Китайские хакеры эксплуатируют цепочку уязвимостей в Chrome и Windows: угроза может затронуть российские компании

Хакеры использовали брешь нулевого дня в цепочке уязвимостей Chrome и Windows, чтобы развернуть вредонос CLEANGULP. Всего было использовано три лазейки. Об этом пишет The Hacker News.

Ранее в 19 расширениях Chrome и Edge нашли код для кражи криптовалюты и данных. В части случаев вредоносный код появлялся через обновления, после того как расширение набирало аудиторию. Среди целей вредоноса были криптокошельки, биржи, учетные данные и данные из браузеров, писал SecPost.

При взломе эксплуатировались цепочки из двух уязвимостей в Chrome (CVE-2026-85046 и CVE-2026-87491) и одной, которая затрагивала расширенный локальный вызов процедур Windows (CVE-2026-85880), с целью выхода из песочницы браузера и выполнения удаленного кода.

Исследователи заявили, что атаки принадлежат китайским хакерам. Один из предполагаемых злоумышленников — «актор» UTA0565, который маскировал взломы под различные организации, включая СМИ и неправительственные организации. Одна из атак, как отметили специалисты, была направлена на правительственные структуры Азии с помощью фишинговых писем, якобы от Центра американского прогресса (CAP), с просьбой поддержать гонконгского активиста, ранее приговоренного к тюремному заключению.

Такие письма содержали фейковые ссылки, указывающие на «chinadigitaltimes[.]top» и «americanprgoress[.]top», имитирующие внешний вид China Digital Times и CAP, при этом загружая дополнительный HTML-элемент через скрытый iframe.

Iframe — HTML-элемент, который позволяет встроить содержимое другой веб-страницы или ресурса прямо внутрь текущей страницы.

Также исследователи подчеркнули, что HTML-элемент («config.html») использовал набор эксплойтов BlueMoon, объединяющий уязвимости CVE-2026-85046, CVE-2026-87491 и CVE-2026-85880. После же эксплуатации цепочки происходила загрузка вредоноса CLEANGULP, который позволяет злоумышленникам выполнять команды, просматривать запущенные процессы, загружать и скачивать файлы, а также выполнять Beacon Object Files (BOF).

Сам CLEANGULP использует жестко закодированный домен «thecovnresation[.]com» для управления и контроля по протоколу HTTP. Это, по мнению исследователей, указывает на попытку имитировать «theconversation[.]com» — сеть независимых СМИ, известных публикацией исследований и анализов.

Одновременное же использование одной и той же цепочки несколькими группами указывает на распространение эксплойт-кита между различными хакерскими организациями. Несмотря на то, что атаки наблюдались только на две организации, в материале подчеркнуто, что реальный масштаб может быть куда больше.

Угроза для российского рынка

Эксперт по информационной безопасности «Инфосистемы Джет» Даниил Кирьяков считает, что, несмотря на отсутствие публичных данных о применении BlueMoon или CLEANGULP, цепочка уязвимостей все равно потенциально опасна для российских компаний. Основной риск для них, по мнению собеседника редакции, возникает там, где в инфраструктуре пользователи используют уязвимые версии Chrome и Windows.

«Для российских организаций практический вопрос состоит в инвентаризации того, какие браузеры и их версии установлены на рабочих местах. Следует заняться вулнерабилити-менеджментом (Vulnerability Management). Те же действия относятся и к Windows», — подчеркнул эксперт. При этом, по мнению Кирьякова, сам этап эксплуатации бреши внутри браузера может быть сложен для обнаружения, поскольку до выхода за пределы браузерного процесса СЗИ может быть трудно отличить работу эксплойта от легитимного выполнения кода.

Тем не менее, собеседник SecPost отметил, что атака, которую разобрали исследователи, после эксплуатации оставляет более заметные артефакты: «Загружается исполняемый файл CLEANGULP, он копируется в профиль пользователя, создается запланированная задача для закрепления, и начинается подключение к C2».

Старший специалист по анализу защищенности системного интегратора УЦСБ Ирина Михайлова считает, что техническая применимость цепочки к российской инфраструктуре является высокой, поскольку эксплуатация затрагивает распространенные версии Google Chrome и Microsoft Windows, а сам exploit chain уже использовался несколькими APT-группировками. Именно поэтому эксперт подчеркнула, что отсутствие публично подтвержденных российских жертв не следует интерпретировать как отсутствие угрозы для рынка РФ.

Ведущий эксперт отдела разработки и тестирования компании «Код Безопасности» Александр Самсонов отметил реальную опасность цепочки, несмотря на то, что обновления безопасности, закрывающие бреши, уже были выпущены. «Зачастую многие пользователи пренебрегают обновлениями и вообще выключают автоматическое обновление браузеров. То же самое касается уязвимостей в самой Windows. Исправления уже есть, но из-за несвоевременного обновления множество устройств может находиться под угрозой», — объяснил собеседник.

Эксперт подчеркнул: даже если атаки конкретной группировки не направлены на российские цели, после публикации данных об уязвимостях и способа их применения другие группировки могут начать атаковать Россию.

Кирьяков подчеркнул, что отечественные EDR и АВЗ решения совместно с корреляцией событий с хостов в SIEM хорошо справятся с задачей по выявлению подобных цепочек. Эксперт рекомендует ИБ-командам совместно с ИТ проверить версии Chromium-браузеров и выполнить обновление при необходимости, а также проверить наличие исправлений CVE-2026-85880 на Windows-машинах. Помимо этого, собеседник отметил важность выполнения проактивных поисков угроз и перемещения известных IOC в SIEM.

Самсонов сходится с предыдущим экспертом во мнении, что отечественные средства защиты могут обнаружить подобные атаки. Собеседник из «Кода безопасности» считает, что различными классами средств защиты может быть зарегистрирована и заблокирована попытка перехода по подозрительной ссылке, применение эксплойта в памяти и нетипичное поведение программ.

Михайлова подчеркнула, что распространение подобных zero-day может рассматриваться организациями как дополнительный аргумент при оценке целесообразности перехода с Windows и Google Chrome на отечественные платформы. Тем не менее эксперт указала, что миграция на альтернативные ОС или браузер не устраняет угрозу эксплуатации zero-day, поэтому решение о переходе целесообразно принимать комплексно, с учетом не только ИБ, но и доступности обновлений и качества поддержки.

Также собеседник SecPost из УЦСБ выделила: эффект от миграции зависит от того, насколько новая программная среда отличается от исходной с точки зрения используемых технологий, механизмов обновления. Прямое снижение риска, как отметила Михайлова, наиболее вероятно в случае, если альтернативная платформа использует независимые от исходного решения технологические компоненты и обеспечивает оперативный выпуск исправлений безопасности.

При переходе на продукт, использующий те же ключевые компоненты, проблема фактически сохраняется: замена Google Chrome на другой браузер на базе Chromium не устраняет уязвимость, расположенную непосредственно в Chromium. Михайлова отметила, что аналогично переход на другую ОС без выстроенного процесса управления уязвимостями и обновлениями не исключает риск эксплуатации, а лишь изменяет набор потенциально уязвимых компонентов.