Falcon framework
A Palo Alto Networks Unit 42 kutatói Falcon néven azonosítottak egy kiberkémkedésre használt támadási keretrendszert, amellyel 2026 márciusa és májusa között öt ország kormányzati szervezeteit kompromittálták. A támadások egy közel-keleti és négy délkelet-ázsiai ország külügyi, védelmi, belügyi és rendvédelmi intézményeit érintették.
A támadók kártékony JavaScript-kódot helyeztek el feltört webmailportálokon és kormányzati webalkalmazásokban. A fertőzött oldalak látogatóinak böngészőjében futó kód titkosított kapcsolatot létesített a támadók vezérlőszerverével, lehetővé téve adatok megszerzését és további parancsok végrehajtását.
A Falcon Chrome- és Firefox-bővítményekkel is rendelkezik. A PDF-olvasónak álcázott kiegészítők jelszavakat, munkamenet-sütiket, e-maileket és üzeneteket gyűjthetnek. A támadók a böngészőt közvetítőként is használhatják, így az áldozat meglévő bejelentkezésével férhetnek hozzá belső rendszerekhez. A bővítmények emellett képesek letöltéseket rosszindulatú fájlokra cserélni és a vágólap tartalmát módosítani.
A kutatók egy Antino nevű, Rust nyelven írt back doort is azonosítottak, amelynek terjesztésében a Falcon szerepet játszott. Az Antino a Microsoft OneDrive szolgáltatását használja a támadói kommunikáció elrejtésére.
A Unit 42 jelentős technikai egyezéseket talált a Falcon és a korábban dokumentált PeckBirdy keretrendszer között, ezért nagy bizonyossággal közös technológiai alapot feltételez. A támadók személyazonosságát azonban nem állapította meg egyértelműen.
A védekezéshez a szervezeteknek ellenőrizniük kell a webalkalmazásokba beillesztett ismeretlen szkripteket, a gyanús böngészőbővítményeket és a szokatlan külső kapcsolatokat. Az eset különösen veszélyes, mert a támadás már egy megbízhatónak tartott kormányzati oldal megnyitásakor elkezdődhet, hagyományos kártevő telepítése nélkül.
