Google Chromeおよびウィンドウズカーネルの新たに公表された脆弱性チェーンにより、標的を侵害し、スパイ活動用マルウェアを展開し、ブラウザの認証情報を盗み出すことが可能になっています。
Volexityによると、UTA0560とJungleBamboo(APT31、Violet Typhoon、TA412としても知られています)は、異なる標的グループに対するスピアフィッシング攻撃で、同一の多段階エクスプロイトチェーンを使用していました。
この攻撃キャンペーンでは、V8 JavaScriptエンジンのタイプコンフュージョン(型の取り違え)の欠陥である、Chromeの脆弱性CVE-2026-85046が悪用されました。
修正はオープンソースのChromiumコードベースには取り込まれていたものの、攻撃発生時点ではリリース済みのChromeアップデートにはまだ反映されていませんでした。これにより「パッチギャップ」と呼ばれる状態が生まれています。技術的にはChromiumソース上ではNデイ(既知の脆弱性)ですが、Chromeユーザーにとっては事実上のゼロデイとなっていたわけです。
被害者には、反射型クロスサイトスクリプティング(XSS)の脆弱性を抱えた正規サイトへのリンクを含むフィッシングメールが送られていました。攻撃者はこのXSSの欠陥を利用して、受信者を攻撃者が管理するインフラへリダイレクトさせ、そこにエクスプロイトフレームワークをホストしていました。
ランディングページには、標的組織向けにカスタマイズされた説得力のある寄付フォームの画像が表示される一方、裏では隠されたiframeがバックグラウンドでエクスプロイトを起動していました。
このチェーンはまず、CVE-2026-85046を悪用してChromeのV8サンドボックス内で任意の読み書きアクセス権を取得します。続いて、CVE-2026-87491として追跡されているWebAssemblyのサンドボックスエスケープの欠陥を悪用します。
3つ目の脆弱性である、ウィンドウズカーネルの欠陥CVE-2026-85880は、RtlpCreateServerAcl関数を通じたローカル特権昇格を可能にするものです。このカーネルエクスプロイトにより、攻撃者はChromeの制限されたレンダラープロセスから脱出し、Chromeブラウザのメインプロセスにコードを注入できるようになりました。
エクスプロイトコードはWeb Worker内で実行され、自動リトライ機構を備えていたため、ユーザーに表示されているブラウザタブをクラッシュさせることなく、最大5回まで攻撃を試行できました。
さらに、カーネル特権昇格段階を実行するかどうかを判断する前に、Windowsのバージョン、トークン権限、プロセッサの機能、仮想化の有無といったホストの指紋情報を収集する処理も行っていました。
ブラウザおよびWindows向けのエクスプロイトコンポーネントはバイト単位で同一だったと報告されている一方、2つのグループは異なる侵害後のペイロードを展開していました。
UTA0560はこのチェーンを使い、JScriptバックドアであるGRIMWEDGEをインストールしていました。これはmsgbox.exeと呼ばれるローダーを通じて配布されます。このローダーは正規の実行ファイルと悪意のあるDLLを展開してDLLサイドローディングを行い、その後「Windows Scheduled System」という名前のスケジュールタスクを作成して永続化を図っていました。
GRIMWEDGEはmsiexec.exe内でメモリ上で実行され、偵察活動、ディレクトリの列挙、ファイル窃取、プロセス一覧の取得と終了、コマンド実行、分割ファイルのアップロードに対応しています。そのC2(コマンド&コントロール)通信には、被害者のドメイン、ユーザー名、コマンドの実行結果が含まれていました。
一方JungleBambooは、Chromeの「Secure Preferences」を改ざんするChrome拡張機能インストーラーであるSUPERSTOMPを展開していました。
このツールは、暗号化されたハッシュ値を削除し、悪意のある拡張機能の設定を挿入した上で、有効な旧式のHMAC値を生成することで、新しい拡張機能の完全性保護機構を回避していました。
生成されたLONGTALE拡張機能はGoogle Geminiの拡張機能を装っており、ブラウザを広範囲に監視する機能を備えていました。
Volexityは、この中核となるエクスプロイトチェーンが、複数の中国系オペレーター間で共有あるいは売買された可能性があると評価しています。
研究者らはまた、上流での修正が公に確認できる状態にあると、下流のベンダーがブラウザのアップデートを配布するまでの間に、脅威アクターが脆弱性をリバースエンジニアリングできる、狭いながらも貴重な時間的猶予を与えてしまう危険性があると警告しています。
組織はChromeおよびWindowsの迅速なパッチ適用を優先し、ブラウザの拡張機能の導入状況を点検するとともに、Secure Preferencesの改ざんを監視し、侵害された正規サイトを経由してリダイレクトするフィッシングリンクを調査する必要があります。
16,000以上の組織から得られる最新のインテリジェンスで、脅威検出率を58%向上。TIフィードを統合し、貴社のSOCへ
翻訳元: https://cyberpress.org/chinese-hackers-chain-chrome-and-windows-zero-days/
