Een op China gerichte dreigingsactor zou een Chrome-Windows zero-day keten hebben ingezet om een kwaadaardige JavaScript-backdoor te plaatsen. Het gaat om GRIMWEDGE, dat via een multi-stage exploit wordt geleverd nadat slachtoffers een link openen uit een spearphishingmail. Volexity koppelt de activiteit aan het cluster UTA0560 en beschrijft hoe de aanval draait om een combinatie van recente (maar nog niet overal direct doorgevoerde) beveiligingsfixes.
Wat deze zaak extra riskant maakt, is het zogenoemde patch gap-probleem: fixes verschenen wel in de open-source code, maar waren (nog) niet opgenomen in een stabiele Chrome-release. Daardoor konden aanvallers kwetsbaar blijven voor zero-days tegen Chrome, ook al waren onderdelen inmiddels gepatcht in upstream.
Van spearphishing naar een gecompromitteerde browser
De aanval start met gerichte e-mails. In de berichten staat een aanmoediging om op een link te klikken. Die link leidt naar een website die op het eerste gezicht legitiem is, namelijk die van een universiteit in de Verenigde Staten.
De echte val zit in de website: de onderzoekers melden dat er sprake is van een gereflecteerde XSS-kwetsbaarheid (reflected cross-site scripting). Door misbruik van die fout wordt de bezoeker doorgeleid naar door de aanvaller gecontroleerde infrastructuur, waar de exploitketen verder wordt geactiveerd.
De kern: drie kwetsbaarheden in één exploitketen
De Chrome-Windows zero-day keten bestaat uit drie afzonderlijke kwetsbaarheden: twee in Google Chrome (via de engine en sandboxlogica) en één in Windows. In totaal vormt dit een route van browsermisbruik naar systeemtoegang.
Concreet beschrijft de publicatie de volgende stappen:
- CVE-2026-85046: misbruik om arbitrary read/write te verkrijgen binnen de V8-sandbox.
- CVE-2026-87491: ontsnapping uit de browser-sandbox.
- CVE-2026-85880: injectie van code in het Chrome-proces, wat resulteert in arbitrary code execution.
De exploitketen wordt in de praktijk geactiveerd via een uiteindelijk exploit-page. Daar worden meerdere binaire payloads als Base64-gecodeerde strings in JavaScript ingesloten. De beschreven componenten hebben elk een eigen rol: van fingerprinting en reconnaissance tot het ophalen van aanvullende code en het opzetten van procesinjectie.
Hoe GRIMWEDGE als JavaScript-backdoor werkt
UTA0560 zet de exploitketen in om GRIMWEDGE te installeren: een kwaadaardige JavaScript-backdoor die eerst hostinformatie verzamelt en vervolgens bestanden en processen beheert. De onderzoekers noemen specifiek dat GRIMWEDGE host-reconnaissance kan doen en dat het commando’s kan uitvoeren en payloads kan leveren.
Daarbij start het proces met een volgende-stage component: een uitvoerbaar bestand dat als loader fungeert. Volgens Volexity wordt daarbij een legitiem Windows-bestand uitgehaald uit zichzelf en wordt daarnaast een kwaadaardige DLL geplaatst (wsc.dll). Daarna wordt een DLL sideloading-keten gestart om de juiste kwaadaardige logica te activeren.
Na die initiële stap neemt GRIMWEDGE contact op met dezelfde server om een tekstbestand op te halen. De naam van dat bestand is gekoppeld aan de hostname die tijdens de profilering is verzameld. Dat ondersteunt een gerichte aflevering van vervolgstappen per apparaat.
MSI, obfuscated JavaScript en een command loop
Het opgehaalde bestand wordt beschreven als een MSI-installer die bedoeld is om een versleutelde/verborgen (obfuscated) JavaScript-backdoor te activeren via MSI custom actions. Dit zorgt ervoor dat de backdoor in het systeem kan draaien en dat de volgende fase wordt uitgevoerd.
Vervolgens gaat GRIMWEDGE in een persistent command loop. Die loop polls een command-and-control (C2)-server, waarvan een voorbeeld wordt genoemd: ocr.opusaccel[.]top. De backdoor voert ontvangen instructies uit in het geheugen met behulp van eval().
De onderzoekers rapporteren dat GRIMWEDGE commando’s kan afhandelen zoals:
- Info: systeemreconnaissance
- Dir: mapinhoud ophalen
- Mkdir: map aanmaken
- Del: bestand verwijderen
- Tasklist: lopende processen opsommen
- Taskkill: proces beëindigen op PID
- Type: bestand lezen tot 5 MB
- Run: commando uitvoeren in een verborgen venster
- Upload (chunk) en Upload (commit): Base64-chunks ophalen en vervolgens wegschrijven
Opvallend is dat de code niet is ontworpen voor brede extra bewegingen in netwerken of voor stealthy data-exfiltratie op een traditionele manier. De publicatie stelt dat er geen ingebouwde mechanismen zijn voor persistence, lateral movement of exfiltration buiten de file-read en upload-commando’s. In plaats daarvan levert GRIMWEDGE een eerste voet aan de grond waarmee UTA0560 het systeem verder kan verkennen en extra tooling kan plaatsen.
Waarom het patch gap-risico extra groot is
De zaak krijgt extra lading door het verloop van fixes. De meldingen geven aan dat de patches voor de twee Chrome-gerelateerde problemen in het open-source Chromium-project terechtkwamen, maar dat ze nog niet in een stabiele Chrome-release waren opgenomen. Met andere woorden: de upstream fixes bestonden, maar Chrome zelf was tijdelijk alsnog blootgesteld.
Dat mechanisme creëert een venster waarin aanvallen mogelijk zijn: aanvallers kunnen een zero-day-achtige situatie uitbuiten zolang de eindversie van het product niet “bij” is. In de publicatie wordt ook genoemd dat Chrome tot voor kort een vierwekelijks ritme had voor grote mijlpalen (later naar tweewekelijks), wat eveneens invloed kan hebben op de lengte van de exploit-kans.
Tot slot waarschuwen de onderzoekers dat patch-gap kwetsbaarheden het risico vergroten. Naarmate geautomatiseerde technieken en taalmodellen vaker worden ingezet voor snelle vulnerability research en exploitontwikkeling, kan de tijd tussen “fix beschikbaar” en “fix in stabiele release” voor aanvallers interessanter worden.
Niet alleen UTA0560: ook SUPERSTOMP en LONGTALE
Volexity beschrijft dat rond dezelfde periode een ander dreigingscluster (JungleBamboo, ook bekend als APT31) dezelfde Chrome-Windows keten zou hebben gebruikt om een loader te installeren. Die loader wordt beschreven als SUPERSTOMP en installeert daarna LONGTALE, ook wel aangeduid als GemStone: een Chrome-extensie die gericht is op credential theft.
LONGTALE zou zich voordoen als een Google Gemini Chrome-extensie en wordt genoemd met een specifieke extensie-ID: ckiknalbeplpcpofpnabcnhjcegckfei. De extension-achtige functionaliteit richt zich op:
- Keylogging en het onderscheppen van formulieren
- Het stelen van cookies en sessiegegevens
- Schermafbeeldingen of snapshotting via het monitoren van pagina-inhoud op door C2 geleverde trefwoorden
- Grote bulk-exfiltratie van toetsaanslagen, cookies, opslagdata, browsegeschiedenis en sessiemetadata, met korte intervallen
- Remote command and control
Interessant detail: volgens Volexity ontbreekt een basis remote code execution commando waarmee de aanvaller na compromise direct extra post-exploitation acties zou kunnen uitvoeren. Het is mogelijk dat dit bewust niet nodig werd geacht, omdat de omvang van het datadiefstalgedeelte al voldoende was voor de doelen.
Wat je nu kunt doen om risico te verlagen
Ook al is de exacte keten technisch complex, de verdedigingsboodschap is eenvoudig: zorg dat je endpoint en browser niet in een patch-gap venster belanden. Hieronder staan praktische maatregelen die direct aansluiten op dit soort aanvallen.
1) Automatiseer updates voor Chrome en Windows
Zodra fixes beschikbaar zijn, wil je zo snel mogelijk naar de meest recente veilige versies. Let daarbij extra op wanneer patches wel in upstream zitten maar nog niet volledig in stabiele releases landen.
2) Beperk de impact van XSS-achtige omleidingen
Omdat de keten begint met een gereflecteerde XSS op een webpagina, helpen maatregelen die verdachte omleidingen, scripts en linkgedrag beperken. Denk aan veilige browsing, strikte webcontent policies en waar mogelijk isolatie van browsersessies.
3) Monitor op verdachte command-and-control patronen
GRIMWEDGE maakt gebruik van een polling-loop naar een C2-domein. In een SOC- of EDR-omgeving kun je zoeken naar afwijkend gedrag rond communicatie, procesinjectie-achtige signalen en ongebruikelijke uitvoering van ingebedde/obfuscated scripts.
4) Kijk naar wat er in de omgeving al draait
Omdat de backdoor taken kan uitvoeren als “Tasklist”, “Taskkill” en bestandsoperaties, is zicht op procesgedrag en bestandswijzigingen essentieel. Verzamel en corrigeer afwijkingen, zodat je sneller kunt bepalen of er al een voet aan de grond is.
Wil je bredere context over hoe dit soort ketenaanvallen zich verhouden tot andere zero-day en exploit-incidenten? Lees dan ook eens hoe BlueMoon exploitkit in dezelfde categorie van Chrome en Windows zero-days past.
Conclusie
De beschreven campagne laat zien hoe een Chrome-Windows zero-day keten via spearphishing en gereflecteerde XSS kan uitmonden in een multi-stage levering van GRIMWEDGE. Door twee Chrome-problemen die wel in upstream zijn gepatcht maar nog niet direct in stabiele Chrome-releases waren opgenomen, ontstond een extra exploitvenster door het patch gap-risico.
Voor organisaties betekent dit vooral snelheid en zichtbaarheid: snel updaten, verdachte webgedragingen beperken en endpoint- en netwerkmonitoring aanscherpen. Zo verklein je de kans dat een gerichte gebruiker zich via een ogenschijnlijk legitieme link in zo’n exploitketen laat trekken.
Bron: https://thehackernews.com/2026/09/china-linked-hackers-exploit-chrome.html
