Связанная с Китаем группа эксплуатирует zero-day в Chrome и Windows для доставки GRIMWEDGE

Специалисты компании Volexity зафиксировали целевую кампанию, которую отслеживают под именем UTA0560. По оценке исследователей, кластер связан с китайскими хакерскими группами. Атака 1 сентября 2026 года была направлена против нескольких некоммерческих организаций (NGO) и использовала комбинацию уязвимостей в браузере Google Chrome и операционной системе Microsoft Windows. Ключевая особенность кампании — эксплуатация цепочки zero-day уязвимостей, которые на момент атаки ещё не имели публичных патчей. Проникновение начиналось со spear-phishing: злоумышленники рассылали адресные сообщения, рассчитанные на конкретных сотрудников организаций. Переход по ссылке или открытие вложения запускали процесс эксплуатации уязвимостей в Chrome, что позволяло обойти механизмы защиты браузера и выполнить код на системе жертвы.

Подробности

Цепочка атак включала две уязвимости: одну в Google Chrome и одну в Microsoft Windows. Комбинация позволяла злоумышленникам выйти за пределы песочницы браузера и закрепиться в операционной системе. Финальной полезной нагрузкой стал вредоносный JavaScript-бэкдор под названием GRIMWEDGE. Как отмечают в Volexity, этот инструмент обеспечивает удалённый доступ к скомпрометированной системе и позволяет злоумышленникам развивать атаку внутри сети жертвы. Вредоносное ПО написано на JavaScript, что усложняет его обнаружение стандартными средствами защиты и позволяет маскироваться под легитимную активность. Атаке подверглись несколько некоммерческих организаций, что указывает на целенаправленный характер кампании. Выбор в пользу NGO может свидетельствовать о попытках получить доступ к чувствительной информации, которой располагают такие организации, включая данные о правозащитной деятельности, исследовательских проектах или контактах с партнёрами. На момент публикации информации об успешности атак и масштабе компрометации не раскрывается. Уязвимости, задействованные в цепочке, к моменту отчёта уже закрыты производителями — Google и Microsoft выпустили соответствующие патчи.

Что делать

В первую очередь необходимо убедиться, что Google Chrome и Microsoft Windows обновлены до актуальных версий. Патчи, закрывающие эксплуатируемые уязвимости, уже доступны — установка обновлений критична для всех без исключения организаций. Для сотрудников, работающих с почтой, рекомендуется усилить бдительность в отношении адресных фишинговых сообщений: не переходить по ссылкам из подозрительных писем и не открывать вложения от незнакомых отправителей. Поскольку кампания нацелена на конкретных людей, стандартные фильтры спама могут не сработать. Организациям стоит проверить системы на предмет признаков компрометации, особенно если сотрудники могли взаимодействовать с подозрительными письмами в начале сентября. Полезно ограничить выполнение JavaScript в средах, где это не требуется для рабочих задач, и внедрить сегментацию сети, чтобы затруднить lateral movement в случае заражения. Дополнительно рекомендуется усилить мониторинг конечных точек и сетевого трафика на предмет аномальной активности, связанной с выполнением скриптов, а также провести внеплановый инструктаж сотрудников по распознаванию spear-phishing. Итог: инцидент демонстрирует, что даже своевременно патченные браузеры и ОС требуют постоянного контроля версий и бдительности пользователей. Целенаправленные кампании против NGO подчёркивают необходимость комплексной защиты, сочетающей технические обновления и обучение персонала.

Источник: The Hacker News