China-nahe Hacker verknüpfen Chrome- und Windows-Zero-Days für Angriffe auf NGOs

China-nahe Akteure haben mehrere Nichtregierungsorganisationen kompromittiert, indem sie Spear-Phishing, eine verwundbare Universitätswebsite sowie drei aktiv ausgenutzte Schwachstellen in Chrome und Windows miteinander kombinierten.

Volexity beobachtete die Angriffe auf Mitarbeiter von NGOs am 1. September 2026. Die Aktivitäten wurden einem Cluster zugeschrieben, das als UTA0560 verfolgt wird und eine JavaScript-Backdoor namens GRIMWEDGE einsetzte.

Eine zweite Gruppe mit China-Bezug, JungleBamboo, auch bekannt als APT31, nutzte ungefähr zur selben Zeit dieselbe Exploit-Kette. Ihre Kampagne verteilte eine bösartige Chrome-Erweiterung, die Anmeldedaten, Cookies, Browserdaten und aktive Sitzungen stehlen sollte.

Alle drei Schwachstellen sind inzwischen im Katalog der bekannten ausgenutzten Schwachstellen der US-Behörde Cybersecurity and Infrastructure Security Agency verzeichnet. Die Fristen für die Behebung durch Bundesbehörden liegen zwischen dem 18. und 23. September 2026.

Spear-Phishing-Links machten eine Universitätswebsite zum Sprungbrett

Die Kampagne von UTA0560 begann mit gezielten E-Mails an Mitarbeiter von NGOs. Die Empfänger wurden dazu aufgefordert, einem eingebetteten Link zu folgen, der auf eine legitime Website einer Universität mit Sitz in den USA verwies.

Diese Website enthielt eine reflektierte Cross-Site-Scripting-Schwachstelle. Statt den Universitätsserver direkt zu kompromittieren, missbrauchten die Angreifer die XSS-Schwachstelle, um ausgewählte Besucher auf eine von ihnen kontrollierte Infrastruktur umzuleiten.

Welche Universität betroffen war und ob die Schwachstelle auf ihrer Website inzwischen behoben wurde, ist nicht bekannt.

Die bösartige Seite filterte den eingehenden Datenverkehr, bevor sie den Exploit auslieferte. Nur Besucher, die offenbar Google Chrome unter Microsoft Windows verwendeten, durchliefen die vollständige Infektionskette. Dadurch konnten die Angreifer die unnötige Preisgabe ihrer Browser-Exploits reduzieren.

Die mehrstufige Kette namens BlueMoon bettete drei Base64-kodierte Payloads in JavaScript ein:

• p1 lud eine DLL reflektiv, die den Host identifizierte und ein Profil des Systems erstellte.
• p2 lud eine weitere DLL, die für die Eskalation von Windows-Kernelprivilegien zuständig war.
• pp injizierte Code in den Browserprozess und rief den nächsten Payload ab.

Durch diese Architektur wurden Aufklärung, Privilegieneskalation und Payload-Zustellung voneinander getrennt. Außerdem konnten die Angreifer den Angriff abbrechen, nachdem sie ein System erkannt hatten, das ihre Zielkriterien nicht erfüllte.

Drei Schwachstellen überwanden die Schutzmechanismen von Chrome und Windows

BlueMoon nutzte zwei Schwachstellen in Chrome und anschließend eine Schwachstelle im Windows Advanced Local Procedure Call.

In der ersten Phase wurde CVE-2026-85046 ausgenutzt, eine Type-Confusion-Schwachstelle in V8 mit einem CVSS-Score von 8,8. Eine manipulierte HTML-Seite konnte einem entfernten Angreifer beliebige Lese- und Schreibzugriffe innerhalb der V8-Sandbox ermöglichen, allerdings war eine Interaktion des Opfers erforderlich.

Anschließend nutzten die Angreifer CVE-2026-87491, einen Out-of-Bounds-Write in V8 mit einem CVSS-Score von 8,8, um aus der Chrome-Sandbox auszubrechen. Zusammengenommen ermöglichten die Browser-Schwachstellen, dass aus dem Besuch einer bösartigen Website ein Zugriff über die normalerweise isolierte Renderer-Umgebung hinaus wurde.

Im letzten Schritt wurde CVE-2026-85880 ausgenutzt, ein Windows-ALPC-Heap-Buffer-Overflow mit einem Schweregrad von 7,8. Die Schwachstelle ermöglicht es einem lokal autorisierten Angreifer, seine Privilegien zu erweitern. Innerhalb von BlueMoon unterstützte sie die Injektion in den Chrome-Prozess und die Ausführung beliebigen Codes nach dem Ausbruch aus der Sandbox.

