Um grupo de hackers associado à China está explorando vulnerabilidades recentemente corrigidas no Google Chrome e no Microsoft Windows para implantar um backdoor malicioso chamado GRIMWEDGE. A campanha, que tem como alvo organizações não governamentais, foi identificada pela Volexity, que monitora o grupo sob o nome UTA0560.
No dia 1º de setembro de 2026, os hackers enviaram e-mails de phishing contendo links que redirecionavam os usuários para um site de uma universidade nos EUA. Esses links exploravam uma vulnerabilidade de cross-site scripting (XSS) refletida, levando as vítimas a uma infraestrutura controlada pelos atacantes. A cadeia de exploração utiliza três falhas: duas no Chrome e uma no Windows Advanced Local Procedure Call (ALPC).
O ataque começa com a falha CVE-2026-85046, que permite leitura e escrita arbitrárias dentro do sandbox V8 do Chrome. Em seguida, a falha CVE-2026-87491 é usada para escapar do sandbox do navegador, e a CVE-2026-85880 injeta código no processo do Chrome, permitindo execução de código arbitrário. O objetivo final é implantar o GRIMWEDGE, que realiza reconhecimento do host, gerenciamento de arquivos e processos, execução de comandos e entrega de cargas maliciosas.
Os hackers utilizam um e-mail de spear-phishing para persuadir as vítimas a clicar em um link que leva a um site legítimo vulnerável a XSS. A partir daí, a cadeia de exploração é acionada, filtrando sistemas que não usam Chrome no Windows. A página final do exploit incorpora três cargas binárias codificadas em Base64, que executam diversas tarefas, incluindo reconhecimento do host e escalonamento de privilégios no kernel do Windows.
Uma vez ativado, o GRIMWEDGE entra em um loop de comando persistente, comunicando-se com um servidor de comando e controle para receber instruções adicionais. O malware pode executar comandos como reconhecimento do sistema, listagem de diretórios, criação e exclusão de arquivos, e execução de comandos em janelas ocultas. No entanto, não possui mecanismos de persistência ou movimento lateral além dos comandos de leitura e upload de arquivos.
Outro grupo de hackers, conhecido como JungleBamboo ou APT31, também utilizou a mesma cadeia de exploração para implantar um carregador chamado SUPERSTOMP, que instala a extensão LONGTALE no Chrome. Esta extensão, que se disfarça como uma extensão legítima do Google, realiza captura de teclas, roubo de cookies e sessões, e captura de tela, enviando dados para um servidor de comando e controle.
Fonte:https://thehackernews.com/2026/09/china-linked-hackers-exploit-chrome.html
