LONDON (IT BOLTWISE) – Forschende ordnen einen Spear-Phishing-Angriff zu, der eine reflektierte XSS-Schwachstelle auf einer U.S.-Uni-Webseite missbraucht. Die Angreifer kombinieren drei zuvor gepatchte Lücken in Google Chrome und Windows, um eine mehrstufige Zero-Day-Chain (BlueMoon) auszulösen und das JavaScript-Backdoor GRIMWEDGE.Volexity nachzuladen. Das Set-up filtert nur Systeme mit Chrome unter Windows, bevor der Exploit überhaupt auf die Zielmaschine zielt. Damit rückt ein „Patch-Gap“-Szenario in den Fokus, in dem Upstream-Fixes in Chromium erscheinen, aber nicht sofort im stabilen Chrome-Release ankommen.
Der konkrete Angriff wirkt auf den ersten Blick wie ein klassischer Spear-Phishing-Fall, tatsächlich aber ist das Zusammenspiel aus Web-Schwachstelle, Browser-Exploit und Windows-Bridge entscheidend. Den Angaben zufolge wird ein Bedrohungscluster unter dem Namen UTA0560 mit einer Kampagne in Verbindung gebracht, die am 1. September 2026 mehrere nicht-staatliche Organisationen (NGOs) adressierte. Die E-Mail enthält einen Link, der scheinbar auf eine legitime Webseite einer in den USA ansässigen Universität führt; erst dort beginnt die Manipulation: Die Links sollen eine reflektierte Cross-Site-Scripting-Lücke (reflected XSS) missbrauchen und Empfänger dann in Richtung von Angreifer-Infrastruktur umleiten. Wichtig ist dabei, dass der eigentliche Exploit-„Startpunkt“ nicht im Mail-Client liegt, sondern im Browserkontext der Zielseite.
Technisch setzt die Kette nicht auf einen einzelnen Schwachpunkt, sondern nutzt eine Abfolge aus drei Fehlern: zwei in der Chrome-Umgebung und ein weiterer in Windows Advanced Local Procedure Call (ALPC). Die Forschenden beschreiben, wie die Kette zunächst CVE-2026-85046 ausnutzt, um innerhalb des V8-Sandbox-Umfelds beliebiges Lesen und Schreiben zu ermöglichen. Danach folgt der Schritt aus der Browser-Sandbox heraus über CVE-2026-87491. Erst im dritten Abschnitt nutzt der Angriff CVE-2026-85880, um Code in den Chrome-Browserprozess einzuschleusen und so den Sprung zu beliebiger Codeausführung zu realisieren. Damit ist die „Zero-Day“-Bezeichnung in diesem Fall weniger als Schlagwort zu verstehen, sondern als Ergebnis einer zeitlichen Lücke: Die Fixes sind laut Quelle teilweise im Upstream bereits vorhanden, aber nicht in der stabilen Chrome-Release-Version der Angriffszeit unmittelbar wirksam.
Die nachgelagerte Implementierung des Backdoors GRIMWEDGE.Volexity beginnt als mehrstufiger JavaScript-Mechanismus in der letzten Exploit-Stufe. In der Beschreibung heißt es, dass die finale Seite drei Base64-kodierte Payloads direkt in JavaScript einbettet: Zum einen dient Shellcode p1 dazu, eine DLL reflektiv zu laden, um Host-Reconnaissance und Fingerprinting anzustoßen. Parallel übernimmt Shellcode p2 das reflektive Laden einer weiteren DLL, um eine Kernel-Privilege-Eskalation auf Windows anzustoßen. Schließlich fängt Shellcode pp die Browserprozess-Injektion und den Download der eigentlichen Nutzlast ein. Als nächster Schritt folgt dann ein ausführbares „msgbox.exe“, das als Loader arbeitet: Es extrahiert aus sich heraus eine als legitim dargestellte Windows-Komponente sowie eine bösartige DLL namens „wsc.dll“. Diese DLL soll anschließend eine DLL-Sideloading-Chain starten und damit einen Weg finden, weitere Artefakte nachzuladen und die Kontrolle zu konsolidieren.
