Catena di exploit zero-day di Chrome installa la backdoor GRIMWEDGE

Il 1° settembre 2026, la società di sicurezza Volexity ha attribuito una campagna di spear-phishing a un attore di minaccia legato alla Cina e tracciato come UTA0560. Le email incoraggiavano i destinatari di diverse organizzazioni non governative a cliccare su un link che portava al sito web di un'università statunitense. Quel sito legittimo presentava una vulnerabilità di cross-site scripting riflesso, detta anche reflected XSS, che gli attaccanti hanno usato per reindirizzare i visitatori verso infrastrutture da loro controllate. Da lì, una catena di exploit multi-stadio ha distribuito una backdoor JavaScript malevola chiamata GRIMWEDGE.

La catena di exploit combina tre vulnerabilità distinte. Due sono in Google Chrome e una è in Microsoft Windows Advanced Local Procedure Call, o ALPC. La prima, CVE-2026-85046, consente accesso arbitrario in lettura e scrittura all'interno del sandbox V8, un confine di sicurezza all'interno di Chrome. La seconda, CVE-2026-87491, evade il sandbox del browser. La terza, CVE-2026-85880, inietta codice nel processo del browser Chrome in modo che l'attaccante possa eseguire codice arbitrario sulla macchina. Proofpoint aveva già documentato questa catena, e Volexity osserva che la pagina finale dell'exploit filtra i sistemi che non eseguono Chrome su Windows. La catena è anche indicata come BlueMoon. L'ultima pagina contiene tre payload binari codificati come stringhe Base64 all'interno di JavaScript: p1 esegue ricognizione e fingerprinting dell'host, p2 effettua l'escalation dei privilegi del kernel di Windows, e pp esegue l'iniezione nel processo del browser e scarica il payload successivo.

Per UTA0560, quel payload successivo è un eseguibile chiamato msgbox.exe. Funge da loader che estrae da sé un binario Windows legittimo e una DLL malevola chiamata wsc.dll, quindi avvia una catena di DLL side-loading. La DLL contatta lo stesso server e recupera un file di testo il cui nome corrisponde al nome host del dispositivo compromesso. Quel file di testo è un installer MSI progettato per eseguire una backdoor JavaScript offuscata contenuta nelle sue azioni personalizzate. Una volta avviato, GRIMWEDGE inizia un ciclo di comandi persistente che interroga un server di comando e controllo, ocr.opusaccel[.]top, e poi esegue istruzioni in memoria usando il comando eval(). Comprende comandi come Info per la ricognizione del sistema, Dir per gli elenchi di directory, Mkdir per creare una directory, Del per eliminare un file, Tasklist per elencare i processi in esecuzione, Taskkill per arrestare un processo, Type per leggere file fino a 5 MB, Run per eseguire un comando in una finestra nascosta, e Upload per ricevere file a blocchi e salvarli su disco. I ricercatori affermano che il codice non ha persistenza integrata, movimento laterale o meccanismo di esfiltrazione oltre alla lettura e all'upload dei file, quindi fornisce solo un punto d'appoggio iniziale.

Volexity ha anche osservato un secondo attore di minaccia legato alla Cina, JungleBamboo, noto anche come APT31, usare la stessa catena Chrome-Windows nello stesso periodo. JungleBamboo ha distribuito un loader chiamato SUPERSTOMP, che poi ha installato LONGTALE da un server remoto. LONGTALE è un'estensione Chrome per il furto di credenziali che si maschera da estensione Google Gemini con l'ID ckiknalbeplpcpofpnabcnhjcegckfei. Le sue capacità includono keylogging, cattura di form, furto di cookie e sessioni, cattura di screenshot basata su parole chiave fornite dal C2, esfiltrazione massiva di sequenze di tasti, cookie, dati di archiviazione, cronologia di navigazione e metadati di sessione circa ogni 30 secondi, e comando e controllo remoto. Volexity osserva che LONGTALE manca persino di un comando base di esecuzione di codice remoto, e suggerisce che gli attaccanti possano aver considerato le estese funzionalità di furto di informazioni sufficienti per i loro obiettivi di furto di credenziali e sorveglianza. L'uso quasi simultaneo della stessa catena da parte di due gruppi solleva la possibilità che lo sviluppatore dell'exploit l'abbia venduto o condiviso dopo aver reverse-engineerato le modifiche nel codice sorgente di Chromium.

Un aspetto particolarmente insolito è il patch gap. Le correzioni per le due vulnerabilità di Chrome erano state inviate al codebase open-source di Chromium ma non erano ancora state incorporate in una release stabile di Google Chrome. Questo le ha rese bug N-day, cioè note e corrette a monte, ma ancora zero-day contro il prodotto che le persone effettivamente usano. Poiché Chrome aveva un ciclo di rilascio di quattro settimane per le milestone principali fino alla scorsa settimana, quando è passato a ogni due settimane, gli attaccanti si sono probabilmente mossi rapidamente per sfruttare la finestra prima che le patch ufficiali raggiungessero gli utenti. Volexity avverte che le vulnerabilità da patch gap presentano un rischio ancora maggiore perché creano tempo extra per lo sfruttamento, e osserva che i modelli di linguaggio di grandi dimensioni stanno diventando più utili per la ricerca rapida di vulnerabilità e lo sviluppo di exploit. Per i proprietari di siti web e le aziende, questo è un promemoria che mantenere aggiornati browser e sistemi operativi non è sufficiente se la patch di un fornitore è in ritardo rispetto a una correzione open-source. Per le organizzazioni che desiderano aiuto per colmare i patch gap e rafforzare la sicurezza degli endpoint, AEU-I fornisce consulenza IT e infrastrutturale orientata alla sicurezza.