LONDON (IT BOLTWISE) – Ein von Volexity beobachteter chinesisch zugeordneter Angriffscluster nutzt eine Spear-Phishing-Kampagne, um eine mehrstufige Zero-Day-Chain aus Chrome- und Windows-Schwächen auszulösen. Der Einstieg erfolgt über eine reflektierte XSS-Lücke in einer Website, die über einen Link in der E-Mail angestoßen wird. Danach übernimmt ein JavaScript-Backdoor namens GRIMWEDGE die Kontrolle, lädt zusätzliche Module nach und führt Befehle in einem Polling-Loop aus. Auffällig ist dabei ein Patch-Gap: Chromium enthält die Fixes, aber eine stabile Chrome-Version bekommt sie zeitversetzt.
Die aktuelle Beschreibung der Angriffswege zeigt weniger eine einzelne „große Lücke“, sondern eine ziemlich gezielt ausgenutzte Zeitlücke im Patch-Prozess. Volexity ordnet die Aktivitäten einem chinesischen Threat Actor zu und verfolgt das Cluster unter dem Namen UTA0560. Am 1. September 2026 richtete sich die Spear-Phishing-Welle laut den Beobachtungen gegen mehrere nichtstaatliche Organisationen (NGOs). Der erste Schritt setzt nicht auf eine exotische Exploit-Kette direkt im Browser, sondern auf eine E-Mail, die Empfänger zum Klicken auf einen Link verleitet, der auf eine Website einer US-Universität verweist.
Auf technischer Ebene beginnt der Einstieg mit einer reflektierten Cross-Site-Scripting-(XSS)-Schwachstelle, die über den Link missbraucht wird, um Opfer auf mit Kontrollinfrastruktur vorbereitete Exploit-Ziele umzuleiten. Genau hier wird sichtbar, warum das Ganze als „Chain“ funktioniert: Die Forscher nennen drei separate Schwachstellen, wobei zwei Probleme in Google Chrome und eine Schwachstelle in Windows Advanced Local Procedure Call (ALPC) zusammenwirken. Zuerst wird mit CVE-2026-85046 willkürliches Read/Write innerhalb des V8-Sandboxes erreicht. Anschließend folgt die Flucht aus dem Browser-Sandbox-Kontext über CVE-2026-87491, bevor schließlich CVE-2026-85880 genutzt wird, um Code in den Chrome-Prozess einzuschleusen und dadurch willkürliche Codeausführung zu erreichen.
UTA0560 macht anschließend genau das, was bei solcher Art von Intrusionen zählt: aus einer technischen Initialzündung eine funktionale Malware-Umgebung bauen. Das eingesetzte Backdoor namens GRIMWEDGE startet als mehrstufiger JavaScript-Loader und enthält im nächsten Schritt drei Base64-kodierte Binärbestandteile als „p1“ bis „pp“. Diese Komponenten übernehmen unterschiedliche Aufgaben: p1 soll per reflektivem DLL-Load Host-Reconnaissance und Fingerprinting anstoßen, p2 zielt auf eine reflektive DLL-Umgehung zur Windows-Kernel-Privilege-Eskalation, und „pp“ bereitet den Weg für eine Browser-Prozess-Injection sowie den Download weiterer Payloads. Für den konkreten UTA0560-Fall folgt als nächste Stufe ein ausführbares Element mit dem Namen „msgbox.exe“, das als Loader fungiert und daraus eine legitime Windows-Binärdatei sowie eine bösartige „wsc.dll“ herauslöst, um anschließend eine DLL-Sideloading-Chain anzustoßen.
Bemerkenswert ist außerdem, wie die Kommunikation und Steuerung technisch umgesetzt wird. Die DLL kontaktiert denselben Server, um eine Textdatei abzurufen, die nach dem Hostnamen benannt ist, der zuvor beim Profiling ermittelt wurde. Diese Datei steckt in einem MSI-Installer, dessen Custom Actions eine obfuszierte JavaScript-Backdoor ausführen. Danach startet GRIMWEDGE einen persistenten Command-Loop, der zyklisch ein Command-and-Control-(C2)-System abfragt (genannt wird „ocr.opusaccel[.]top“). Die Anweisungen werden dann direkt im Speicher über eval() interpretiert. Das Backdoor soll laut der Beschreibung keine klassische Persistenztechnik, keine seitliche Ausbreitung (lateral movement) und auch kein Exfiltrationsmodul „als separater Mechanismus“ mitbringen, sondern sich auf Dateilesen und Upload-Befehle sowie die Ausführung der weiteren Operator-Kommandos konzentrieren.
