Google waarschuwt Chrome-gebruikers voor een man-in-the-middle-aanval waarbij slachtoffers zogenaamde updates van Adobe krijgen aangeboden die in werkelijkheid malware zijn. Bij de aanval maken de aanvallers gebruik van de controle die Chrome uitvoert op de aanwezigheid van een 'captive portal'. Wanneer Google Chrome start kijkt de browser eerst of er geen captive portal aanwezig is. Dit zijn legitieme pagina's die worden gebruikt om toegang tot het netwerk te krijgen. Zo moet een gebruiker bijvoorbeeld eerst aangeboden voorwaarden accepteren voordat die netwerktoegang krijgt. Wifi-netwerken in hotels of op luchthavens maken er bijvoorbeeld gebruik van.

Chrome stuurt voor deze controle een HTTP request naar een hardcoded url om de redirect naar de captive portal mogelijk te maken. Bij de man-in-the-middle (mitm)-aanvallen die Google zag wordt het verkeer van slachtoffers onderschept en doorgestuurd naar een bijna lege landingspagina. Deze pagina laat gebruikers weten dat ze ontbrekende plug-ins moeten installeren om de inhoud van de pagina te kunnen bekijken. Wanneer het slachtoffer op de installatieknop klikt wordt die doorverwezen naar een ogenschijnlijk legitieme website. In werkelijkheid gaat het om een malafide website die automatisch het bestand AdobePlugins.exe downloadt.

Het .exe-bestand, dat met een geldig certificaat uitgegeven door GlobalSign is gesigneerd, is een malware downloader die de daadwerkelijke malware op het systeem downloadt. Het gaat onder andere om een backdoor waarmee de aanvallers controle over het gecompromitteerde systeem krijgen. Volgens Google zijn de mitm-aanvallen mogelijk doordat de aanvallers edge devices op de netwerken van slachtoffers konden compromitteren. Om welke edge devices het precies gaat en hoe die worden gecompromitteerd laat het techbedrijf niet weten.

De aanvallen zijn volgens Google het werk van een aan China gelieerde groep en gericht tegen diplomaten in Zuidoost-Azië en "andere entiteiten wereldwijd". In de waarschuwing heeft Google verschillende Indicators of Compromise gegeven waarmee organisaties en gebruikers kunnen kijken of ze doelwit zijn geweest of toegang tot gebruikte domeinen en ip-adressen kunnen blokkeren.