Hacker collegati alla Cina sfruttano vulnerabilità di Chrome e Windows per distribuire GRIMWEDGE

Un attore della minaccia collegato alla Cina ha condotto una campagna di spear phishing per distribuire un backdoor malevolo in JavaScript chiamato GRIMWEDGE, sfruttando falle di sicurezza recentemente corrette in Google Chrome e Microsoft Windows.

L'attività, monitorata da Volexity sotto il nome di UTA0560, ha preso di mira diverse organizzazioni non governative il 1 settembre 2026. Gli attacchi sono iniziati con email che spingevano gli utenti a cliccare su un collegamento verso il sito web di un'università statunitense. Tali link hanno abusato di una vulnerabilità di cross site scripting riflesso sul sito, reindirizzando le vittime verso un'infrastruttura controllata dagli aggressori che ospitava una catena di exploit a più stadi.

La catena di exploit, denominata BlueMoon, coinvolge tre diverse falle: due in Chrome e una in Windows Advanced Local Procedure Call. Il processo abusa prima della vulnerabilità CVE-2026-85046 per ottenere letture e scritture arbitrarie all'interno della sandbox V8, evade poi la sandbox del browser tramite CVE-2026-87491 e infine utilizza CVE-2026-85880 per iniettare codice nel processo del browser Chrome e ottenere l'esecuzione di codice arbitrario.

Il malware GRIMWEDGE permette di effettuare la ricognizione dell'host, gestire file e processi, eseguire comandi e distribuire payload. Il sistema utilizza un loader chiamato msgbox.exe per avviare una catena di sideloading di una libreria DLL malevola, che a sua volta scarica un installer MSI contenente il backdoor. Una volta attivato, GRIMWEDGE comunica con un server di comando e controllo per ricevere istruzioni eseguite in memoria. Il codice non possiede meccanismi integrati di persistenza, movimento laterale o esfiltrazione, oltre ai comandi di lettura e caricamento file.

Volexity ha rilevato che un secondo attore legato alla Cina, noto come JungleBamboo o APT31, ha utilizzato la stessa catena di exploit nello stesso periodo per distribuire un loader chiamato SUPERSTOMP. Questo strumento installa LONGTALE, un'estensione di Chrome per il furto di credenziali che si maschera da estensione Google Gemini per evitare il rilevamento.

L'uso simultaneo della stessa catena da parte di più gruppi suggerisce che l'exploit possa essere stato venduto o reso disponibile da uno sviluppatore. È emerso un problema di intervallo di aggiornamento: le correzioni per le falle di Chrome erano presenti nel codice open source di Chromium ma non erano ancora state integrate in una versione stabile di Google Chrome, rendendole vulnerabilità zero day per gli utenti del browser.