Due gruppi di cyber-spionaggio cinesi hanno sfruttato vulnerabilità non ancora risolte in Chrome e Windows per colpire ONG con la backdoor GRIMWEDGE, aggirando le patch e installando malware tramite email mirate.
La finestra tra la pubblicazione delle patch e il loro arrivo nelle versioni stabili di Chrome ha lasciato scoperti molti utenti. Due gruppi di cyber-spionaggio cinesi hanno approfittato di questo ritardo per colpire ONG occidentali con attacchi mirati. Il risultato: sistemi compromessi tramite una catena di exploit zero day, con la backdoor GRIMWEDGE che si installa senza lasciare tracce permanenti.
Dietro l'attacco ci sono UTA0560 e JungleBamboo (APT31), due gruppi che hanno sfruttato la stessa catena BlueMoon per scopi diversi. Secondo Volexity, che ha seguito l'operazione, le vittime sono state raggiunte tramite email di spear-phishing con link che sembravano innocui. Questi link portavano a siti universitari statunitensi vulnerabili a XSS riflesso, da cui il passaggio ai server degli attaccanti è stato immediato.
Come agisce la catena di exploit BlueMoon
L'attacco si basa su tre vulnerabilità: due in Google Chrome (CVE-2026-85046 e CVE-2026-87491) e una in Windows ALPC (CVE-2026-85880). Il primo exploit permette lettura e scrittura arbitraria nella sandbox V8, il secondo consente di uscire dalla sandbox del browser, il terzo inietta codice nel processo Chrome per ottenere esecuzione arbitraria.
Google ha corretto la vulnerabilità CVE-2026-85046 nel motore V8 di Chromium il 3 settembre 2026, segnalando che l'exploit era già usato "in the wild" prima che la patch arrivasse a tutti gli utenti Chrome in versione stabile. Questo "patch-gap" ha permesso agli attaccanti di sfruttare la falla prima che la maggior parte degli utenti fosse protetta, come confermato anche da report tecnici indipendenti.
Gli analisti di sicurezza descrivono le vulnerabilità di Chrome CVE-2026-85046 e CVE-2026-87491 come zero-day di tipo patch-gap: le correzioni erano già presenti nel codice sorgente Chromium upstream prima di arrivare nelle build rilasciate di Chrome, creando una finestra sfruttabile dagli attaccanti.
Solo chi usa Chrome su Windows viene colpito: la pagina finale dell'exploit contiene tre payload binari codificati in Base64 all'interno di JavaScript. Il primo fa ricognizione sull'host, il secondo eleva i privilegi a livello kernel, il terzo inietta codice nel browser e scarica altri componenti. Microsoft ha risolto la vulnerabilità CVE-2026-85880, un buffer overflow in Windows ALPC che consente l'elevazione locale dei privilegi, nel Patch Tuesday di settembre 2026, che ha visto la pubblicazione record di 974 CVE.
GRIMWEDGE: cosa fa la backdoor
Il payload successivo, "msgbox.exe", estrae un binario Windows legittimo e una DLL malevola ("wsc.dll") per avviare una catena di sideloading. La DLL contatta il server degli attaccanti e scarica un file MSI nominato con l'hostname della vittima, che contiene la backdoor GRIMWEDGE sotto forma di JavaScript offuscato.
Una volta attiva, GRIMWEDGE apre un canale di comando con il server C2 "ocr.opusaccel[.]top", ricevendo istruzioni da eseguire in memoria tramite eval(). Le funzioni disponibili includono raccolta informazioni, gestione file, esecuzione comandi, caricamento e download di dati. Non ci sono meccanismi di persistenza o movimento laterale: l'obiettivo è ottenere un primo accesso e valutare se approfondire l'intrusione.
Altri gruppi e strumenti coinvolti
JungleBamboo (APT31) ha usato la stessa catena BlueMoon per distribuire SUPERSTOMP, un loader che installa LONGTALE (alias GemStone), un'estensione Chrome camuffata da Google Gemini. LONGTALE ruba credenziali, registra tasti, cattura screenshot e permette il controllo remoto, puntando a un'esfiltrazione massiccia di dati.
La simultaneità degli attacchi suggerisce che la catena di exploit sia stata venduta o condivisa tra diversi gruppi cinesi, aumentando il rischio per le organizzazioni occidentali. Il gap tra la correzione nel codice Chromium e la distribuzione nelle release stabili di Chrome ha creato una finestra di zero day sfruttabile, come già visto in altri casi recenti di vulnerabilità patch-gap.
Implicazioni per la sicurezza europea
La rapidità con cui questi exploit vengono individuati e sfruttati, anche grazie all'uso di modelli linguistici avanzati per la ricerca di vulnerabilità, mette in difficoltà la difesa delle ONG e delle istituzioni europee. L'assenza di persistenza nei malware come GRIMWEDGE è una scelta tattica: meno tracce, meno possibilità di essere scoperti, più tempo per valutare il valore degli obiettivi prima di passare a strumenti più invasivi.
Questa operazione mostra che la sicurezza delle supply chain digitali occidentali è vulnerabile non solo per bug tecnici, ma anche per la lentezza nel rilascio delle patch. Finché le finestre di patch-gap resteranno aperte, i gruppi di cyber-spionaggio continueranno a colpire sfruttando ogni ritardo.
