Investigadores chinos explotan cadena de vulnerabilidades en Chrome Windows para desplegar malware CLEANGULP

Un actor de amenaza chino con el alias UTA0565 ha sido observado explotando una cadena de vulnerabilidades de Chrome Windows recientemente revelada como vulnerabilidades cero día a través de sitios web falsos. Las actividades de ataque fueron detectadas el 3 y 4 de septiembre de 2026. Se encadenaron dos vulnerabilidades en Chrome (CVE-2026-85046, CVE-2026-87491) y una que afecta Windows Advanced Local Procedure Call (CVE-2026-85880) para romper el aislamiento del navegador y lograr ejecución remota de código. Los investigadores de Volexity, Damien Cash y Tom Lancaster, indicaron que el actor se hacía pasar por diversas entidades, incluyendo organizaciones de medios y una organización no gubernamental (ONG).

La campaña utilizó correos electrónicos de phishing en chino e inglés que instaban a los destinatarios a apoyar al activista Hong Kong Chow Hang-tung y se hacían pasar por el Center for American Progress (CAP). Los enlaces falsos dirigían a "chinadigitaltimes.top" y "americanprgoress.top", replicando los diseños de China Digital Times y CAP mientras cargaban un elemento HTML oculto mediante un iframe. El elemento "config.html" utilizó el kit de exploits BlueMoon combinando las tres vulnerabilidades antes mencionadas, descargando finalmente un ejecutable llamado "chrome_cleanup.exe" desde el dominio falso. El malware, llamado CLEANGULP, fue desarrollado con el compilador Microsoft Visual C.

CLEANGULP emplea un dominio de comando y control (C2) codificado como "thecovnresation.com" para comunicarse vía HTTP, imitando a "theconversation.com", un medio sin fines de lucro. Los investigadores señalan que este patrón sugiere una adopción coordinada dentro de la comunidad de espionaje cibernético chino, donde el kit central fue compartido y personalizado por varios grupos. La magnitud del impacto aún no se conoce completamente.