中国系ハッカー集団、Chromeのゼロデイ脆弱性とWindowsカーネルの欠陥を連鎖させて攻撃

中国系の脅威アクターであるUTA0560とJungleBambooが、Google Chromeのゼロデイ脆弱性とWindowsカーネルの権限昇格の欠陥を連鎖させ、NGOなどを標的としたフィッシングキャンペーンを展開していたことが明らかになりました。

Volexityは2026年9月1日に検知したこの一連の攻撃活動を文書化しています。それによると、両者は同一のブラウザからカーネルへのエクスプロイトコンポーネントを使用しながらも、最終的にはGRIMWEDGEというJScriptバックドアと、LONGTALEという認証情報窃取用Chrome拡張機能という、それぞれ別のスパイ活動用ペイロードをインストールしていました。

侵入は、反射型クロスサイトスクリプティングの脆弱性を抱える米国の大学の正規サイトへのリンクを含むスピアフィッシングメールから始まりました。

中国系ハッカー集団、Chromeゼロデイ脆弱性を連鎖利用

攻撃者はこれらのサイトをリダイレクターとして悪用し、標的を攻撃者が管理するランディングページへ誘導しました。被害者には説得力のある寄付フォームの画像が表示される一方で、隠されたiframeが悪意あるエクスプロイトチェーンを起動する仕組みでした。

この攻撃の中心にあったのは、CVE-2026-85046というV8 JavaScriptエンジンのタイプコンフュージョンの問題でした。8月に非公開で報告された後、修正自体はChromiumのオープンソースコードには反映されていたものの、Chromeにはまだ配信されていませんでした。

Volexityはこれを「パッチギャップ」と表現しています。上流のソースツリー上ではNデイ(既知の脆弱性)になっていたとしても、Chromeユーザーにとっては事実上のゼロデイだったということです。

このエクスプロイトはまず、CVE-2026-85046を通じてV8サンドボックス内で任意の読み書きを実現し、続いてWebAssemblyの欠陥であるCVE-2026-87491を利用してそのサンドボックスからの脱出を果たしました。

3つ目の脆弱性は、Windowsカーネルコンポーネントの RtlpCreateServerAcl に存在するCVE-2026-85880で、これにより権限が昇格し、Chromeのサンドボックス化されたレンダラーからの脱出が可能になりました。最終的なシェルコードはChromeのブラウザプロセスに注入され、exeurlパラメータによって選択されたペイロードをダウンロードしました。

このエクスプロイトは信頼性とステルス性を重視して設計されていました。Webワーカー内で実行されるため、エクスプロイトの試行が失敗してクラッシュしても表示中のブラウザタブはそのまま維持され、復旧可能な失敗については最大5回まで再試行するようになっていました。

偵察段階では、標的となるWindowsのビルドに対してカーネルエクスプロイトを選択的に実行する前に、Windowsのバージョン、トークンの権限、CPUの詳細、ハイパーバイザーの兆候などの情報を収集していました。

UTA0560は金融関連をテーマにしたNGO向けの誘導文言を使用し、ローダーチェーンを通じてGRIMWEDGEを配信していました。ドロッパーが正規の実行ファイルを展開してDLLをサイドロードし、「Windows Scheduled System」という名前の5分間隔のスケジュールタスクを作成した上で、MSIペイロードを取得する仕組みです。

このMSIは、ホストの調査、ファイルの一覧表示・操作、プロセスの列挙・強制終了、コマンドの実行、ファイルのアップロードが可能な、メモリ内で動作するJScriptバックドアを実行していました。

APT31、Violet Typhoon、TA412としても知られるJungleBambooは、別個のインフラを使用していたにもかかわらず、バイト単位で同一のエクスプロイト用シェルコードをホストしていました。

同グループのSUPERSTOMPローダーはChromeのSecure Preferencesを改ざんし、Google Gemini拡張機能を装ったLONGTALEをインストールしていました。LONGTALEはキー入力、フォームデータ、Cookie、セッションストレージ、スクリーンショット、閲覧情報を取得し、リモートからの収集コマンドにも対応しています。

Volexityは、中程度の確度で、同一のエクスプロイト開発者がこのチェーンを別々の中国の攻撃者に提供または販売したと評価しています。Chromeのリリース遅延を突いた可能性が高いとみられています。

この事例は、上流でのパッチ公開が、潤沢なリソースを持つ攻撃者に対して、短期間ながらも作戦上価値の高い攻撃可能な窓を与えかねないことを浮き彫りにしています。

防御側は直ちにChromeとWindowsを更新するとともに、フィッシングによるリダイレクトや想定外のブラウザプロセスの挙動を調査し、不審なスケジュールタスク、拡張機能の変更、記載されたインフラへの発信通信がないか探索すべきです。

侵害の痕跡(IoC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無効化表記(例: [.])にしています。再度有効な形式に戻す際は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

активなマルウェアやフィッシングの発生から24時間以内にSOCを最新の状態に保ちましょう。 ANYRUNを試して早期検知でインシデントを防止しましょう。