Des hackers liés à la Chine combinent des zero-days de Chrome et Windows pour s’introduire dans des ONG

Des opérateurs liés à la Chine ont compromis plusieurs organisations non gouvernementales en combinant une campagne de spear-phishing, un site universitaire vulnérable et trois failles de Chrome et Windows activement exploitées.

Volexity a observé les attaques visant des membres d’ONG le 1er septembre 2026. L’activité a été attribuée à un groupe suivi sous le nom UTA0560, qui a déployé une porte dérobée JavaScript baptisée GRIMWEDGE.

Un second groupe lié à la Chine, JungleBamboo, également connu sous le nom d’APT31, a utilisé la même chaîne d’exploitation à la même période. Sa campagne distribuait une extension Chrome malveillante conçue pour voler des identifiants, des cookies, des données de navigation et des sessions actives.

Les trois vulnérabilités figurent désormais dans le catalogue des vulnérabilités exploitées connues de la Cybersecurity and Infrastructure Security Agency américaine. Les échéances fédérales de remédiation s’étendent du 18 au 23 septembre 2026.

Des liens de spear-phishing transforment un site universitaire en point de départ

La campagne d’UTA0560 a commencé par l’envoi de courriels ciblés à des employés d’ONG. Les destinataires étaient incités à cliquer sur un lien intégré pointant vers un site légitime géré par une université américaine.

Ce site présentait une vulnérabilité de cross-site scripting réfléchi. Plutôt que de compromettre directement le serveur de l’université, les attaquants ont exploité la faille XSS pour rediriger certains visiteurs vers une infrastructure qu’ils contrôlaient.

L’identité de l’université et l’état de la remédiation de son site ne sont pas connus.

Avant de distribuer l’exploit, la page malveillante filtrait le trafic entrant. Seuls les visiteurs semblant utiliser Google Chrome sous Microsoft Windows poursuivaient l’intégralité de la séquence d’infection, ce qui limitait l’exposition inutile des exploits visant le navigateur.

La chaîne en plusieurs étapes, baptisée BlueMoon, intégrait trois charges utiles encodées en Base64 dans du JavaScript :

• p1 chargeait par réflexion une DLL utilisée pour identifier et profiler l’hôte.
• p2 chargeait une autre DLL chargée d’élever les privilèges dans le noyau Windows.
• pp injectait du code dans le processus du navigateur et récupérait la charge utile suivante.

Cette architecture séparait la reconnaissance, l’élévation de privilèges et la distribution de la charge utile. Elle permettait également aux opérateurs d’interrompre l’attaque après avoir identifié un système qui ne répondait pas à leurs critères de ciblage.

Trois vulnérabilités contournent les défenses de Chrome et Windows

BlueMoon reposait sur deux vulnérabilités de Chrome, suivies de l’exploitation d’une faille de Windows dans l’Advanced Local Procedure Call.

La première étape exploitait CVE-2026-85046, une vulnérabilité de confusion de types dans V8 affichant un score CVSS de 8,8. Une page HTML spécialement conçue pouvait donner à un attaquant distant des capacités arbitraires de lecture et d’écriture à l’intérieur du bac à sable V8, même si une interaction de la victime était nécessaire.

Les opérateurs utilisaient ensuite CVE-2026-87491, une écriture hors limites dans V8 affichant un score CVSS de 8,8, pour sortir du bac à sable de Chrome. Ensemble, ces failles du navigateur transformaient la simple consultation d’une page malveillante en un accès dépassant l’environnement de rendu normalement isolé.

L’étape finale faisait appel à CVE-2026-85880, un dépassement de tampon dans le tas d’ALPC de Windows, auquel a été attribué un score de 7,8. Cette faille permet à un attaquant autorisé localement d’élever ses privilèges. Dans BlueMoon, elle facilitait l’injection dans le processus de Chrome et l’exécution de code arbitraire après la sortie du bac à sable.

La chaîne franchissait ainsi plusieurs frontières de sécurité. La victime devait d’abord ouvrir le lien de spear-phishing, mais aucune interaction supplémentaire n’était nécessaire, d’après les éléments disponibles, une fois que le système Chrome sous Windows correspondant aux critères avait chargé la page d’exploitation.

