แฮกเกอร์จีนใช้ช่องโหว่ Zero-Day บน Chrome และ Windows เพื่อปล่อยมัลแวร์

CLEANGULP

จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการตรวจพบแคมเปญของกลุ่มแฮกเกอร์จากจีน UTA0565 ในการเจาะเว็บเบราว์เซอร์ Chrome ผ่านทางการใช้ช่องโหว่ที่เกิดขึ้นระหว่างการพัฒนา หรือ Zero-Day ผ่านทางการหลอกเหยื่อให้เข้าเว็บไซต์ปลอม เพื่อปล่อยมัลแวร์ไม่ระบุประเภทที่มีชื่อว่า CLEANGULP โดยมัลแวร์ตัวนี้นั้นมีความสามารถที่หลากหลายผ่านทางชุดคำสั่งต่าง ๆ เช่น

Shell ใช้ในการรันคำสั่ง (Command)

PS ใช้ในการทำรายชื่อของ Process ทั้งหมดที่รันอยู่

Upload ใช้ในการอัปโหลดไฟล์บนเครื่องไปยังเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control)

Download ใช้ในการดาวน์โหลดไฟล์มาจากเซิร์ฟเวอร์ C2

BOF ใช้ในการรัน Beacon Object File (BOF)

โดยมัลแวร์ตัวนี้นั้นจะติดต่อกับเซิร์ฟเวอร์ C2 จากโดเมนที่ถูกบันทึกไว้เป็นค่าถาวร หรือ Hardcoded อยู่ภายในโค้ดของมัลแวร์ ชื่อ "thecovnresation[.]com” ซึ่งการตั้งชื่อโดเมนนั้นเป็นการตั้งเรียนแบบชื่อโดเมนของสถาบันด้านวิชาการที่ไม่แสวงหากำไรชื่อ "theconversation[.]com" โดยมีการพิมพ์ตัวอักษรสลับกันอยู่ไม่กี่ตัวอักษร

การใช้งานช่องโหว่บน Chrome และตัวระบบ Windows นั้นจะคล้ายคลึงกับแคมเปญการปล่อยมัลแวร์ GRIMWEDGE ที่ทางทีมข่าวเคยได้พูดถึงไปในสัปดาห์ที่แล้วเนื่องจากมีการใช้ช่องโหว่มากถึง 3 ช่องโหว่ คือ ช่องโหว่บน Chome 2 ตัว (CVE-2026-85046, CVE-2026-87491) และอีก 1 ตัวบนระบบ Windows Advanced Local Procedure Call (CVE-2026-85880) มาใช้งานในรูปแบบลูกโซ่ (Chain) เพื่อให้ตัวไฟล์มัลแวร์ (Payload) หนีออกจากสภาพแวดล้อมจำลอง (Sandbox) เพื่อมาติดตั้งตัวเองลงบนระบบ Windows

ในส่วนของแคมเปญนั้น ทางทีมวิจัยจาก Volexity บริษัทผู้เชี่ยวชาญด้านการชันสูตรหน่วยความจำหลังการติดมัลแวร์ (Memory Forensic) กล่าวว่า ตัวแคมเปญเพื่อแพร่กระจายมัลแวร์กล่าวนั้นมีมากมาย โดยหนึ่งในแคมเปญที่ตรวจพบนั้นเป็นแคมเปญที่ส่งหน้าองค์กรรัฐภายในเขตทวีปเอเชียด้วยภาษาจีนและภาษาอังกฤษ โดยอ้างว่าเป็นอีเมลจากองค์กร Center for American Progress (CAP) ที่ขอให้สนับสนุนแคมเปญของนักกิจกรรมทางการเมืองในฮ่องกง พร้อมลิงก์ปลอมภายในที่ทำเลียนแบบเว็บไซต์ขององค์กรดังกล่าวที่มีชื่อโดเมนว่า "chinadigitaltimes[.]top" และ "americanprgoress[.]top" โดยภายในเว็บไซต์นั้นมีการซ่อนโค้ดอันตรายเพื่อให้ช่องโหว่ทั้ง 3 ข้างต้นทำงาน นำไปสู่การดาวน์โหลดไฟล์ Payload ชื่อว่า "chrome_cleanup.exe" ลงมาจากเซิร์ฟเวอร์ C2 เพื่อติดตั้งมัลแวร์บนเครื่องต่อไป