Powiązany z Chinami podmiot zagrażający śledzony przez Volexity jako UTA0560 został przyłapany na użyciu zaawansowanego łańcucha exploitów przeciwko wielu organizacjom pozarządowym (NGO), łączącego lukę w Chrome, ucieczkę z piaskownicy Chrome i lukę umożliwiającą eskalację uprawnień w Windows w celu dostarczenia backdoora w JavaScripcie znanego jako GRIMWEDGE.
Kampanię wykryto 1 września 2026 roku. Rozpoczęła się od ukierunkowanych e-maili phishingowych zawierających linki do legalnej witryny amerykańskiego uniwersytetu. Atakujący wykorzystali na tej witrynie odbitą (reflected) lukę typu cross-site scripting (XSS), aby przekierować ofiary do infrastruktury kontrolowanej przez atakujących.
Szczególne znaczenie tej kampanii wynika z okna luki łatkowej (patch gap). Jedna z luk w Chrome została już naprawiona w otwartoźródłowym projekcie Chromium, ale odpowiednia aktualizacja Chrome nie dotarła jeszcze do użytkowników, gdy rozpoczęły się ataki.
Jak działał atak
Operacja łączyła socjotechnikę z wieloma warstwami exploitacji.
Początkowa wiadomość phishingowa zachęcała odbiorcę do kliknięcia linku prowadzącego do legalnej witryny. Zamiast od razu kierować ofiarę do oczywiście złośliwej domeny, UTA0560 wykorzystał odbitą lukę XSS na legalnej witrynie uniwersytetu.
Pozwoliło to atakującemu przekierować przeglądarkę do infrastruktury hostującej łańcuch exploitów.
W ataku wykorzystano następnie trzy luki:
- CVE-2026-85046 — luka typu type confusion w silniku V8 przeglądarki Chrome
- CVE-2026-87491 — luka w Chrome/WebAssembly wykorzystana do ucieczki z piaskownicy V8
- CVE-2026-85880 — luka w Windows ALPC umożliwiająca eskalację uprawnień
Volexity opisuje to połączenie jako wieloetapowy łańcuch zero-day dla Chrome i Windows. Pierwsza luka w Chrome zapewniała możliwość odczytu i zapisu pamięci wewnątrz piaskownicy V8, druga umożliwiała ucieczkę z piaskownicy przeglądarki, a luka w Windows zapewniała eskalację uprawnień potrzebną do wykonania kodu w procesie przeglądarki Chrome.
Problem luki łatkowej (patch gap)
Wokół CVE-2026-85046 pojawia się istotny niuans.
Lukę zgłoszono projektowi Chromium 4 sierpnia. Poprawka trafiła następnie do otwartoźródłowej bazy kodu Chromium, ale nie dotarła jeszcze do wydanej wersji Google Chrome, gdy UTA0560 rozpoczął swoją kampanię.
Stworzyło to coś, co Volexity nazywa luką łatkową (patch gap).
Innymi słowy, luka nie była już nieznana deweloperom Chromium, ale użytkownicy Chrome nadal byli narażeni, ponieważ wydanie przeglądarki dalej w łańcuchu nie uwzględniało jeszcze poprawki.
Google wydał następnie Chrome 152.0.7977.82/.83 dla Windows i macOS oraz 152.0.7977.82 dla Linuksa. Google potwierdził też, że exploit dla CVE-2026-85046 istniał w środowisku rzeczywistym (in the wild).
Microsoft naprawił CVE-2026-85880 w aktualizacjach zabezpieczeń z 8 września i potwierdził, że luka w Windows ALPC była wykorzystywana przed wydaniem aktualizacji.
Atak zaprojektowano tak, by wyglądał zwyczajnie
Exploitację przeglądarki celowo ukryto za przekonującą przynętą.
Po kliknięciu linku phishingowego ofierze wyświetlano obraz przypominający formularz darowizny dopasowany do atakowanej firmy, podczas gdy w tle wykonywał się złośliwy JavaScript.
To ważny aspekt współczesnego dostarczania exploitów.
Ofiara niekoniecznie widzi podejrzany plik wykonywalny, fałszywą stronę logowania czy oczywiste ostrzeżenie przed złośliwym oprogramowaniem.
Z perspektywy użytkownika przeglądarka może po prostu wyglądać tak, jakby otworzyła legalną stronę internetową.
Tymczasem za kulisami łańcuch exploitów może przechodzić przez wiele granic bezpieczeństwa.
GRIMWEDGE: końcowy ładunek
Gdy łańcuch exploitów osiągnął wykonanie kodu, UTA0560 wdrożył niestandardowy łańcuch złośliwego oprogramowania prowadzący do GRIMWEDGE, backdoora opartego na JavaScripcie.
