ChromeとWindowsの脆弱性を突くゼロデイ攻撃チェーンを確認、中国関連グループがバックドアを展開
要点
-
中国関連の脅威グループ「UTA0560」が、2026年9月1日に複数の非政府組織（NGO）を標的としたスピアフィッシング攻撃を展開したことが判明した。
-
攻撃には、Google Chromeの2件およびWindowsの1件の脆弱性を連鎖させたゼロデイ攻撃チェーン「BlueMoon」が悪用されていた。
-
多段階の感染プロセスを経て、JavaScriptで記述されたバックドア「GRIMWEDGE」が標的端末に展開された。
-
別の脅威グループ「JungleBamboo」も同一の攻撃チェーンを用い、Google Gemini拡張機能に偽装した不正プログラムを配布していたことが確認されている。
-
サイバーセキュリティ企業のVolexityは、中国に関連するとみられる脅威グループ「UTA0560」が、Google ChromeとMicrosoft Windowsの脆弱性を組み合わせたエクスプロイトチェーンを悪用し、悪意あるJavaScriptバックドア「GRIMWEDGE」を配布していたことを明らかにした。調査によると、この攻撃キャンペーンは2026年9月1日に複数の非政府組織（NGO）を標的として行われたという。正規サイトの脆弱性を足がかりにブラウザやOSの防御機構を段階的に突破する手口が確認されている。
標的型メールと大学サイトのXSSを悪用した侵入経路
Volexityの研究者ら（Ankur Saini氏、Conor Quigley氏、Sean Koessel氏、Steven Adair氏、Tom Lancaster氏）の報告によると、攻撃の起点は標的型メール（スピアフィッシング：特定の組織や個人を狙った詐欺メール）だった。メールには米国の大学が運営する正規ウェブサイトへのリンクが記載され、受信者がクリックするよう誘導されていた。
該当する大学のウェブサイトには、反射型クロスサイトスクリプティング（XSS：Webページに悪意あるスクリプトを注入して実行させる脆弱性）が存在していた。攻撃者はこの脆弱性を悪用してアクセス者を攻撃者管理下のサーバーへリダイレクト（自動転送）させていた。さらに、アクセス元の環境を判別し、Windows上でGoogle Chromeを利用しているユーザーのみを選別して攻撃コードを配信していた。
3つの脆弱性を連鎖させる攻撃チェーン「BlueMoon」
攻撃者が利用したのは、「BlueMoon」と呼ばれる多段階のゼロデイエクスプロイトチェーンである。Google Chromeの2件の欠陥と、Windows内部の通信機構であるALPC（高度ローカルプロシージャコール）の脆弱性1件の計3件が連鎖的に悪用された。
攻撃は以下のステップで進行する。
- CVE-2026-85046: ChromeのJavaScriptエンジンであるV8サンドボックス内で任意のメモリ読み書きを実行する。
- CVE-2026-87491: ブラウザのサンドボックス（不正な動作を隔離する保護環境）を脱出する。
- CVE-2026-85880: Windows ALPCの脆弱性を突き、Chromeのブラウザプロセスへコードを注入して任意のコード実行を達成する。
多段階の感染フローとバックドア「GRIMWEDGE」の挙動
最終的なエクスプロイト用Webページには、Base64形式でエンコードされた3つのバイナリペイロード（p1、p2、pp）がJavaScript内に埋め込まれていた。これらはメモリ上で直接プログラムを実行する技術などを使い、ホストの偵察、Windowsカーネル権限への昇格、ブラウザプロセスへの注入と次段階ペイロードのダウンロードを担っていた。
端末上には次に「msgbox.exe」というローダー（後続プログラムの読み込み役）が配置される。このローダーが正規のWindowsバイナリと悪意あるDLL「wsc.dll」を抽出し、正規プログラムの読み込み機構を悪用するDLLサイドローディングを実行する。このDLLが外部サーバーから端末のホスト名を冠したMSIインストーラーを取得し、そのカスタムアクションを通じて難読化されたJavaScriptバックドア「GRIMWEDGE」を起動する構成だった。
GRIMWEDGEは起動後、C2（遠隔制御）サーバー（ocr.opusaccel[.]top）と定期的に通信し、受信した指示をメモリ上で eval() 関数により実行する。実装されている主なコマンドは以下の通りである。
- Info: システム情報の偵察
- Dir / Mkdir / Del: ディレクトリ一覧の取得、作成、ファイル削除
- Tasklist / Taskkill: 実行中プロセスの列挙、プロセスの強制終了
- Type: 最大5MBまでのファイル読み取り
- Run: 非表示ウィンドウでのコマンド実行
- Upload (chunk / commit): C2サーバーからデータを受信して蓄積し、ディスクにファイルとして保存
Volexityによると、GRIMWEDGE自体には端末内での永続化機構やネットワーク内での水平移動（ラテラルムーブメント）機能は備わっていない。初期侵入後の偵察や目的ファイルの収集、追加ツールの配備に特化した軽量な足がかり用バックドアと評価されている。
同一エクスプロイトを共有する別グループの存在
Volexityは、別の中国関連脅威グループ「JungleBamboo」（別名 APT31）も、ほぼ同時期に同一のエクスプロイトチェーンを悪用していたことを確認している。
JungleBambooの事例では、「SUPERSTOMP」と呼ばれるローダーを介して、認証情報を窃取するChrome拡張機能「LONGTALE」（別名 GemStone）が導入されていた。この不正拡張機能はGoogle GeminiのChrome拡張機能（ID: ckiknalbeplpcpofpnabcnhjcegckfei）に偽装しており、検知を逃れながらリモートサーバーから配信されていたという。