Damit erklärt sich auch, warum Volexity die Backdoor als ausreichend für den operativen Zugriff auf das kompromittierte System einordnet: Sie reicht für Host-Survey, das gezielte Abrufen interessanter Dateien und das Nachladen zusätzlicher Werkzeuge. Besonders praxisnah wirkt das Command-Set, das von „Info“ (System-Reconnaissance) über „Dir“ (Verzeichnislisten), „Mkdir“ (Erstellen), „Del“ (Löschen), „Tasklist“/„Taskkill“ (Prozessaufzählung/-beendigung) bis zu „Type“ (Dateilesen bis zu 5 MB) reicht. „Run“ und die beiden „Upload“-Varianten bilden dabei die Brücke in Richtung weiterer Payload-Deployment-Strategien: Daten werden in Chunks vom C2 geholt, im Speicher gepuffert und schließlich als Datei auf dem System abgelegt. Parallel dazu wird beschrieben, dass ein zweiter China-nexus Akteur namens JungleBamboo (auch APT31) zeitnah dieselbe Chrome-Windows-Chain nutzte, um einen Loader (SUPERSTOMP) einzusetzen, der wiederum LONGTALE installiert.
LONGTALE ist dabei als passender Folgeangriff auf den Browser gedacht: Es handelt sich um eine Chrome-Erweiterung (auch als GemStone bezeichnet), die als Google Gemini Extension maskiert wird (ID: ckiknalbeplpcpofpnabcnhjcegckfei). Laut Volexity deckt die Erweiterung Funktionen ab wie Keylogging und Formular-Capture, Cookie- und Session-Diebstahl sowie Screenshot-Erfassung durch Überwachung von Page Content auf von C2 gelieferten Keywords. Der Datentransfer soll in Intervallen von etwa 30 Sekunden erfolgen und umfasst grob gesagt Keystrokes, Cookies, Storage-Daten, Navigationshistorie und Session-Metadaten. Gleichzeitig fehlt LONGTALE nach den Angaben offenbar ein grundlegender Remote-Code-Execution-Befehl, sodass der Operator für zusätzliche Post-Exploitation-Aktivitäten nicht auf die Erweiterung selbst als „Universal-Schnittstelle“ setzt, sondern auf die bereits vorhandene Malware-Chain.
Strategisch wichtig ist schließlich der Abschnitt zum Patch-Gap. Die Forscher zeichnen ein ungewöhnliches Bild: Für die zwei Chrome-Schwachstellen lagen Fixes im open-source Chromium-Code bereits vor, doch diese waren laut Volexity in einer stabilen Chrome-Release-Version zu diesem Zeitpunkt nicht eingearbeitet. Genau dieser Zustand erzeugt aus Angreifersicht N-days gegen Chrome, obwohl Upstream bereits gepatcht wurde. Volexity verweist darauf, dass Chrome bis vor Kurzem einen vierwöchigen Zyklus für größere Milestone-Releases nutzte (später auf zwei Wochen verkürzt), wodurch sich ein zeitlich „offenes Fenster“ ergeben kann. In der Logik der Kampagne spricht viel dafür, dass die Angreifer das Zeitfenster systematisch ausnutzen wollten, bevor die offiziellen Chrome-Updates ankommen.
Für Unternehmen ergibt sich daraus eine doppelte Konsequenz: Erstens wird die Sicherheitslage nicht nur durch die CVE-Herstellerentscheidung bestimmt, sondern durch die konkrete Release- und Einbaugeschwindigkeit in der eingesetzten Browserversion. Zweitens lässt sich an der beschriebenen Nutzung derselben Exploit-Chain durch unterschiedliche Akteure ablesen, dass solche Multi-Zero-Day-Setups wertvoll genug sind, um später weiterverbreitet oder von Dritten nachgebaut zu werden. Vor allem im Kontext schneller Schwachstellenanalyse und Exploit-Entwicklung bei KI-unterstützten Methoden kann ein Patch-Gap die Zeitspanne für Kampagnen nochmals verlängern. Praktisch heißt das: Monitoring von Browser-Ereignissen allein reicht oft nicht; entscheidend ist, dass „stabile“ Browser- und OS-Updates eng getaktet, Protokolle zu Spear-Phishing-Link-Klicks ernst genommen und verdächtige In-Memory-Aktivitäten sowie ungewöhnliche Prozessketten frühzeitig erkannt werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GRIMWEDGE nutzt Chrome-Windows Patch-Gap: Mehrstufige Zero-Day Kette im Fokus" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GRIMWEDGE nutzt Chrome-Windows Patch-Gap: Mehrstufige Zero-Day Kette im Fokus" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GRIMWEDGE nutzt Chrome-Windows Patch-Gap: Mehrstufige Zero-Day Kette im Fokus« bei Google Deutschland suchen, bei Bing oder Google News!