یک عامل تهدید چینی موسوم به UTA0565 مشاهده شده که از یک زنجیره اکسپلویت تازهکشفشده در گوگل کروم و مایکروسافت ویندوز بهعنوان آسیبپذیریهای روز-صفر (zero-day) از طریق وبسایتهای جعلی سوءاستفاده میکند. این حملات که در تاریخهای ۳ و ۴ سپتامبر ۲۰۲۶ شناسایی شدند، شامل ترکیب دو آسیبپذیری در کروم (CVE-2026-85046 و CVE-2026-87491) و یک آسیبپذیری مؤثر بر فراخوانی رویه راه دور پیشرفته ویندوز (Windows Advanced Local Procedure Call) با شناسه CVE-2026-85880 بود که برای خروج از محیط ایزوله (sandbox) مرورگر و اجرای کد از راه دور (remote code execution) بهکار گرفته شدند. پژوهشگران شرکت Volexity، دیمین کش و تام لنکستر، در تحلیلی که این هفته منتشر شد، اعلام کردند: «UTA0565 خود را بهجای نهادهای مختلفی از جمله رسانهها و یک سازمان غیردولتی (NGO) جا زده است.» به گفته آنان، ویژگی متمایز این کمپین نسبت به حملات مستندشده پیشین، استفاده از چندین وبسایت جعلی برای فریب قربانیان بوده است. یکی از این کمپینها نهادهای دولتی آسیایی را هدف قرار داده و از طریق ایمیلهای فیشینگ به زبانهای چینی و انگلیسی، از دریافتکنندگان خواسته شده بود از چو هانگ-تونگ، فعال هنگکنگی، حمایت کنند؛ این ایمیلها با جعل هویت مرکز پیشرفت آمریکا (Center for American Progress) ارسال شده بودند. چو هانگ-تونگ اوایل همین ماه به هفت سال و سه ماه حبس محکوم شد.
این پیامها حاوی لینکهای جعلی به دامنههای «chinadigitaltimes[.]top» و «americanprgoress[.]top» بودند که ظاهر وبسایتهای China Digital Times و CAP را تقلید میکردند و از طریق یک آیفریم (iframe) پنهان، یک عنصر HTML اضافی به نام «config.html» بارگذاری میکردند. این عنصر از همان کیت اکسپلویت موسوم به BlueMoon استفاده میکرد که سه آسیبپذیری یادشده را ترکیب میکرد و در نهایت، شلکد «pp» فایل اجراییای به نام «chrome_cleanup.exe» را از دامنه جعلی دانلود میکرد. این بدافزار که با نام CLEANGULP شناخته میشود، با استفاده از کامپایلر Microsoft Visual C ساخته شده و قابلیتهایی نظیر اجرای دستور شل، فهرستکردن فرایندهای در حال اجرا، آپلود و دانلود فایل، و اجرای فایل شیء بیکن (beacon object file یا BOF) را پشتیبانی میکند. نکته جالب توجه این است که CLEANGULP از یک دامنه ثابت به نام «thecovnresation[.]com» برای فرماندهی و کنترل (command-and-control) از طریق HTTP استفاده میکند که ظاهراً برای شبیهسازی دامنه «theconversation[.]com»، رسانه غیرانتفاعی معتبر در انتشار پژوهشها و تحلیلهای دانشگاهی، طراحی شده است. به گفته Volexity، «این الگوی بهظاهر گسترده در میان عوامل تهدید متعدد نشان میدهد که تلاشی هماهنگ در میان جامعه بهرهبرداری از شبکههای رایانهای چین (CNE) وجود دارد که در آن، هسته اصلی این کیت احتمالاً به اشتراک گذاشته شده و توسط گروههای مختلف سفارشیسازی و سلاحمند شده است.» این شرکت افزود که یافتههای گزارششده تاکنون تنها بر اساس مشاهدات دو سازمان بوده و دامنه و تأثیر واقعی این حملات احتمالاً بسیار گستردهتر از این است.