Hacker legati alla Cina concatenano zero-day di Chrome e Windows per violare le ONG

Operatori legati alla Cina hanno compromesso diverse organizzazioni non governative combinando spear-phishing, un sito universitario vulnerabile e tre falle di Chrome e Windows sfruttate attivamente.

Volexity ha osservato gli attacchi contro il personale di alcune ONG il 1° settembre 2026. L’attività è stata attribuita a un gruppo tracciato come UTA0560, che ha distribuito una backdoor JavaScript denominata GRIMWEDGE.

Un secondo gruppo legato alla Cina, JungleBamboo, noto anche come APT31, ha utilizzato la stessa catena di exploit nello stesso periodo. La campagna ha distribuito un’estensione malevola di Chrome progettata per sottrarre credenziali, cookie, dati di navigazione e sessioni attive.

Tutte e tre le vulnerabilità sono ora incluse nel catalogo Known Exploited Vulnerabilities della Cybersecurity and Infrastructure Security Agency degli Stati Uniti. Le scadenze federali per la remediation sono comprese tra il 18 e il 23 settembre 2026.

Link di spear-phishing trasformano un sito universitario in una piattaforma di attacco

La campagna di UTA0560 è iniziata con email mirate inviate ai dipendenti di alcune ONG. I destinatari erano invitati a seguire un link incorporato che puntava a un sito legittimo gestito da un’università con sede negli Stati Uniti.

Il sito conteneva una vulnerabilità di cross-site scripting riflesso. Anziché compromettere direttamente il server dell’università, gli aggressori hanno sfruttato la falla XSS per reindirizzare visitatori selezionati verso un’infrastruttura sotto il loro controllo.

L’identità dell’università e lo stato della remediation del suo sito non sono noti.

Prima di distribuire l’exploit, la pagina malevola filtrava il traffico in ingresso. Solo i visitatori che sembravano utilizzare Google Chrome su Microsoft Windows proseguivano nell’intera sequenza d’infezione, riducendo l’esposizione non necessaria degli exploit per browser degli operatori.

La catena a più fasi, denominata BlueMoon, incorporava tre payload codificati in Base64 all’interno di JavaScript:

• p1 caricava in modo riflessivo una DLL utilizzata per identificare e profilare l’host.
• p2 caricava un’altra DLL responsabile dell’escalation dei privilegi nel kernel di Windows.
• pp iniettava codice nel processo del browser e recuperava il payload successivo.

Questa architettura separava le attività di ricognizione, escalation dei privilegi e distribuzione del payload. Consentiva inoltre agli operatori di interrompere l’attacco dopo aver rilevato, tramite fingerprinting, che un sistema non soddisfaceva i criteri di selezione.

Tre vulnerabilità aggirano le difese di Chrome e Windows

BlueMoon dipendeva da due vulnerabilità di Chrome, seguite da una falla di Windows nell’Advanced Local Procedure Call.

La prima fase sfruttava CVE-2026-85046, una vulnerabilità di type confusion in V8 con un punteggio CVSS di 8,8. Una pagina HTML appositamente predisposta poteva consentire a un attaccante remoto di leggere e scrivere dati arbitrari all’interno della sandbox di V8, anche se era necessaria un’interazione della vittima.

Gli operatori utilizzavano poi CVE-2026-87491, una vulnerabilità di scrittura out-of-bounds in V8 con un punteggio CVSS di 8,8, per evadere dalla sandbox di Chrome. Insieme, queste falle del browser trasformavano la semplice visita a una pagina malevola in un accesso oltre l’ambiente del renderer normalmente isolato.

L’ultimo passaggio sfruttava CVE-2026-85880, un buffer overflow nell’heap di Windows ALPC con un punteggio di 7,8. La vulnerabilità consente a un attaccante autorizzato localmente di elevare i propri privilegi. All’interno di BlueMoon, permetteva di iniettare codice nel processo di Chrome ed eseguirlo arbitrariamente dopo l’evasione dalla sandbox.

