Peretas Terkait Tiongkok Manfaatkan Rantai Zero-Day Chrome dan Windows untuk Menyebarkan GRIMWEDGE

Aktor ancaman dari Tiongkok telah dikaitkan dengan kampanye spear-phishing yang mengeksploitasi celah keamanan yang baru saja diperbaiki pada Google Chrome dan Microsoft Windows untuk mengirimkan pintu belakang JavaScript berbahaya yang disebut GRIMWEDGE.

Volexity, yang melacak kelompok ancaman ini dengan nama UTA0560, menyatakan bahwa aktivitas tersebut menargetkan beberapa organisasi non-pemerintah pada 1 September 2026. Serangan dimulai dengan email spear-phishing yang membujuk penerima untuk mengeklik tautan menuju situs web universitas di Amerika Serikat. Tautan tersebut menyalahgunakan kerentanan cross-site scripting reflektif pada situs web tersebut untuk mengalihkan penerima ke infrastruktur yang dikendalikan aktor ancaman yang menghosting rantai eksploitasi multi-tahap.

Rantai eksploitasi ini, yang juga disebut BlueMoon, melibatkan tiga celah terpisah, yaitu dua di Chrome dan satu di Windows Advanced Local Procedure Call. Prosesnya dimulai dengan penyalahgunaan CVE-2026-85046 untuk mendapatkan hak baca dan tulis arbitrer dalam sandbox V8, kemudian keluar dari sandbox browser melalui CVE-2026-87491, dan akhirnya menggunakan CVE-2026-85880 untuk menyuntikkan kode ke dalam proses browser Chrome guna mencapai eksekusi kode arbitrer.

UTA0560 menggunakan metode ini untuk menyebarkan GRIMWEDGE, yang memungkinkan pengintaian host, manajemen file dan proses, eksekusi perintah, serta kemampuan pengiriman payload. Payload tahap berikutnya berupa file eksekusi bernama msgbox.exe yang berfungsi sebagai pemuat untuk memulai rantai sideloading DLL melalui file wsc.dll. Pintu belakang GRIMWEDGE kemudian masuk ke dalam loop perintah persisten yang menghubungi server perintah dan kontrol untuk menerima instruksi lebih lanjut yang dieksekusi dalam memori.

Volexity juga mengamati aktor ancaman terkait Tiongkok kedua yang dikenal sebagai JungleBamboo atau APT31 menggunakan rantai eksploitasi yang sama pada waktu yang hampir bersamaan. JungleBamboo menggunakan rantai tersebut untuk menyebarkan pemuat bernama SUPERSTOMP, yang kemudian menginstal LONGTALE, sebuah ekstensi Chrome pencuri kredensial yang juga disebut GemStone. Ekstensi ini menyamar sebagai ekstensi Google Gemini untuk menghindari deteksi.

Penggunaan rantai eksploitasi yang sama oleh beberapa aktor ancaman di Tiongkok menimbulkan kemungkinan bahwa alat tersebut dijual atau disediakan oleh pengembang eksploitasi. Terdapat celah perbaikan di mana perbaikan untuk dua celah Chrome telah didorong ke basis kode Chromium sumber terbuka, tetapi belum dimasukkan ke dalam versi rilis stabil Google Chrome, sehingga menjadikannya zero-day terhadap Chrome.