Google披露串联Chrome/Windows零时差漏洞

Google Project Zero团队在本周披露了一项串联Chrome及Windows零时差漏洞,以及Android已知漏洞的攻击行动细节,这是Project Zero与Google威胁分析小组(Threat Analysis Group,TAG)合作的研究项目,目的在于侦测市场上的零时差攻击程序,还说他们相信安全社群侦测零时差攻击程序的能力存在着落差。

所谓的零时差漏洞是在漏洞被公开时尚未出现修补程序,这些漏洞有时还未被开采,但有时攻击程序已经现身,还有些时候是先发现了攻击程序,才使得漏洞曝光,而Project Zero与TAG即是要探究侦测零时差攻击程序的新方法。

这次Google团队所举的例子出现在去年第一季。当时它们发现黑客创建了两个服务器来进行水坑攻击,这两个服务器一个锁定Windows设备,一个锁定Android设备,而且串联了4个存在于Windows与Chrome的零时差漏洞,以及存在于Android的已知漏洞展开攻击。

这4个零时差漏洞分别是存在于Chrome的CVE-2020-6418,以及出现在Windows的CVE-2020-0938、CVE-2020-1020与CVE-2020-1027,在Google团队发现相关的攻击行动之前,这4个漏洞都尚未被披露或修补。

经过几个月的分析,Google团队相信该黑客集团训练精良,他们创建了具备多种先进开采方法的复杂程序,有成熟的记录,高端的后开采技术,大量的反分析,还能精确地锁定攻击对象。

研究人员认为,披露零时差攻击程序的细节,将能让安全社群了解黑客所制定的开采技术与策略,期望通过信息分享,让外界能够明白资源丰富之攻击行动的真正面貌。

发表评论