La catena attraversava quindi diversi confini di sicurezza. La vittima doveva innanzitutto aprire il link di spear-phishing, ma, una volta che il sistema Chrome su Windows idoneo raggiungeva la pagina contenente l’exploit, non sono state descritte ulteriori interazioni.

I ricercatori hanno valutato che le vulnerabilità del browser potrebbero essere esistite durante un intervallo tra la disponibilità della patch e la sua distribuzione: le correzioni erano presenti nel codice open source di Chromium, ma non erano ancora state incluse in una build stabile di Chrome. Questo intervallo può fornire agli aggressori informazioni tecniche sufficienti per ricostruire una vulnerabilità prima che la maggior parte degli utenti riceva un aggiornamento ufficiale.

La comparsa simultanea di BlueMoon in campagne associate a due gruppi distinti legati alla Cina suggerisce che il suo sviluppatore possa aver condiviso, venduto o altrimenti distribuito questa capacità. Si tratta tuttavia di una valutazione, non di una prova confermata dell’esistenza di un fornitore comune dell’exploit.

GRIMWEDGE fornisce a UTA0560 un canale di comando in memoria

Dopo lo sfruttamento della vulnerabilità, UTA0560 scaricava un eseguibile denominato msgbox.exe. Il file fungeva da loader ed estraeva un programma legittimo di Windows insieme a una libreria malevola denominata wsc.dll.

La combinazione avviava il DLL sideloading: l’eseguibile affidabile caricava la DLL dell’attaccante perché questa si trovava in una posizione o aveva un nome compatibile con il comportamento di ricerca delle librerie del programma.

La DLL malevola contattava lo stesso server sotto il controllo degli attaccanti e richiedeva un file di testo il cui nome corrispondeva all’hostname del computer della vittima. L’hostname era già stato raccolto durante la fase di profilazione di BlueMoon.

Nonostante l’estensione, il file restituito era un installer MSI. Azioni MSI personalizzate avviavano una backdoor JavaScript offuscata, identificata come GRIMWEDGE.

GRIMWEDGE interroga ripetutamente il dominio di comando e controllo:

ocr.opusaccel[.]top

I comandi vengono elaborati in memoria tramite la funzione JavaScript eval(). Le operazioni supportate consentono agli attaccanti di:

• Raccogliere informazioni sul sistema ed elencare le directory.
• Creare directory o eliminare file.
• Enumerare e terminare i processi.
• Leggere file fino a 5 MB.
• Eseguire comandi in finestre nascoste.
• Ricevere in memoria blocchi di file codificati in Base64 e scrivere su disco il payload completato.

Il malware non include un proprio meccanismo di persistenza o di movimento laterale. Inoltre, non offre un framework dedicato per l’esfiltrazione generica dei dati, oltre alle funzioni di lettura e trasferimento dei file.

Rimane comunque un efficace punto d’appoggio iniziale. Gli operatori possono esaminare l’host, raccogliere file selezionati, eseguire comandi nativi e caricare strumenti aggiuntivi per le fasi successive dell’intrusione.

APT31 ha utilizzato la stessa catena per sottrarre credenziali dal browser

L’utilizzo di BlueMoon da parte di JungleBamboo ha portato a una diversa fase successiva allo sfruttamento. L’operazione legata ad APT31 ha distribuito SUPERSTOMP, un loader che installava l’estensione di Chrome per il furto di credenziali LONGTALE, nota anche come GemStone.

LONGTALE si spaccia per un’estensione associata a Google Gemini. L’identificativo dell’estensione Chrome è:

ckiknalbeplpcpofpnabcnhjcegckfei

Una volta installata, l’estensione può registrare la pressione dei tasti e l’invio dei moduli, sottrarre cookie e sessioni del browser, acquisire screenshot e raccogliere lo storage locale del browser, la cronologia di navigazione e i metadati delle sessioni.

La raccolta degli screenshot può essere attivata da parole chiave fornite tramite l’infrastruttura di comando e controllo. I dati sottratti vengono trasmessi in pacchetti a intervalli di circa 30 secondi.

