CISA alerta para exploração de falha no software da Apple em ataques associados ao APT29

A Agência de Cibersegurança e Segurança das Infraestruturas dos Estados Unidos (CISA) adicionou a vulnerabilidade CVE-2024-27834, que afeta vários sistemas operativos da Apple, ao catálogo de vulnerabilidades ativamente exploradas, conhecido como Known Exploited Vulnerabilities (KEV). A decisão, anunciada a 4 de novembro, surge na sequência de informações sobre a utilização da falha em ataques destinados a instalar malware capaz de recolher dados dos browsers e dos dispositivos das vítimas.

A vulnerabilidade, classificada com uma pontuação CVSS de 5,5, resulta de um problema de autenticação inadequada que pode permitir contornar o mecanismo de segurança Pointer Authentication. Esta tecnologia procura proteger a integridade dos apontadores de memória e dificultar determinadas técnicas de exploração. Segundo a descrição da falha, um atacante que já disponha de capacidades arbitrárias de leitura e escrita pode utilizá-la para ultrapassar esta proteção.

A Apple corrigiu a vulnerabilidade em maio de 2024, através de verificações de segurança adicionais incluídas nas atualizações iOS 16.7.8, iPadOS 16.7.8, iOS 17.5, iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 e Safari 17.5. A falha tinha sido demonstrada anteriormente, em março desse ano, durante a competição de hacking Pwn2Own Vancouver, na qual foi explorada como uma vulnerabilidade zero-day.

Apesar de a correção estar disponível há mais de dois anos, a inclusão no catálogo KEV indica que existem agora evidências de exploração ativa. A classificação de gravidade moderada não impede que a vulnerabilidade seja utilizada em cadeias de ataque mais complexas, nas quais diferentes falhas são combinadas para ultrapassar mecanismos de segurança e comprometer os sistemas.

Campanha associada ao APT29 utiliza websites comprometidos

A inclusão da CVE-2024-27834 no catálogo da CISA surge após a divulgação de uma investigação da Sekoia, que identificou uma campanha de ciberespionagem baseada na exploração de vulnerabilidades anteriormente corrigidas no Safari e no Google Chrome. A atividade foi atribuída, com um nível de confiança moderado a elevado, ao APT29, também conhecido como Cozy Bear e Midnight Blizzard, um grupo associado ao Serviço de Informações Externas da Rússia.

Segundo a investigação, os atacantes recorrem a três métodos para distribuir o código malicioso: websites legítimos previamente comprometidos, páginas falsas que imitam serviços populares e um ataque à cadeia de fornecimento dirigido ao Plerdy SEO Tracker. Em todos os casos, o objetivo é apresentar código JavaScript malicioso aos visitantes, desencadeando uma sequência de exploração que pode resultar na instalação de malware destinado à recolha de informações.

Antes de avançar com o ataque, o código analisa características do dispositivo e do ambiente de navegação da potencial vítima. Este processo permite aos atacantes identificar os sistemas que correspondem aos requisitos da cadeia de exploração, evitando executar determinadas etapas em equipamentos que não sejam vulneráveis.

A campanha utiliza uma cadeia de exploração sem necessidade de interação adicional do utilizador, combinando vulnerabilidades do browser com técnicas destinadas a ultrapassar proteções de memória. Entre as falhas referidas encontra-se a CVE-2025-43529, uma vulnerabilidade de execução remota de código no WebKit, o motor utilizado pelo Safari.

A informação divulgada sobre a campanha apresenta, contudo, uma inconsistência na identificação das vulnerabilidades: a CVE-2025-43529 surge referida tanto para a execução remota de código como para o contorno de Pointer Authentication Codes (PAC). A vulnerabilidade adicionada pela CISA ao catálogo KEV é a CVE-2024-27834, associada a este último mecanismo. A duplicação do identificador na descrição da cadeia de exploração não permite confirmar, apenas com base na informação apresentada, a sequência técnica exata utilizada pelos atacantes.

O objetivo final dos ataques é executar código JavaScript destinado ao roubo de cookies de navegação e outras informações armazenadas no browser ou no dispositivo. A recolha destes dados pode permitir aos atacantes obter informações sobre a atividade das vítimas e, dependendo dos elementos comprometidos, facilitar novas ações maliciosas.

Agências federais têm até 18 de novembro para aplicar correções

Na sequência da confirmação de exploração ativa, a CISA estabeleceu o prazo de 18 de novembro de 2026 para que as agências civis federais norte-americanas abrangidas pelas obrigações de correção do catálogo KEV apliquem as atualizações necessárias.

A inclusão da vulnerabilidade no catálogo reforça a importância de manter os dispositivos Apple e os respetivos browsers atualizados, mesmo quando as falhas identificadas apresentam classificações de gravidade moderada. Em campanhas que combinam diferentes vulnerabilidades, uma falha aparentemente limitada pode desempenhar um papel relevante na obtenção de acesso ou na superação de mecanismos de proteção.

Para as organizações, a principal medida de mitigação consiste em verificar se os equipamentos utilizam versões do sistema operativo e do browser que incluam as correções disponibilizadas pela Apple. A campanha demonstra também que vulnerabilidades corrigidas há vários anos podem continuar a representar riscos quando permanecem dispositivos sem as atualizações de segurança necessárias.