BlueMoon-Exploit-Kit kombiniert Berichten zufolge Chrome- und Windows-Zero-Days

Sicherheitsforscher von Proofpoint berichten, dass mehrere mutmaßlich auf Spionage ausgerichtete Bedrohungsgruppen begonnen haben, ein neues Exploit-Kit namens BlueMoon einzusetzen, das kürzlich offengelegte Schwachstellen in Google Chrome und Microsoft Windows kombiniert.

Nach Angaben des Unternehmens trat das Kit erstmals am 28. August bei Angriffen auf, die Violet Typhoon zugeschrieben werden, einer mit China in Verbindung stehenden Gruppe, die auch als APT31 bekannt ist. Andere Cluster, die vermutlich mit chinesischen Spionageaktivitäten verbunden sind, übernahmen das Tool Berichten zufolge innerhalb weniger Tage. Proofpoint erklärte, es sei nicht festgestellt worden, wie die einzelnen Gruppen an das Kit gelangten, und warnte, dass auch andere finanziell motivierte oder staatlich ausgerichtete Akteure es nutzen könnten.

Exploit-Kette zielt auf Schwachstellen in Browser und Betriebssystem ab

BlueMoon nutzt Berichten zufolge zwei Chrome-Zero-Days, die als CVE-2026-85046 und CVE-2026-87491 geführt werden und die V8-JavaScript- und WebAssembly-Engine betreffen. Google behob die Schwachstellen mit Updates, die am 3. und 8. September veröffentlicht wurden. Die Kette umfasst außerdem CVE-2026-85880, eine Schwachstelle zur Rechteausweitung über Windows Advanced Local Procedure Call, die Microsoft in seinen Sicherheitsupdates vom September behoben hat.

Proofpoint zufolge werden die Chrome-Schwachstellen genutzt, um die Browser-Schutzmechanismen zu umgehen, bevor das Kit das Gerät profiliert und versucht, die Rechteausweitung unter Windows durchzuführen. Anschließend injiziert die Aktivität eine Komponente zur Prozesserstellung in den Broker-Prozess von Chrome, lädt über einen curl-Befehl eine ausführbare Datei herunter und führt sie aus.

Ziele umfassen mehrere Branchen und Regionen

Die Violet Typhoon zugeschriebene anfängliche Aktivität richtete sich Berichten zufolge gegen in den USA ansässige Nichtregierungsorganisationen, Bergbauunternehmen und Handelsfirmen für physische Rohstoffe. Ein separater Cluster mit der Bezeichnung UNK_LateNight wurde ab dem 2. September bei Angriffen auf US-Luft- und Raumfahrtorganisationen beobachtet. Weitere gemeldete Ziele waren eine vietnamesische Fertigungsorganisation sowie Einrichtungen aus Regierung, Beratung und Finanzsektor in Indonesien und Singapur.

Die Forscher identifizierten mehrere Varianten des BlueMoon-Pakets, erklärten jedoch, dass diese dieselbe Exploit-Abfolge und denselben Ladeansatz nutzten. Entwicklungsartefakte deuteten darauf hin, dass KI-Tools bei der Erstellung des Kits unterstützt haben könnten, wenngleich Proofpoint betonte, dass die Beweise nicht schlüssig seien.

Organisationen sollten aktuelle Sicherheitsupdates für Chrome und Windows installieren, browserbezogene Prozessaktivitäten überwachen und unerwartete Downloads oder Ausführungen über die Befehlszeile untersuchen, die von Chrome-Prozessen ausgehen.