Les chercheurs estiment que les vulnérabilités du navigateur ont pu exister pendant une période de décalage entre la publication d’un correctif et sa disponibilité : les corrections étaient présentes dans le code source ouvert de Chromium, mais n’avaient pas encore été intégrées à une version stable de Chrome. Cet intervalle peut fournir suffisamment d’informations techniques aux attaquants pour reconstituer une vulnérabilité avant que la plupart des utilisateurs ne reçoivent une mise à jour officielle.

L’apparition simultanée de BlueMoon dans des campagnes associées à deux groupes distincts liés à la Chine laisse penser que son développeur a pu partager, vendre ou distribuer autrement cette capacité. Il s’agit toutefois d’une évaluation, et non d’une preuve confirmée de l’existence d’un fournisseur d’exploits commun.

GRIMWEDGE fournit à UTA0560 un canal de commande en mémoire

Après l’exploitation, UTA0560 téléchargeait un exécutable nommé msgbox.exe. Le fichier faisait office de chargeur et extrayait un programme Windows légitime ainsi qu’une bibliothèque malveillante nommée wsc.dll.

Cette association mettait en place un DLL sideloading : l’exécutable de confiance chargeait la DLL de l’attaquant parce que celle-ci se trouvait à un emplacement ou portait un nom correspondant au comportement de recherche de bibliothèques du programme.

La DLL malveillante contactait le même serveur contrôlé par l’attaquant et demandait un fichier texte dont le nom correspondait au nom d’hôte de l’ordinateur de la victime. Le nom d’hôte avait déjà été collecté lors de l’étape de profilage de BlueMoon.

Malgré son extension, le fichier renvoyé était un programme d’installation MSI. Des actions MSI personnalisées lançaient une porte dérobée JavaScript obfusquée identifiée sous le nom de GRIMWEDGE.

GRIMWEDGE interrogeait régulièrement le domaine de commande et de contrôle :

ocr.opusaccel[.]top

Les commandes étaient traitées en mémoire au moyen de la fonction JavaScript eval(). Les opérations prises en charge permettent aux attaquants de :

• Collecter des informations sur le système et énumérer les répertoires.
• Créer des répertoires ou supprimer des fichiers.
• Énumérer et terminer des processus.
• Lire des fichiers d’une taille maximale de 5 Mo.
• Exécuter des commandes dans des fenêtres masquées.
• Recevoir en mémoire des fragments de fichiers encodés en Base64 et écrire la charge utile reconstituée sur le disque.

Le malware n’intègre ni mécanisme de persistance ni mécanisme de déplacement latéral. Il ne fournit pas non plus de framework dédié d’exfiltration à usage général, au-delà de ses fonctions de lecture et de transfert de fichiers.

Il constitue néanmoins un point d’appui initial efficace. Les opérateurs peuvent inspecter l’hôte, récupérer certains fichiers, exécuter des commandes natives et téléverser des outils supplémentaires pour les étapes ultérieures de l’intrusion.

APT31 a utilisé la même chaîne pour voler des identifiants de navigateur

L’utilisation de BlueMoon par JungleBamboo a conduit à une phase post-exploitation différente. L’opération liée à APT31 a déployé SUPERSTOMP, un chargeur qui installait l’extension Chrome voleuse d’identifiants LONGTALE, également appelée GemStone.

LONGTALE usurpait l’identité d’une extension associée à Google Gemini. Son identifiant d’extension Chrome est le suivant :

ckiknalbeplpcpofpnabcnhjcegckfei

Une fois installée, l’extension pouvait enregistrer les frappes au clavier et les soumissions de formulaires, voler des cookies et des sessions de navigateur, prendre des captures d’écran et collecter le stockage local du navigateur, l’historique de navigation ainsi que les métadonnées de session.

La collecte de captures d’écran pouvait être déclenchée par des mots-clés transmis via l’infrastructure de commande et de contrôle. Les données volées étaient transmises par lots à des intervalles d’environ 30 secondes.

Contrairement à GRIMWEDGE, LONGTALE n’exposait pas de commande élémentaire d’exécution de code à distance permettant de déployer arbitrairement d’autres outils. Ses vastes fonctions de surveillance du navigateur pouvaient toutefois suffire à répondre à l’objectif apparent d’APT31 : le vol d’identifiants et la collecte de renseignements.

Cette distinction a une importance opérationnelle. UTA0560 cherchait à établir un point d’appui flexible sur les terminaux, tandis que JungleBamboo se concentrait sur les informations déjà accessibles depuis le navigateur de la victime, notamment les sessions authentifiées susceptibles d’éviter une nouvelle saisie du mot de passe.

Versions concernées et échéances de la CISA

Les produits concernés et les seuils de version corrigée sont les suivants :

Vulnérabilité	Logiciels concernés	Versions vulnérables	Inscription dans CISA KEV	Échéance fédérale
CVE-2026-85046	Google Chrome ; Google V8	Chrome antérieur à 152.0.7977.82 ; V8 antérieur à 15.3.48	4 septembre 2026	18 septembre 2026
CVE-2026-87491	Google Chrome	Versions antérieures à 153.0.8010.36	9 septembre 2026	23 septembre 2026
CVE-2026-85880	Windows 10, Windows Server	Builds indiqués ci-dessous	8 septembre 2026	22 septembre 2026

Pour CVE-2026-85880, les versions vulnérables de Windows comprennent :

• Windows 10 1607 antérieur à 10.0.14393.9512
• Windows 10 1809 antérieur à 10.0.17763.9245
• Windows 10 21H2 antérieur à 10.0.19044.7725
• Windows 10 22H2 antérieur à 10.0.19045.7725
• Windows Server 2016 antérieur à 10.0.14393.9512
• Windows Server 2019 antérieur à 10.0.17763.9245
• Windows Server 2022 antérieur à 10.0.20348.5622

Windows Server 2012 est également concerné, mais aucun seuil précis de build vulnérable n’est disponible.

Ces trois ajouts s’inscrivent dans une série plus large de vulnérabilités de Google et Microsoft intégrées à la liste KEV. Parmi les autres failles concernant ces éditeurs ajoutées au cours des 90 jours précédents figurent CVE-2026-81963, CVE-2019-1068, CVE-2026-33824, CVE-2026-55040, CVE-2026-68820 et CVE-2026-50522.

Appliquer rapidement les correctifs, puis rechercher les signes de compromission

Les organisations doivent mettre Chrome à jour au minimum vers la version 153.0.8010.36, qui dépasse les seuils corrigés indiqués pour les deux vulnérabilités du navigateur. Les installations de V8 déployées séparément ou intégrées doivent être mises à niveau vers la version 15.3.48 ou une version ultérieure.

Les systèmes Windows et Windows Server concernés doivent être mis à jour au-delà du build vulnérable correspondant. Les administrateurs de Windows Server 2012 doivent suivre les instructions spécifiques de Microsoft, aucun seuil exact de build n’ayant été communiqué.

La CISA exige des agences fédérales qu’elles appliquent les mesures d’atténuation du fournisseur conformément à la directive BOD 26-04 et qu’elles suivent ses exigences en matière de triage forensique. Ses recommandations prévoient également d’évaluer l’exposition sur Internet et de mettre fin à l’utilisation des produits ou services concernés lorsqu’aucune mesure d’atténuation efficace n’est disponible.

Appliquer les correctifs peut ne pas suffire pour les systèmes exposés avant la remédiation. Les équipes de défense doivent rechercher :

msgbox.exe
wsc.dll
ocr.opusaccel[.]top
ckiknalbeplpcpofpnabcnhjcegckfei

Les investigations doivent également porter sur les actions MSI personnalisées lançant du JavaScript obfusqué, le DLL sideloading suspect, les extensions Chrome non autorisées et les courriels redirigeant les destinataires via des sites légitimes mais vulnérables au XSS.

Les terminaux présentant l’un de ces indicateurs doivent être considérés comme potentiellement compromis. Les équipes de réponse doivent examiner les identifiants et les sessions actives du navigateur, inspecter les cookies et le stockage local, puis déterminer si GRIMWEDGE a téléversé des charges utiles supplémentaires ou accédé à des fichiers sensibles.