Google patcht vierde Chrome-zero-day van 2026, China-nexus APT buit TrueConf-zero-day uit, EvilTokens Phishing-as-a-Service treft Microsoft 365, CERT-UA-imitatie verspreidt AGEWHEEZE-RAT

Security Briefing Google patcht CVE-2026-5281, de vierde actief uitgebuite Chrome-zero-day dit jaar. CheckPoint onthult Operation TrueChaos — Chinese dreigingsactoren die een zero-day in de videoconferentiesoftware TrueConf (CVE-2026-3502) uitbuiten om overheidsinstanties in Zuidoost-Azië te voorzien van backdoors. De EvilTokens device-code-phishingkit maakt massale kaping van Microsoft 365-accounts mogelijk. Een CERT-UA-imitatiecampagne verstuurt 1 miljoen e-mails met de op Go gebaseerde AGEWHEEZE-RAT.

🔴 Chrome-zero-day CVE-2026-5281 — vierde uitgebuite fout dit jaar

Google heeft noodupdates buiten de reguliere cyclus uitgebracht om nog een Chrome-kwetsbaarheid te verhelpen die actief wordt uitgebuit in aanvallen. CVE-2026-5281 bevindt zich in Dawn, de platformonafhankelijke implementatie van de WebGPU-standaard die de grafische renderingpijplijn van Chrome aandrijft.

De use-after-free-zwakte kan door aanvallers worden uitgebuit om browsercrashes, gegevenscorruptie of — in het ergste geval — willekeurige code-uitvoering te veroorzaken. Google heeft technische details achtergehouden om gebruikers tijd te geven om te updaten.

Chrome-zero-day-scorekaart 2026

Vier zero-days in drie maanden is een verontrustend tempo. In heel 2025 patchte Google in totaal acht Chrome-zero-days. Tegen het huidige tempo is 2026 op weg om dat aantal aanzienlijk te overschrijden. Organisaties moeten automatisch Chrome-updatebeleid implementeren en browserisolatie overwegen voor gebruikers met een hoog risico.

🇨🇳 Operation TrueChaos — China-nexus APT buit zero-day in TrueConf-videoconferentiesoftware uit

CheckPoint Research heeft een campagne ontdekt die zij Operation TrueChaos noemen, waarbij een China-nexus dreigingsactor een zero-day-kwetsbaarheid in TrueConf-videoconferentieservers uitbuitte om kwaadaardige software-updates te pushen naar overheidsinstanties in Zuidoost-Azië.

TrueConf is een zelf-gehost videoconferentieplatform dat wordt gebruikt door meer dan 100.000 organisaties, inclusief militaire strijdkrachten, overheidsinstanties, olie- en gasbedrijven en luchtverkeersleidingsbedrijven. De kwetsbaarheid is bijzonder gevaarlijk omdat TrueConf-clients server-geleverde updates vertrouwen zonder juiste validatie.

Aanvalsketen

1. Aanvaller compromitteert een centraal beheerde overheids-TrueConf-server
2. Vervangt het legitieme updatepakket door een kwaadaardig uitvoerbaar bestand
3. Alle verbonden TrueConf-clients downloaden en voeren automatisch de payload uit
4. DLL-sideloading levert verkenningstools af (tasklist, tracert)
5. UAC-bypass via iscicpl.exe escaleert rechten
6. Persistentie wordt vastgesteld via geplande taken
7. Netwerkverkeer wijst naar infrastructuur van het Havoc C2-framework

Attributie

CheckPoint schrijft de campagne toe aan een Chinese-nexus dreigingsactor met matige zekerheid, gebaseerd op:

• Gebruik van Alibaba Cloud en Tencent voor C2-infrastructuur
• TTP's consistent met bekende Chinese APT-groepen
• Slachtofferprofiel gericht op overheidsentiteiten in Zuidoost-Azië
• Overlap met Amaranth Dragon, een eerder gedocumenteerd Chinees dreigingscluster dat ook Havoc-implants inzet

De kwetsbaarheid treft TrueConf-versies 8.1.0 tot en met 8.5.2. Een patch werd uitgebracht in versie 8.5.3 in maart 2026. Organisaties die on-premises TrueConf-servers draaien, moeten dit als een prioritaire patch behandelen.

🎣 EvilTokens — Device-Code-Phishing-as-a-Service treft Microsoft 365 op grote schaal

Beveiligingsonderzoekers bij Sekoia hebben een nieuwe phishing-as-a-service-kit genaamd EvilTokens gedocumenteerd, verkocht op Telegram en in actieve ontwikkeling. De kit commodificeert device-code-phishing — een techniek die de OAuth 2.0 device-autorisatiestroom misbruikt om Microsoft 365-accounts te kapen.

