún más con una falla de escape de sandbox que Avast no pudo recuperar para el análisis.

Debido a que la falla se ubicó en WebRTC, también afectó al navegador Safari de Apple. Sin embargo, el exploit visto por Avast solo funcionó en Windows.

Dado que Google se ha apresurado a parchear la vulnerabilidad, para salvaguardar nuestro equipo bastará con mantener actualizado nuestro navegador Chrome. La mayoría de los otros navegadores basados en Chromium han liberado ya, también, dicha actualización.

Pero además de la existencia de la vulnerabilidad, en Avast están seguros de haber identificado quién estaba explotando esta vulnerabilidad ahora desconocida.

Otro caso similar al famoso 'Pegasus'

Según afirma la compañía, el equipo de Avast Threat Intelligence ha podido rastrear el origen de los ataques hasta un spyware desarrollado en Israel, descubriendo que, entre los objetivos de dichos ataques, se encontraban varios periodistas del Líbano, así como otros usuarios de Turquía, Yemen y Palestina.

Concretamente, los miembros de dicho equipo atribuyen, basándose en el malware y las tácticas utilizadas para llevar a cabo el ciberataque, al proveedor de software espía Candiru (con sede en Tel Aviv), conocido por vender software de espionaje a clientes gubernamentales… y al que Microsoft ya sorprendió vigilando a usuarios españoles el año pasado a través de su software Sourgum.

Este ataque permite, en primer lugar, obtener un perfil del navegador web de la víctima, basándose en la recopilación de medio centenar de factores: idioma de la víctima, la zona horaria, tipo de dispositivo, los plug-ins instalados en el navegador, la ubicación de referencia, la memoria del dispositivo, la funcionalidad de las cookies, etcétera.

DevilsTongue

Una vez que dicha información obra en manos de los atacantes, y si ésta indica que el objetivo es lo que los atacantes estaban buscando, se envía un exploit mediante canal cifrado para aprovechar la vulnerabilidad de día cero a través de un software conocido como DevilsTongue ('lengua de diablo').

Una vez que se ejecuta en el equipo de la víctima, DevilsTongue, un avanzado software espía, que intenta escalar sus privilegios para obtener acceso completo al dispositivo de la víctima, grabando a través de la cámara web y el micrófono, registrando las pulsaciones de su teclado, filtrando sus mensajes, accediendo al historial de navegación, las contraseñas o la geolocalización, etc.

Jan Vojtěšek, investigador de malware de Avast, ha declarado que

"En el Líbano, los atacantes parecen haber comprometido el sitio web utilizado por los empleados de una agencia de noticias. No podemos decir con seguridad lo que los atacantes podrían estar buscando, sin embargo, a menudo la razón por la que los atacantes van tras los periodistas es para espiarlos y conocer las historias en las que están trabajando de forma directa, o para llegar a sus fuentes y reunir información comprometedora y datos sensibles que compartieron con la prensa".

Candiru

Candiru es una empresa con sede en Israel que vende software espía exclusivamente a los gobiernos. Literalmente unos ciber mercenarios espías a sueldo del mejor postor. Sus servicios consisten en una batería de software espías que puede ser usado en todo tipo de dispositivos: iPhone, Android, Mac, PC y cuentas en la nube. En septiembre de 2020 una demanda de un empleado de Candiru contra su compañía reveló algunas operaciones por un valor de 30 millones de dólares. y que entre sus clientes se encontraban países en Europa, de la ex Unión Soviética, el Golfo Pérsico, Asia y América Latina. Concretamente en 2019 en una presentación se mencionaban países como Arabia Saudí, Qatar, Singapur o Uzbekistán.

Algunas cosas del portfolio de Candiru fueron reveladas en una oferta de sus servicios filtrada en The Maker: 16 millones de euros por infectar un número ilimitado de dispositivos solo monitorizando diez de ellos simultáneamente. Y con incrementos de 1,5 millones para poder ver 15 dispositivos a la vez, o de 5,5 millones para acceder a 25.

Fuentes:

https://decoded.avast.io/janvojtesek/the-return-of-candiru-zero-days-in-the-middle-east/

https://www.genbeta.com/seguridad/google-parchea-vulnerabilidad-chrome-que-estaba-siendo-usada-para-vigilar-a-periodistas-varios-paises-avast

https://www.newtral.es/que-es-candiru-zero-day-armas-ciberneticas/20210719/

https://www.bleepingcomputer.com/news/security/chrome-zero-day-used-to-infect-journalists-with-candiru-spyware/