根據網路安全公司 Volexity 的研究報告，近期發現一個與中國關聯的威脅組織（代號 UTA0560）發起了一場針對非政府組織（NGO）的精準釣魚攻擊。這次攻擊最令人關注的是其使用了名為 BlueMoon 的複雜漏洞鏈，該漏洞鏈同時利用了 Google Chrome 瀏覽器與 Microsoft Windows 作業系統的安全性缺陷，最終在受害裝置上部署名為 GRIMWEDGE 的惡意 JavaScript 後門。
攻擊的起點是精心設計的魚叉式網路釣魚郵件（Spear-phishing），誘導使用者點擊一個連結。該連結指向一個美國大學的合法網站，但駭客利用該網站存在的反射型跨站腳本漏洞（Reflected Cross-Site Scripting, XSS），將使用者重新導向至由攻擊者控制的惡意基礎設施。XSS 是一種常見的 Web 漏洞，允許攻擊者在合法頁面中注入惡意腳本，藉此欺騙使用者或啟動後續的攻擊流程。
核心技術與漏洞鏈運作方式
這次攻擊的核心在於一個由三個漏洞組成的高度協同漏洞鏈。首先，攻擊者利用 CVE-2026-85046 在 Chrome 的 V8 引擎（處理 JavaScript 的核心組件）中獲取任意讀寫權限。接著，透過 CVE-2026-87491 突破瀏覽器的沙箱機制（Sandbox，一種將程式隔離在低權限環境以防止損害系統的保護機制）。最後，利用 Windows 的進階本地程序呼叫（Advanced Local Procedure Call, ALPC）漏洞 CVE-2026-85880，將惡意代碼注入 Chrome 瀏覽器進程，達成在受害系統上執行任意代碼（Arbitrary Code Execution）的目的。
在成功執行代碼後，攻擊者會部署 GRIMWEDGE 後門。其運作流程分為多個階段：首先透過 JavaScript 載入三段 Base64 編碼的二進位酬載（Payload），分別用於主機偵察、權限提升以及瀏覽器進程注入。隨後，系統會下載一個偽裝成合法 Windows 執行檔的載入器 msgbox.exe，利用 DLL 側載（DLL Sideloading，一種利用合法程式載入惡意 DLL 檔案來規避偵測的技術）啟動 wsc.dll。最後，透過一個 MSI 安裝檔執行隱藏的 JavaScript 後門，讓 GRIMWEDGE 進入持續循環狀態，與指令控制伺服器（C2 Server）保持聯繫。
GRIMWEDGE 的功能主要集中於主機偵察與檔案管理。它能執行系統資訊獲取、目錄列舉、建立或刪除檔案、管理執行中的程序，以及讀取最高 5 MB 的檔案。雖然它不具備自動化的橫向移動（Lateral Movement）或複雜的資料外洩機制，但它為攻擊者在受害主機上建立了穩固的初始據點，足以讓駭客進一步部署其他攻擊工具。
同步攻擊與 patch gap 風險
值得注意的是，另一個同樣與中國關聯的威脅組織 JungleBamboo（亦稱 APT31）在同一時期使用了相同的漏洞鏈，但部署的是不同的酬載 SUPERSTOMP。該工具會安裝一個名為 LONGTALE 的惡意 Chrome 擴充功能，偽裝成 Google Gemini 擴充功能以避開偵測。LONGTALE 的目的在於大規模竊取憑證，具備記錄鍵盤輸入（Keylogging）、盜取 Cookie 與會話資訊（Session Theft）以及根據關鍵字截圖的功能，每 30 秒將資料回傳至 C2 伺服器。
多個組織同時使用相同的漏洞鏈，暗示這套漏洞組合可能已被開發者出售或共享。而此次事件揭露了一個關鍵的安全性風險，稱為補丁間隙（Patch Gap）。研究發現，雖然 Chromium（Chrome 的開源版本）已經修復了相關漏洞，但這些修復尚未被整合到 Google Chrome 的穩定版本中。這導致漏洞在開源社群中已是已知問題（N-day），但在實際使用的 Chrome 產品中卻成了零日漏洞（Zero-day）。
實務意義與限制
這次攻擊凸顯了現代網路威脅的演進趨勢。首先，攻擊者不再單純依賴單一漏洞，而是透過漏洞鏈（Exploit Chain）跨越瀏覽器與作業系統的防線。其次，補丁間隙成為了駭客的新機會窗，尤其是當開源版本與正式發行版之間存在更新時間差時，攻擊者會迅速採取行動，在官方補丁推送前完成滲透。
此外，隨著大型語言模型（LLM）的普及，漏洞研究與漏洞利用代碼的開發速度大幅提升，這使得駭客能更快速地分析 Chromium 的原始碼變更並反推漏洞位置。對於企業與組織而言，單純依賴軟體更新已不足夠，必須建立更強的端點偵測與回應（EDR）能力，監控異常的進程注入與不尋常的網路連線，以應對這類高階的定向攻擊。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。