一名代号为UTA0565的中国威胁行为者被观察到利用最近披露的Google Chrome-Microsoft Windows漏洞链作为零日漏洞，通过假网站进行攻击。
这些攻击于2026年9月3日和4日被检测到，涉及将Chrome中的两个漏洞（CVE-2026-85046，CVE-2026-87491）和一个影响Windows高级本地过程调用的漏洞（CVE-2026-85880）串联起来，以突破浏览器的沙箱并实现远程代码执行。
Volexity的研究人员Damien Cash和Tom Lancaster在本周发布的分析中表示：“UTA0565伪装成各种实体，包括媒体组织和非政府组织（NGO）。” “值得注意的是，这个威胁行为者的活动与之前记录的攻击不同，使用多个假网站来欺骗受害者。”
其中一个活动针对亚洲政府实体，发送了中文和英文的网络钓鱼邮件，敦促收件人支持香港活动家周恒通，并伪装成美国进步中心（CAP）。周本月早些时候被判处七年三个月监禁。
这些信息包含指向“chinadigitaltimes[.]top”和“americanprgoress[.]top”的伪造链接，这些链接复制了中国数字时代和CAP的外观，同时通过隐藏的iframe加载了一个额外的HTML元素。
据说该HTML元素（“config.html”）使用了相同的BlueMoon漏洞工具包，结合了CVE-2026-85046、CVE-2026-87491和CVE-2026-85880，最终的“pp” shellcode从虚假域下载名为“chrome_cleanup.exe”的可执行文件。该有效载荷是一种称为CLEANGULP的恶意软件家族，使用Microsoft Visual C编译器构建。
它支持以下功能 -
shell，运行命令
ps，列出正在运行的进程
upload，上传文件
download，下载文件
bof，执行一个信标对象文件（BOF）
有趣的是，CLEANGULP被发现使用一个硬编码的域名“thecovnresation[.]com”通过HTTP进行命令和控制（C2），这表明试图模仿“theconversation[.]com”，这是一个以发布学术研究、分析和评论而闻名的非营利媒体机构。
Volexity表示：“这种在多个威胁行为者之间似乎广泛采用的现象表明，在中国CNE社区内存在协调努力，核心工具包可能被多个团体共享、定制和武器化。” “迄今为止报告的活动仅反映了两个组织的观察；完整的范围和影响可能远远更广。”
觉得这篇文章有趣吗？请在Google News、Twitter和LinkedIn上关注我们，阅读更多我们发布的独家内容。