Google heeft onthuld dat het 75 nul-day kwetsbaarheden in 2024 in het wild waargenomen, tegen 98 in 2023.
Van de 75 nul-dagen richtte 44% van hen zich op enterprise-producten. Maar liefst 20 fouten werden geïdentificeerd in beveiligingssoftware en apparaten.
“Zero-day exploitatie van browsers en mobiele apparaten viel drastisch en daalde met ongeveer een derde voor browsers en met ongeveer de helft voor mobiele apparaten in vergelijking met wat we vorig jaar hebben waargenomen,” zei de Google Threat Intelligence Group (GTIG) in een rapport dat werd gedeeld met het Hacker News.
“EXPLOT-ketens bestaande uit meerdere nul-daagse kwetsbaarheden blijven bijna uitsluitend (~ 90%) worden gebruikt om zich te richten op mobiele apparaten.”
Terwijl Microsoft Windows goed was voor 22 van de zero-day fouten geëxploiteerd in 2024, had Apple’s Safari er drie, iOS had er twee, Android had er zeven, Chrome had er zeven en Mozilla Firefox had één fout die in dezelfde periode werd misbruikt. Drie van de zeven zero-days geëxploiteerd in Android werden gevonden in componenten van derden.
Onder de geëxploiteerde 33 nul-dagen in bedrijfssoftware en -apparatuur, 20 van hen gerichte beveiligings- en netwerkproducten, zoals die van Ivanti, Palo Alto Networks en Cisco.
“Beveiligings- en netwerktools en -apparaten zijn ontworpen om wijdverbreide systemen en apparaten te verbinden met hoge machtigingen die nodig zijn om de producten en hun diensten te beheren, waardoor ze zeer waardevolle doelen zijn voor bedreigingsactoren die efficiënte toegang tot bedrijfsnetwerken zoeken,” merkten GTIG -onderzoekers op.
In totaal waren in totaal 18 unieke ondernemingsverkopers het doelwit in 2024, in vergelijking met 12 in 2021, 17 in 2022 en 22 in 2023. De bedrijven met de meest gerichte nuldagen waren Microsoft (26), Google (11), Ivanti (7) en Apple (5).
Wat meer is, de zero -day exploitatie van 34 van de 75 fouten is toegeschreven aan zes brede dreigingsactiviteitclusters –
- Gesponsorde sponsorde sponsage (10), geleid door China (5), Rusland (1) en Zuid-Korea (1) (bijv. CVE-2023-46805, CVE-2024-21887)
- Commercial Surveillance Leveranciers (8) (bijv. CVE-2024-53104, CVE-2024-32896, CVE-2024-29745, CVE-2024-29748)
- Niet-toestand financieel gemotiveerde groepen (5) (bijv. CVE-2024-55956)
- Door de staat gesponsorde spionage en financieel gemotiveerde groepen (5), allemaal uit Noord-Korea (bijv. CVE-2024-21338, CVE-2024-38178)
- Niet-statelijke financieel gemotiveerde groepen voeren ook spionage uit (2), allemaal uit Rusland (bijv. CVE-2024-9680, CVE-2024-49039)
Google zei dat het in november 2024 een kwaadaardig JavaScript-injecteerde op de website van de Diplomatic Academy of Oekraïne (online.da.mfa.gov (.) UA) ontdekte, dat een exploit voor CVE-2024-44308 leidde, wat resulteerde in willekeurige code-uitvoering.
Dit werd vervolgens geketend met CVE-2024-44309, een kwetsbaarheid van cookie management in WebKit, om een cross-site scripting (XSS) -aanval te lanceren en uiteindelijk de cookies van gebruikers te verzamelen om niet-geautoriseerde toegang tot login.microsoftonline (.) Com.
De tech-gigant merkte verder op dat hij onafhankelijk een exploitketen voor Firefox en Tor-browsers ontdekte die een combinatie van CVE-2024-9680 en CVE-2014-49039 gebruikte om uit de Firefox Sandbox te breken en kwaadaardige code met verhoogde privileges uit te voeren, waardoor de weg de weg van Romcom rat.
De activiteit, eerder gemarkeerd door ESET, is toegeschreven aan een dreigingsacteur genaamd Romcom (AKA Storm-0978, Tropical Scorpius, UAC-0180, UNC2596 en ongeldige Rabisu). Google volgt de dubbele financiële en spionage-gemotiveerde bedreigingsgroep onder de naam Sigar.
Beide fouten zouden zijn misbruikt als een zero-day door een andere waarschijnlijk financieel gemotiveerde hackingploeg die een legitieme, gecompromitteerde cryptocurrency-nieuwswebsite gebruikte als een drinkplaats om bezoekers om te leiden naar een door aanvallers gecontroleerd domein dat de exploitketen organiseert.
“Zero-day exploitatie blijft in een langzaam maar gestaag tempo groeien. We zijn echter ook begonnen met het werk van verkopers om zero-day exploitatie te beperken,” zei Casey Charrier, senior analist bij GTIG, in een verklaring gedeeld met het Hacker News.
“We hebben bijvoorbeeld minder gevallen van zero-day exploitatie gericht op producten die historisch populair zijn waargenomen, waarschijnlijk vanwege inspanningen en middelen die veel grote leveranciers hebben geïnvesteerd om exploitatie te voorkomen.”
“Tegelijkertijd zien we zero-day exploitatie verschuiving naar de toegenomen targeting van enterprise-gerichte producten, die een bredere en meer diverse reeks leveranciers vereist om proactieve beveiligingsmaatregelen te vergroten. De toekomst van zero-day exploitatie zal uiteindelijk worden gedicteerd door de beslissingen van leveranciers en het vermogen om dreigingsactoren tegen te gaan.”
