Die von Volexity dokumentierte Kampagne gegen asiatische Regierungsstellen setzte auf ein politisch aufgeladenes Thema: Die Phishing-Mails forderten die Empfänger auf, die Hongkonger Aktivistin Chow Hang-tung zu unterstützen, und gaben sich als Nachricht des Center for American Progress (CAP) aus. Chow war in diesem Monat zu sieben Jahren und drei Monaten Haft verurteilt worden.
Die Nachrichten enthielten gefälschte Links auf die Domains „chinadigitaltimes[.]top“ und „americanprgoress[.]top“, die das Erscheinungsbild von China Digital Times und des CAP nachbildeten. Im Hintergrund luden die Seiten über ein verstecktes iframe ein zusätzliches HTML-Element nach.
Dieses Element mit dem Namen „config.html“ griff auf dasselbe BlueMoon-Exploit-Kit zurück, das die drei Schwachstellen CVE-2026-85046, CVE-2026-87491 und CVE-2026-85880 kombiniert. Der abschließende Shellcode mit der Bezeichnung „pp“ lud von der gefälschten Domain eine ausführbare Datei namens „chrome_cleanup.exe“ herunter — die Schadsoftware CLEANGULP, die mit dem Microsoft Visual C Compiler erstellt wurde.
Für die Kommunikation mit dem Command-and-Control-Server über HTTP nutzt CLEANGULP eine fest einprogrammierte Domain: „thecovnresation[.]com“. Auch hier setzten die Angreifer auf Verwechslung — die Adresse ahmt „theconversation[.]com“ nach, das Angebot eines gemeinnützigen Medienhauses, das akademische Forschung, Analysen und Kommentare veröffentlicht.
Die Verbreitung des Exploit-Kits über mehrere Akteure hinweg deutet nach Einschätzung von Volexity auf ein abgestimmtes Vorgehen hin: „Diese offenbar breite Verwendung durch mehrere Bedrohungsakteure legt eine koordinierte Anstrengung innerhalb der chinesischen CNE-Gemeinschaft nahe, bei der das Kern-Kit wahrscheinlich geteilt, angepasst und von mehreren Gruppen waffenfähig gemacht wurde.“
Volexity weist zugleich darauf hin, dass die bislang beschriebenen Aktivitäten nur einen Ausschnitt abbilden: „Die bisher berichtete Aktivität spiegelt lediglich die Beobachtungen zweier Organisationen wider; der tatsächliche Umfang und die Auswirkungen dürften weit größer sein.“