Hackers exploram vulnerabilidade corrigida da Apple para distribuir malware que rouba dados
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) adicionou a vulnerabilidade CVE-2024-27834, que afeta diferentes sistemas operacionais da Apple, ao catálogo de falhas conhecidas por serem exploradas ativamente (KEV). A decisão foi anunciada na quarta-feira (4), após relatos de ataques que utilizam a brecha para distribuir malware especializado no roubo de informações.
A vulnerabilidade possui pontuação CVSS de 5,5, considerada de gravidade média, e está relacionada a uma falha de autenticação que permite a invasores com capacidade de leitura e escrita arbitrária contornar o mecanismo Pointer Authentication, uma proteção utilizada para dificultar a exploração de corrupção de memória.
A Apple corrigiu o problema em maio de 2024, implementando verificações adicionais nas versões iOS 16.7.8, iPadOS 16.7.8, iOS 17.5, iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 e Safari 17.5.
Antes da disponibilização das correções, a vulnerabilidade havia sido demonstrada como uma falha zero-day durante a competição de hacking Pwn2Own Vancouver, realizada em março de 2024.
Ataques são associados ao grupo russo APT29
A inclusão da CVE-2024-27834 no catálogo da CISA ocorreu após a publicação de uma investigação da empresa de segurança Sekoia, que identificou uma campanha envolvendo a exploração de vulnerabilidades anteriormente corrigidas no Safari e no Google Chrome.
A atividade foi atribuída, com confiança moderada a alta, ao grupo APT29, também conhecido como Cozy Bear e Midnight Blizzard, associado ao Serviço de Inteligência Estrangeira da Rússia (SVR).
Segundo os pesquisadores, os invasores utilizam três métodos principais para alcançar as vítimas: sites legítimos previamente comprometidos, páginas falsas que imitam serviços populares e um ataque à cadeia de suprimentos direcionado à ferramenta Plerdy SEO Tracker.
Esses mecanismos permitem distribuir códigos JavaScript maliciosos que analisam características do navegador e do dispositivo utilizado pelo visitante. A partir dessas informações, os responsáveis pela campanha podem acionar a cadeia de exploração e instalar um malware capaz de coletar dados do navegador e do equipamento.
A investigação também descreve uma cadeia de exploração do tipo zero-click, na qual a execução do ataque não exige interação adicional da vítima.
O processo combina uma vulnerabilidade de execução remota de código no WebKit, identificada como CVE-2025-43529, com uma técnica de contorno dos códigos de autenticação de ponteiros (PAC), permitindo executar JavaScript destinado ao roubo de cookies do navegador.
A fonte original apresenta uma inconsistência na identificação dessa cadeia, citando a CVE-2025-43529 para duas falhas distintas. A vulnerabilidade de contorno de Pointer Authentication adicionada ao catálogo KEV é a CVE-2024-27834.
O roubo de cookies pode expor informações de sessões autenticadas, dependendo das proteções implementadas pelos serviços utilizados pelas vítimas.
CISA estabelece prazo para atualização
Diante das evidências de exploração ativa, a CISA estabeleceu o dia 18 de novembro de 2026 como prazo para que as agências civis do Poder Executivo federal dos Estados Unidos (FCEB) apliquem as correções necessárias.
Embora a exigência seja direcionada aos órgãos federais abrangidos pela determinação, a vulnerabilidade também representa um risco para usuários e organizações que ainda utilizam versões desatualizadas dos sistemas afetados.
As correções já estão disponíveis desde maio de 2024, tornando a atualização dos dispositivos uma medida essencial para impedir a exploração dessa falha conhecida.
