Zero-Day Chrome-Windows contro ONG: spear phishing UTA0560 installa GRIMWEDGE e ruba accessi con exploit a catena

Una recente campagna di spear phishing ha mostrato come una catena di vulnerabilità tra Google Chrome e Microsoft Windows possa trasformarsi in un attacco zero day ad alto impatto contro organizzazioni non governative. Il gruppo tracciato come UTA0560 ha inviato email mirate che invitavano a cliccare su un link apparentemente legittimo, collegato al sito di una università statunitense.

Il passaggio chiave è stato l’abuso di una vulnerabilità XSS riflessa sul sito, usata per reindirizzare le vittime verso infrastrutture controllate dagli attaccanti e avviare una catena di exploit multi-fase.

La catena combina tre falle, due in Chrome e una in Windows ALPC, e permette di ottenere lettura e scrittura arbitrarie nella sandbox V8, poi evadere la sandbox del browser e infine arrivare a esecuzione di codice tramite iniezione nel processo di Chrome. In pratica, la navigazione su una pagina malevola porta al caricamento di payload in JavaScript che includono componenti binari codificati in Base64. Questi moduli sono progettati per riconoscere l’ambiente e procedere solo se il sistema usa Chrome su Windows, riducendo rumore e analisi.

Dopo lo sfruttamento, UTA0560 distribuisce GRIMWEDGE, una backdoor JavaScript offuscata. Il flusso osservato include un loader eseguibile che estrae un binario Windows legittimo e una DLL malevola, avviando una catena di DLL sideloading. La DLL contatta poi lo stesso server per scaricare un file di testo associato al nome host del dispositivo, che porta a un installer MSI. Le custom actions dell’MSI eseguono la backdoor, che entra in un ciclo persistente di comandi verso un server C2, eseguendo istruzioni in memoria tramite eval.

Le funzionalità di GRIMWEDGE includono ricognizione del sistema, gestione file e processi, esecuzione comandi in finestra nascosta e caricamento di ulteriori payload a blocchi. Non emergono meccanismi nativi di movimento laterale o esfiltrazione avanzata oltre ai comandi di lettura file e upload, ma il foothold è sufficiente per raccogliere informazioni e distribuire altri strumenti.

Nello stesso periodo un altro attore legato alla Cina, noto come JungleBamboo o APT31, avrebbe usato la stessa catena per installare LONGTALE, una estensione Chrome per furto credenziali capace di keylogging, furto cookie e sessioni, screenshot su parole chiave e invio periodico di dati al C2. Il caso evidenzia il rischio del patch gap, quando correzioni presenti nel codice Chromium non arrivano subito nella release stabile di Chrome, creando una finestra di sfruttamento che gli attaccanti possono monetizzare rapidamente.