Contexte de la campagne
Le groupe attribué UTA0560, lié à la Chine, a mené une campagne de spear‑phishing le 1 septembre 2026 contre plusieurs ONG. Les courriels contenaient un lien vers le site d’une université américaine vulnérable à une faille XSS réfléchie, qui a servi de point d’entrée pour une chaîne d’exploitation multi‑stade. Volexity a également observé le groupe JungleBamboo (APT31) utilisant la même chaîne pour déployer le chargeur SUPERSTOMP, indiquant une possible diffusion du vecteur d’exploitation.
Mécanisme de la chaîne d’exploitation
La chaîne repose sur trois vulnérabilités : CVE‑2026‑85046, qui permet une lecture/écriture arbitraire dans le bac à sable V8 de Chrome ; CVE‑2026‑87491, qui assure l’évasion du bac à sable du navigateur ; et CVE‑2026‑85880, une faille ALPC de Windows qui injecte du code dans le processus Chrome, aboutissant à une exécution de code arbitraire. La séquence débute par l’exploitation de la XSS réfléchie, qui redirige la victime vers une page contenant du JavaScript contenant trois charges binaires encodées en Base64 :
var p1 = "BASE64_SHELLCODE_1"; var p2 = "BASE64_SHELLCODE_2"; var pp = "BASE64_SHELLCODE_3";Analyse du malware GRIMWEDGE
Le chargeur final, nommé msgbox.exe, extrait un binaire Windows légitime et un DLL malveillant (wsc.dll) pour lancer une chaîne de sideloading DLL. Le DLL contacte le serveur C2 (ocr.opusaccel.top) pour récupérer un fichier MSI contenant un script JavaScript obfusqué exécuté via les actions personnalisées du MSI. Une fois actif, GRIMWEDGE établit une boucle de commande en mémoire, évaluant chaque instruction reçue via eval(). Les commandes supportées incluent : Info (reconnaissance système), Dir, Mkdir, Del, Tasklist, Taskkill, Type (lecture de fichiers ≤5 Mo), Run, Upload (chunk) et Upload (commit). Le malware ne possède pas de mécanisme de persistance ni de déplacement latéral intégré, se limitant à la collecte de données et à l’exécution de charges additionnelles via les commandes Run et Upload.
Implications de la fenêtre de correction
Les correctifs des deux failles Chrome ont été poussés dans le code source de Chromium mais n’ont pas encore été intégrés dans une version stable de Google Chrome, créant ainsi deux vulnérabilités N‑day devenues zéro‑day. Le cycle de publication de Chrome, passé de quatre à deux semaines, a réduit la fenêtre d’exploitation, mais les attaquants ont exploité le décalage entre la disponibilité du correctif upstream et sa diffusion aux utilisateurs. Cette situation souligne le risque accru lié aux « patch‑gap », où les correctifs sont publiés dans le dépôt open‑source avant d’être déployés dans les produits finaux. Le recours possible à des modèles de langage pour accélérer la recherche de vulnérabilités renforce la probabilité d’émergence de chaînes d’exploitation similaires à l’avenir.