Volexity zaobserwował pośredni plik wykonywalny o nazwie msgbox.exe, który wypakowywał legalny plik wykonywalny Windows i złośliwą bibliotekę DLL. DLL została następnie użyta w łańcuchu DLL sideloading i zapewniła trwałość (persistence) za pomocą zaplanowanego zadania.
Ładunkiem kolejnego etapu był pakiet MSI zawierający zaciemniony (obfuscated) backdoor w JavaScripcie.
Volexity nazwał ten backdoor GRIMWEDGE po odzyskaniu kodu JavaScript wykonywanego wewnątrz procesu Windows Installer.
Mimo stosunkowo niewielkiego rozmiaru backdoor daje atakującym kilka przydatnych możliwości.
Może on:
- zbierać informacje o zainfekowanym komputerze
- wyliczać pliki i katalogi
- identyfikować uruchomione procesy
- kończyć procesy
- odczytywać pliki
- wykonywać polecenia
- odbierać dodatkowe dane z infrastruktury dowodzenia i kontroli (C2)
- zapisywać przesłane dane na dysk
Volexity zauważył, że sam GRIMWEDGE nie zawiera dedykowanej funkcji ruchu bocznego. Jednak jego możliwości wykonywania poleceń i dostępu do plików zapewniają atakującemu wystarczający dostęp, by rozpoznać skompromitowany system, pobrać interesujące pliki i wdrożyć dodatkowe narzędzia.
UTA0560 nie był jedynym podmiotem używającym tego łańcucha
Być może jednym z najciekawszych ustaleń jest to, że inny powiązany z Chinami klaster zagrożeń używał tego samego łańcucha exploitów mniej więcej w tym samym czasie.
Volexity śledzi drugi klaster jako JungleBamboo, znany także jako APT31, Violet Typhoon i TA412.
Obie grupy użyły tego samego podstawowego łańcucha exploitacji Chrome i Windows, w tym identycznego co do bajta shellcode'u, ale korzystały z innej infrastruktury i innego złośliwego oprogramowania na etapie po eksploatacji.
UTA0560 wdrożył GRIMWEDGE.
JungleBamboo użył natomiast loadera o nazwie SUPERSTOMP, który instalował złośliwe rozszerzenie Chrome znane jako LONGTALE.
Rozszerzenie to zaprojektowano głównie do kradzieży poświadczeń i informacji, w tym plików cookie przeglądarki, danych sesji i naciśnięć klawiszy.
Volexity ocenia z niską pewnością, że łańcuch exploitów mógł zostać sprzedany lub w inny sposób udostępniony wielu użytkownikom końcowym z Chin. Badacze oceniają także ze średnią pewnością, że krótkie okno exploitacji, powstałe w wyniku luki łatkowej w Chrome, zachęciło różne podmioty do ponownego wykorzystania tego samego podstawowego kodu exploita.
Ta ocena pozostaje hipotezą atrybucji, a nie dowodem istnienia wspólnego twórcy lub dostawcy.
Dlaczego atakowane są organizacje pozarządowe
Organizacje pozarządowe, think tanki i podobne firmy mogą być atrakcyjnymi celami operacji szpiegowskich, ponieważ mogą posiadać politycznie wrażliwe informacje, badania, korespondencję oraz relacje ze środowiskami rządowymi lub dyplomatycznymi.
Kampania pokazuje również, dlaczego phishing pozostaje skuteczny nawet wobec technicznie dojrzałych organizacji.
Atakujący nie musiał przekonywać ofiary do zainstalowania oczywiście złośliwego programu.
Początkowym działaniem było po prostu:
otrzymanie e-maila → kliknięcie legalnie wyglądającego linku → przeglądarka przetwarza atak.
Sprawia to, że aktualizowanie przeglądarek jest szczególnie ważne w przypadku pracowników, którzy rutynowo korzystają z zewnętrznych witryn.
Co powinny zrobić firmy
Kampania wskazuje kilka priorytetów obronnych.
✅ Natychmiast zaktualizuj Chrome
Upewnij się, że Chrome działa w wersji zawierającej poprawki luk wykorzystanych w kampanii.
Dla Chrome na komputery Google wydał:
152.0.7977.82/.83 dla Windows i macOS
152.0.7977.82 dla Linuksa
Zespoły bezpieczeństwa powinny weryfikować rzeczywiste wersje przeglądarek na zarządzanych punktach końcowych, zamiast zakładać, że automatyczne aktualizacje zakończyły się powodzeniem.
