Хакеры из Китая применили цепочку уязвимостей Chrome и Windows для установки CLEANGULP
Группа UTA0565 использовала поддельные сайты и три ранее нераскрытые уязвимости, чтобы выйти из песочницы браузера и запустить вредоносный код в Windows. Одной из целей стали государственные организации в Азии.
Исследователи Volexity обнаружили кампанию китайской группы UTA0565, в которой применялась цепочка из уязвимостей Google Chrome и Microsoft Windows для доставки вредоносной программы CLEANGULP. Атаки были зафиксированы 3 и 4 сентября 2026 года; на тот момент уязвимости использовались как zero-day — до их публичного раскрытия.
Цепочка включала две проблемы в Chrome — CVE-2026-85046 и CVE-2026-87491 — а также уязвимость CVE-2026-85880 в механизме Advanced Local Procedure Call Windows. По данным Volexity, сочетание этих ошибок позволяло атакующим выйти из изолированной среды браузера и выполнить код в системе.
Для обмана жертв UTA0565 создавала сайты, выдававшие себя за СМИ и неправительственную организацию. В одной из кампаний злоумышленники рассылали государственным структурам Азии письма на китайском и английском языках с призывом поддержать гонконгскую активистку Чоу Хан-дун. Письма маскировались под сообщения американского аналитического центра Center for American Progress.
Ссылки вели на домены chinadigitaltimes[.]top и americanprgoress[.]top, имитировавшие сайты China Digital Times и Center for American Progress. На таких страницах через скрытый iframe загружался файл config.html с набором эксплойтов BlueMoon. Затем shellcode загружал исполняемый файл chrome_cleanup.exe с поддельного домена.
Загруженная программа CLEANGULP скомпилирована средствами Microsoft Visual C Compiler. Она умеет выполнять команды, получать список запущенных процессов, загружать и скачивать файлы, а также запускать beacon object file — объектные файлы для расширения возможностей вредоносного инструмента.
Для связи с управляющим сервером CLEANGULP использует по HTTP домен thecovnresation[.]com, похожий на адрес некоммерческого медиа The Conversation. Volexity полагает, что одинаковый набор эксплойтов уже применяли несколько связанных с Китаем групп: это может указывать на совместное использование и доработку общего инструментария. Исследователи отдельно предупреждают, что известные эпизоды основаны лишь на наблюдениях двух организаций, поэтому реальный масштаб кампании может быть больше.