Chrome e a cadeia de atualizações de zero day: quando o navegador vira vetor de ataque corporativo

Em 2023, o grupo Molerats e a empresa de segurança Proofpoint divulgaram uma cadeia de ataques que explorava uma falha zero day do Google Chrome, o navegador, para instalar uma ferramenta de roubo de sessão. A falha era do tipo que os navegadoresotraramém, e oChrome já tinha corrigido antes de a campanha começar, o que significa que a proteção dependia inteiramente de o usuário estar com a versão certa instalada.

O detalhe que interessa a empresa não é a técnica do exploit, e sim o que a cadeia revela. O acesso inicial à rede veio do navegador, e não de um servidor exposto. Ou seja, a superfície de ataque da empresa passou a incluir cada máquina com navegador, e a proteção passou a depender de cada pessoa manter o navegador atualizado, o que é uma questão de comportamento, não de infraestrutura.

Aliás, a cadeia explorava uma falha do Jira, ferramenta de gestão de projetos da Atlassian, para obter acesso inicial, e só então usava o navegador. Foi a combinação de uma falha em ferramenta de negócio, com dados de cliente, e uma falha em navegador, sem correção instalado, que permitiu a campanha chegar a grandes empresas de software, telecomunicações e segurança.

A lição é sobre a cadeia completa. Atualizar o servidor não basta quando o ser humano é o vetor, e o navegador é o programa mais usado e menos atualizado da empresa. E a segunda lição é que a gestão de patches precisa de inventário do que está instalado, porque não é possível corrigir o que não se sabe que existe, e o painel de gestão de patches do Windows ou do inventário do Endpoint precisam mostrar a versão real, não a que o usuário acredita ter.