1. Onderzoekers van Volexity hebben een door de staat gesteunde Chinese dreigingsgroep, geïdentificeerd als UTA0565, ontdekt. Deze groep maakte tussen 3 en 4 september 2026 misbruik van drie zero-day kwetsbaarheden in Chrome en Microsoft. Deze misbruikacties vonden plaats voordat de kwetsbaarheden bekend waren bij het publiek of gepatcht konden worden. De timing van deze activiteiten valt samen met andere waargenomen pieken van kwaadaardige activiteiten die door dreigingsjagers worden toegeschreven aan Chinese spionagegroepen.
2. UTA0565 gebruikte meerdere valse websites om slachtoffers te misleiden, wat een afwijkende tactiek is ten opzichte van andere soortgelijke aanvallen. Daarnaast werd het gebruik van echte inhoud van legitieme websites als misleidend materiaal waargenomen, een effectieve methode om het wantrouwen van gebruikers te verminderen.
3. De kwetsbaarheden die werden geëxploiteerd waren CVE-2026-85046 en CVE-2026-87491, beide defecten voor code-uitvoering op afstand in de JavaScript-engine van Chromium-gebaseerde browsers. Daarnaast werd CVE-2026-85880 gebruikt, een zero-day kwetsbaarheid voor bevoegdheidsverhoging in Microsoft Windows Advanced Local Procedure Call, die door Microsoft op 8 september 2026 publiek werd gemaakt.
4. Volexity deelde phishing-e-mails die UTA0565 verstuurde naar Aziatische overheidsinstanties. Deze e-mails riepen op tot publieke steun voor de gevangengenomen activist Chow Hang-tung. In andere phishing-e-mails deed de groep zich voor als het Center for American Progress en China Digital Times door domeinen te vervalsen.
5. UTA0565 maakte gebruik van componenten die ook zijn aangetroffen in eerdere versies van exploitkits die door andere Chinese dreigingsgroepen werden gebruikt. De groep gebruikte ook een payload uit een voorheen ongedocumenteerde malwarefamilie, door Volexity "CLEANGULP" genoemd.
6. Onderzoekers identificeerden verschillende domeinen die waarschijnlijk door UTA0565 werden gebruikt in campagnes gericht op mediaorganisaties, websites voor het zoeken naar halal restaurants en bedrijfsopleidingsorganisaties.
7. Proofpoint meldde dat een beperkte groep organisaties gedurende een korte periode werd blootgesteld aan alle drie de kwetsbaarheden. Eerder observeerde Proofpoint al door de staat gesteunde dreigingsgroepen die deze kwetsbaarheden sinds augustus 2025 aan elkaar schakelden. Proofpoint schreef eerdere aanvallen met deze zero-days toe aan APT31, UNK_LateNight, UNK_DoubleCheck en UNK_QuietRacket.