Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

China-Linked Hackers Exploit Chrome-Windows Zero-Day Chain to Deploy GRIMWEDGE

1 minute de lecture

Mis à jour :

Campagne d’espionnage chinoise exploitant des vulnérabilités « zero-day » dans Chrome et Windows

Des acteurs étatiques chinois (groupes UTA0560 et JungleBamboo) exploitent une chaîne d’attaques sophistiquée pour cibler des organisations non gouvernementales. Cette campagne s’appuie sur le « patch gap », une période critique entre la correction d’une faille dans le code source ouvert Chromium et son déploiement effectif dans la version stable de Google Chrome.

Points clés :

  • Vecteur d’attaque : Hameçonnage (spear-phishing) redirigeant les victimes vers un site universitaire légitime compromis via une vulnérabilité XSS réfléchie.
  • Charge utile :
    • GRIMWEDGE : Un backdoor JavaScript utilisé pour la reconnaissance, la gestion de fichiers et l’exécution de commandes à distance.
    • LONGTALE (GemStone) : Une extension malveillante déguisée en outil Google Gemini, spécialisée dans le vol de cookies, de sessions et la capture de frappes clavier.
  • Mode opératoire : Utilisation d’une chaîne d’exploitation nommée « BlueMoon », composée de trois vulnérabilités enchaînées pour s’échapper du sandbox du navigateur et exécuter du code arbitraire avec des privilèges élevés.

Vulnérabilités exploitées :

  • CVE-2026-85046 : Lecture/écriture arbitraire dans le sandbox V8 de Chrome.
  • CVE-2026-87491 : Évasion du sandbox de Chrome.
  • CVE-2026-85880 : Injection de code dans le processus Chrome via ALPC Windows.

Recommandations :

  • Mises à jour rapides : Appliquer immédiatement les mises à jour de sécurité de Google Chrome dès leur publication pour réduire la fenêtre d’exposition due au « patch gap ».
  • Gestion des extensions : Restreindre l’installation d’extensions de navigateur, en particulier celles demandant des permissions étendues.
  • Sensibilisation : Former les utilisateurs à la méfiance vis-à-vis des liens intégrés dans les e-mails, même s’ils semblent pointer vers des sites web de confiance.
  • Filtrage réseau : Surveiller les communications sortantes vers des domaines suspects ou non identifiés et bloquer les scripts malveillants basés sur le comportement (analyse de processus, accès aux fichiers sensibles).

Source

Vous pourriez aimer