Google研究人员详细介绍了一种复杂的黑客操作，利用Chrome和Windows中的漏洞在Android和Windows设备上安装恶意软件。

其中一些漏洞是零日漏洞，这意味着它们针对的漏洞当时是Google，Microsoft和大多数外部研究人员所不知道的(两家公司均已修复了安全漏洞)。黑客通过水坑攻击进行了攻击，这些攻击破坏了目标用户经常光顾的网站，并在网站上添加了在访客设备上安装恶意软件的代码。被欺骗的网站利用了两个漏洞利用服务器，一个用于Windows用户，另一个用于Android用户。

不是您的普通黑客

零时差和复杂基础设施的使用本身并不意味着复杂性，但确实显示出专业的黑客团队的技能高于平均水平。结合攻击代码的鲁棒性(有效地将多个漏洞利用链接在一起)，该活动证明了它是由“高度复杂的参与者”执行的。

Google零项目漏洞利用研究团队的一位研究人员写道： “这些漏洞利用链是通过模块化设计的，旨在提高效率和灵活性。” “它们是精心设计的，复杂的代码，具有各种新颖的利用方法，成熟的日志记录，复杂且经过计算的利用后利用技术以及大量的反分析和目标检查。我们相信，专家团队已经设计和开发了这些漏洞利用链。”

研究人员说，有效载荷的模块化，可互换的利用链以及操作的日志记录，针对性和成熟度也使战役脱颖而出。

被利用的四个零天是：

CVE-2020-6418 — TurboFan中的Chrome漏洞(于2020年2月修复)

CVE-2020-0938 —Windows上的字体漏洞(于2020年4月修复)

CVE-2020-1020 — Windows上的字体漏洞(于2020年4月修复)

CVE-2020-1027 — Windows CSRSS漏洞(于2020年4月修复)

攻击者通过利用Chrome的零日漏洞和一些最近修复的Chrome漏洞来执行远程代码执行。所有零时差都针对Windows用户使用。针对Android设备的攻击链中没有一个利用零日漏洞，但是“零号计划”研究人员表示，攻击者很可能拥有Android零日漏洞。