Kaspersky’den yapılan açıklamaya göre, son aylarda sıfır gün açıklarını kullanan yeni bir gelişmiş tehdit dalgası sahada öne çıktı. Nisan ayının ortalarında uzmanlar, saldırganların hedeflenen ağları gizlice ele geçirmesine olanak tanıyan, çok sayıda şirkete yönelik yeni bir yüksek düzeyde hedefli açıklardan yararlanan tehdit dalgası keşfetti. Kaspersky, bu saldırılarla bilinen tehdit aktörleri arasında henüz bir bağlantı bulamadı. Bu nedenle bu yeni oyuncuya "PuzzleMaker" adı verildi.

Saldırılar, Chrome tarayıcısı üzerinden gerçekleştirildi ve uzaktan kod yürütmeye izin veren bir açıktan yararlanıldı. Araştırmacılar, uzaktan yürütme açığının kodunu alamamış olsa da zaman çizelgesi ve kullanım aktiviteleri saldırganların şu anda yamanmış olan CVE-2021-21224 güvenlik açığını kullandığını gösteriyor. Bu güvenlik açığı, Chrome ve Chromium web tarayıcıları tarafından kullanılan bir JavaScript motoru olan V8'deki Tür Uyuşmazlığı hatasıyla ilgili ve saldırganların Chrome derleyici sürecinden yararlanmalarına olanak tanıyor.

Uzmanlar, Microsoft Windows işletim sistemi çekirdeğindeki iki farklı güvenlik açığından yararlanan ikinci istismarı bulup analiz etmeyi başardı. Hassas çekirdek bilgilerini sızdıran bu güvenlik açığı, "CVE-2021-31955" olarak işaretlendi. Bu açık ilk olarak Windows Vista ile tanıtılan ve yaygın olarak kullanılan uygulamaları belleğe önceden yükleyerek yazılım yükleme sürelerini azaltmayı amaçlayan bir özellik olan SuperFetch ile bağlantılı durumda bulunuyor.

Saldırganların çekirdekten yararlanmasına ve bilgisayara erişim elde etmesine olanak tanıyan ikinci güvenlik açığı "CVE-2021-31956" adıyla biliniyor ve yığın tabanlı arabellek taşmasına karşılık geliyor. Saldırganlar, rastgele bellek okuma/yazma ilkeleri oluşturmak ve sistem ayrıcalıklarıyla kötü amaçlı yazılım modüllerini yürütmek için Windows Bildirim Tesisi (WNF) ile birlikte CVE-2021-31956 güvenlik açığını kullanıyor.

Saldırganlar, hedeflenen sisteme yerleşmek için hem Chrome hem de Windows açıklarından yararlandıktan sonra aşamalı bir modül yardımıyla uzak sunucudan daha karmaşık bir kötü amaçlı yazılımı indirip çalıştırıyor. Daha sonra Microsoft Windows işletim sistemine ait meşru dosyalar gibi görünen iki çalıştırılabilir dosya yükleniyor. Bu dosyalardan ikincisi dosyaları indirip yükleyebilen, görevler oluşturabilen, belirli süre boyunca uyuyabilen ve virüs bulaşmış sistemden kendisini silebilen bir uzak kabuk modülüne karşılık geliyor.

Microsoft, her iki Windows güvenlik açığı için yamaları yayınladı.