Die Kette überwand damit mehrere Sicherheitsgrenzen. Das Opfer musste zunächst den Spear-Phishing-Link öffnen. Sobald das geeignete Chrome-Windows-System jedoch die Exploit-Seite erreicht hatte, war keine weitere Interaktion erforderlich.

Forscher bewerteten, dass die Browser-Schwachstellen möglicherweise während einer Patch-Lücke ausgenutzt wurden: Korrekturen waren bereits in der Open-Source-Codebasis von Chromium vorhanden, aber noch nicht in einem stabilen Chrome-Build verfügbar. In diesem Zeitraum können Angreifer genügend technische Informationen erhalten, um eine Schwachstelle nachzubilden, bevor die meisten Nutzer ein offizielles Update bekommen.

Dass BlueMoon gleichzeitig in Kampagnen auftauchte, die mit zwei voneinander unabhängigen China-nahen Clustern in Verbindung standen, deutet darauf hin, dass sein Entwickler die Fähigkeit möglicherweise geteilt, verkauft oder anderweitig verbreitet hat. Das ist jedoch eine Einschätzung und kein bestätigter Beleg für einen gemeinsamen Anbieter des Exploits.

GRIMWEDGE verschafft UTA0560 einen In-Memory-Kommunikationskanal

Nach der Ausnutzung der Schwachstellen lud UTA0560 eine ausführbare Datei namens msgbox.exe herunter. Die Datei fungierte als Loader und extrahierte neben einem legitimen Windows-Programm eine bösartige Bibliothek namens wsc.dll.

Dieses Zusammenspiel leitete DLL-Sideloading ein: Die vertrauenswürdige ausführbare Datei lud die DLL der Angreifer, weil diese sich an einem Ort befand oder einen Namen trug, der dem Suchverhalten des Programms für Bibliotheken entsprach.

Die bösartige DLL kontaktierte denselben von den Angreifern kontrollierten Server und forderte eine Textdatei an, deren Name dem Hostnamen des Opfercomputers entsprach. Der Hostname war bereits während der Profiling-Phase von BlueMoon erfasst worden.

Trotz ihrer Dateiendung war es sich bei der zurückgegebenen Datei um einen MSI-Installer. Benutzerdefinierte MSI-Aktionen starteten eine verschleierte JavaScript-Backdoor, die als GRIMWEDGE identifiziert wurde.

GRIMWEDGE fragt die Command-and-Control-Domain wiederholt ab:

ocr.opusaccel[.]top

Die Befehle werden mithilfe der JavaScript-Funktion eval() im Speicher verarbeitet. Die unterstützten Funktionen ermöglichen es den Angreifern:

• Systeminformationen zu sammeln und Verzeichnisse aufzulisten.
• Verzeichnisse zu erstellen oder Dateien zu löschen.
• Prozesse aufzulisten und zu beenden.
• Dateien mit einer Größe von bis zu 5 MB zu lesen.
• Befehle in ausgeblendeten Fenstern auszuführen.
• Base64-kodierte Dateiblöcke im Speicher zu empfangen und den vollständigen Payload auf die Festplatte zu schreiben.

Die Malware verfügt weder über einen eigenen Mechanismus zur Persistenz noch über eine Funktion zur lateralen Bewegung. Außerdem bietet sie über ihre Funktionen zum Lesen und Übertragen von Dateien hinaus kein eigenes, allgemeines Framework zur Datenexfiltration.

Dennoch stellt sie einen wirksamen ersten Zugriffspunkt dar. Die Angreifer können den Host untersuchen, ausgewählte Dateien sammeln, native Befehle ausführen und zusätzliche Werkzeuge für spätere Phasen eines Angriffs hochladen.

APT31 nutzte dieselbe Kette zum Diebstahl von Browserzugangsdaten

JungleBamboo setzte BlueMoon ein, verfolgte nach der Ausnutzung der Schwachstellen jedoch einen anderen Ansatz. Die mit APT31 verbundene Operation setzte SUPERSTOMP ein, einen Loader, der die Chrome-Erweiterung zum Diebstahl von Zugangsdaten LONGTALE, auch GemStone genannt, installierte.

LONGTALE gibt sich als eine mit Google Gemini verbundene Erweiterung aus. Die Kennung der Chrome-Erweiterung lautet:

ckiknalbeplpcpofpnabcnhjcegckfei

Nach der Installation kann die Erweiterung Tastatureingaben und Formulareingaben aufzeichnen, Cookies und Browser-Sitzungen stehlen, Screenshots erstellen sowie den lokalen Browserspeicher, den Browserverlauf und Sitzungsmetadaten erfassen.

Die Erstellung von Screenshots kann durch Schlüsselwörter ausgelöst werden, die über die Command-and-Control-Infrastruktur vorgegeben werden. Gestohlene Daten werden in Intervallen von etwa 30 Sekunden in Paketen übertragen.

