Google：俄羅斯駭客利用Safari零時差漏洞鎖定LinkedIn用戶

Google安全研究人員發現俄羅斯駭客鎖定歐洲LinkedIn用戶下手，如果他們也用iOS裝置的話。

Google威脅分析小組研究人員Maddie Stone及Clement Lecigne 5月間發現，Safari的WebKit引擎存在編號CVE-​2021-1879的安全漏洞。一個疑似俄羅斯政府支持的駭客組織利用LinkedIn Messaging，向歐洲國家政府官員發送惡意連結。如果他們從iOS裝置點入，就會被導向攻擊者控制的網域以送出次階段的攻擊程式。研究人員判斷，這波攻擊和5月間鎖定Windows 裝置用戶送出Cobalt Strike的攻擊相同。

Google分析，在多階段下載後，最後的攻擊程式會開採iOS裝置上Safari的CVE-​2021-1879。這會導致Safari的同源政策（Same-Origin-Policy）防護被關閉，而導致跨網域取得其他合法網站的資訊。同源政策要求瀏覽器下載和被存取的圖片、影片及程式碼都必須來自同一網域，以防止跨域攻擊。但在Safari同源政策被關閉後，駭客得以蒐集Google、Yahoo、LinkedIn、臉書及微軟網站的驗證cookies，並透過WebSocket傳送到外部攻擊者控制的IP Address。

所幸受害者必須剛好以Safari連向這些網站，駭客才能成功竊取cookies。研究人員也沒發現攻擊導致沙箱逃逸（sandbox escape）或植入什麼嵌入程式。這項漏洞屬於中度風險。

5月的這波攻擊鎖定12.4到13.7版iOS，以及相應的iPadOS及watchOS。蘋果已釋出iOS 12.5.2、iOS 14.4.2和iPadOS 14.4.2、watchOS 7.3.3.修補該漏洞。

這是Google發現最新一批經過開採的零時差漏洞之一。Google另外還發現Chrome及Internet Explorer (IE)的零時差漏洞，前者有2個：CVE-2021-21166 、CVE-2021-30551，可誘使用戶連上惡意網頁時，引發記憶體堆疊毁損而執行程式碼。IE的CVE-2021-33742為發生在MSHTML引擎的頻外寫入漏洞，可引發遠端程式碼攻擊。三者皆為CVSS 3.0 8.8層級的高度風險漏洞，皆已修補。

至於何以今年上半揭露的零時差漏洞如此之多，Google指出，除了研究界更加努力揭露外，其他原因包括行動裝置普及成為惡意程式偏好目標，以及平臺及安全業者偵測手法精進，迫使惡意程式作者必須開發技巧更高超、更快速發動攻擊以提高成功率。