✅ Zaktualizuj Windows
CVE-2026-85880 została naprawiona w aktualizacjach zabezpieczeń Microsoftu z września 2026 roku. Microsoft potwierdził wykorzystywanie tej luki przed udostępnieniem aktualizacji.
Zgodność z poprawkami Windows należy zatem sprawdzać równolegle ze zgodnością z poprawkami przeglądarki.
✅ Traktuj exploitację przeglądarki jako problem bezpieczeństwa punktów końcowych
Tradycyjne zabezpieczenia przed phishingiem mogą nie wykryć ataku, gdy złośliwy link ostatecznie przechodzi przez legalną witrynę.
Wykrywanie na punktach końcowych powinno zatem szukać podejrzanego zachowania przeglądarki, nieoczekiwanych procesów potomnych i nietypowej aktywności po exploitacji przeglądarki.
✅ Monitoruj wskaźniki GRIMWEDGE
Firmy badające potencjalne narażenie powinny przejrzeć opublikowane przez Volexity wskaźniki i poszukać powiązanych plików, infrastruktury oraz podejrzanych zaplanowanych zadań.
Volexity opublikował wskaźniki powiązane z kampaniami UTA0560 i JungleBamboo.
✅ Nie ignoruj luk łatkowych (patch gaps)
Kampania pokazuje ważny problem zarządzania podatnościami.
Luka może być znana i już naprawiona w kodzie źródłowym, a jednocześnie nadal możliwa do wykorzystania w oprogramowaniu, z którego faktycznie korzystają klienci.
Zespoły bezpieczeństwa powinny zatem monitorować nie tylko daty ujawnienia przez dostawców, ale także moment, w którym poprawki faktycznie trafiają do wydań produkcyjnych.
✅ Wzmocnij ochronę przed phishingiem
Ukierunkowany phishing pozostaje początkowym mechanizmem dostarczania.
Programy uświadamiające powinny podkreślać, że link prowadzący do legalnej witryny nie jest automatycznie bezpieczny.
Izolacja przeglądarki, filtrowanie adresów URL, ochrona punktów końcowych i silne zabezpieczenia poczty e-mail mogą stanowić dodatkowe warstwy obrony.
Szersza lekcja: liczy się szybkość łatania
Kampania UTA0560 jest wyraźnym przykładem tego, jak nowoczesne operacje szpiegowskie mogą łączyć kilka stosunkowo różnych technik w jednym ataku.
Atakujący wykorzystali:
spear-phishing → legalna witryna → XSS → exploit Chrome → ucieczka z piaskownicy → eskalacja uprawnień w Windows → loader → GRIMWEDGE
Każdy z osobna element jest ważny, ale prawdziwe niebezpieczeństwo wynika z ich połączenia.
Kampania pokazuje także, jak cenne dla wyrafinowanych podmiotów zagrażających może być nawet krótkie okno łatania.
Volexity zaobserwował artefakty rozwoju exploita datowane na koniec sierpnia, zaledwie kilka dni przed kampanią phishingową z 1 września. Badacze oceniają, że atakujący zdołali wykorzystać okres między udostępnieniem poprawki Chromium a dotarciem odpowiedniej aktualizacji Chrome do użytkowników.
Dla firm wzmacnia to niewygodną prawdę:
Świadomość istnienia luki to nie to samo, co ochrona przed nią.
Ochrona zaczyna się dopiero wtedy, gdy poprawiona wersja zostanie faktycznie wdrożona w całym środowisku.
Podsumowanie
Kampania UTA0560 pokazuje, jak wyrafinowane podmioty zagrażające mogą połączyć socjotechnikę, zaufane witryny, exploitację przeglądarki i luki w systemie operacyjnym w jeden łańcuch włamania.
Podkreśla też rosnące znaczenie zarządzania lukami łatkowymi (patch-gap management).
Firmy powinny pytać nie tylko, czy dostawca wydał poprawkę zabezpieczeń. Muszą wiedzieć, czy ta poprawka faktycznie dotarła do każdego istotnego punktu końcowego.
Chrome i Windows pozostają podstawowymi komponentami korporacyjnego punktu końcowego, przez co luki łączące granice bezpieczeństwa przeglądarki i systemu operacyjnego mają szczególne znaczenie.
Szybkie łatanie musi obejmować cały łańcuch ataku — przeglądarkę, system operacyjny, punkt końcowy i użytkownika. Wyrafinowany exploit potrafi zamienić pojedyncze kliknięcie w phishingu w pełne przejęcie, gdy nawet krótka luka łatkowa pozostawia odsłonięte odpowiednie podatności.
