Campanha de phishing mirou ONGs e instalou ferramentas de espionagem em vítimas selecionadas.
Grupos ligados à China exploraram uma falha zero day no Google Chrome em conjunto com uma falha de elevação de privilégio no Microsoft Windows. A campanha combinou emails de phishing, sites universitários legítimos vulneráveis e páginas falsas com tema de doação. A Volexity detectou os ataques em 1º de setembro de 2026, com foco em ONGs e outras vítimas escolhidas a dedo.
Pesquisadores da Volexity documentaram operações de dois atores ligados à China: UTA0560 e JungleBamboo, este último também rastreado como APT31, Violet Typhoon e TA4. Os dois partiram da mesma base de exploração, que unia uma falha do Google Chrome a uma falha do Microsoft Windows, mas fecharam a cadeia com cargas finais diferentes.
O primeiro payload citado é o GRIMWEDGE, um backdoor escrito em JScript. O segundo é o LONGTALE, uma extensão do Google Chrome desenhada para roubar credenciais. A lista de alvos descrita inclui ONGs e outras vítimas selecionadas.
A porta de entrada era o phishing direcionado. As mensagens levavam a sites legítimos de universidades dos Estados Unidos que sofriam de uma falha de redirecionamento por script refletido. Na prática, o endereço exibido parecia confiável, mas funcionava como ponte para páginas sob controle dos invasores.
Na tela, a vítima encontrava a imagem convincente de um formulário de doação. Nos bastidores, um elemento escondido disparava a exploração. A cadeia envolvia a CVE-2026-85046, falha no motor JavaScript V8 do Google Chrome; a CVE-2026-87491, ligada ao WebAssembly; e a CVE-2026-85880, no componente RtlpCreateServerAcl do kernel do Microsoft Windows.
Segundo o relato, a falha do Google Chrome já tinha correção no código aberto do Chromium, após comunicação privada em agosto, mas o ajuste ainda não havia chegado ao Google Chrome instalado nas máquinas. A Volexity batizou esse intervalo de “lacuna de correção”, e foi exatamente ele que os atacantes aproveitaram.
Empresas e organizações devem procurar comportamentos compatíveis com phishing e execução não autorizada. Alguns indícios citados ou derivados da campanha descrita:
A prioridade é dupla: reduzir a chance de alguém cair no phishing e limitar o estrago quando isso acontecer. Mantenha Google Chrome e Microsoft Windows atualizados assim que as correções forem liberadas, revise as extensões instaladas no Google Chrome e trate links recebidos por email com cautela, mesmo os que apontam para domínios conhecidos.
Vale também revisar tarefas agendadas, investigar instalações MSI inesperadas e monitorar tentativas de roubo de credenciais. Em ONGs, áreas de captação de doações e equipes expostas a campanhas públicas, reforçar a validação antes de abrir páginas recebidas por email faz diferença imediata.
O relato descreve ataques direcionados, com vítimas escolhidas e foco em ONGs e outros alvos específicos. Ainda assim, falhas em Google Chrome e Microsoft Windows pedem atenção de qualquer organização.
Porque o link inicial apontava para domínios legítimos, o que baixa a guarda de quem recebe a mensagem. O redirecionamento para a página controlada pelo invasor só acontecia depois do clique.
Sim. Ela não substitui as correções de segurança, mas reduz o impacto quando credenciais são roubadas ou quando uma extensão maliciosa tenta acessar contas corporativas.
A MFA2GO ajuda sua empresa a reduzir riscos de roubo de credenciais com autenticação forte, gestão de acesso e controles adequados para equipes expostas a phishing.
Conheca: Cofre Corporativo de MFA, Gestao de Acesso, Autenticacao Forte. mfa2go.com
Fontes:
https://gbhackers.com/china-linked-hackers-chain-chrome-zero-day/