Am 1. September 2026 hat eine als UTA0560 getrackte Gruppe chinesischer Angreifer per Spear-Phishing eine Zero-Day-Exploit-Kette gegen Google Chrome und Microsoft Windows ausgeführt, um eine JavaScript-Backdoor namens GRIMWEDGE zu deployen. The Hacker News berichtete am 15. September darüber. The Record berichtet, dass mindestens vier separate Gruppen – darunter APT31 – innerhalb weniger Wochen dieselbe Kette unter dem Namen BlueMoon einsetzten, um US-Verteidigungsauftragnehmer, NGOs und südostasiatische Regierungsstellen zu kompromittieren.

Für einen Betrieb mit 10 bis 100 Mitarbeitern sieht das konkret so aus: Ein Mitarbeiter bekommt eine E-Mail, die wie eine universitäre oder interne Nachricht aussieht. Ein Klick auf den eingebetteten Link genügt – der Rest läuft automatisch ab. Wer Chrome auf Windows nutzt und zum Zeitpunkt des Angriffs nicht die aktuellste stabile Version hatte, lag in der Angriffsfläche. Auffällig ist, dass GRIMWEDGE keine eingebaute Persistenz und keinen Lateral Movement mitbringt. Sie ist eine Fußfessel: Der Angreifer nutzt sie, um Prozesse aufzulisten, Dateien zu lesen und weitere Tools per Upload nachzuladen. Im schlechtesten Fall wurden Zugangsdaten abgezogen oder sensible Dokumente abgerufen, bevor jemand etwas bemerkt. Bei der parallelen APT31-Kampagne war es eine Chrome-Erweiterung, die im 30-Sekunden-Takt Keystrokes, Cookies und Session-Daten exfiltrierte – komplett unsichtbar im Browser.

Drei CVEs, ein Patch Gap, eine geteilte Kette

Die Exploit-Kette BlueMoon setzt drei Schwachstellen nacheinander ein: CVE-2026-85046 eröffnet beliebige Lese- und Schreibzugriffe innerhalb der V8-Sandbox, CVE-2026-87491 bricht aus der Browser-Sandbox aus, und CVE-2026-85880 injiziert Code über Windows ALPC in den Chrome-Prozess. Ergebnis: Arbitrary Code Execution auf dem Zielsystem. Die Kette filtert dabei gezielt: Nur Systeme, die Chrome auf Windows verwenden, werden weiterverarbeitet.

Der eigentliche Knackpunkt ist das sogenannte Patch Gap. Die Fixes für die beiden Chrome-Schwachstellen waren bereits im Open-Source-Projekt Chromium gelandet, hatten aber den Weg in eine stabile Chrome-Release noch nicht gefunden. The Record zitiert Mark Kelly von Proofpoint: „There's no way that this is parallel development" – auf Deutsch: Das ist keine parallele Entwicklung. Die Kette wurde von einem Entwickler gebaut und mehreren Gruppen zugänglich gemacht, ob über den Staat oder einen gemeinsamen Contractor, bleibt unklar. Kelly ergänzt, dass in den Code-Kommentaren Spuren von KI-gestützter Entwicklung erkennbar seien, unter anderem Debugging-Notizen, die wie Dialoge mit einem KI-Tool aussehen.

GRIMWEDGE selbst pollt einen C2-Server (ocr.opusaccel[.]top) und führt per eval() Befehle in Memory aus: Tasklist, Run, Upload (chunk) und Upload (commit). Die nächste Stufe ist eine Datei msgbox.exe, die eine legitime Windows-Binärdatei und eine bösartige DLL (wsc.dll) extrahiert – klassisches DLL Sideloading. The Hacker News beschreibt die vollständige Kette inklusive der Base64-kodierten Payloads p1, p2 und pp im Detail.

APT31 (auch JungleBamboo, Violet Typhoon, RedBravo) nutzte dieselbe Kette, um eine Chrome-Erweiterung namens LONGTALE zu installieren, die sich als Google-Gemini-Add-on (ID: ckiknalbeplpcpofpnabcnhjcegckfei) tarnt. Sie erfasst Screenshots, Keystrokes, Cookies, Navigationshistorie und Session-Metadaten und schickt sie im Rhythmus von rund 30 Sekunden an den C2-Server. Volexity merkt an, dass LONGTALE keine Remote-Code-Execution-Befehle besitzt – die Datendiebstahl-Funktionen reichten für die Ziele der Gruppe aus.

Was jetzt zu tun ist

1. Chrome auf die aktuellste stabile Version aktualisieren. Das Patch Gap ist geschlossen, die Fixes sind inzwischen in der stabilen Release-Linie. Wer ein zentrales Deployment nutzt, den Rollout sofort auslösen und die Version auf jedem Endgerät verifizieren.
2. Windows-Updates einspielen. Die ALPC-Schwachstelle (CVE-2026-85880) betrifft das Betriebssystem, nicht nur den Browser. Ohne den Windows-Patch bleibt die Kette auch nach dem Chrome-Update theoretisch funktionsfähig.
3. Installierte Chrome-Erweiterungen durchgehen. Eine ID-Prüfung gegen die erwartete Erweiterungsliste genügt, um die LONGTALE-Erweiterung (ckiknalbeplpcpofpnabcnhjcegckfei) zu identifizieren. Alles, was sich als „Gemini" oder ähnliche Google-Dienste ausgibt und nicht von Ihnen installiert wurde, gehört entfernt.

Das Ärgerliche an so einer Kette: Sie läuft komplett im Hintergrund, und der Mitarbeiter, der den einen Link geklickt hat, merkt in der Regel nichts. Die gute Nachricht ist, dass GRIMWEDGE keine Persistenz mitbringt – wer früh genug schaut, findet die Spur, bevor der Angreifer nachlädt. Wer unsicher ist, ob bei ihm eine solche Kette durchgelaufen ist, kann uns gerne einmal bitten, die Browser-Logs und die installierten Erweiterungen gemeinsam durchzugehen. Kontakt.