Две китайские группировки одновременно использовали уязвимость нулевого дня в Chrome против НКО

За атакой стоит группировка UTA0560, которую отслеживает компания Volexity. Письма повторяли сценарий мартовской кампании 2026 года. Тогда против того же сектора уже применяли ту же тематику пожертвований и тот же отправитель. Параллельно ту же цепочку применяла другая группа - JungleBamboo. Её также знают как APT31, Violet Typhoon и TA412. Цели у группировок были разные. Инфраструктура тоже различалась. При этом код эксплуатации совпадал почти побайтово. Отличались только финальные вредоносные программы. Обе группы действовали в один день.

Причиной стала задержка с выпуском исправления. Уязвимость CVE-2026-85046 заявили в проект Chromium 4 августа 2026 года. Исправление быстро попало в открытый исходный код. На его основе собирают Chrome и другие браузеры. Однако до готовых версий браузера исправление не дошло. По данным Volexity, возникла необычная ситуация: на уровне исходного кода проблема закрыта, а у пользователей она остаётся. Для них эксплойт (код, использующий уязвимость) работал как уязвимость нулевого дня. Между раскрытием сведений об ошибке и обновлением образовалось окно длиной в несколько недель.

Цепочка эксплуатации состоит из нескольких этапов. Сначала страница проверяет, что жертва открыла её в Chrome под управлением Windows. Остальные посетители не видят ничего подозрительного. Затем в память загружается код, получающий контроль над движком JavaScript. Этот движок исполняет скрипты на веб-страницах. После этого код выходит за пределы изолированной среды браузера. Здесь используется вторая уязвимость, затрагивающая один из внутренних механизмов Chrome. Третья уязвимость находится уже в ядре Windows. Она позволяет преодолеть песочницу (изолированную область) и внедриться в основной процесс браузера. Дальше злоумышленник запускает любую программу по своему выбору. Промежуточные компоненты подгружаются поочерёдно, поэтому заметить атаку извне сложно.

UTA0560 направила этот доступ на доставку программы GRIMWEDGE. Её загрузчик извлекал из себя две части: обычную системную программу и вредоносную библиотеку. Библиотека запускалась вместе с системной программой и не вызывала подозрений у средств защиты. Затем она закреплялась в системе через задачу в планировщике Windows. Задача перезапускала цепочку каждые пять минут. Программа обращалась к серверу управления, подставляя в адрес имя заражённого компьютера. В ответ сервер присылал очередной файл. Такой подход позволял выдавать разным устройствам разные полезные нагрузки. Финальная часть - небольшая программа на языке JScript (сценарий, исполняемый средствами Windows). Она работает целиком в памяти и поддерживает около десяти команд. Среди них сбор сведений о системе, просмотр и удаление файлов, работа со списком процессов и загрузка новых файлов.

JungleBamboo действовала иначе. Она устанавливала вредоносное расширение для Chrome под видом расширения Google Gemini. Загрузчик SUPERSTOMP копировал файл настроек браузера, удалял из него защитные подписи, добавлял расширение и подделывал проверочные значения. Chrome принимал такие настройки как корректные. Само расширение LONGTALE перехватывает нажатия клавиш и содержимое форм. Оно копирует файлы cookie и токены активных сессий. По заданным ключевым словам расширение делает снимки экрана. Собранные данные уходят на сервер управления примерно каждые 30 секунд. Всего предусмотрено 14 удалённых команд. Они меняют настройки слежки или запускают её разово. Возможности запуска произвольного кода у расширения нет.

Атрибуция остаётся частичной. Volexity оценивает с низкой уверенностью, что цепочку эксплуатации продали или передали разным заказчикам в Китае. На это указывает почти одновременный старт кампаний при разном наборе инструментов. Сборка вредоносных программ велась в разных средах разработки. Кроме того, компания отмечает рост риска от подобных задержек. Большие языковые модели ускоряют поиск уязвимостей и разработку эксплойтов. Поэтому окно между исправлением и обновлением становится опаснее. Средний уровень уверенности аналитики приписывают тому, что сжатые сроки вынудили обе группы использовать один и тот же код без изменений.

Для организаций практический вывод прост. Обновлять браузер нужно сразу после выхода исправления. Стоит ограничить число расширений и проверять их список. Двухфакторная аутентификация снижает ущерб от кражи файлов cookie и активных сессий. Письма приходят и на рабочие, и на личные адреса сотрудников, поэтому личную почту тоже стоит учитывать в правилах защиты. Для достижения целей злоумышленникам часто достаточно украденных учётных данных. Расширения браузера при этом обнаружить сложнее, чем обычные исполняемые файлы.