중국 연계 해커, Chrome-Windows 제로데이 체인으로 GRIMWEDGE 백도어 배포

중국 위협 행위자가 최근 패치된 Google Chrome 및 Microsoft Windows 보안 취약점을 악용해 GRIMWEDGE라는 악성 JavaScript 백도어를 배포하는 스피어피싱 캠페인의 배후로 지목됐다.

UTA0560이라는 명칭으로 해당 위협 클러스터를 추적 중인 Volexity는 이 활동이 2026년 9월 1일 여러 NGO(비정부기구)를 표적으로 삼았다고 밝혔다.

"이메일에는 미국 소재 대학교 웹사이트로 연결되는 링크를 클릭하도록 유도하는 내용이 담겨 있었다"고 연구원 Ankur Saini, Conor Quigley, Sean Koessel, Steven Adair, Tom Lancaster는 말했다. "해당 링크는 웹사이트의 반사형 XSS(크로스사이트 스크립팅) 취약점을 악용해 수신자를 위협 행위자가 제어하는 인프라로 리디렉션했으며, 그곳에서 다단계 익스플로잇 체인이 실행됐다."

Proofpoint가 앞서 공개한 바 있는 이 익스플로잇 체인은 세 가지 별도 취약점을 이용한다 — Chrome 취약점 두 개와 Windows ALPC(고급 로컬 프로시저 호출) 취약점 한 개. 먼저 CVE-2026-85046으로 V8 샌드박스 내에서 임의 읽기/쓰기 권한을 획득하고, CVE-2026-87491로 브라우저 샌드박스를 탈출한 뒤, CVE-2026-85880으로 Chrome 브라우저 프로세스에 코드를 주입해 임의 코드 실행(RCE)을 달성한다.

UTA0560은 이 공격 방식을 통해 GRIMWEDGE를 배포하는 것으로 확인됐다. GRIMWEDGE는 호스트 정찰, 파일 및 프로세스 관리, 명령 실행, 추가 페이로드 배포 기능을 제공한다. 공격은 수신자가 반사형 XSS 취약점이 존재하는 합법적 웹사이트를 가리키는 링크를 클릭하도록 유도하는 스피어피싱 이메일로 시작된다.

위협 행위자는 이 취약점을 악용해 BlueMoon이라고도 불리는 제로데이 익스플로잇 체인을 트리거하고 악성코드를 전달했으며, Windows에서 Chrome을 사용하지 않는 시스템은 URL 접속 단계에서 필터링했다. 최종 익스플로잇 페이지는 JavaScript 내에 Base64로 인코딩된 세 개의 바이너리 페이로드를 포함한다 —

• p1, 호스트 정찰 및 핑거프린팅을 수행하는 DLL을 반사 로드하는 셸코드
• p2, Windows 커널 권한 상승을 위한 DLL을 반사 로드하는 셸코드
• pp, 브라우저 프로세스 주입 및 페이로드 다운로드를 수행하는 셸코드

UTA0560의 경우, 다음 단계 페이로드는 "msgbox.exe"라는 실행 파일로, 자체에서 합법적인 Windows 바이너리와 악성 DLL("wsc.dll")을 추출해 DLL 사이드로딩 체인을 시작하는 로더 역할을 한다. 이 DLL은 동일 서버에 접속해 프로파일링 단계에서 수집한 장치 호스트명을 이름으로 하는 텍스트 파일을 가져온다.

해당 텍스트 파일은 MSI 사용자 지정 동작(custom actions) 내에 포함된 난독화된 JavaScript 백도어를 실행하도록 설계된 MSI 설치 파일이다. 실행되면 GRIMWEDGE는 지속적인 명령 루프에 진입해 C2(명령 및 제어) 서버("ocr.opusaccel[.]top")에 명령을 폴링하고, 수신한 명령을 eval() 함수를 통해 메모리에서 실행한다. 파싱 가능한 명령은 다음과 같다 —

