Een zeroday-aanval tegen gebruikers van Google Chrome die recentelijk plaatsvond en onder andere journalisten als doelwit had is het werk van spywareleverancier Candiru, zo stelt antivirusbedrijf Avast op basis van eigen onderzoek. Begin deze maand kwam Google met een beveiligingsupdate voor de kwetsbaarheid.

Vorige week stelde Avast al dat Chrome-gebruikers in het Midden-Oosten het doelwit waren, waarbij het grootste deel van de aanvallen in Libanon plaatsvond. Onder deze groep bevonden zich ook journalisten. De overige aanvallen werden in Turkije, Jemen en Palestina waargenomen. Het antivirusbedrijf stelt in een nieuwe analyse op basis van verder onderzoek dat de aanval door Candiru is uitgevoerd.

De aanval op Palestijnse gebruikers vond plaats via een pornosite. Het is onduidelijk of de pornosite zelf werd gecompromitteerd of dat Candiru van besmette advertenties gebruikmaakte, aldus Avast. Het gebruik van advertenties is volgens het antivirusbedrijf geen precieze aanvalsvector. "Maar als je er rekening mee houdt dat de klanten van Candiru altijd overheden zijn, is het waarschijnlijk dat ze via internetproviders toegang tot informatie over bezochte websites hadden", zo laat de virusbestrijder verder weten.

De meeste van de aanvallen waren gericht tegen Libanese journalisten. Daarbij wisten de aanvallers een intern contentmanagementsysteem (CMS) via cross-site scripting (XSS) te compromitteren. Avast stelt dat dit interne CMS alleen toegankelijk via een inlogscherm was, wat suggereert dat Candiru uitgebreide kennis had van hoe journalisten bij het betreffende medium werken.

De XSS-kwetsbaarheid maakte het mogelijk om kwaadaardige code te injecteren die code laadde waarmee Chrome-gebruikers werden geïnfecteerd. Het uiteindelijke doel was het infecteren van slachtoffers met de DevilsTongue-spyware. Daarmee hebben aanvallers volledige controle over het systeem van hun slachtoffers en kunnen onder andere inloggegevens uit browsers stelen en Signal-gesprekken ontsleutelen. Vorig jaar stelden ook Microsoft en Citizen Lab dat Candiru aanvallen tegen politici, activisten en journalisten had uitgevoerd.