Publicado en

Cadena de exploits Zero-Day: Cómo el malware CLEANGULP compromete Chrome y Windows

•Publicado enAmenazas y Malware

Una amenaza sofisticada detectada en el ecosistema corporativo

Recientemente, se ha identificado una campaña de ciberespionaje altamente sofisticada llevada a cabo por el actor de amenazas de origen chino, codificado como UTA0565. Este grupo ha estado explotando una cadena de vulnerabilidades de tipo ‘Zero-Day’ (vulnerabilidades no conocidas previamente por el fabricante) que afectan de forma combinada a Google Chrome y Microsoft Windows.

El objetivo principal detectado han sido entidades gubernamentales y organizaciones no gubernamentales (ONG) en Asia, utilizando técnicas de suplantación de identidad y sitios web falsos para desplegar un nuevo malware denominado CLEANGULP.

Análisis técnico: La cadena de infección

Lo que hace que este ataque sea particularmente peligroso es el uso de una ‘cadena de exploits’. En lugar de aprovechar un solo fallo, los atacantes encadenan tres vulnerabilidades críticas:

  • CVE-2026-85046 y CVE-2026-87491: Dos fallos en el navegador Chrome utilizados para comprometer el proceso del navegador.
  • CVE-2026-85880: Una vulnerabilidad en la Llamada a Procedimiento Local Avanzada (ALPC) de Windows, utilizada para realizar un ‘escape del sandbox’.

En términos empresariales, esto significa que el atacante no solo toma el control del navegador del usuario, sino que logra saltar las barreras de seguridad del sistema operativo para ejecutar código de forma remota en la máquina de la víctima con privilegios elevados.

CLEANGULP: El payload final

Una vez que la cadena de exploits tiene éxito, se descarga un ejecutable llamado chrome_cleanup.exe, que en realidad es el malware CLEANGULP. Este software malicioso otorga a los atacantes capacidades completas sobre el equipo infectado, incluyendo:

  • Ejecución de comandos remotos (Shell).
  • Listado de procesos activos en el sistema.
  • Carga y descarga de archivos confidenciales.
  • Ejecución de archivos de objetos de balizamiento (BOF) para persistencia.

Ingeniería social y suplantación de dominios

El grupo UTA0565 ha demostrado un alto nivel de preparación al crear sitios web falsos que imitan a medios de comunicación y ONGs legítimas. Utilizan una técnica conocida como typosquatting (por ejemplo, registrando dominios como thecovnresation[.]com para imitar al sitio real theconversation.com). Los empleados reciben correos electrónicos de phishing con enlaces que parecen legítimos, pero que cargan un iframe oculto con el kit de exploits BlueMoon.

Recomendaciones para la resiliencia empresarial

Desde el departamento de ciberseguridad de Intedya, recordamos que la gestión de parches es la defensa número uno contra este tipo de ataques. Aunque los ‘Zero-Days’ son difíciles de predecir, una vez que los fabricantes lanzan las actualizaciones, el riesgo se traslada a aquellas organizaciones que no actualizan a tiempo.

Es fundamental mantener los navegadores y sistemas operativos en su versión más reciente y reforzar la formación en concienciación sobre phishing para que los empleados identifiquen anomalías en los dominios de los enlaces que reciben.

Fuentes