Beim „Command-and-Control“-Teil setzt GRIMWEDGE auf einen in den Angaben beschriebenen Memory-first-Ansatz, der den klassischen Drop-and-Run-Charakter vieler Malware-Setups teilweise umgeht. Die Loader-Komponente kontaktiert denselben Server wie zuvor und holt eine Textdatei, deren Name dem Host-Hostname entspricht, der zuvor beim Profiling ermittelt wurde. Danach startet das Backdoor eine persistente Command-Loop: Es pollt einen C2-Server unter „ocr.opusaccel[.]top“ und führt neue Anweisungen in RAM über eval() aus. Konzipiert ist das so, dass das Backdoor vor allem Aufklärung und Dateioperationen abdeckt: von „Info“ und „Dir“ über „Mkdir“, „Del“, „Tasklist“ und „Taskkill“ bis hin zu „Type“ für Dateilesen bis 5 MB. Dazu kommen „Run“ für die Ausführung in einem versteckten Fenster und das zweistufige Upload-Verfahren, bei dem Base64-chunks vom C2 geholt und anschließend als finaler Puffer auf der Platte gespeichert werden. Laut den Forschenden habe der Code bewusst keine eingebaute Persistence, kein Lateral-Movement- und kein Exfiltrationsmodul über diese File-Read- und Upload-Kommandos hinaus; die anfängliche Fußbesetzung reiche jedoch aus, um zu scannen, gezielt Dateien einzusammeln und weiteres Werkzeug per „Run“ und „Upload“ nachzuziehen.
Neben GRIMWEDGE signalisiert die gleiche Exploit-Kette auch, wie stark sich der Markt für Browser- und Windows-Exploitation in Richtung „wiederverwendbare Baukästen“ bewegt. Den Angaben zufolge beobachtete Volexity außerdem einen zweiten China-nexus Akteur namens JungleBamboo (APT31), der zur ähnlichen Zeit dasselbe Chrome-Windows-Chainmuster nutzte, um einen Loader namens SUPERSTOMP auszurollen. Dieser installiere wiederum LONGTALE, eine Chrome-Erweiterung zur Credential-Weitergabe, die zugleich als GemStone bezeichnet wird. Die Tarnung erfolgt über einen Extension-Namen, der einer Google Gemini Extension ähneln soll, inklusive einer konkreten Extension-ID (ckiknalbeplpcpofpnabcnhjcegckfei), um Detektionsmechanismen auszutricksen. Laut Quelle ist LONGTALE vor allem auf Keylogging und Form-Capture ausgerichtet, ergänzt durch Cookie- und Session-Diebstahl, sowie Screenshot-Erfassung durch das Monitoring von Seiteninhalten auf vom C2 bereitgestellte Keywords; die Übertragung soll in groben 30-Sekunden-Intervallen mehrere Datenkategorien umfassen, darunter Keystrokes, Cookies, Storage-Daten, Navigationsverlauf und Session-Metadaten, begleitet von Remote-Command-and-Control.
Für die Verteidigung ist besonders der „Patch-Gap“ relevant, weil er erklärt, warum mehrere Akteure nahezu zeitgleich mit derselben Kette Erfolg haben könnten. Die Quelle hebt hervor, dass die Fixes für die beiden Chrome-bezogenen Lücken zwar in den Open-Source-Quellcode von Chromium eingespielt wurden, aber nicht unmittelbar in eine stabile Google-Chrome-Version übernommen waren. Damit entsteht ein N-day gegen Chrome: Upstream-Patches existieren, doch das stabile Release hinkt hinterher, obwohl sich die Zielumgebung bereits im Patch-Fenster befindet. Dazu passt die Annahme, dass Angreifer versuchen, das Zeitfenster vor dem Eintreffen offizieller Updates auszunutzen; zudem sei bei früheren Veröffentlichungsrhythmen von Chrome eine vierwöchige Taktung für große Milestone-Releases genannt worden, die später auf zwei Wochen reduziert wurde. Volexity verknüpft dieses Risiko zudem mit der wachsenden Nutzbarkeit von KI-gestützter Schwachstellenanalyse: Wenn große Sprachmodelle die Recherche und Exploit-Entwicklung beschleunigen, können Patch-Lücken schneller „kapitalisiert“ werden. Für Unternehmen folgt daraus weniger die Frage, ob Zero-Days grundsätzlich existieren, sondern ob das eigene Update- und Browser-Release-Management die Lücke zwischen Upstream und stabiler Auslieferung tatsächlich schließt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GRIMWEDGE & BlueMoon: Chrome-Windows-Zero-Day-Kette über reflektiertes XSS" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GRIMWEDGE & BlueMoon: Chrome-Windows-Zero-Day-Kette über reflektiertes XSS" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GRIMWEDGE & BlueMoon: Chrome-Windows-Zero-Day-Kette über reflektiertes XSS« bei Google Deutschland suchen, bei Bing oder Google News!