Um agente de ameaça chinês foi atribuído como autor de uma campanha de spear phishing (phishing direcionado) que explora falhas de segurança recém-corrigidas no Google Chrome e no Microsoft Windows para entregar um backdoor (acesso remoto malicioso) em JavaScript chamado GRIMWEDGE.
A Volexity, que monitora o agrupamento de ameaças sob o codinome UTA0560, afirmou que a atividade teve como alvo diversas organizações não governamentais (ONGs) em 1º de setembro de 2026.
"Os e-mails continham uma mensagem que incentivava os usuários a clicar em um link que levava ao site de uma universidade dos Estados Unidos", disseram os pesquisadores Ankur Saini, Conor Quigley, Sean Koessel, Steven Adair e Tom Lancaster em publicação. "Esses links se aproveitavam de uma vulnerabilidade de cross-site scripting refletido (XSS) no site, redirecionando os destinatários para uma infraestrutura controlada pelo agente de ameaça, que hospedava uma cadeia de exploits em múltiplos estágios."
A cadeia de exploits
A cadeia de exploits, como destacado anteriormente pela Proofpoint, envolve três falhas separadas: duas no Chrome e uma no Advanced Local Procedure Call (ALPC, Chamada Avançada de Procedimento Local) do Windows. Primeiro, ela se aproveita da CVE-2026-85046 para obter leitura e gravação arbitrárias dentro do sandbox (ambiente isolado de execução) do motor V8, em seguida escapa do sandbox do navegador por meio da CVE-2026-87491 e, por fim, emprega a CVE-2026-85880 para injetar código no processo do navegador Chrome e alcançar execução arbitrária de código.
Foi observado que o UTA0560 utiliza esse método de ataque para instalar o GRIMWEDGE, que facilita reconhecimento do host, gerenciamento de arquivos e processos, execução de comandos e capacidade de entrega de payloads (cargas úteis). Tudo começa com um e-mail de spear phishing que convence o destinatário a clicar em um link embutido, apontando para um site legítimo vulnerável a uma falha de XSS refletido.
O agente de ameaça teria se aproveitado dessa falha para disparar a cadeia de exploits de zero-day, também chamada BlueMoon, a fim de entregar o malware, filtrando sistemas que não utilizam Chrome no Windows para visitar a URL. A página final do exploit embute três payloads binários como strings codificadas em Base64 dentro de JavaScript:
- p1, shellcode (código de injeção) que carrega de forma reflexiva uma DLL para realizar reconhecimento e fingerprinting (impressão digital) do host;
- p2, shellcode que carrega de forma reflexiva uma DLL para facilitar a escalonada de privilégios no kernel do Windows;
- pp, shellcode para realizar injeção no processo do navegador e download do payload.
Mecânica da infecção
No caso do UTA0560, o payload do próximo estágio é um executável chamado "msgbox.exe", que funciona como um loader (carregador) responsável por extrair de si mesmo um binário legítimo do Windows e uma DLL maliciosa ("wsc.dll"), iniciando uma cadeia de sideloading de DLL (carregamento lateral de biblioteca). A DLL, por sua vez, contata o mesmo servidor para buscar um arquivo de texto nomeado a partir do hostname do dispositivo, obtido durante a etapa de perfilamento.
O arquivo de texto é um instalador MSI (Microsoft Installer) projetado para executar um backdoor em JavaScript ofuscado, contido nas ações personalizadas do MSI. Uma vez iniciado, o GRIMWEDGE entra em um loop persistente de comandos que consulta um servidor de comando e controle (C2) ("ocr.opusaccel[.]top") para receber novas instruções, então executadas em memória por meio do comando eval(). Ele é capaz de interpretar os seguintes comandos:
- Info: realizar reconhecimento do sistema;
- Dir: obter listagem de diretório;
- Mkdir: criar um diretório;
- Del: excluir um arquivo;
- Tasklist: enumerar processos em execução;
- Taskkill: encerrar um processo pelo PID (Identificador de Processo);
- Type: ler um arquivo de até 5 MB;
- Run: executar um comando em uma janela oculta;
- Upload (chunk): obter um trecho codificado em Base64 a partir do servidor C2 e anexá-lo a um buffer em memória;
- Upload (commit): salvar o buffer acumulado em disco como o arquivo final.
