Google Chrome zero-day encadeia falha do Windows em ataque phishing
Campanha ligada à China mirou ONGs com links falsos e duas cargas de espionagem.
Resumo rapido
Os grupos UTA0560 e JungleBamboo, ligados à China, combinaram uma falha zero-day do Google Chrome com uma falha no kernel do Microsoft Windows. A campanha partiu de spear phishing, usou sites legítimos de universidades dos EUA como redirecionadores e páginas falsas com imagem de formulário de doação. O objetivo era instalar ferramentas de espionagem: o backdoor GRIMWEDGE e a extensão LONGTALE, voltada ao roubo de credenciais no Google Chrome.
Neste artigo voce vai aprender:
- Quais grupos foram associados à campanha.
- Como o Google Chrome e o Microsoft Windows foram explorados em sequência.
- Por que sites legítimos podem ser usados para enganar vítimas.
- Quais sinais ajudam a identificar esse tipo de phishing.
- Quais ações práticas reduzem o risco para empresas e usuários.
Dois grupos, a mesma cadeia de exploracao
A Volexity documentou uma operação detectada em 1º de setembro de 2026 envolvendo os grupos UTA0560 e JungleBamboo, este último também associado aos nomes APT31, Violet Typhoon e TA4. Os dois usaram exatamente os mesmos componentes de exploração, do Google Chrome até o kernel do Microsoft Windows, mas entregaram cargas finais distintas. Esse compartilhamento de ferramentas sugere uma origem comum no desenvolvimento dos exploits.
O que torna o caso grave é a presença de uma falha zero-day no Google Chrome, explorada antes de qualquer correção chegar aos usuários. A vulnerabilidade central foi a CVE-2026-85046, no motor JavaScript V8. Uma correção já havia entrado no código aberto do Chromium após um reporte privado em agosto, mas o Google Chrome ainda não tinha recebido a atualização quando os ataques começaram.
Do email de doacao ao kernel do Windows
A porta de entrada foram emails de spear phishing, modalidade desenhada para alvos específicos. As mensagens traziam links para sites legítimos de universidades dos Estados Unidos que sofriam de uma falha de redirecionamento por script refletido. A vítima lia um domínio confiável na barra de endereços e, ainda assim, terminava em uma página sob controle dos invasores.
Nessa página aparecia uma imagem convincente de formulário de doação. Por trás dela, um iframe escondido disparava a cadeia. A CVE-2026-85046 permitia manipular a memória dentro do ambiente protegido do V8, a CVE-2026-87491, ligada a WebAssembly, ajudava a escapar dessa proteção, e a CVE-2026-85880, no componente RtlpCreateServerAcl do kernel do Microsoft Windows, elevava privilégios e rompia o isolamento do processo do Google Chrome.
Concluída a escalada, o código era injetado no processo principal do Google Chrome e baixava a carga indicada por um parâmetro chamado exeurl. O UTA0560 entregou o GRIMWEDGE, backdoor em JScript capaz de examinar o computador, listar e alterar arquivos, encerrar processos, executar comandos e exfiltrar dados. Já o JungleBamboo optou pela extensão LONGTALE, criada para roubar credenciais diretamente do Google Chrome.
Sinais de alerta que merecem atencao
Como a campanha usava sites legítimos como etapa intermediária, olhar apenas para domínios desconhecidos não resolve. Alguns comportamentos ajudam a levantar suspeita antes do clique ou logo depois dele:
- Emails de doação, finanças ou temas de ONG recebidos sem solicitação prévia.
- Links que começam em um site conhecido, mas redirecionam rapidamente para outra página.
- Páginas que mostram apenas uma imagem de formulário, sem campos reais ou navegação normal.
- Comportamento estranho do Google Chrome após abrir um link, como travamentos ou recarregamentos.
- No ambiente corporativo, criação inesperada de tarefas agendadas, como o nome “Windows Scheduled System” citado no caso.
Reduzir a janela entre a correcao e a instalacao
A medida de maior retorno é encurtar o intervalo entre o lançamento do patch e sua instalação efetiva. Isso significa manter atualização automática ativa no Google Chrome e no Microsoft Windows em todo o parque e acompanhar o comportamento dos endpoints logo após cliques em links recebidos por email.
- Atualize rapidamente: trate correções do Google Chrome e do Microsoft Windows como prioridade, especialmente quando houver exploração ativa.
- Valide links sensíveis: em campanhas de doação, finanças ou ONGs, confirme o destino por canal independente antes de clicar.
- Monitore tarefas agendadas: nomes genéricos e recorrência incomum podem indicar persistência.
- Revise extensões do Google Chrome: extensões inesperadas podem ser usadas para roubar credenciais.
- Treine equipes expostas: organizações sem fins lucrativos e áreas de relacionamento externo precisam reconhecer phishing direcionado.
Checklist pratico
- Verifique se Google Chrome e Microsoft Windows estão atualizados em todos os computadores.
- Bloqueie ou investigue emails com links de doação inesperados e redirecionamentos incomuns.
- Procure tarefas agendadas suspeitas, extensões novas no Google Chrome e execução de arquivos MSI sem justificativa.
Perguntas frequentes
O que torna esse caso perigoso?
O ataque combinou falhas do Google Chrome e do Microsoft Windows em sequência. Isso permitiu escapar das proteções do navegador e executar ações com privilégio elevado no computador da vítima.
Quem foi alvo da campanha?
As operações miraram ONGs e outras vítimas, com temas financeiros e páginas falsas de doação usados para aumentar a chance de clique.
Site legítimo no link significa segurança?
Não. Neste caso, sites legítimos de universidades dos EUA foram abusados como redirecionadores. O usuário via um endereço confiável e terminava em uma página controlada pelos atacantes.
Proteja sua empresa com a LC SEC
A LC SEC ajuda sua organização a reduzir riscos de phishing, exploração de vulnerabilidades e roubo de credenciais com inteligência de ameaças, testes técnicos e programas de conscientização adaptados ao seu ambiente.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Fontes:
https://gbhackers.com/china-linked-hackers-chain-chrome-zero-day/
Compartilhe nas redes sociais:
