גוגל מיהרה להוציא תיקון לפרצת אבטחה בדפדפן כרום. ביום שלישי בערב גוגל שחררה תיקון דחוף לפרצת אבטחה חמורה בארגז החול (sandbox) של דפדפן Chrome, לאחר שחוקרים מחברת קספרסקי Kaspersky זיהו מבצע פריצה מקצועי שכלל התקפות Drive-by Download (הורדה אוטומטית ללא ידיעת המשתמש).

הפרצה, שזכתה למספר CVE-2025-2783, קשורה לניצול נוסף שאפשר הפעלה מרחוק של קוד זדוני (Remote Code Execution), במה שנראה כקמפיין סייבר למטרות ריגול בחסות מדינה, המכוון נגד ארגונים בתוך רוסיה.

קספרסקי דיווחה כי זיהתה סדרה של הדבקות שהופעלו באמצעות מיילים של פישינג (דיוג) באמצע חודש מרץ, ומצאה שהמקור להן הוא פרצת "אפס ימים" שהופעלה כאשר הקורבנות רק לחצו על אתר כזה דרך דפדפן כרום. על פי החברה, הקורבנות היו צריכים רק ללחוץ על קישור אישי וקצר, ומערכותיהם נפרצו ברגע שהאתר הזדוני נפתח בדפדפן.

כלי זיהוי הפרצות של קספרסקי זיהו את פרצת ה-Zero-Day, ולאחר שהקוד עבר הנדסה לאחור, הצוות דיווח על הבאג לגוגל ותיאם את תיקון הפרצה ששוחרר ביום שלישי. קמפיין הסייבר, שנקרא Operation ForumTroll, מכוון נגד ארגונים ברוסיה, כולל כלי תקשורת, מוסדות חינוך וסוכנויות ממשלתיות.

על פי התיעוד של קספרסקי, הודעות הפישינג הוסוו כהזמנות להשתתף בפורום מדעי בשם "Primakov Readings", במטרה להערים על הקורבנות ולהוביל אותם להוריד קוד זדוני נוסף.

בעוד שהניצול הראשוני נועד לעקוף את הגנת ארגז החול של כרום, הוא תוכנן להמשיך לעבוד בשילוב עם ניצול נוסף שאפשר הפעלה מרחוק של קוד זדוני. קספרסקי ציינה כי לא הצליחה לחשוף את הניצול השני, אך תיקון ה-Zero-Day הצליח לשבש ביעילות את כל שרשרת ההתקפה.

"גילינו ודיווחנו על עשרות פרצות Zero-Day שהיו בשימוש פעיל במתקפות, אך הפרצה הספציפית הזו היא ללא ספק אחת המעניינות ביותר שנתקלנו בהן," אמרו בקספרסקי. "פרצת האבטחה CVE-2025-2783 ממש גרמה לנו לחשוב, מכיוון שבלי לעשות שום דבר שנראה זדוני או אסור, היא אפשרה לתוקפים לעקוף את הגנת ארגז החול של גוגל כרום כאילו היא כלל לא קיימת".

החוקרים של קספרסקי הסבירו כי הסיבה לפרצה הייתה "שגיאה לוגית בנקודת הממשק בין ארגז החול של גוגל כרום למערכת ההפעלה של ווינדוס". החברה הודיעה כי היא דוחה את פרסום הפרטים הטכניים של הפרצה עד שרוב משתמשי כרום יתקינו את התיקון האחרון. בהודעה הם מסכמים: "כל הממצאים שנבדקו עד כה מצביעים על תחכום גבוה של התוקפים, מה שמאפשר לנו להסיק בביטחון שקבוצת APT (איום מתמשך מתקדם) בחסות מדינה עומדת מאחורי המתקפה הזו".