زنجیره روز صفر کروم و ویندوز: هکرهای دولتی چین چگونه بدافزار CLEANGULP را مستقر کردند

یک گروه تهدید سایبری که گمان می‌رود به دولت چین وابسته باشد و با نام UTA0565 شناخته می‌شود، اوایل ماه جاری موفق شد با ترکیب سه آسیب‌پذیری روز صفر در گوگل کروم و مایکروسافت ویندوز، به شبکه‌های دولتی در آسیا نفوذ کند. مهاجمان با دور زدن کامل مرزهای امنیتی مرورگر و استفاده از وب‌سایت‌های جعلی سازمان‌های مردم‌نهاد، توانستند در سکوت کامل یک درپشتی (backdoor) تازه کشف‌شده به نام CLEANGULP را روی سیستم‌ها نصب کنند.[1][2]

این توالی نفوذ دقیقاً مانند مجموعه‌ای از کلیدهای تودرتو عمل می‌کرد. وقتی هدف به یک سایت مخرب سر می‌زد، یک آی‌فریم (iframe) پنهان، نقص «تداخل نوع» (type-confusion) در موتور V8 کروم با شناسه CVE-2026-85046 را فعال می‌کرد تا کدهای مخرب درون رندر مرورگر اجرا شوند. سپس آسیب‌پذیری دوم کروم (CVE-2026-87491) به مهاجمان اجازه می‌داد از محیط ایزوله یا همان سندباکس مرورگر فرار کنند. در نهایت، این زنجیره با سوءاستفاده از یک نقص در فراخوانی رویه محلی پیشرفته ویندوز (CVE-2026-85880)، سطح دسترسی را تا حد سیستم ارتقا می‌داد.[1][3]

اگرچه این زنجیره آلودگی در ادبیات بازاریابی امنیت سایبری «بدون کلیک» (zero-click) نامیده می‌شود، اما در واقعیت نیازمند این بود که کاربر حداقل از صفحه آلوده بازدید کند. این حملات در روزهای ۳ و ۴ سپتامبر ۲۰۲۶ رخ دادند؛ دقیقاً زمانی که این آسیب‌پذیری‌ها در نسخه پایدار گوگل کروم هنوز وصله نشده بودند. از آنجا که نقص اولیه کروم ابتدا در مخزن کدهای متن‌باز کرومیوم وصله شد و هنوز به دست کاربران نهایی نرسیده بود، مهاجمان توانستند با مهندسی معکوسِ این وصله، آن را علیه سازمان‌هایی که هنوز مرورگر خود را به‌روز نکرده بودند، به سلاح تبدیل کنند.[1][2]

گروه UTA0565 به جای تکیه بر روش‌های قدیمی مانند پیوست‌های مخرب ایمیل، قربانیان را به دامنه‌هایی کشاند که با تکنیک «تایپواسکواتینگ» (typosquatting) بسیار شبیه به سایت‌های واقعی طراحی شده بودند. این گروه ایمیل‌های فیشینگ هدفمندی به زبان‌های چینی و انگلیسی ارسال کرد که از گیرندگان می‌خواست از «چو هانگ-تونگ»، فعال هنگ‌کنگی که اوایل امسال به بیش از هفت سال زندان محکوم شد، حمایت کنند.[1][2]

این ایمیل‌ها اهداف را به وب‌سایت‌های جعلی هدایت می‌کردند که خود را جای سازمان‌های معتبری مانند «مرکز پیشرفت آمریکایی» و «چاینا دیجیتال تایمز» جا زده بودند. از آنجا که این سایت‌ها محتوای واقعی را از سازمان‌های اصلی بارگذاری می‌کردند و همزمان کدهای مخرب را در یک آی‌فریم نامرئی پنهان نگه می‌داشتند، توانستند از سوءظن فوری تحلیلگران سیاست‌گذاری و مقامات دولتی هدف جلوگیری کنند.[1][2]

به محض اینکه این زنجیره نفوذ توانست دسترسی در سطح سیستم را تضمین کند، بدافزار CLEANGULP را مستقر کرد؛ یک خانواده بدافزاری که پیش از این مستند نشده بود، به زبان C نوشته شده و با مایکروسافت ویژوال سی‌پلاس‌پلاس کامپایل شده است. این بدافزار با استفاده از تکنیک‌های پیچیده‌ای مانند مسطح‌سازی جریان کنترل (control-flow flattening) و فراخوانی‌های غیرمستقیم، به شدت مبهم‌سازی شده است و با ایجاد یک وظیفه زمان‌بندی‌شده در ویندوز به نام MicrosoftIME، حضور خود را در سیستم تثبیت می‌کند.[1][3]

بدافزار CLEANGULP یک پلتفرم منعطف پس از نفوذ در اختیار اپراتورها قرار می‌دهد که قادر به اجرای دستورات شل، فهرست کردن پردازش‌ها و انتقال فایل‌ها است. این بدافزار با استفاده از رمزنگاری AES-256-GCM با سرورهای فرماندهی و کنترل ارتباط برقرار می‌کند و به دامنه‌های جعلی از پیش تعیین‌شده‌ای مانند 'thecovnresation[.]com' متصل می‌شود که در واقع تقلیدی از شبکه رسانه‌ای دانشگاهی The Conversation است.[1]

اما فراتر از هیاهوی این حملات، مهم‌ترین جنبه این کارزار، خود ابزارها هستند. چارچوب اصلی اکسپلویت که توسط UTA0565 استفاده شده، دقیقاً مشابه همان کیتی است که توسط دیگر خوشه‌های جاسوسی چین، از جمله APT31 و UTA0560، در اوایل سپتامبر ۲۰۲۶ به کار گرفته شده بود.[2][3]

این پذیرش گسترده نشان‌دهنده یک زنجیره تامین متمرکز است. دیمین کش و تام لنکستر، پژوهشگران شرکت Volexity در تحلیل خود خاطرنشان کردند: «این استفاده ظاهراً گسترده در میان چندین گروه تهدید، نشان‌دهنده یک تلاش هماهنگ در جامعه عملیات شبکه رایانه‌ای (CNE) چین است؛ جایی که کیت اصلی احتمالاً توسط چندین گروه به اشتراک گذاشته شده، سفارشی‌سازی شده و به سلاح تبدیل شده است.» گوگل و مایکروسافت از آن زمان وصله‌هایی برای این آسیب‌پذیری‌ها منتشر کرده‌اند و اکنون بار دفاعی بر دوش سازمان‌هاست تا اطمینان حاصل کنند که مرورگرها و سیستم‌عامل‌هایشان کاملاً به‌روز هستند.[1][2][3]