Pe 21 septembrie 2026, Volexity a descris o campanie observată în 3–4 septembrie: mesaje de phishing trimiteau destinatarii către site-uri care imitau publicații și organizații reale. Unul dintre site-urile analizate încărca mare parte din conținutul paginii legitime, dar adăuga un element ascuns care declanșa o combinație de vulnerabilități în Chrome și Windows. Volexity numește grupul urmărit UTA0565 și malware-ul livrat CLEANGULP.
Ce este documentat și ce rămâne o evaluare
Volexity a publicat mesajele, analiza paginilor false și a componentelor de exploit. Cercetătorii au identificat CVE-2026-85046 și CVE-2026-87491 în Chrome, împreună cu CVE-2026-85880 în Windows, folosite în acea perioadă înainte ca remedierea să ajungă la utilizatori. CyberScoop a relatat separat investigația și a pus-o în contextul altor cercetări. Termenul „zero-day” descrie situația de la momentul atacurilor, nu afirmă că nu există astăzi remedieri.
Atribuirea UTA0565 unui actor aliniat Chinei și presupunerea că același kit circulă între mai multe grupuri sunt evaluări ale cercetătorilor, nu constatări judiciare. Raportul nu oferă un număr verificat de dispozitive compromise în această campanie și nu demonstrează că vreo organizație din România a fost vizată. Alte domenii identificate prin asemănări de înregistrare au un nivel de încredere mai mic decât paginile examinate direct.
De ce reflexul „pagina arată bine” nu ajunge
O pagină care copiază un logo poate părea suspectă. O pagină care afișează chiar textele publicației reale este mai convingătoare: conținutul bun devine decor pentru un domeniu greșit. Lecția pentru angajat nu este să inspecteze codul paginii, ci să observe contextul: cine a trimis linkul, de ce îl trimite acum și dacă poate ajunge la aceeași informație deschizând independent site-ul cunoscut.
- Dacă un mesaj nesolicitat cere să citești sau să susții urgent un subiect sensibil, oprește-te înainte de a deschide linkul și verifică expeditorul printr-un canal cunoscut.
- Deschide publicația sau organizația dintr-un marcaj salvat ori tastând adresa cunoscută; nu folosi adresa sugerată în mesaj pentru verificare.
- Dacă ai deschis deja linkul, raportează imediat ora, mesajul și dispozitivul folosit. Nu aștepta să apară o cerere de parolă sau un avertisment antivirus.
- Nu încerca să investighezi pagina suspectă pe cont propriu și nu retrimite linkul colegilor ca demonstrație.
Ce trebuie să facă IT și SOC în paralel
- IT inventariază versiunile Chrome, ale altor browsere bazate pe Chromium și ale Windows pe dispozitivele administrate; compară versiunea instalată cu avizele actuale ale fiecărui furnizor.
- Administratorii confirmă că actualizările au fost instalate efectiv și că browserul a fost repornit unde este necesar; o politică de update configurată nu este dovadă de remediere.
- SOC corelează raportările angajaților cu jurnalele de navigare, telemetria endpoint și indicatorii publicați de Volexity; absența unei alerte nu este, singură, dovadă de necompromitere.
- Pentru un dispozitiv posibil expus, echipa de răspuns decide izolarea, conservarea dovezilor și verificarea persistenței. Utilizatorul nu trebuie să îl „curețe” improvizat.
Tabletop de 45 de minute: articolul real de pe domeniul fals
Reunește un angajat, help desk, IT endpoint, SOC și un manager. Folosește un mesaj și un domeniu fictive, fără să distribui domenii din campania reală. La fiecare etapă cere o decizie, un responsabil, un termen și dovada că pasul s-a încheiat.
- Inject 1 — un angajat primește un link către un articol de politică publică. Textul din pagină pare autentic, însă adresa nu este cea a publicației. Ce face înainte de click?
- Inject 2 — alt angajat a deschis pagina, dar nu a descărcat nimic și nu a introdus credențiale. Cum raportează și cine verifică dispozitivul?
- Inject 3 — consola arată „actualizări activate”, dar un laptop nu a repornit browserul după instalare. Cine verifică versiunea efectivă și stabilește prioritatea?
- Inject 4 — nu există o alertă malware, dar telemetria endpoint este incompletă. Cine poate declara incidentul închis și pe baza căror dovezi?
Cum măsori dacă exercițiul a schimbat comportamentul
- Procentul participanților care verifică independent destinația fără să se bazeze pe aspectul paginii.
- Timpul de la deschiderea accidentală la raportare, inclusiv când nu apare niciun simptom.
- Procentul dispozitivelor pentru care IT poate demonstra versiunea instalată și repornirea necesară.
- Timpul până la corelarea unui raport uman cu telemetria tehnică și documentarea unei decizii de izolare sau închidere.
Learning Awarely poate distribui separat scenariul angajaților, help desk-ului și echipelor tehnice și poate urmări participarea și răspunsurile. Aceste rezultate arată ce decizii au fost exersate; verificarea patch-urilor și analiza unui dispozitiv expus trebuie făcute în sistemele tehnice ale organizației.