Theo các chuyên gia của Kaspersky thì thông qua lỗ hổng này, kẻ tấn công có thể vượt qua cơ chế bảo vệ sandbox của trình duyệt. Lỗ hổng này không yêu cầu người dùng thực hiện bất kỳ hành động nào ngoài việc nhấp vào liên kết độc hại, và đây là một lỗ hổng vô cùng phức tạp, tinh vi. Chính vì vậy, các nhà nghiên cứu của Kaspersky đã được Google ghi nhận cho việc phát hiện và báo cáo lỗ hổng này.

Được biết, vào giữa tháng 3 vừa qua, Kaspersky phát hiện một làn sóng lây nhiễm xảy ra khi người dùng nhấp vào các liên kết lừa đảo được cá nhân hóa và gửi qua email. Sau khi nhấp vào liên kết, hệ thống của người dùng ngay lập tức bị xâm nhập, ngay cả khi người đó không thực hiện thêm bất cứ thao tác nào. Sau khi phân tích và xác nhận rằng cuộc tấn công đang khai thác một lỗ hổng chưa từng được phát hiện trong phiên bản Chrome mới nhất, đội ngũ Kaspersky đã ngay lập tức cảnh báo cho nhóm bảo mật của Google. Bản vá bảo mật cho lỗ hổng này được phát hành sau đó vào ngày 25 tháng 3 năm 2025.

Kaspersky đặt tên cho chiến dịch này là “Operation ForumTroll”, bởi kẻ tấn công thông qua hình thức gửi email mời nạn nhân tham dự diễn đàn “Primakov Readings” để thực hiện hành vi lừa đảo.

Mục tiêu mà kẻ tấn công hướng đến là các cơ quan truyền thông, tổ chức giáo dục và cơ quan chính phủ tại Nga. Tinh vi hơn, các liên kết độc hại chỉ tồn tại trong thời gian ngắn nhằm tránh bị phát hiện. Và trong đa số trường hợp, các liên kết sẽ chuyển hướng đến trang web hợp pháp của Primakov Readings nhằm che giấu dấu vết sau khi hoàn tất quá trình lừa đảo.

Lỗ hổng zero-day trong Chrome chỉ là một mắt xích trong chuỗi tấn công

Lỗ hổng zero-day trong Chrome chỉ là một mắt xích trong chuỗi tấn công, trong đó kẻ tấn công sử dụng ít nhất hai công cụ khai thác. Một trong số đó là lỗ hổng thực thi mã từ xa (Remote Code Execution - RCE), được cho là bước mở đầu cho cuộc tấn công. Tuy nhiên hiện các chuyên gia vẫn chưa thu thập được đầy đủ thông tin về lỗ hổng này. Bước thứ hai trong chuỗi tấn công là thông qua lỗ hổng vượt qua sandbox của Chrome, cũng chính là lỗ hổng mà Kaspersky đã phát hiện. Phân tích của Kaspersky cho thấy chiến dịch này chủ yếu phục vụ mục đích gián điệp. Các bằng chứng thu thập được đều cho thấy chiến dịch có liên quan đến một nhóm tin tặc APT.

“Lỗ hổng này đặc biệt nguy hiểm hơn so với hàng chục lỗ hổng zero-day mà chúng tôi từng phát hiện trong nhiều năm qua. Kẻ tấn công khai thác lỗ hổng này để vượt qua cơ chế bảo vệ sandbox của Chrome mà không cần thực hiện bất kỳ hành vi rõ ràng nào, như thể hệ thống bảo mật của trình duyệt gần như không tồn tại. Nhìn vào mức độ tinh vi đó, có thể thấy phương thức tấn công này được phát triển bởi những nhóm tội phạm mạng có trình độ cao và nguồn lực lớn. Chúng tôi khuyến cáo tất cả người dùng nên cập nhật Google Chrome và các trình duyệt sử dụng nền tảng Chromium lên phiên bản mới nhất để tránh nguy cơ bị tấn công.” Ông Boris Larin, Trưởng nhóm các nhà nghiên cứu bảo mật tại GReAT của Kaspersky cho biết.

Google cũng đã ghi nhận đóng góp của Kaspersky trong việc phát hiện và báo cáo lỗ hổng này, thể hiện cam kết trong việc hợp tác với cộng đồng an ninh mạng toàn cầu nhằm đảm bảo an toàn cho người dùng.

Các chuyên gia bảo mật của Kaspersky khuyến nghị người dùng nên thực hiện những biện pháp sau:

Cập nhật phần mềm kịp thời: Luôn cập nhật hệ điều hành và trình duyệt web, đặc biệt là Google Chrome, để tránh trường hợp tội phạm mạng tấn công thông qua các lỗ hổng bảo mật mới.

Áp dụng mô hình bảo mật nhiều lớp: Bên cạnh bảo vệ thiết bị đầu cuối (endpoint protection), người dùng nên cân nhắc sử dụng giải pháp như Kaspersky Next XDR Expert, ứng dụng AI/ML để phân tích, đo lường sự tương quan của dữ liệu, từ đó phát hiện và phản ứng tự động với các mối đe dọa nâng cao và chiến dịch APT.

Sử dụng dịch vụ tình báo bảo mật: Dữ liệu tình báo mới nhất, như từ Kaspersky Threat Intelligence, giúp cập nhật các lỗ hổng zero-day và kỹ thuật tấn công mới nhất.