Badacze z Vupen mówią, że to jeden z najbardziej zaawansowanych kodów jaki powstał do tej pory. Exploit radzi sobie z technologiami ASLR i DEP należącymi do zabezpieczeń Windows 7 oraz omija sandbox przeglądarki Chrome. Oprócz tego, działa po cichu i nie prowadzi do przerwy w pracy atakowanego komputera. Opiera się na nieujawnionych lukach zero-day i działa na wszystkich systemach Windows.

Vupen umieściło na YouTube film demonstrujący działanie ich exploita. Może on zaatakować ze strony internetowej, a po uruchomieniu złośliwego kodu daje hakerowi możliwość działania poza sandboksem. W prezentacji wideo, badacze otworzyli Kalkulator Windows, ale oznacza to, że mogą wykonać znacznie bardziej niebezpieczne czynności.

Zobacz również:

• Użytkownicy Androida mogą się wkrótce zdziwić
• ChromeOS i biznes - takie połączenie ma coraz więcej sensu
• Niebotyczne ceny eksploitów zero-day

Chrome jest uznawane za przeglądarkę najtrudniejszą do znakowania głównie z uwagi na technologię sandbox, która oddziela ją do reszty systemu. Na tegorocznym konkursie hakerskim Pwn2Own nikomu nie udało się jej pokonać. Mimo nagród oferowanych przez HP Tipping Point oraz 20 000 dolarów, które dodatkowo przygotowało Google, nikt nie zdołał obejść zabezpieczeń Chrome.

Informacja o lukach w przeglądarce tylko dla rządu

Firma Vupen nie będzie publicznie podawała szczegółów na temat exploitu i niezałatanych błędów w Chrome. Informacje te mają zostać przekazane wyłącznie klientom rządowym. W zeszłym roku francuscy badacze postanowili, że nie będą ujawniać wyników zainteresowanym producentom, a tylko stronom, które zapłacą za informacje.

Jeremiah Grossman z firmy WhiteHat Security zajmującej się bezpieczeństwem powiedział, że najwyraźniej rząd oferuje większe pieniądze niż Google i dlatego, to on otrzyma uzyskane przez Vupen wyniki. W podobnym tonie wypowiedział się Charlie Miller, jedyny badacz, który dostał nagrodę pieniężną na czterech kolejnych konkursach Pwn2Own.

Google, podobnie jak Mozilla, ma swój program finansowego nagradzania niezależnych badaczy informujących o błędach w ich przeglądarce. Niedawno Google wydało 16 500 dol. na nagrody za informacje o błędach, które następnie zostały załatane w pojedynczej aktualizacji. W pierwszych czterech miesiącach 2011 roku, firma wydała więcej niż 77 000 dol. na tego typu nagrody.