Krytyczną lukę zero-day w Google Chrome (CVE-2025-2783), wykorzystaną na początku tego roku, powiązano z Memento Labs, włoską firmą produkującą oprogramowanie szpiegujące, wywodzącą się z owianego złą sławą Hacking Team.
Operacja ForumTroll
Odkryta przez Kaspersky w marcu 2025 r. operacja ForumTroll była wymierzona w rosyjskie organizacje — w tym media, uczelnie, instytucje badawcze, agencje rządowe i firmy finansowe.
Atakujący wysyłali wyrafinowane zaproszenia na forum Primakov Readings, zawierające złośliwy link. Samo załadowanie tego linku w dowolnej przeglądarce opartej na Chromium (Chrome, Edge, Brave, Opera) wystarczyło, aby przejąć kontrolę nad systemem ofiary.
Exploit wykorzystywał CVE-2025-2783, lukę zero-day w Chrome umożliwiającą ucieczkę z piaskownicy (sandbox escape). Google załatał tę lukę w wersji 134.0.6998.178, wydanej 26 marca 2025 r. Mozilla później naprawiła powiązaną lukę (CVE-2025-2857) w Firefoksie 136.0.4.
Oprogramowanie szpiegujące stojące za atakiem
Dalsza analiza Kaspersky wykazała, że złośliwe oprogramowanie użyte w ForumTroll sięga 2022 r., i ujawniła powiązania z komercyjną rodziną oprogramowania szpiegującego o nazwie „Dante” — opracowaną przez Memento Labs.
Firma, powstała z pozostałości Hacking Team (znanego ze skandalu wokół oprogramowania szpiegującego RCS), działa obecnie pod nowym szyldem, ale wydaje się nadal rozwijać podobne narzędzia inwigilacji.
„Zidentyfikowaliśmy nieznane złośliwe oprogramowanie o nazwie Dante, opracowane przez włoską firmę Memento Labs” — napisali badacze Kaspersky.
Jak to działa
- LeetAgent, program ładujący, został użyty we wcześniejszych atakach w Rosji i na Białorusi.
- LeetAgent dostarczał Dante, modularne oprogramowanie szpiegujące, zdolne do pobierania dodatkowych ładunków z serwerów C2.
- Dante automatycznie usuwa się, jeśli przez określoną liczbę dni nie ma łączności — zacierając wszelkie ślady swojej obecności.
Choć Kaspersky przypisał oprogramowanie szpiegujące Memento Labs, badacze zastrzegli, że sam exploit na Chrome mógł zostać stworzony przez inny podmiot.
Konsekwencje i środki zaradcze
Ta kampania pokazuje rosnący trend wykorzystywania przez komercyjnych dostawców oprogramowania szpiegującego luk zero-day do geopolitycznego szpiegostwa.
Choć pierwotna operacja skupiała się na Europie Wschodniej, ten sam exploit mógłby zostać wykorzystany ponownie na całym świecie przez innych cyberprzestępców.
Zalecenia:
- ✅ Zaktualizuj Chrome do wersji 134.0.6998.178 lub nowszej.
- ✅ Zaktualizuj Firefoksa do wersji 136.0.4 lub nowszej.
- 🔍 Monitoruj nietypowe zachowanie przeglądarki lub nieznane połączenia wychodzące.
- 🧠 Oceń narażenie swojej organizacji na zagrożenia ze strony komercyjnego oprogramowania szpiegującego.
- 🧱 Zastosuj ograniczenia na poziomie sieci, aby zapobiec komunikacji z serwerami C2.
Spostrzeżenia Alcaeus Services
W Alcaeus Services monitorujemy rozwijające się ekosystemy luk zero-day i oprogramowania szpiegującego, aby pomagać organizacjom:
- Wykrywać próby wykorzystania luk w przeglądarkach
- Identyfikować komercyjne złośliwe oprogramowanie inwigilacyjne
- Wdrażać dostęp do sieci w modelu zero trust oraz defensywne standardy bazowe EDR w środowiskach hybrydowych
Kampania ForumTroll pokazuje, jak komercyjni dostawcy oprogramowania szpiegującego wciąż ewoluują — zacierając granicę między szpiegostwem państwowym a prywatną inwigilacją.
