Gebruikers van Google Chrome zijn eerder dit jaar het doelwit van een aanval geworden waarbij alleen het klikken op een malafide link in een phishingmail voldoende was om met spyware geïnfecteerd te raken. Dat laat antivirusbedrijf Kaspersky in een analyse weten. De virusbestrijder rapporteerde één van de gebruikte kwetsbaarheden, een sandbox escape, op 20 maart aan Google, dat op 25 maart met een beveiligingsupdate voor Chrome kwam.

In totaal werden bij de aanval twee verschillende Chrome-lekken gebruikt, maar de eerste kwetsbaarheid die remote code execution (RCE) binnen de browser mogelijk maakt konden de onderzoekers niet achterhalen. De aanval begon met een gepersonaliseerde phishingmail die naar mediabedrijven, universiteiten, onderzoekscentra, overheidsinstanties, banken en andere organisaties in Rusland werd gestuurd.

De link in de e-mail wees naar een pagina met daarop een exploit voor een onbekende RCE-kwetsbaarheid in Chrome, waardoor het mogelijk was voor de aanvallers om code binnen de browser uit te voeren. Vervolgens werd een tweede kwetsbaarheid gebruikt (CVE-2025-2783) om uit de sandbox van de browser te breken. Bij een succesvolle aanval werd de Dante-spyware op Windowscomputers geïnstalleerd, aldus Kasperky. Deze spyware is volgens de virusbestrijder ontwikkeld door een Italiaans bedrijf genaamd Memento Labs, dat eerde bekendstond als Hacking Team.

Eenmaal actief kan de spyware toetsaanslagen en bestanden stelen, en de aanvallers op afstand allerlei commando's op het besmette systeem laten uitvoeren. Hoeveel slachtoffers de aanval maakte is onbekend, maar Kaspersky stelt dat het "een golf van infecties" detecteerde nadat ontvangers van de phishingmail op de link hadden geklikt. Ook is onbekend of de Chrome-kwetsbaarheden tegen gebruikers in andere landen zijn ingezet.