Mindestens zwei China zugeordnete Bedrohungsakteure haben eine Kette aus drei Zero-Day-Schwachstellen in Google Chrome und Microsoft Windows für gezielte Spionageangriffe eingesetzt. Die von Volexity als UTA0560 geführte Gruppe griff ab dem 1. September 2026 mehrere Nichtregierungsorganisationen an und installierte die JavaScript-Backdoor GRIMWEDGE. Nahezu zeitgleich nutzte JungleBamboo, auch als APT31 bekannt, dieselbe Exploit-Kette für den Diebstahl von Zugangsdaten und Sitzungen.
Für einen erfolgreichen Angriff genügte allerdings nicht allein ein ungepatchter Rechner. Die Empfänger mussten einen präparierten Link aus einer Spear-Phishing-Mail öffnen, Chrome unter Windows verwenden und auf eine Angriffsinfrastruktur weitergeleitet werden. Die Kampagne war damit selektiv statt wahllos – auf passenden Systemen führte die Kette jedoch bis zur Ausführung von Code mit SYSTEM-Rechten.
Ein vertrauenswürdiger Webauftritt wurde zum Sprungbrett
Die Phishing-Mails enthielten einen Link zur Website einer US-amerikanischen Universität. Dort missbrauchten die Angreifer eine reflektierende Cross-Site-Scripting-Schwachstelle, um Besucher auf eigene Server umzuleiten. Das ist operativ relevant: Der sichtbare Ausgangspunkt war keine offensichtlich verdächtige Domain, sondern eine legitime Hochschulwebsite. Reine Domain-Reputation konnte den Angriff daher leichter übersehen.
Die beobachtete BlueMoon-Angriffskette
Das Diagramm zeigt den Weg vom Spear-Phishing-Link über zwei Chrome-Schwachstellen und eine Windows-ALPC-Lücke bis zu den unterschiedlichen Nutzlasten von UTA0560 und APT31.
Die Infrastruktur filterte ungeeignete Besucher aus. Nur Systeme mit Chrome unter Windows erhielten die mehrstufige, von den Forschern als BlueMoon bezeichnete Exploit-Kette. Volexity beobachtete Ziele unter NGOs sowie weiteren Organisationen in den USA und Südostasien.
Der erste Schritt nutzte CVE-2026-85046, eine Type-Confusion-Schwachstelle in der V8-Engine von Chrome. Sie ermöglichte willkürliches Lesen und Schreiben innerhalb der V8-Sandbox. Die Lücke ist mit einem CVSS-Wert von 8,8 als hoch eingestuft und wurde nach bestätigter aktiver Ausnutzung am 3. September in Chrome 152.0.7977.82/.83 behoben.
Anschließend diente CVE-2026-87491, ein Out-of-Bounds-Write-Fehler in V8, zum Verlassen der Browser-Sandbox. Google stufte die Schwachstelle als mittelschwer ein, bestätigte aber ebenfalls einen Exploit in freier Wildbahn. Der Fix erschien am 9. September mit Chrome 153.0.8010.36/.37.
Den dritten Baustein bildete CVE-2026-85880 in Windows Advanced Local Procedure Call. Der Heap-basierte Pufferüberlauf erlaubt eine lokale Privilegienerhöhung bis auf SYSTEM-Ebene. Microsoft bewertete die Lücke mit CVSS 7,8 und schloss sie am 8. September im Rahmen des Patch Tuesday. Auch hier handelt es sich nicht nur um ein theoretisches Risiko: Angriffe wurden beobachtet.
GRIMWEDGE schafft einen kleinen, aber ausreichenden Zugang
UTA0560 lud nach der Ausnutzung eine Datei namens msgbox.exe. Der Loader extrahierte eine legitime Windows-Datei und die bösartige Bibliothek wsc.dll, die per DLL-Sideloading ausgeführt wurde. Danach wurde ein MSI-Paket mit verschleiertem JavaScript geladen. Der Loader richtete nach den verifizierten Analysen zudem einen geplanten Task mit dem Namen Windows Scheduled System ein.
Die eigentliche GRIMWEDGE-Backdoor fragt den Command-and-Control-Server ocr.opusaccel[.]top nach Befehlen ab und führt diese im Arbeitsspeicher aus. Sie kann Systeminformationen und Verzeichnisse erfassen, Prozesse auflisten oder beenden, Dateien bis fünf Megabyte lesen, versteckte Befehle starten und zusätzliche Dateien stückweise übertragen.
