Chrome-Zero-Day-Exploit-Kette installiert GRIMWEDGE-Backdoor

Am 1. September 2026 schrieb das Sicherheitsunternehmen Volexity eine Spear-Phishing-Kampagne einem mit China verbundenen Bedrohungsakteur zu, der als UTA0560 verfolgt wird. Die E-Mails ermutigten Empfänger bei mehreren Nichtregierungsorganisationen, auf einen Link zu klicken, der zu einer Website einer US-Universität führte. Diese legitime Website hatte eine reflektierte Cross-Site-Scripting-Schwachstelle, auch reflektiertes XSS genannt, die die Angreifer nutzten, um Besucher auf eine von ihnen kontrollierte Infrastruktur umzuleiten. Von dort aus lieferte eine mehrstufige Exploit-Kette eine bösartige JavaScript-Backdoor namens GRIMWEDGE.

Die Exploit-Kette kombiniert drei separate Schwachstellen. Zwei befinden sich in Google Chrome und eine in Microsoft Windows Advanced Local Procedure Call, oder ALPC. Die erste, CVE-2026-85046, ermöglicht beliebigen Lese- und Schreibzugriff innerhalb der V8-Sandbox, einer Sicherheitsgrenze innerhalb von Chrome. Die zweite, CVE-2026-87491, entkommt der Browser-Sandbox. Die dritte, CVE-2026-85880, injiziert Code in den Chrome-Browserprozess, sodass der Angreifer beliebigen Code auf dem Rechner ausführen kann. Proofpoint hatte diese Kette bereits dokumentiert, und Volexity weist darauf hin, dass die letzte Exploit-Seite Systeme herausfiltert, die nicht Chrome unter Windows ausführen. Die Kette wird auch als BlueMoon bezeichnet. Die letzte Seite enthält drei binäre Payloads, die als Base64-Strings in JavaScript kodiert sind: p1 führt Host-Aufklärung und Fingerprinting durch, p2 führt Windows-Kernel-Privilegieneskalation durch, und pp führt Browser-Prozessinjektion durch und lädt die nächste Payload herunter.

Für UTA0560 ist diese nächste Payload eine ausführbare Datei namens msgbox.exe. Sie fungiert als Loader, der eine legitime Windows-Binärdatei und eine bösartige DLL namens wsc.dll aus sich selbst extrahiert und dann eine DLL-Side-Loading-Kette startet. Die DLL kontaktiert denselben Server und ruft eine Textdatei ab, deren Name dem Hostnamen des kompromittierten Geräts entspricht. Diese Textdatei ist ein MSI-Installer, der darauf ausgelegt ist, eine obfuskierte JavaScript-Backdoor auszuführen, die in seinen benutzerdefinierten Aktionen enthalten ist. Einmal gestartet, beginnt GRIMWEDGE eine persistente Befehlsschleife, die einen Command-and-Control-Server, ocr.opusaccel[.]top, abfragt und dann Anweisungen im Speicher mit dem eval()-Befehl ausführt. Sie versteht Befehle wie Info für Systemaufklärung, Dir für Verzeichnisauflistungen, Mkdir zum Erstellen eines Verzeichnisses, Del zum Löschen einer Datei, Tasklist zum Auflisten laufender Prozesse, Taskkill zum Beenden eines Prozesses, Type zum Lesen von Dateien bis zu 5 MB, Run zum Ausführen eines Befehls in einem versteckten Fenster und Upload zum Empfangen von Dateien in Blöcken und deren Speicherung auf der Festplatte. Die Forscher stellen fest, dass der Code keine eingebaute Persistenz, laterale Bewegung oder Exfiltrationsmechanismen über das Lesen und Hochladen von Dateien hinaus hat, sodass er nur einen ersten Fußabdruck bietet.

Volexity beobachtete auch einen zweiten Bedrohungsakteur mit Verbindungen zu China, JungleBamboo, auch bekannt als APT31, der etwa zur gleichen Zeit dieselbe Chrome-Windows-Kette nutzte. JungleBamboo setzte einen Loader namens SUPERSTOMP ein, der dann LONGTALE von einem entfernten Server installierte. LONGTALE ist eine Chrome-Erweiterung zum Diebstahl von Anmeldeinformationen, die sich als Google-Gemini-Erweiterung mit der ID ckiknalbeplpcpofpnabcnhjcegckfei tarnt. Zu ihren Fähigkeiten gehören Keylogging, Formularerfassung, Cookie- und Session-Diebstahl, Screenshot-Erfassung basierend auf von C2 gelieferten Schlüsselwörtern, Massenexfiltration von Tastenanschlägen, Cookies, Speicherdaten, Navigationsverlauf und Sitzungsmetadaten etwa alle 30 Sekunden sowie Fernsteuerung und -kontrolle. Volexity stellt fest, dass LONGTALE nicht einmal einen einfachen Remote-Code-Ausführungsbefehl hat, und vermutet, dass die Angreifer die umfangreichen Informationsdiebstahlfunktionen für ihre Ziele des Zugangsdaten Diebstahls und der Überwachung als ausreichend angesehen haben könnten. Die nahezu gleichzeitige Nutzung derselben Kette durch zwei Gruppen wirft die Möglichkeit auf, dass der Exploit-Entwickler ihn nach Reverse-Engineering-Änderungen im Chromium-Quellcode verkauft oder geteilt hat.

Ein besonders ungewöhnlicher Aspekt ist die Patch-Lücke. Die Korrekturen für die beiden Chrome-Schwachstellen wurden in die Open-Source-Chromium-Codebasis eingepflegt, waren aber noch nicht in eine stabile Version von Google Chrome aufgenommen worden. Dadurch handelte es sich um N-Day-Bugs, was bedeutet, dass sie bekannt und upstream behoben waren, aber immer noch Zero-Days gegen das Produkt, das die Leute tatsächlich verwenden. Da Chrome bis letzte Woche einen vierwöchigen Veröffentlichungszyklus für Hauptmeilensteine hatte, als er auf alle zwei Wochen umgestellt wurde, bewegten sich die Angreifer wahrscheinlich schnell, um das Fenster auszunutzen, bevor offizielle Patches die Nutzer erreichten. Volexity warnt, dass Patch-Lücken-Schwachstellen ein noch größeres Risiko darstellen, weil sie zusätzliche Zeit für die Ausnutzung schaffen, und stellt fest, dass große Sprachmodelle für schnelle Schwachstellenforschung und Exploit-Entwicklung immer nützlicher werden. Für Website-Besitzer und Unternehmen ist dies eine Erinnerung daran, dass es nicht ausreicht, Browser und Betriebssysteme auf dem neuesten Stand zu halten, wenn der Patch eines Anbieters hinter einer Open-Source-Korrektur zurückbleibt. Für Organisationen, die Hilfe beim Schließen von Patch-Lücken und bei der Stärkung der Endpunktsicherheit wünschen, bietet AEU-I sicherheitsorientierte IT- und Infrastrukturberatung.