兩個Chrome零日正在積極被野外利用攻擊，立即更新你的Chrome！

昨天，在萬聖節之夜，Google工程師得到的禮物是當晚的最大恐慌，他們緊急釋出了針對Chrome瀏覽器的緊急更新，以修補被積極利用的零日漏洞。

漏洞跟蹤為CVE-2019-13720和CVE-2019-13721，分別位於Chrome的音訊元件和PDFium庫中：

[$ 7500] [ 1013868 ] 高 CVE-2019-13721：PDFium中的免費使用。banananapenguin在2019-10-12上報

[$ TBD] [ 1019226 ] 高 CVE-2019-13720：音訊後釋放後使用。卡巴斯基實驗室的Anton Ivanov和Alexey Kulaev於2019-10-29上報

Google稱已經知道存在針對CVE-2019-13720的漏洞正被積極利用，Google工程師在部落格中宣佈釋出最新的v78.0.3904.87版本。

正在積極被利用的零日漏洞被描述為Chrome音訊元件中的一種無使用錯誤的錯誤。

釋放後使用漏洞是當應用程式嘗試引用先前分配給它但已被釋放或刪除的記憶體時發生的記憶體損壞錯誤。這通常會導致程式崩潰，但有時也可能導致其他意想不到的後果，例如程式碼執行方案。

該漏洞已被利用來在與先前與朝韓相關的攻擊具有相似性的活動中傳播惡意軟體。

Google感謝卡巴斯基的兩位惡意軟體研究人員Anton Ivanov和Alexey Kulaev報告了此問題。根據這篇文章發表後發表的部落格文章，卡巴斯基表示，零日漏洞被用來在使用者裝置上安裝惡意軟體。

它已透過朝鮮語新聞入口網站部署在使用者裝置上。卡巴斯基表示，儘管與過去的朝鮮惡意軟體存在一些程式碼相似性，但它無法將零日使用率與特定的駭客組織聯絡起來。該公司正在使用代號“Operation WizardOpium”來跟蹤這些攻擊。

根據卡巴斯基的說法，零日活動已被稱為“ Operation WizardOpium”行動利用。該公司表示，尚未找到任何證據可以使它與已知的威脅因素有信心地聯絡起來。

但是，一些“非常弱的程式碼相似性”表明可能與拉薩魯斯集團有聯絡，拉薩魯斯集團是與朝鮮有聯絡的威脅者。另一方面，研究人員認為，這些程式碼相似之處可能是錯誤的標誌，意在使歸因更加困難。

卡巴斯基說，駭客所針對的網站之一使人想起了歸因於DarkHotel的早期攻擊，DarkHotel是一個威脅組織，已知針對的是對朝鮮感興趣的實體，有人認為這可能是由韓國贊助的。

卡巴斯基在部落格中說：“目標網站的配置與最近部署了類似虛假標誌攻擊的早期DarkHotel攻擊更加吻合。”

據該網路安全公司稱，作為水坑攻擊的一部分，攻擊者破壞了一家韓國新聞網站，並濫用該網站透過Chrome零日漏洞傳播惡意軟體。受感染的網站會載入指令碼，這些指令碼旨在檢查訪問者的瀏覽器和作業系統，以確定是否可以利用Chrome漏洞執行任意程式碼。

如果漏洞利用成功，則將偽裝成無害.jpg檔案的加密有效載荷傳送給受害者。然後，對有效負載進行解密，並刪除並執行可執行檔案。

卡巴斯基僅分享了有關該惡意軟體的有限資訊，但透露它利用Windows Task Scheduler來實現永續性，其主要模組旨在從命令和控制（C＆C）伺服器下載其他模組。

除零日外，最新的Chrome更新還修復了CVE-2019-13721，該問題是PDFium元件中的一個嚴重的無使用後使用問題。一位研究人員於10月12日向Google報告了此漏洞，該駭客使用線上綽號banananapenguin，併為駭客贏得了7,500美元的賞金。

這是今年第二次檢測到Chrome零日。早在3月，Google修補了另一個Chrome零日（Chrome 72.0.3626.121中的CVE-2019-5786），當時它與Windows 7零日（CVE-2019-0859）一起使用，於4月修復。星期二更新）。卡巴斯基在4月份表示，這兩個漏洞利用程式都被尚未命名的APT（一個用來描述民族國家駭客組織的術語）一起使用。

Chrome 78.0.3904.87適用於Windows，Mac和Linux。該版本將在未來幾周內逐步向所有Chrome使用者推出，但使用者可以立即訪問瀏覽器的“ 幫助”>“關於Google Chrome”部分來觸發手動更新。

參考資料：

CHROMR版本釋出及漏洞說明：

https://chromereleases.googleblog.com/2019/10/stable-channel-update-for-desktop_31.html

卡巴斯基關於Chrome 零日天漏洞CVE-2019-13720分析：

https://securelist.com/chrome-0-day-exploit-cve-2019-13720-used-in-operation-wizardopium/94866/