中国系ハッカーがChromeとWindowsのゼロデイチェーンを悪用しGRIMWEDGEを配布

中国に所在する脅威アクターが、Google ChromeとMicrosoft Windowsの直近で修正された脆弱性を悪用し、悪意のあるJavaScriptバックドアGRIMWEDGEを配布するフィッシングキャンペーンに関与していたと特定された。この活動は2026年9月1日に複数の非政府組織を標的としていた。

攻撃は、米国の大学ウェブサイトへのリンクをクリックさせるよう促すメールから始まる。このリンクは、同サイトの反射型クロスサイトスクリプティング脆弱性を悪用し、脅威アクターが管理するインフラへ受信者をリダイレクトした。Proofpointが以前に指摘したこのエクスプロイトチェーンは、Chromeの2つの脆弱性とWindows Advanced Local Procedure Callの1つの脆弱性を含む。まずCVE-2026-85046を悪用してV8サンドボックス内で任意の読み書きを行い、次にCVE-2026-87491でブラウザのサンドボックスを脱出し、最後にCVE-2026-85880を使ってChromeブラウザプロセスにコードを注入し、任意のコード実行を実現する。

UTA0560と名付けられたこの脅威クラスターは、GRIMWEDGEのデプロイにこの手法を用いていた。GRIMWEDGEは、ホストの偵察、ファイルとプロセスの管理、コマンド実行、ペイロードの配布を可能にする。次の段階のペイロードはmsgbox.exeという実行可能ファイルで、正当なWindowsバイナリと悪意のあるDLLを抽出してDLLサイドローディングチェーンを開始する。最終的にMSIインストーラーが実行され、GRIMWEDGEはコマンドと制御サーバーにポーリングし、メモリ内でコマンドを実行する。

研究員らは、このコードにはファイル読み取りとアップロードコマンド以外の永続化、横方向移動、データ漏洩の仕組みは内蔵されていないと述べている。バックドアは、UTA0560がホストを調査し、関心のあるファイルを取得し、追加のツールを展開するための初期足がかりとして十分であると説明された。

Volexityは、JungleBambooとして知られる別の中国系脅威アクターも、同じ時期に同じエクスプロイトチェーンを使用してSUPERSTOMPというローダーをデプロイし、LONGTALEという資格情報窃取Chrome拡張機能をインストールしたと観察した。LONGTALEはGoogle Gemini拡張機能として偽装し、検知を回避する。Volexityは、LONGTALEには追加の事後エクスプロイテーション活動を行うための基本的なリモートコード実行コマンドすら欠如していると述べ、脅威アクターが資格情報窃取と監視の目的を達成するために十分な情報窃取機能を備えていたため、この機能を不要と判断した可能性があるとした。

複数の中国系脅威アクターがほぼ同時に同じChrome-Windowsチェーンを使用したことは、エクスプロイト開発者がChromiumソースコードの変更をリバースエンジニアリングした可能性があり、その後、エクスプロイトを販売または提供した可能性を示唆している。注目すべきは、Chromeの2つの脆弱性の修正はオープンソースのChromiumコードベースに適用されたが、Google Chromeの安定版には組み込まれていなかった点である。これにより、Chromiumでは修正済みだがChromeではゼロデイとなるNデイ脆弱性が生じた。Chromeは以前は4週間、現在は2週間ごとにメジャーリリースを行っており、攻撃者は公式パッチが届く前に迅速に行動した可能性がある。Volexityは、パッチギャップ脆弱性は、大規模言語モデルが迅速な脆弱性研究とエクスプロイト開発にますます普及し効果的になる中、脅威アクターがエクスプロイテーションキャンペーンを実施するための追加の時間的窓を生み出すため、さらなるリスクを伴うと述べた。