Anders als GRIMWEDGE stellt LONGTALE keinen grundlegenden Befehl zur Remote-Code-Ausführung bereit, mit dem sich beliebige nachgelagerte Werkzeuge einsetzen lassen. Die umfangreichen Überwachungsfunktionen im Browser könnten für den mutmaßlichen Fokus von APT31 auf den Diebstahl von Zugangsdaten und die Informationsbeschaffung ausgereicht haben.

Dieser Unterschied ist aus operativer Sicht relevant. UTA0560 strebte einen flexiblen Zugriffspunkt auf dem Endgerät an, während JungleBamboo sich auf Informationen konzentrierte, die bereits über den Browser des Opfers zugänglich waren – einschließlich authentifizierter Sitzungen, mit denen sich eine erneute Eingabe des Passworts möglicherweise umgehen ließ.

Betroffene Versionen und CISA-Fristen

Die betroffenen Produkte und Schwellenwerte für behobene Versionen sind:

Schwachstelle	Betroffene Software	Verwundbare Versionen	CISA-KEV-Eintrag	Frist für Bundesbehörden
CVE-2026-85046	Google Chrome; Google V8	Chrome vor 152.0.7977.82; V8 vor 15.3.48	4. September 2026	18. September 2026
CVE-2026-87491	Google Chrome	Vor 153.0.8010.36	9. September 2026	23. September 2026
CVE-2026-85880	Windows 10, Windows Server	Die unten aufgeführten Builds	8. September 2026	22. September 2026

Für CVE-2026-85880 umfassen die verwundbaren Windows-Versionen:

• Windows 10 1607 vor 10.0.14393.9512
• Windows 10 1809 vor 10.0.17763.9245
• Windows 10 21H2 vor 10.0.19044.7725
• Windows 10 22H2 vor 10.0.19045.7725
• Windows Server 2016 vor 10.0.14393.9512
• Windows Server 2019 vor 10.0.17763.9245
• Windows Server 2022 vor 10.0.20348.5622

Windows Server 2012 ist ebenfalls betroffen, allerdings ist kein genauer Schwellenwert für verwundbare Builds verfügbar.

Die drei Einträge sind Teil einer größeren Zahl von Schwachstellen in Produkten von Google und Microsoft, die in den KEV aufgenommen wurden. Weitere Schwachstellen dieser Anbieter, die in den vorangegangenen 90 Tagen hinzugefügt wurden, sind CVE-2026-81963, CVE-2019-1068, CVE-2026-33824, CVE-2026-55040, CVE-2026-68820 und CVE-2026-50522.

Schnell patchen und anschließend nach Anzeichen einer Kompromittierung suchen

Organisationen sollten Chrome mindestens auf 153.0.8010.36 aktualisieren. Damit liegen sie über den angegebenen behobenen Versionen für beide Browser-Schwachstellen. Separat installierte oder eingebettete V8-Installationen sollten auf 15.3.48 oder höher aktualisiert werden.

Betroffene Windows- und Windows-Server-Systeme müssen auf einen Build aktualisiert werden, der über dem jeweils verwundbaren Build liegt. Administratoren von Windows Server 2012 sollten die produktspezifischen Anweisungen von Microsoft befolgen, da keine genaue Build-Grenze veröffentlicht wurde.

CISA verpflichtet Bundesbehörden, die Maßnahmen der Anbieter gemäß BOD 26-04 umzusetzen und die Anforderungen an die forensische Triage zu befolgen. Die Behörde fordert außerdem dazu auf, die Internet-Exponierung zu bewerten und betroffene Produkte oder Dienste außer Betrieb zu nehmen, wenn keine wirksame Gegenmaßnahme verfügbar ist.

Patching allein reicht für Systeme, die vor der Behebung exponiert waren, möglicherweise nicht aus. Verteidiger sollten nach folgenden Indikatoren suchen:

msgbox.exe
wsc.dll
ocr.opusaccel[.]top
ckiknalbeplpcpofpnabcnhjcegckfei

Die Untersuchungen sollten außerdem benutzerdefinierte MSI-Aktionen analysieren, die verschleiertes JavaScript starten, ebenso wie verdächtiges DLL-Sideloading, nicht autorisierte Chrome-Erweiterungen und E-Mails, die über legitime, aber für XSS anfällige Websites weiterleiten.

Endpunkte, auf denen einer dieser Indikatoren festgestellt wird, sollten als potenziell kompromittiert behandelt werden. Incident-Response-Teams sollten Zugangsdaten und aktive Browsersitzungen überprüfen, Cookies und den lokalen Speicher untersuchen und feststellen, ob GRIMWEDGE zusätzliche Payloads hochgeladen oder auf sensible Dateien zugegriffen hat.