Китайские хакеры использовали уязвимость нулевого дня в цепочке уязвимостей Chrome и Windows для развертывания вредоносной программы CLEANGULP.

[zender]

Китайский злоумышленник под кодовым именем UTA0565 использовал недавно раскрытую цепочку уязвимостей нулевого дня Google Chrome и Microsoft Windows через поддельные веб-сайты.


Атаки, обнаруженные 3 и 4 сентября 2026 года, включали в себя цепочку из двух уязвимостей в Chrome (CVE-2026-85046, CVE-2026-87491) и одной, затрагивающей расширенный локальный вызов процедур Windows (CVE-2026-85880), с целью выхода из песочницы браузера и выполнения удаленного кода.


«Атака UTA0565 маскировалась под различные организации, включая СМИ и неправительственную организацию (НПО)», — говорится в анализе исследователей Volexity Дэмиена Кэша и Тома Ланкастера, опубликованном на этой неделе. «Примечательно, что кампании этого злоумышленника отличались от ранее задокументированных атак использованием множества поддельных веб-сайтов для обмана жертв».


Одна из таких кампаний была направлена на правительственные структуры Азии с помощью фишинговых писем на китайском и английском языках, призывавших получателей поддержать гонконгского активиста Чоу Хан-туна и выдававших себя за Центр американского прогресса (CAP). Ранее в этом месяце Чоу был приговорен к семи годам и трем месяцам тюремного заключения.

Эти сообщения содержали поддельные ссылки, указывающие на "chinadigitaltimes[.]top" и "americanprgoress[.]top", которые имитировали внешний вид China Digital Times и CAP, загружая при этом дополнительный HTML-элемент через скрытый iframe.


Сообщается, что HTML-элемент ("config.html") использовал тот же набор эксплойтов BlueMoon , объединяющий уязвимости CVE-2026-85046, CVE-2026-87491 и CVE-2026-85880, при этом финальный шеллкод "pp" загружал исполняемый файл с именем "chrome_cleanup.exe" с поддельного домена. Полезная нагрузка представляет собой семейство вредоносных программ под названием CLEANGULP, созданное с использованием компилятора Microsoft Visual C.


Он поддерживает следующие возможности:

• оболочка, для выполнения команды
• P.S. Чтобы вывести список запущенных процессов,
• загрузить, загрузить файл
• скачать, чтобы загрузить файл
• bof — для выполнения операции выполнения файла объекта маяка ( BOF ).

Интересно, что CLEANGULP, как выяснилось, использует жестко закодированный домен "thecovnresation[.]com" для управления и контроля (C2) по протоколу HTTP, что указывает на попытку имитировать " theconversation[.]com ", некоммерческое медиа-издание, известное публикацией академических исследований, анализа и комментариев.


«Подобно широкое распространение среди множества субъектов угроз свидетельствует о скоординированных действиях внутри китайского сообщества CNE, где базовый комплект, вероятно, распространялся, модифицировался и использовался в качестве оружия несколькими группами», — заявила компания Volexity. «Сообщенная до сих пор активность отражает наблюдения только двух организаций; полный масштаб и последствия, вероятно, гораздо шире».

Источник