中国系攻撃グループ「UTA0565」、ChromeとWindowsのゼロデイ連携で新マルウェア「CLEANGULP」を展開

要点

• 中国を拠点とする脅威アクター「UTA0565」が、Google ChromeとWindowsのゼロデイ脆弱性を組み合わせた攻撃を実行したことが判明した。

• 実在するメディアやNGOを模した偽サイトを使い、アジア各国の政府機関などを標的にフィッシング攻撃を仕掛けていた。

• ブラウザの保護領域を突破して遠隔コード実行を行い、端末に新種マルウェア「CLEANGULP」を感染させる手口が確認された。

• 調査にあたったVolexityは、同様のエクスプロイトキットが中国のサイバー諜報コミュニティ内で広く共有・兵器化されている可能性を指摘している。

• 米セキュリティ企業Volexityの研究者であるDamien Cash氏とTom Lancaster氏は、中国系とされる脅威アクター「UTA0565」が、Google ChromeとMicrosoft Windowsの未知の脆弱性（ゼロデイ）を組み合わせたエクスプロイトチェーンを悪用していたことを明らかにした。2026年9月上旬に確認されたこの攻撃では、巧妙に偽装されたWebサイトを通じて、新たなマルウェア「CLEANGULP」が送り込まれていたという。

アジア政府機関を狙ったフィッシングと偽装サイトの手口

Volexityの発表によると、UTA0565による攻撃活動は2026年9月3日および4日に検知された。これまでの類似攻撃と異なり、複数の偽Webサイトを巧みに使い分けることで被害者を騙そうとしていた点が特徴だという。

確認された攻撃キャンペーンの一つでは、アジア地域の政府機関が標的となった。攻撃者は、米国のシンクタンクである「アメリカ進歩センター（CAP: Center for American Progress）」を装い、英語および中国語のフィッシングメールを送信していた。メールの文面は、今月初めに禁錮7年3か月の判決を受けた香港の民主活動家、鄒幸彤（Chow Hang-tung）氏への支援を呼びかける内容となっていた。

メール内に記載されたリンクは、「chinadigitaltimes[.]top」や「americanprgoress[.]top」といった偽ドメインへ接続されていた。これらのドメインは、独立系メディアの「China Digital Times」や前述のCAPの正規Webサイトの外観を忠実に再現しており、アクセスしたユーザーを視覚的に信用させる作りになっていた。

3つの脆弱性を連鎖させサンドボックスを突破

偽サイトの内部では、訪問者に気付かれないよう非表示のiframe（画面内に別のWebページを埋め込む仕組み）が配置されており、「config.html」というHTML要素がバックグラウンドで読み込まれる設計となっていた。

このHTML要素には、「BlueMoon」と呼ばれるエクスプロイトキットが組み込まれていた。攻撃には以下の合計3件の脆弱性が連鎖して悪用されていた。

• Google Chromeの脆弱性（2件）: CVE-2026-85046、CVE-2026-87491
• Windows ALPCの脆弱性（1件）: CVE-2026-85880

ALPC（高度ローカルプロシージャコール）は、Windows内部でプロセス間の高速なデータ通信を行う機能である。攻撃者はブラウザ側の2つの脆弱性とOS側の1つの脆弱性を組み合わせることで、Chromeが持つセキュリティ境界（サンドボックス）を突破し、端末上で任意のプログラムを遠隔実行（リモートコード実行）する権限を奪取した。

最終段階のシェルコード（機械語プログラム）が実行されると、偽ドメインから「chrome_cleanup.exe」と名付けられた実行ファイルが自動的にダウンロードされ、端末上で起動された。

新種マルウェア「CLEANGULP」の機能とC2通信の偽装

端末に送り込まれたペイロードは、Microsoft Visual C Compilerを用いてビルドされた新種のマルウェアファミリーで、「CLEANGULP」と命名された。

CLEANGULPは感染端末を遠隔制御するためのバックドアとして機能し、以下のコマンドや機能を備えていることが確認されている。

• shell: 任意のコマンドを端末上で実行する
• ps: 端末内で現在稼働しているプロセスの一覧を取得する
• upload: 攻撃者側から端末へファイルをアップロードする
• download: 端末内の指定ファイルを攻撃者側へダウンロードする
• bof: Beacon Object File（侵入テストツールなどで使われる拡張モジュール）を実行する

さらに、CLEANGULPは指令サーバー（C2サーバー）とのHTTP通信において、「thecovnresation[.]com」というハードコードされたドメイン名を使用していた。これは、学術研究やニュース解説を配信する著名な非営利メディア「The Conversation（theconversation.com）」の正規ドメインを模したタイポスクワッティング（文字列の誤認を狙った手口）とみられている。

中国の攻撃コミュニティ内でのツール共有と潜在的な影響

Volexityは、今回観測されたエクスプロイトキットについて、単一の攻撃グループによる単独運用にとどまらない可能性を指摘している。

同社の分析では、攻撃のコアとなるツールキットが中国のサイバー諜報（CNE: Computer Network Exploitation）コミュニティ内で広く共有され、それぞれのグループによって独自にカスタマイズや兵器化が行われている兆候がみられるという。現時点で報告されている被害は2つの組織で観測されたものに基づくが、攻撃の全体的な規模や実際の影響範囲はさらに広範に及んでいる可能性が高いと警告している。