UTA0565 доставила вредоносное ПО CLEANGULP через нулевые дни
Volexity выявила кампании китайской группы UTA0565, проведённые 3 и 4 сентября 2026 года. Злоумышленники использовали неисправленные уязвимости нулевого дня в Google Chrome и Microsoft Windows, а также ранее не задокументированное семейство ВПО CLEANGULP.
Фишинг и цепочка эксплуатации
Атаки начинались с фишинговых электронных писем, адресованных государственным органам Азии. Другие сообщения имитировали Center for American Progress. Получателей направляли на поддельные сайты, контролируемые злоумышленниками. Среди них была реплика China Digital Times и домен с опечаткой americanprgoress[.]top.
Поддельные страницы использовали содержимое легитимных сайтов в качестве приманки и одновременно внедряли встроенный фрейм с цепочкой эксплуатации. В ней применялись уязвимости Google Chrome CVE-2026-85046 и CVE-2026-87491, а также уязвимость Microsoft Windows CVE-2026-85880.
Фреймворк эксплуатации в значительной степени совпадал с ранее наблюдавшимися кампаниями, но содержал собственную логику выполнения. Он загружал chrome_cleanup.exe в память процесса, удалял у файла метку Mark-of-the-Web и запускал его через оболочку Windows с использованием COM.
Этот механизм заменил более ранний способ выполнения, при котором для загрузки и запуска msgbox.exe использовались cmd.exe и curl. Уязвимость в Windows обеспечивала локальное повышение привилегий после компрометации Chrome.
Вредоносная программа и связь с управляющей инфраструктурой
Доставленная полезная нагрузка принадлежала ранее не задокументированному семейству ВПО CLEANGULP. Программа написана на языке C и скомпилирована с помощью Microsoft Visual C. Для обфускации применялись сглаживание потока управления и косвенные вызовы.
Динамический анализ выявил у CLEANGULP возможности, связанные с каналами управления и действиями после компрометации. Полный набор функций программы установить не удалось.
Проанализированный образец содержал жёстко заданный домен управляющего сервера thecovnresation[.]com. Домен имитировал The Conversation и относился к типосквоттингу. Обмен данными проходил по протоколу HTTP.
При первом обращении программа отправляла регистрационный сигнал с идентификатором сессии, сформированным на основе времени. Этот идентификатор не соответствовал формату UUID, определённому в RFC 9562.
Инфраструктура и адаптация эксплойт-кита
Дополнительная инфраструктура, связанная с UTA0565, включала поддельные домены, имитировавшие:
- средства массовой информации;
- сервисы поиска халяльных ресторанов;
- корпоративные компании, проводящие тренинги.
Эти домены оценили как инфраструктуру, контролируемую злоумышленниками. Их использовали для размещения эксплойтов или ВПО, а также для организации управляющей инфраструктуры после заражения.
Активность указывает на то, что эксплойт-кит совместно использовали и адаптировали несколько китайских злоумышленников. В рамках описанных кампаний UTA0565 сочетала цепочку эксплуатации уязвимостей нулевого дня, реалистичную имитацию веб-сайтов и собственную обфусцированную полезную нагрузку.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
