แคมเปญ GRIMWEDGE: โซ่ Chrome+Windows ถูกใช้ปล่อยแบ็กดอร์ JScript

บทความนี้พูดมุม แคมเปญ ไม่ใช่สอนเจาะระบบครับ โฟกัสว่าต้องอัปเดตอะไร

เมื่อ 15 ก.ย. 2026 The Hacker News สรุปว่านักแสดงคุกคามที่เชื่อมโยงจีน (ระบุคลัสเตอร์อย่าง UTA0560) ใช้โซ่ช่องโหว่ Chrome + Windows ที่เรียกกันว่า BlueMoon เพื่อปล่อยแบ็กดอร์ GRIMWEDGE (JScript ในหน่วยความจำ)

โซ่ที่ถูกพูดถึง

รายงานอ้างถึงสาม CVE ที่เคยถูกแพตช์/พูดถึงแยกชิ้นแล้ว:

1. CVE-2026-85046 — ปัญหาใน V8 ของ Chrome (อ่าน/เขียนในแซนด์บ็อกซ์)
2. CVE-2026-87491 — หลุดแซนด์บ็อกซ์เบราว์เซอร์
3. CVE-2026-85880 — ยกระดับสิทธิ์ฝั่ง Windows (ALPC / LPE ตามรายงาน)

Proofpoint อธิบายภาพรวมว่าเริ่มจากสเปียร์ฟิชชิง → ลิงก์ไปหน้าที่มี XSS สะท้อน → กรองเฉพาะ Chrome บน Windows → แล้วค่อยปล่อยเพย์โหลด

บล็อกนี้เคยมีโพสต์แยกเรื่อง CVE แต่ละตัวแล้ว วันนี้เน้นว่า มันถูกโยงเป็นแคมเปญจริง ไม่ใช่แค่บั๊กเดี่ยว

สิ่งที่ควรทำ (ไม่มีขั้นตอนโจมตี)

• อัปเดต Chrome / Edge / Chromium ให้ถึงบิลด์ที่ผู้ขายระบุว่าปิดช่องโหว่แล้ว แล้วรีสตาร์ตเบราว์เซอร์
• ติดตั้งอัปเดตความปลอดภัย Windows ที่ครอบคลุม CVE-2026-85880 ตามสาย OS ของคุณ
• สอนทีมไม่คลิกลิงก์ในอีเมลแปลก ๆ แม้โดเมนดูน่าเชื่อถือ
• ถ้าเป็นองค์กร ให้ดูเทเลเมทรีเบราว์เซอร์เวอร์ชันต่ำกว่าเกณฑ์ และบล็อกโดเมนที่ทีม IR แจ้ง

เราจะไม่ลงรายละเอียดคำสั่งดาวน์โหลดหรือโครงสร้างเพย์โหลดครับ เป้าหมายคือลดหน้าต่างโจมตี

Recap

• อ่าน THN และสรุป Proofpoint BlueMoon
• อัปเดต Chrome/Edge แล้วรีสตาร์ต
• แพตช์ Windows ที่เกี่ยวกับโซ่นี้
• ทบทวนนโยบายคลิกลิงก์จากอีเมลกับทีม