Шпионское ПО Heliconia, поражающее несколько браузеров, в том числе Google Chrome, Firefox, как ни странно, программу безопасности Microsoft Defender.Исследователи команды добавили, что узнали о фреймворке из отчета об ошибке, отправленного анонимно пользователем Chrome, который содержал инструкции и исходный код с названиями
Heliconia Noise , Heliconia Soft и Files .
Группа анализа угроз Google добавляет, что шпионское ПО было специально разработано для использования уязвимостей в браузерах Chrome и Firefox. Также было замечено , что шпионское ПО влияет на Microsoft Defender, который предустанавливается вместе с Microsoft Windows. Исследователи пришли к выводу, что инструменты распространения кода шпионского ПО содержали ссылки на потенциального создателя фреймворков после тщательного изучения проблемы, о которой сообщил анонимный пользователь.
Heliconia Noise — это веб-фреймворк для развертывания эксплойта средства визуализации Chrome с последующим выходом из песочницы Chrome и установкой агента. Файл манифеста в исходном коде содержит описание продукта:
изображение файла манифеста в исходном коде
Эксплойт средства визуализации Chrome . Он использует ошибку деоптимизатора V8, исправленную в августе 2021 года. Как обычно в настоящее время для внутренних ошибок Chrome, CVE не был присвоен.
Исходный код содержит ссылки на побег из песочницы под названием chrome-sbx-gen. Этот компонент поддерживался в отдельном подмодуле Git и отсутствовал в полученном исходном коде. Чтобы запутать код JavaScript, фреймворк использует minobf, вероятно, специальный инструмент, который также не был включен в исходный код.Heliconia Soft — это веб-фреймворк, который развертывает PDF-файл, содержащий эксплойт Защитника Windows.Он использует CVE-2021-42298, ошибку в движке JavaScript Microsoft Defender Malware Protection, которая была исправлена в ноябре 2021 года.
Эксплойт получает СИСТЕМНЫЕ привилегии с помощью одной уязвимости, и единственное действие, требуемое от пользователя, — загрузка PDF-файла, который запускает сканирование Защитником Windows.Files — содержал полностью задокументированную цепочку эксплойтов Firefox для Windows и Linux. Для удаленного выполнения кода он использует CVE-2022-26485 , уязвимость использования после бесплатного использования в процессоре XSLT, которая, как сообщалось, в марте 2022 года использовалась в дикой природе. TAG считает, что пакет Heliconia Files, вероятно, использовал эту уязвимость RCE по крайней мере с 2019 года, задолго до того, как об ошибке стало известно и она была исправлена.Эксплойт Heliconia эффективен против версий Firefox с 64 по 68, что позволяет предположить, что он мог использоваться уже в декабре 2018 года, когда впервые была выпущена версия 64. Кроме того, когда Mozilla исправила уязвимость, код эксплойта в отчете об ошибке имел поразительное сходство с эксплойтом Heliconia, включая те же имена переменных и маркеры. Эти совпадения предполагают, что автор эксплойта один и тот же как для эксплойта Heliconia, так и для примера кода эксплойта, которым Mozilla поделилась, когда они исправили ошибку.#spyware #snooping #malware #android #browsers #cve #exploit #tools