Nhóm phân tích mối đe dọa (TAG) của Google đã phát hiện ra một khung tấn công mạng có tên là Heliconia, được xây dựng để khai thác các lỗ hổng zero-day và n-day trong Chrome, Firefox và Microsoft Defender. Nó có khả năng có kết nối với một nhà môi giới phần mềm gián điệp chợ xám có tên là Variston IT, điều này làm nổi bật cách thức hoạt động này. phân khúc bóng tối đang nở rộ.

Mối đe dọa Heliconia bao gồm ba mô-đun:

• Heliconia Noise vì đã xâm phạm trình duyệt Chrome, thoát khỏi hộp cát và cài đặt phần mềm độc hại;
• Heliconia Soft, một khung Web triển khai tệp PDF chứa khai thác Windows Defender cho CVE-2021-42298 cho phép nâng cấp đặc quyền lên HỆ THỐNG và thực thi mã từ xa (RCE);
• Và gói Tệp Heliconia chứa chuỗi khai thác Firefox được ghi lại đầy đủ cho Windows và Linux, bao gồm CVE-2022-26485 cho RCE.

TAG đã biết về mối đe dọa này sau khi nhận được một nội dung gửi ẩn danh tới chương trình báo cáo lỗi của Chrome. Sau khi điều tra thêm, mã nguồn của khung Heliconia được phát hiện có chứa một tập lệnh quay trở lại Variston IT, một tổ chức có trụ sở tại Barcelona tuyên bố cung cấp “các giải pháp bảo mật tùy chỉnh”.

Phần mềm gián điệp thương mại thường được bán bởi các tổ chức tự xưng là công ty hợp pháp, để “cơ quan thực thi pháp luật sử dụng”. Tuy nhiên, ngày càng có nhiều bằng chứng cho thấy rằng các công ty môi giới này thường không kiểm tra kỹ khách hàng của họ, “đặt các khả năng giám sát tiên tiến vào tay các chính phủ, những người sử dụng chúng để theo dõi các nhà báo, nhà hoạt động nhân quyền, phe đối lập chính trị và những người bất đồng chính kiến,” theo một báo cáo. TAG bài đăng vào thứ Tư.

Các nhà nghiên cứu lưu ý rằng Variston IT chắc chắn ở giữa thị trường đang phát triển này — một không gian đã bị Hoa Kỳ và các nước khác trừng phạt chống lại các tổ chức như nhóm NSO khét tiếng, tác giả của phần mềm gián điệp Pegasus.

“Ngành giám sát thương mại đang phát triển mạnh và đã mở rộng đáng kể trong những năm gần đây, tạo ra rủi ro cho người dùng Internet trên toàn cầu,” các nhà nghiên cứu của TAG cho biết thêm. “Mặc dù công nghệ giám sát có thể hợp pháp theo luật pháp quốc gia hoặc quốc tế, nhưng chúng thường được sử dụng theo những cách có hại để thực hiện hoạt động gián điệp kỹ thuật số chống lại một loạt nhóm”.

Cho đến nay, không có mô-đun nào được nhìn thấy trong các cuộc tấn công hiện tại ngoài tự nhiên, nhưng các nhà nghiên cứu của TAG lưu ý rằng chúng có thể đã được triển khai trong quá khứ, bao gồm cả việc sử dụng các khai thác mà chúng chứa trong XNUMX ngày trước khi chúng được sửa.