Nhóm tấn công khai thác chuỗi zero-day Chrome và Windows để phát tán CLEANGULP
"Chinese threat actor UTA0565 was observed exploiting a Chrome-to-Windows zero-day chain through fake websites and phishing lures to deliver CLEANGULP malware. The chain combined CVE-2026-85046 and CVE-2026-87491 in Google Chrome with CVE-2026-85880 in Windows ALPC to escape the browser sandbox and achieve remote code execution; the malware supports shell, process listing, file transfer, and BOF execution, with C2 over HTTP via a hard-coded lookalike domain."
Rủi ro cao do chuỗi zero-day cho phép vượt sandbox và thực thi mã từ xa; có thể dẫn tới cài mã độc, điều khiển máy bị nhiễm và rò rỉ dữ liệu.
Có thể gây gián đoạn vận hành, tăng chi phí ứng phó sự cố và ảnh hưởng tới các đơn vị bị nhắm mục tiêu, đặc biệt là cơ quan chính phủ và tổ chức có trao đổi email thường xuyên.
Theo ghi nhận của các nhà nghiên cứu, tác nhân đe dọa có tên UTA0565 đã lợi dụng một chuỗi khai thác zero-day nhắm vào Google Chrome và Microsoft Windows để phát tán mã độc CLEANGULP thông qua các website giả mạo và email lừa đảo. Hoạt động bị phát hiện vào ngày 3 và 4/9/2026.
Chuỗi tấn công kết hợp CVE-2026-85046 và CVE-2026-87491 trong Chrome, cùng CVE-2026-85880 trong Windows ALPC, cho phép vượt qua browser sandbox và đạt remote code execution. Nạn nhân được dẫn tới các tên miền giả mạo như chinadigitaltimes[.]top và americanprgoress[.]top, sau đó tải thêm nội dung qua hidden iframe để kích hoạt khai thác.
Payload cuối cùng là CLEANGULP, được biên dịch bằng Microsoft Visual C Compiler, hỗ trợ các lệnh shell, ps, upload, download và bof. Mã độc này dùng một tên miền hard-coded là thecovnresation[.]com để liên lạc C2 over HTTP.
Khuyến nghị: vá ngay các bản cập nhật liên quan đến Chrome và Windows, kiểm tra lưu lượng HTTP bất thường, rà soát email phishing và website giả mạo, đồng thời tăng giám sát các chỉ báo liên quan đến CVE-2026-85046, CVE-2026-87491 và CVE-2026-85880.