A differenza di GRIMWEDGE, LONGTALE non espone un comando di base per l’esecuzione remota di codice finalizzato alla distribuzione arbitraria di strumenti aggiuntivi. Le sue ampie funzioni di sorveglianza del browser potrebbero essere state sufficienti per l’apparente obiettivo di APT31: il furto di credenziali e la raccolta di informazioni.

La distinzione è rilevante dal punto di vista operativo. UTA0560 puntava a ottenere un punto d’appoggio flessibile sull’endpoint, mentre JungleBamboo si concentrava sulle informazioni già accessibili tramite il browser della vittima, comprese le sessioni autenticate che avrebbero potuto consentire di aggirare la necessità di reinserire una password.

Versioni interessate e scadenze CISA

I prodotti interessati e le soglie delle versioni corrette sono:

Vulnerabilità	Software interessato	Versioni vulnerabili	Inserimento in CISA KEV	Scadenza federale
CVE-2026-85046	Google Chrome; Google V8	Chrome precedente a 152.0.7977.82; V8 precedente a 15.3.48	4 settembre 2026	18 settembre 2026
CVE-2026-87491	Google Chrome	Precedente a 153.0.8010.36	9 settembre 2026	23 settembre 2026
CVE-2026-85880	Windows 10, Windows Server	Build elencate di seguito	8 settembre 2026	22 settembre 2026

Per CVE-2026-85880, le versioni vulnerabili di Windows includono:

• Windows 10 1607 precedente a 10.0.14393.9512
• Windows 10 1809 precedente a 10.0.17763.9245
• Windows 10 21H2 precedente a 10.0.19044.7725
• Windows 10 22H2 precedente a 10.0.19045.7725
• Windows Server 2016 precedente a 10.0.14393.9512
• Windows Server 2019 precedente a 10.0.17763.9245
• Windows Server 2022 precedente a 10.0.20348.5622

Anche Windows Server 2012 è interessato, ma non è disponibile una soglia precisa per la build vulnerabile.

Le tre aggiunte fanno parte di una più ampia serie di vulnerabilità di Google e Microsoft entrate nel catalogo KEV. Altre falle relative a questi fornitori aggiunte nei 90 giorni precedenti includono CVE-2026-81963, CVE-2019-1068, CVE-2026-33824, CVE-2026-55040, CVE-2026-68820 e CVE-2026-50522.

Applicare rapidamente le patch e cercare eventuali compromissioni

Le organizzazioni dovrebbero aggiornare Chrome almeno alla versione 153.0.8010.36, che supera le soglie di correzione indicate per entrambe le vulnerabilità del browser. Le installazioni di V8 distribuite separatamente o incorporate in altri prodotti dovrebbero essere aggiornate alla versione 15.3.48 o successive.

I sistemi Windows e Windows Server interessati devono essere aggiornati a una build successiva a quella vulnerabile pertinente. Gli amministratori di Windows Server 2012 dovrebbero seguire le istruzioni specifiche di Microsoft per il prodotto, poiché non è stato divulgato un limite esatto per la build.

La CISA richiede alle agenzie federali di applicare le misure di mitigazione dei fornitori previste dal BOD 26-04 e di seguire i requisiti di triage forense. Le sue linee guida richiedono inoltre di valutare l’esposizione a Internet e di dismettere i prodotti o i servizi interessati quando non è disponibile una mitigazione efficace.

L’applicazione delle patch da sola potrebbe non essere sufficiente per i sistemi esposti prima della remediation. I responsabili della difesa dovrebbero cercare:

msgbox.exe
wsc.dll
ocr.opusaccel[.]top
ckiknalbeplpcpofpnabcnhjcegckfei

Le indagini dovrebbero esaminare anche le azioni MSI personalizzate che avviano JavaScript offuscato, il DLL sideloading sospetto, le estensioni di Chrome non autorizzate e le email che rimandano a siti legittimi ma vulnerabili a XSS.

Gli endpoint che mostrano uno qualsiasi di questi indicatori devono essere considerati potenzialmente compromessi. I team di risposta dovrebbero esaminare le credenziali e le sessioni attive del browser, controllare cookie e storage locale e determinare se GRIMWEDGE abbia caricato payload aggiuntivi o avuto accesso a file sensibili.