CISA предупредило об эксплуатации уязвимости Apple для доставки стилера
CISA включило уязвимость CVE-2024-27834 в каталог Known Exploited Vulnerabilities (KEV), подтвердив её использование в реальных атаках. Ошибка затрагивает несколько операционных систем Apple, имеет оценку CVSS 5,5 и применялась для доставки вредоносного ПО, собирающего данные браузера и устройства.
Apple устранила проблему в мае 2024 года. Исправления вошли в iOS 16.7.8 и iPadOS 16.7.8, iOS 17.5 и iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 и Safari 17.5.
Что известно об уязвимости
CVE-2024-27834 связана с некорректной аутентификацией. При наличии возможности произвольного чтения и записи памяти атакующий может обойти механизм Pointer Authentication, предназначенный для защиты указателей.
До выпуска исправлений проблему показали как уязвимость нулевого дня на соревновании Pwn2Own Vancouver в марте 2024 года. Теперь CISA относит её к перечню известных эксплуатируемых уязвимостей, который используется федеральными гражданскими ведомствами США для приоритизации обновлений.
Цепочка доставки вредоносного кода
Sekoia сообщила о кампании, которую с умеренной или высокой уверенностью связывает с APT29, также известной как Cozy Bear и Midnight Blizzard. Группу относят к структурам, связанным со Службой внешней разведки России.
В качестве начальных векторов использовались скомпрометированные легитимные сайты, поддельные сайты под видом популярных ресурсов и атака на цепочку поставок, нацеленная на Plerdy SEO Tracker. Во всех случаях посетителю доставлялся вредоносный JavaScript.
Скрипт сначала профилировал устройство пользователя, затем запускал цепочку эксплуатации и разворачивал информационный стилер. Его задачей назывался сбор browser cookie и данных об устройстве. В публикации также упомянута связка с удалённым выполнением кода в WebKit и обходом Pointer Authentication.
Что проверить организациям
Федеральным гражданским ведомствам США CISA рекомендовало применить необходимые исправления до 18 ноября 2026 года. Сам факт включения в KEV означает, что обновление не стоит откладывать и за пределами этого контура.
Бизнесу следует сверить версии управляемых iPhone, iPad, Mac и браузера Safari с перечнем исправленных релизов Apple, установить доступные обновления и проверить использование сторонних веб-сервисов в цепочках поставок. Отдельное внимание потребуется сайтам, которые загружают сторонние JavaScript-компоненты: в описанной кампании именно они стали механизмом доставки вредоносного кода.