Google khẩn cấp khắc phục lỗ hổng bảo mật nghiêm trọng trên trình duyệt Chrome sau khi phát hiện bị sử dụng trong chiến dịch tấn công tinh vi nhắm vào giới truyền thông Nga.
Google vừa công bố đã vá lỗ hổng bảo mật zero-day nghiêm trọng (CVE-2025-2783) trên trình duyệt Chrome dành cho Windows, sau khi phát hiện lỗ hổng này đang bị tin tặc khai thác tích cực trong thực tế. Lỗ hổng được các chuyên gia bảo mật của Kaspersky phát hiện và báo cáo đầu tháng này, cho phép tin tặc vượt qua cơ chế sandbox bảo vệ của Chrome – một biện pháp an ninh quan trọng giúp ngăn chặn các trang web độc hại truy cập vào dữ liệu người dùng.
Chiến dịch “ForumTroll” nhắm vào giới truyền thông
Theo phân tích từ Kaspersky, lỗ hổng của Google đã bị khai thác trong một chiến dịch tấn công có chủ đích mà họ gọi là “Operation ForumTroll”. Chiến dịch này sử dụng email lừa đảo (phishing) tinh vi, mời các nạn nhân tham dự một hội nghị thượng đỉnh chính trị toàn cầu giả mạo do Nga tổ chức. Khi người dùng nhấp vào liên kết trong email, họ sẽ bị chuyển hướng đến một trang web độc hại có khả năng khai thác ngay lập tức lỗ hổng zero-day trên Chrome để xâm nhập vào dữ liệu cá nhân.
Đáng chú ý, các mục tiêu chính của chiến dịch này là các nhà báo, đại diện truyền thông Nga và nhân viên tại các cơ sở giáo dục. Điều này cho thấy đây có thể là một chiến dịch gián điệp có tổ chức, được thiết kế để theo dõi và đánh cắp dữ liệu một cách lén lút trong thời gian dài.
Mặc dù Kaspersky không tiết lộ chi tiết kỹ thuật về cách thức khai thác lỗ hổng của Google, công ty bảo mật này khẳng định vấn đề ảnh hưởng đến tất cả các trình duyệt dựa trên engine Chromium của Google. Theo đánh giá của các chuyên gia, lỗ hổng này có khả năng do một nhóm tin tặc được nhà nước tài trợ hoặc hậu thuẫn thực hiện.
Trình duyệt web như Chrome thường là mục tiêu hàng đầu của tin tặc do tính phổ biến và vai trò cầu nối truy cập internet của chúng. Các lỗ hổng zero-day có khả năng phá vỡ hệ thống bảo vệ và xâm nhập vào dữ liệu thiết bị nhạy cảm thường được giao dịch với giá cao trên thị trường đen. Theo thông tin từ ngành công nghiệp bảo mật, vào năm 2024, một nhà môi giới lỗ hổng zero-day đã chào giá lên đến 3 triệu đô la cho các lỗ hổng có thể khai thác được từ internet.
