来源: https://thehackernews.com/2026/09/chinese-hackers-exploit-chrome-windows.html
有报道称，代号为UTA0565 的中国威胁行为者利用最近披露的 Google Chrome-Microsoft Windows 漏洞链，通过虚假网站进行零日攻击。
这些攻击于 2026 年 9 月 3 日和 4 日被发现，涉及Chrome 中的两个漏洞（CVE-2026-85046、CVE-2026-87491）和一个影响 Windows 高级本地过程调用 (CVE-2026-85880) 的漏洞的链接，以突破浏览器的沙箱并实现远程代码执行。
Volexity 的研究人员 Damien Cash 和 Tom Lancaster 在本周发布的一份分析报告中指出： “UTA0565 伪装成包括媒体机构和非政府组织 (NGO) 在内的各种实体。值得注意的是，该威胁行为者的攻击活动与之前记录在案的攻击不同，它使用多个虚假网站来欺骗受害者。”
其中一项攻击活动以亚洲政府机构为目标，发送中英文钓鱼邮件，敦促收件人支持香港活动人士周恒东，邮件伪装成美国进步中心（CAP）。周恒东于本月初被判处七年零三个月监禁。
这些消息包含指向“chinadigitaltimes[.]top”和“americanprgoress[.]top”的伪造链接，这些链接模仿了中国数字时代和CAP的外观，同时通过隐藏的iframe加载额外的HTML元素。
据称，HTML 元素（“config.html”）使用了相同的BlueMoon漏洞利用工具包，该工具包结合了 CVE-2026-85046、CVE-2026-87491 和 CVE-2026-85880 三个漏洞，最终的“pp” shellcode 会从伪造的域名下载名为“chrome_cleanup.exe”的可执行文件。有效载荷是一个名为 CLEANGULP 的恶意软件家族，该家族使用 Microsoft Visual C 编译器构建。
它支持以下功能 :
- shell, to run a command
- ps, to list running processes
- upload, to upload a file
- download, to download a file
- bof, to execute a Execution of a beacon object file [BOF]
有趣的是，CLEANGULP 被发现使用名为“thecovnresation[.]com”的硬编码域名进行 HTTP 命令与控制 (C2)，这表明它试图模仿“ theconversation[.]com ”，这是一个以发布学术研究、分析和评论而闻名的非营利媒体机构。
Volexity表示：“这种在多个威胁行为者中看似广泛的采用表明，中国网络攻击社区内部存在协调行动，核心工具包很可能被多个组织共享、定制和武器化。目前报告的活动仅反映了两个组织的观察结果；其全部范围和影响可能远不止于此。”