• Info, 시스템 정찰 수행
• Dir, 디렉터리 목록 가져오기
• Mkdir, 디렉터리 생성
• Del, 파일 삭제
• Tasklist, 실행 중인 프로세스 열거
• Taskkill, PID로 프로세스 종료
• Type, 최대 5MB 파일 읽기
• Run, 숨김 창에서 명령 실행
• Upload (chunk), C2 서버에서 Base64 인코딩된 청크를 가져와 메모리 내 버퍼에 추가
• Upload (commit), 누적된 버퍼를 최종 파일로 디스크에 저장

"이 코드에는 내장된 지속성, 횡적 이동(lateral movement), 또는 파일 읽기 및 업로드 명령 이외의 유출 메커니즘이 없다"고 연구원들은 밝혔다. "이 백도어는 UTA0560이 호스트를 탐색하고, 관심 파일을 회수하고, Run 및 Upload 명령을 통해 추가 도구를 배포하기에 충분한 초기 거점을 제공한다."

Volexity는 JungleBamboo(APT31이라고도 알려진)라는 두 번째 중국 연계 위협 행위자도 거의 동시에 동일한 익스플로잇 체인을 사용해 SUPERSTOMP라는 로더를 배포하는 것을 확인했으며, 이는 GemStone이라고도 불리는 자격증명 탈취 크롬 확장 프로그램 LONGTALE을 원격 서버에서 설치한다. 이 악성코드는 탐지를 피하기 위해 구글 Gemini 크롬 확장(ID: ckiknalbeplpcpofpnabcnhjcegckfei)으로 위장하며, 다음 기능을 지원한다 —

• 키로깅 및 폼 캡처
• 쿠키 및 세션 탈취
• C2 서버에서 제공된 키워드에 대해 페이지 콘텐츠를 모니터링해 스크린샷 촬영
• 약 30초 간격으로 키스트로크, 쿠키, 스토리지 데이터, 탐색 기록, 세션 메타데이터를 C2 서버로 대량 유출
• 원격 명령 및 제어

"LONGTALE에는 위협 행위자가 감염된 장치에서 추가적인 익스플로잇 이후 활동을 수행할 수 있는 기본적인 원격 코드 실행 명령조차 없다"고 Volexity는 밝혔으며, "위협 행위자는 LONGTALE이 제공하는 광범위한 정보 탈취 기능이 JungleBamboo의 자격증명 탈취 및 감시 목적을 달성하기에 충분하다고 판단해 이 기능을 불필요하다고 여겼을 가능성이 있다"고 덧붙였다.

여러 중국 위협 행위자가 동일한 Chrome-Windows 체인을 거의 동시에 사용했다는 사실은, 익스플로잇 개발자가 Chromium 소스코드 변경 사항을 리버스 엔지니어링한 후 이를 판매하거나 공유했을 가능성을 높이고 있다.

여기서 특히 주목할 점은 패치 격차(patch gap) 문제다. 두 Chrome 취약점에 대한 수정이 오픈소스 Chromium 코드베이스에는 반영됐지만, Chrome 안정 버전에는 아직 포함되지 않았다. 즉, 업스트림 패치가 Chromium에서는 해결됐지만 Chrome에서는 그렇지 않은 이례적인 N-day 취약점 상황이 발생한 것이다. 이로 인해 해당 취약점들은 Chrome에 대해서는 사실상 제로데이로 기능했다.

Chrome이 지난주까지 4주 주기의 메이저 마일스톤 릴리스 사이클(현재는 2주마다)을 유지했다는 점을 감안하면, 공격자들이 공식 Google 패치가 도착하기 전에 악용 창이 닫히기 전에 빠르게 움직이려 했을 가능성이 있다.

Volexity는 "패치 격차 취약점은 위협 행위자에게 익스플로잇 캠페인을 수행할 추가적인 시간 창을 제공하기 때문에 더욱 큰 위험을 초래한다 [...] 대형 언어 모델이 신속한 취약점 연구 및 익스플로잇 개발에 점점 더 대중화되고 효과적으로 활용되고 있는 만큼 더욱 그렇다"고 밝혔다.