一名中国威胁行为者被指控参与了一项利用最近修补的Google Chrome和Microsoft Windows安全漏洞的钓鱼活动，以交付一种名为GRIMWEDGE的恶意JavaScript后门。
Volexity正在追踪该威胁集群，称其为UTA0560，表示该活动在2026年9月1日针对多个非政府组织（NGO）。
“这些电子邮件包含一条消息，鼓励用户点击一个链接，该链接指向一家美国大学的网站，”研究人员Ankur Saini、Conor Quigley、Sean Koessel、Steven Adair和Tom Lancaster表示。“这些链接利用了该网站上的反射型跨站脚本（XSS）漏洞，将收件人重定向到威胁行为者控制的基础设施，托管一个多阶段的利用链。”
正如Proofpoint之前强调的，利用链涉及三个独立的漏洞——两个在Chrome中，一个在Windows高级本地过程调用（ALPC）中。它首先利用CVE-2026-85046在V8沙箱中获得任意的读/写权限，然后通过CVE-2026-87491逃逸浏览器沙箱，最后使用CVE-2026-85880将代码注入Chrome浏览器进程，实现任意代码执行。
UTA0560已被观察到依赖这种攻击方法来部署GRIMWEDGE，该后门能够进行主机侦察、文件和进程管理、命令执行和有效载荷交付。所有这一切始于一封钓鱼电子邮件，诱使收件人点击一个嵌入的链接，该链接指向一个易受反射型XSS漏洞影响的合法网站。
据称，威胁行为者利用这一漏洞触发了零日利用链，也称为BlueMoon，以交付恶意软件，同时过滤掉未在Windows上使用Chrome的系统以访问该URL。最终的利用页面在JavaScript中嵌入了三个以Base64编码的二进制有效载荷——
p1，反射加载DLL以进行主机侦察和指纹识别的shellcode
p2，反射加载DLL以促进Windows内核特权升级的shellcode
pp，执行浏览器进程注入和有效载荷下载的shellcode
在UTA0560的情况下，下一阶段的有效载荷是一个名为“msgbox.exe”的可执行文件，作为加载程序，负责从自身提取一个合法的Windows二进制文件和一个恶意DLL（“wsc.dll”），以启动DLL侧加载链。该DLL则联系同一服务器以获取一个以设备主机名命名的文本文件，该主机名是在分析步骤中获得的。
该文本文件是一个MSI安装程序，旨在执行包含在MSI自定义操作中的模糊JavaScript后门。一旦启动，GRIMWEDGE进入一个持久的命令循环，轮询命令与控制（C2）服务器（“ocr.opusaccel[.]top”）以接收进一步的指令，然后通过eval()命令在内存中执行。这使其能够解析以下命令——
Info，进行系统侦察
Dir，获取目录列表
Mkdir，创建目录
Del，删除文件
Tasklist，枚举正在运行的进程
Taskkill，通过PID终止进程
Type，读取文件，最大5 MB
Run，在隐藏窗口中执行命令
Upload（chunk），从C2服务器获取Base64编码的块并附加到内存缓冲区
Upload（commit），将累积的缓冲区保存到磁盘作为最终文件
“该代码没有内置的持久性、横向移动或超出文件读取和上传命令的外泄机制，”研究人员表示。“该后门为UTA0560在受损主机上提供了一个初步立足点，足以让其侦察主机、检索感兴趣的文件，并通过Run和Upload命令部署额外的工具。”
Volexity表示，它还观察到另一名与中国有关的威胁行为者JungleBamboo（又名APT31）在同一时间使用相同的利用链来部署一个名为SUPERSTOMP的加载程序，该加载程序随后从远程服务器安装LONGTALE，这是一种窃取凭证的Chrome扩展程序，也称为GemStone。它伪装成Google Gemini Chrome扩展（ID：ckiknalbeplpcpofpnabcnhjcegckfei）以逃避检测，同时支持以下功能——
键盘记录和表单捕获
Cookie和会话窃取
通过监控页面内容中的C2服务器提供的关键字进行屏幕截图捕获
以大约30秒的间隔批量外泄按键、Cookie、存储数据、浏览历史和会话元数据到C2服务器
远程命令与控制
“LONGTALE甚至缺乏基本的远程代码执行命令，这将使威胁行为者能够在受损设备上进行额外的后期利用活动，”Volexity表示，并补充说“威胁行为者可能认为这一功能是多余的，因为LONGTALE提供的广泛信息窃取能力足以实现JungleBamboo的凭证窃取和监视目标。”
多名中国威胁行为者几乎同时使用相同的Chrome-Windows链，增加了它可能被利用开发者出售或提供给他们的可能性，可能是在反向工程Chromium源代码中的更改后。
值得注意的是补丁差距：尽管针对两个Chrome漏洞的修复已推送到开源Chromium代码库中，但尚未纳入Google Chrome的稳定发布版本。换句话说，上游补丁造成了一个不寻常的案例，即两个N日漏洞在Chromium中得到解决，但在Chrome中没有。这反过来使它们成为Chrome的零日漏洞。
考虑到Chrome在上周之前依赖四周发布周期进行主要里程碑发布（现在是每两周一次），攻击者可能试图迅速行动，以便在利用窗口关闭并且Google发布官方补丁之前完成攻击。
Volexity表示，“补丁差距漏洞带来了更大的风险，因为它们为威胁行为者创造了额外的时间窗口。”