Italiensk spionprogram-firma kopplas till Chrome-attack

En noll-dagars sårbarhet i Google Chrome användes i en cyberattack kallad Operation ForumTroll – och spåren leder till det italienska företaget Memento Labs, arvtagare till ökända Hacking Team.

Falska inbjudningar som lockbete

Kaspersky avslöjade Operation ForumTroll i mars. Offren var ryska medier, universitet och myndigheter som fick mejl med inbjudningar till säkerhetskonferensen Primakov Readings. Bara att öppna länken i en Chrome-baserad webbläsare räckte för att datorn skulle infekteras.

Exploatering av okänd Chrome-bugg

Attacken utnyttjade en nyupptäckt sandbox-sårbarhet (CVE-2025-2783) i Chrome, som gjorde det möjligt att ta kontroll över systemet. Kaspersky beskriver nu hela attackkedjan – från mejl till infektering – och spårar kod som använts redan 2022.

Läs också: Nvidia passerade 4 000 miljarder dollar

Spionprogrammet Dante

I äldre attacker hittade forskarna ett tidigare okänt spionprogram, Dante, utvecklat av Memento Labs. Företaget bildades efter att säkerhetsbolaget InTheCyber Group köpte resterna av Hacking Team, som blev ökända 2015 när deras kundlista med auktoritära regimer läckte.

Arvet från Hacking Team

Efter läckan gick Hacking Team i graven, men tekniken levde vidare. 2019 blev de Memento Labs – och fyra år senare visade de upp Dante-verktyget vid en säkerhetskonferens i Dubai, utan att avslöja detaljer, enligt Bleeping Computer. 

Två spionverktyg: LeetAgent och Dante

ForumTroll-attacken startar med ett phishingmejl som leder till en infekterad sajt. Där används Chrome-buggen för att köra kod som installerar ett program kallat LeetAgent, ett modulärt spionverktyg som kan stjäla filer, logga tangenttryckningar och köra kommandon. I vissa fall laddade LeetAgent även ner Dante.

Kodspår avslöjar kopplingarna

Kaspersky menar att Dante har tydliga likheter med Hacking Teams gamla Remote Control System (RCS) och därför med hög säkerhet kan kopplas till Memento Labs. Dante hämtar sina komponenter från angriparnas servrar – och raderar sig själv om kontakten bryts.

Läs också: Apple vill köpa F1-rättigheterna

Sårbarheten nu tätad

Google täppte igen CVE-2025-2783 i Chrome-version 134.0.6998.178 den 26 mars. Mozilla korrigerade samma sårbarhet i Firefox 136.0.4.
Memento Labs har inte kommenterat Kasperskys rapport.

Läs också: Samsung fortsätter med galna priser