image

Avast: spywareleverancier Candiru achter zeroday-aanval op journalisten

donderdag 28 juli 2022, 13:26 door Redactie, 1 reacties

Een zeroday-aanval tegen gebruikers van Google Chrome die recentelijk plaatsvond en onder andere journalisten als doelwit had is het werk van spywareleverancier Candiru, zo stelt antivirusbedrijf Avast op basis van eigen onderzoek. Begin deze maand kwam Google met een beveiligingsupdate voor de kwetsbaarheid.

Vorige week stelde Avast al dat Chrome-gebruikers in het Midden-Oosten het doelwit waren, waarbij het grootste deel van de aanvallen in Libanon plaatsvond. Onder deze groep bevonden zich ook journalisten. De overige aanvallen werden in Turkije, Jemen en Palestina waargenomen. Het antivirusbedrijf stelt in een nieuwe analyse op basis van verder onderzoek dat de aanval door Candiru is uitgevoerd.

De aanval op Palestijnse gebruikers vond plaats via een pornosite. Het is onduidelijk of de pornosite zelf werd gecompromitteerd of dat Candiru van besmette advertenties gebruikmaakte, aldus Avast. Het gebruik van advertenties is volgens het antivirusbedrijf geen precieze aanvalsvector. "Maar als je er rekening mee houdt dat de klanten van Candiru altijd overheden zijn, is het waarschijnlijk dat ze via internetproviders toegang tot informatie over bezochte websites hadden", zo laat de virusbestrijder verder weten.

De meeste van de aanvallen waren gericht tegen Libanese journalisten. Daarbij wisten de aanvallers een intern contentmanagementsysteem (CMS) via cross-site scripting (XSS) te compromitteren. Avast stelt dat dit interne CMS alleen toegankelijk via een inlogscherm was, wat suggereert dat Candiru uitgebreide kennis had van hoe journalisten bij het betreffende medium werken.

De XSS-kwetsbaarheid maakte het mogelijk om kwaadaardige code te injecteren die code laadde waarmee Chrome-gebruikers werden geïnfecteerd. Het uiteindelijke doel was het infecteren van slachtoffers met de DevilsTongue-spyware. Daarmee hebben aanvallers volledige controle over het systeem van hun slachtoffers en kunnen onder andere inloggegevens uit browsers stelen en Signal-gesprekken ontsleutelen. Vorig jaar stelden ook Microsoft en Citizen Lab dat Candiru aanvallen tegen politici, activisten en journalisten had uitgevoerd.

Reacties (1)
28-07-2022, 15:34 door Anoniem
De firma Candiru in Tel Aviv verandert frequent van naam. Momenteel gaan ze door onder naam "Saito Tech".

https://en.wikipedia.org/wiki/Candiru_(spyware_company)
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.