Die Angriffskette, von Volexity und anderen unter dem Namen BlueMoon geführt, beginnt mit einer Spear-Phishing-Mail. Der eingebettete Link zielt auf eine legitime Website, die für reflektiertes Cross-Site-Scripting anfällig ist; über diese Weiterleitung landen die Opfer auf der Exploit-Seite. Systeme, die nicht mit Chrome unter Windows auf die URL zugreifen, filtern die Angreifer heraus. Die finale Seite enthält drei binäre Nutzlasten als Base64-Zeichenketten im JavaScript.
Bei UTA0560 handelt es sich bei der nächsten Stufe um eine ausführbare Datei namens “msgbox.exe”. Dieser Loader extrahiert aus sich selbst eine legitime Windows-Binärdatei sowie eine bösartige DLL (“wsc.dll”) und startet damit eine DLL-Sideloading-Kette. Die DLL kontaktiert denselben Server und holt eine Textdatei, deren Name sich aus dem zuvor ermittelten Hostnamen des Geräts ableitet.
Diese Datei ist tatsächlich ein MSI-Installer, der über sogenannte Custom Actions eine verschleierte JavaScript-Backdoor ausführt. GRIMWEDGE tritt danach in eine dauerhafte Befehlsschleife ein und fragt den Command-and-Control-Server “ocr.opusaccel[.]top” ab; empfangene Anweisungen werden über eval() im Speicher ausgeführt.
“Der Code besitzt keine eingebaute Persistenz, keine Funktion zur seitlichen Bewegung im Netzwerk und keinen Exfiltrationsmechanismus über die Befehle zum Lesen und Hochladen von Dateien hinaus”, schreiben die Forscher Ankur Saini, Conor Quigley, Sean Koessel, Steven Adair und Tom Lancaster. Die Backdoor verschaffe UTA0560 einen ausreichenden ersten Zugang, um das System zu sichten, interessante Dateien abzuziehen und über die Befehle Run und Upload weitere Werkzeuge nachzuladen.
Nahezu zeitgleich beobachtete Volexity einen zweiten China-nahen Akteur, JungleBamboo (auch als APT31 bekannt), der dieselbe Exploit-Kette einsetzte. Dort diente ein Loader namens SUPERSTOMP dazu, von einem entfernten Server die Chrome-Erweiterung LONGTALE — auch GemStone genannt — nachzuladen, die Zugangsdaten stiehlt. Zur Tarnung gibt sie sich als Google-Gemini-Erweiterung aus (ID: ckiknalbeplpcpofpnabcnhjcegckfei). Laut Volexity fehlt LONGTALE selbst ein einfacher Befehl zur Fernausführung von Code; möglicherweise hielt der Akteur dies für unnötig, da die umfangreichen Funktionen zum Informationsdiebstahl für die Ziele Zugangsdatendiebstahl und Überwachung ausreichten.
Dass mehrere chinesische Akteure fast gleichzeitig dieselbe Chrome-Windows-Kette nutzen, wirft die Frage auf, ob der Exploit-Entwickler sie weitergegeben oder verkauft hat — womöglich nach einer Analyse der Änderungen im Chromium-Quellcode.
Genau hier liegt die Patch-Lücke: Die Korrekturen für die beiden Chrome-Fehler steckten bereits im offenen Chromium-Code, nicht aber in einer stabilen Chrome-Version. Chrome setzte bis vor Kurzem auf einen vierwöchigen Zyklus für größere Versionssprünge, inzwischen erscheinen sie alle zwei Wochen. Möglich ist, dass die Angreifer schnell handeln wollten, bevor Googles offizielle Updates das Zeitfenster schlossen. Volexity warnt, Schwachstellen in solchen Patch-Lücken seien besonders riskant, da sie Angreifern ein zusätzliches Zeitfenster eröffneten — gerade weil große Sprachmodelle zunehmend für schnelle Schwachstellenforschung und Exploit-Entwicklung taugten.