GRIMWEDGE selbst enthält laut Volexity keine eigene Funktion für laterale Bewegung und keinen gesonderten Exfiltrationsmechanismus jenseits der vorhandenen Datei- und Upload-Befehle. Das begrenzt die Backdoor funktional, macht sie aber nicht harmlos: Für die erste Erkundung eines Rechners, den Zugriff auf interessante Dateien und das Nachladen weiterer Werkzeuge reichen ihre Fähigkeiten aus. Die Persistenz kann außerhalb der Backdoor durch den Loader hergestellt werden.
APT31 nutzte dieselbe Kette für Sitzungsdiebstahl
JungleBamboo beziehungsweise APT31 setzte statt GRIMWEDGE den Loader SUPERSTOMP ein. Dieser installierte die Chrome-Erweiterung LONGTALE, auch GemStone genannt. Sie tarnte sich als Erweiterung für Google Gemini und verwendete die ID ckiknalbeplpcpofpnabcnhjcegckfei.
LONGTALE protokolliert Tastatureingaben und Formulardaten, stiehlt Cookies und Browser-Sitzungen, erstellt anhand vom Kontrollserver gelieferter Schlüsselwörter Screenshots und überträgt Browserdaten in kurzen Intervallen. Eine allgemeine Funktion zur entfernten Codeausführung besitzt die Erweiterung nach Angaben der Forscher nicht. Für Überwachungs- und Credential-Diebstahl war sie dennoch ausreichend.
Dass zwei China zugeordnete Gruppen nahezu gleichzeitig dieselbe Chrome-Windows-Kette mit unterschiedlichen Nutzlasten verwendeten, spricht für ein wiederverwendbares Exploit-Werkzeug. Volexity hält es für möglich, dass ein Entwickler die Kette mehreren Akteuren verkauft oder bereitgestellt hat. Ein Beleg für einen bestimmten Übergabeweg ist das nicht.
Die entscheidende Schwachstelle lag im Auslieferungsprozess
Die beiden Chrome-Fehler waren bereits im offenen Chromium-Code korrigiert, bevor die Änderungen die stabile Version von Google Chrome erreichten. Damit waren die Lücken im Upstream-Projekt technisch behoben, gegenüber regulären Chrome-Installationen aber weiterhin als Zero-Days nutzbar. Öffentlich sichtbare Codeänderungen konnten Angreifern zugleich Hinweise für die Rekonstruktion der Schwachstellen liefern.
Diese Patch-Lücke verschiebt die operative Frage: Nicht der Zeitpunkt, zu dem ein Fix im Quellcode erscheint, schützt die Endgeräte, sondern erst seine Aufnahme in einen stabilen Browser und die anschließende Installation samt Neustart. Die damals längeren Chrome-Veröffentlichungsintervalle vergrößerten dieses Fenster; Google hat den Zyklus für große Versionen inzwischen von vier auf zwei Wochen verkürzt.
Administratoren sollten Chrome auf mindestens die genannten korrigierten Versionsstände beziehungsweise auf die aktuelle Stable-Version aktualisieren und kontrollieren, ob verwaltete Browser nach dem Update tatsächlich neu gestartet wurden. Für Windows sind die Sicherheitsupdates vom September 2026 einzuspielen. Die drei Updates schließen unterschiedliche Stufen derselben Kette; ein nur teilweise aktualisiertes System bleibt daher unnötig exponiert.
Bei Organisationen mit möglicher Betroffenheit reicht Patchen allein nicht. Zu prüfen sind Verbindungen zur genannten C2-Domain, die Dateien msgbox.exe und wsc.dll, der geplante Task Windows Scheduled System sowie die LONGTALE-Erweiterungs-ID. Verdächtige Rechner sollten isoliert und forensisch untersucht werden. Wurde LONGTALE gefunden, sind neben Passwörtern auch aktive Sitzungen und Tokens zurückzusetzen, weil gestohlene Cookies eine erneute Anmeldung umgehen können.
Der Vorfall macht eine schwer kontrollierbare Abhängigkeit sichtbar: Zwischen offenem Quellcode, stabilem Produkt und tatsächlich aktualisiertem Arbeitsplatz liegen mehrere Auslieferungsschritte. Angreifer mussten dieses Fenster nur einmal schneller durchlaufen als Hersteller und Betreiber – und konnten dieselbe Exploit-Kette anschließend mit völlig unterschiedlichen Spionagewerkzeugen verbinden.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
