Китайская группа UTA0565 связала уязвимости Chrome и Windows для установки CLEANGULP

Исследователи Volexity Дэмиен Кэш и Том Ланкастер описали кампанию китайской группировки под кодовым именем UTA0565, которая эксплуатировала недавно раскрытую цепочку уязвимостей в Google Chrome и Microsoft Windows ещё в статусе нулевого дня. Атаки были зафиксированы 3 и 4 сентября 2026 года.

Цепочка уязвимостей

В связке использовались две уязвимости Chrome (CVE-2026-85046 и CVE-2026-87491) и одна в механизме Windows Advanced Local Procedure Call (CVE-2026-85880). Их сочетание позволяло выйти из песочницы браузера и добиться удалённого выполнения кода. По данным исследователей, применялся эксплойт-кит BlueMoon, объединявший все три бреши; финальный шелл-код «pp» загружал исполняемый файл chrome_cleanup.exe.

Поддельные сайты вместо привычных писем

Отличительная черта UTA0565 — опора на множество фальшивых сайтов. Группа выдавала себя за медиаорганизации и одну неправительственную организацию. В одной из кампаний целью стали азиатские государственные структуры: фишинговые письма на китайском и английском призывали поддержать гонконгскую активистку Чжоу Ханьтун (осуждённую в этом месяце на семь лет и три месяца) и имитировали рассылку Center for American Progress.

Ссылки вели на домены chinadigitaltimes[.]top и americanprgoress[.]top, копировавшие внешний вид China Digital Times и CAP. Через скрытый iframe подгружался элемент config.html, запускавший эксплойт.

Бэкдор CLEANGULP

Загружаемая нагрузка — новое семейство вредоносного ПО CLEANGULP, собранное компилятором Microsoft Visual C. Оно умеет выполнять команды оболочки, перечислять процессы, загружать и скачивать файлы, а также запускать beacon object file (BOF). Для управления зловред обращается по HTTP к жёстко прописанному домену thecovnresation[.]com — опечатке, маскирующейся под theconversation[.]com, известное издание с академической аналитикой.

Volexity отмечает, что тот же набор инструментов замечен у нескольких группировок, что указывает на скоординированность в китайском сообществе кибершпионажа: ядро кита, судя по всему, распространяется, дорабатывается и «вооружается» разными командами. Наблюдения пока охватывают лишь две пострадавшие организации, поэтому реальный масштаб кампании, вероятно, значительно шире.

Источник: The Hacker News