Hoe het werkt

1. Slachtoffer ontvangt een e-mail met een PDF-, HTML-, DOCX- of SVG-bijlage met een QR-code of link
2. Link leidt naar een phishingpagina die zich voordoet als Adobe Acrobat, DocuSign of SharePoint
3. Pagina toont een verificatiecode en vraagt de gebruiker om zijn "identiteit te verifiëren" bij Microsoft
4. Slachtoffer authenticeert op de legitieme device-loginpagina van Microsoft
5. Aanvaller ontvangt zowel een toegangstoken als een refreshtoken voor persistente toegang

Wat aanvallers krijgen

• Volledige toegang tot e-mail, OneDrive-bestanden, Teams-gegevens
• SSO-imitatie over Microsoft-diensten heen
• Persistente toegang via refreshtokens die wachtwoordwijzigingen overleven
• Business email compromise (BEC)-mogelijkheid voor financiële fraude

De techniek is bijzonder gevaarlijk omdat het slachtoffer authenticeert op de legitieme loginpagina van Microsoft — er is geen onderschepping van inloggegevens te detecteren. De kit is gebruikt door meerdere dreigingsactoren, waaronder Russische groepen (Storm-237, UTA032) en de ShinyHunters-afpersingsgroep. De ontwikkelaar heeft plannen aangekondigd om ondersteuning uit te breiden naar phishingpagina's voor Gmail en Okta.

🇺🇦 CERT-UA-imitatie verstuurt 1 miljoen e-mails met AGEWHEEZE-RAT

Het Computer Emergency Response Team van Oekraïne (CERT-UA) heeft een phishingcampagne bekendgemaakt waarbij aanvallers zich voordeden als de instantie zelf om een remote-access-trojan genaamd AGEWHEEZE te verspreiden. De dreigingsactor, getraceerd als UAC-0255 (zelf geïdentificeerd als "Cyber Serp"), claimt de kwaadaardige e-mails naar 1 miljoen ukr.net-mailboxen te hebben verstuurd.

Campagnedetails

• Aflevering: E-mails die CERT-UA spoofen vanaf incidents@cert-ua[.]tech
• Payload: Met wachtwoord beveiligd ZIP-archief (CERT_UA_protection_tool.zip) gehost op Files.fm
• Malware: AGEWHEEZE — een op Go gebaseerde RAT die communiceert via WebSockets
• Doelwitten: Oekraïense overheidsorganisaties, medische centra, beveiligingsbedrijven, onderwijsinstellingen, financiële instellingen

AGEWHEEZE-mogelijkheden

• Commando-uitvoering en bestandsbewerkingen
• Klembordwijziging en schermafbeelding-vastlegging
• Muis- en toetsenbordemulatie
• Proces- en servicebeheer
• Persistentie via geplande taken, register-wijziging of Startup-directory
• C2-communicatie via WebSockets naar 54.36.237[.]92

CERT-UA meldt dat de campagne grotendeels mislukte, met slechts enkele gecompromitteerde apparaten bij onderwijsinstellingen. Analyse van de phishingsite onthulde dat deze waarschijnlijk was gegenereerd met AI-tools, met een commentaar in de HTML-broncode dat luidde "With Love, CYBER SERP" in het Russisch.

📋 Snel nieuws

🛡️ Aanbevolen acties

1. Chrome: Forceer een update naar versie 146.0.7680.177+ op alle beheerde eindpunten. Schakel automatische updates in als dit nog niet is geconfigureerd.
2. TrueConf: Upgrade alle TrueConf Server-instanties onmiddellijk naar versie 8.5.3. Speur naar poweriso.exe, 7z-x64.dll en verdachte artefacten in %AppData%\Roaming\Adobe\.
3. Microsoft 365: Implementeer Conditional Access-beleid dat device-code-authenticatie beperkt. Monitor op afwijkende tokentoekenningen. Bekijk Azure AD-aanmeldingslogboeken voor device-code-flow-activiteit.
4. CERT-UA-phishing: Blokkeer 54.36.237[.]92 en cert-ua[.]tech. Oekraïense organisaties moeten personeel waarschuwen voor de imitatiecampagne.
5. Android: Audit geïnstalleerde apps tegen de NoVoice-indicatorlijst. Overweeg MDM-beleid dat sideloading en niet-geverifieerde Play Store-apps beperkt.