"O código não possui nenhum mecanismo embutido de persistência, movimento lateral ou exfiltração além dos comandos de leitura e upload de arquivos", disseram os pesquisadores. "O backdoor fornece um ponto de apoio inicial em um host comprometido suficiente para que o UTA0560 faça o levantamento do host, recupere arquivos de interesse e implemente ferramentas adicionais por meio dos comandos Run e Upload."
Segundo agente de ameaça identificado
A Volexity afirmou que também observou um segundo agente de ameaça de origem chinesa, conhecido como JungleBamboo (também chamado APT31, ou Ameaça Persistente Avançada 31), usando a mesma cadeia de exploits praticamente no mesmo período para instalar um loader chamado SUPERSTOMP, que então implanta a LONGTALE, uma extensão do Chrome voltada para roubo de credenciais, também chamada GemStone, a partir de um servidor remoto. Ela se disfarça como uma extensão do Google Gemini no Chrome (ID: ckiknalbeplpcpofpnabcnhjcegckfei) para evitar detecções, ao mesmo tempo em que oferece os seguintes recursos:
- Keylogging (registro de teclas) e captura de formulários;
- Roubo de cookies e sessões;
- Captura de screenshots ao monitorar o conteúdo de páginas em busca de palavras-chave fornecidas por um servidor C2;
- Exfiltração em massa de teclas digitadas, cookies, dados de armazenamento, histórico de navegação e metadados de sessão para o servidor C2 em intervalos de cerca de 30 segundos;
- Comando e controle remotos.
"A LONGTALE nem mesmo dispõe de um comando básico de execução remota de código que permitiria ao agente de ameaça realizar atividades adicionais de pós-exploração nos dispositivos comprometidos", disse a Volexity, acrescentando que é possível que "o agente de ameaça tenha considerado esse recurso desnecessário, já que as amplas capacidades de roubo de informação oferecidas pela LONGTALE eram suficientes para alcançar os objetivos de roubo de credenciais e vigilância do JungleBamboo".
Exploração compartilhada e o "patch gap"
O uso quase simultâneo da mesma cadeia Chrome-Windows por diversos agentes de ameaça da China levantou a possibilidade de que ela tenha sido vendida ou disponibilizada a eles pelo desenvolvedor do exploit, possivelmente após a engenharia reversa das alterações no código-fonte do Chromium.
O que chama a atenção neste caso é o chamado patch gap (lacuna de correção): enquanto as correções para as duas falhas do Chrome foram enviadas para o repositório de código aberto do Chromium, elas ainda não tinham sido incorporadas em uma versão estável do Google Chrome. Em outras palavras, as correções upstream criaram um caso incomum de dois bugs de N-day (falhas já conhecidas) que foram corrigidos no Chromium, mas não no Chrome. Isso, por sua vez, os transformou em zero-days contra o Chrome.
Como o Chrome seguia um ciclo de lançamento de quatro semanas para versões com marcos importantes até a semana passada (agora passa a ser quinzenal), é possível que os atacantes tenham buscado agir rapidamente antes que a janela de exploração se fechasse e as correções oficiais chegassem por parte do Google.
A Volexity afirmou que "vulnerabilidades do tipo patch gap apresentam um risco ainda maior, pois criam uma janela de tempo adicional para que agentes de ameaça conduzam campanhas de exploração [...] à medida que modelos de linguagem de grande porte se tornam mais populares e eficazes para a rápida pesquisa de vulnerabilidades e o desenvolvimento de exploits".
