放大（图片来源： Getty Images ）
安全研究人员表示，一个秘密的网络攻击软件卖家最近利用了一个以前未知的 Chrome 漏洞和另外两个零日漏洞，这些漏洞利用复杂的间谍软件秘密感染了记者和其他目标。
CVE-2022-2294，随着漏洞的追踪，源于Web Real-Time Communications中的内存损坏缺陷，这是一个开源项目，提供 JavaScript 编程接口以实现 Web 浏览器和 Web 浏览器之间的实时语音、文本和视频通信功能设备。 7 月 4 日，安全公司 Avast 的研究人员私下通知该公司，该漏洞被用于水坑攻击，该漏洞利用恶意软件感染目标网站，希望随后感染频繁使用的用户，谷歌于 7 月 4 日修补了该漏洞。此后，微软和苹果分别在其 Edge 和 Safari 浏览器中修补了相同的 WebRTC 漏洞。
Avast 周四表示，它发现了多个攻击活动，每个攻击活动都以自己的方式向黎巴嫩、土耳其、也门和巴勒斯坦的 Chrome 用户提供漏洞利用。水坑地点在选择感染哪些访客时具有高度选择性。一旦水坑网站成功利用该漏洞，他们就会使用他们的访问权限来安装DevilsTongue ，这是微软去年为以色列 Candiru 公司出售的高级恶意软件起的名字。