گزارش‌های جدید نشان می‌دهد که یک بازیگر تهدید پیشرفته چینی با نام مستعار UTA0565، از زنجیره‌ای از آسیب‌پذیری‌های روز صفر (Zero-Day) در مرورگر گوگل کروم و سیستم‌عامل مایکروسافت ویندوز برای هدف قرار دادن سازمان‌های دولتی و نهادهای مختلف استفاده کرده است.
جزئیات فنی اکسپلویت‌ها
این حملات بر پایه ترکیب سه آسیب‌پذیری بحرانی استوار است: دو مورد در Google Chrome (شامل CVE-2026-85046 و CVE-2026-87491) و یک مورد برای ارتقای سطح دسترسی (Local Privilege Escalation) در Windows (شامل CVE-2026-85880). مهاجمان با ایجاد وب‌سایت‌های جعلی (Spoofed Domains) که شباهت بسیار زیادی به سایت‌های معتبر مانند China Digital Times و Center for American Progress داشتند، قربانیان را فریب داده‌اند.
مکانیزم حمله و تحویل بدافزار
در این عملیات، مهاجمان از تکنیک Typosquatting برای ثبت دامنه‌هایی مشابه سایت‌های اصلی استفاده کردند. محتوای این سایت‌های جعلی از طریق یک iframe مخفی بارگذاری می‌شد که منطق اکسپلویت را اجرا کرده و در نهایت منجر به دانلود و اجرای فایلی به نام chrome_cleanup.exe می‌شد. این فایل در واقع یک بدافزار جدید به نام CLEANGULP است.
تحلیل بدافزار CLEANGULP
بدافزار CLEANGULP که با زبان C نوشته شده، از تکنیک‌های پیچیده‌ای مانند Control Flow Flattening برای دشوار کردن تحلیل استاتیک استفاده می‌کند. قابلیت‌های شناسایی شده در این بدافزار عبارتند از:
- استقرار در مسیر
%LOCALAPPDATA%تحت نامMicrosoftIME.exe. - ایجاد تداوم (Persistence) از طریق Scheduled Task با نام MicrosoftIME.
- اجرای دستورات سیستمی (Shell)، لیست کردن پروسه‌ها (PS)، آپلود و دانلود فایل و اجرای Beacon Object Files (BOF).
ارتباطات C2 و زیرساخت
این بدافزار برای ارتباط با سرور فرماندهی و کنترل (C2)، از دامنه‌های جعلی (مانند thecovnresation[.]com) استفاده می‌کند. ترافیک شبکه از پروتکل HTTP استفاده کرده و بدنه درخواست‌ها و پاسخ‌ها با الگوریتم AES-256-GCM رمزنگاری شده و سپس با یک الفبای سفارشی Base64 کدگذاری می‌شوند.
نتیجه‌گیری و تحلیل استراتژیک
مشاهده استفاده همزمان چندین گروه APT چینی از یک کیت اکسپلویت (Exploit Kit) مشابه، نشان‌دهنده یک همکاری گسترده یا اشتراک‌گذاری ابزارها در جامعه CNE چین است. استفاده از محتوای واقعی سایت‌های معتبر به عنوان پوشش، نرخ موفقیت این حملات فیشینگ را به شدت افزایش داده است.
