中国のサイバースパイ集団が群がる、ゼロデイ3連鎖の悪用

Proofpointの研究者らは、中国政府に関心を寄せる複数の標的に対してスパイ活動を行うため、少なくとも4つの中国国家アライアンス型脅威グループが8月下旬以降3つのゼロデイ脆弱性を連鎖させて悪用しているのを確認したと発表しました。

Proofpointが「TA412」として追跡している中国のスパイグループ（Violet Typhoon、APT31としても知られる)が最初にこの脆弱性チェーンを悪用し、8月28日に攻撃を仕掛けました。研究者らによると、その後数日のうちに少なくとも3つの別のスパイ活動グループが同じ脆弱性を悪用する攻撃の波を続けたということです。

Proofpointが「BlueMoon」と呼ぶこのエクスプロイトチェーンは、ChromeやChromiumベースのブラウザ、Microsoft Windowsを標的としています。攻撃者はブラウザのサンドボックス内でコードを実行し、サンドボックスを脱出してシステム権限を取得し、標的マシンにアクセスできるようになると、Proofpointの主任脅威研究者マーク・ケリー氏は説明しています。

「3つの脆弱性はいずれも、パッチが一般公開される前に悪用されていました」と同氏は述べています。

該当する脆弱性は、ChromiumベースブラウザのJavaScriptエンジンにおけるリモートコード実行の欠陥であるCVE-2026-85046およびCVE-2026-87491、そしてMicrosoftが火曜日に公表したWindowsのAdvanced Local Procedure Callにおける権限昇格ゼロデイであるCVE-2026-85880です。

「V8の脆弱性自体はすでに知られており、Chromiumのソースコード上では修正されていましたが、この活動が確認された時点で一般公開されている最新のブラウザにはまだパッチが適用されていませんでした。つまり、それらの製品においては事実上ゼロデイとして機能していたことになります」とケリー氏は述べています。

Proofpointによると、このエクスプロイトキットの開発者は、公開されているChromiumのパッチをリバースエンジニアリングすることで、そのギャップの期間にブラウザのエクスプロイトチェーンを武器化した可能性が高いとみられています。

3つの脆弱性すべてにさらされている組織は限られていたため、攻撃者は迅速に動き、絞り込まれた標的群を狙うために開発を急いだとみられます。「観測されたすべてのケースにおいて、エクスプロイトの配信に使われたインフラは、関連するキャンペーンと同日、あるいはその直前の数日以内に構築されていました」とProofpointは脅威インテリジェンスレポートに記しています。

中国の国家安全部のためにスパイ活動を行ってきたグループであるAPT31は、2024年に中国人7人が司法省により起訴された組織でもありますが、米国の非政府組織(NGO)、鉱業会社、商品取引企業を標的としたフィッシングメールに、このエクスプロイトチェーンのローダーを含むさまざまな誘い文句を仕込んで送りつけていました。

Proofpointによると、このフィッシングリンクは標的のマシン上にGoogle Geminiを装った悪意のあるブラウザ拡張機能をインストールし、攻撃者がブラウザの活動を監視したり、認証情報を窃取したり、コマンドを実行したりできるようにするものだったということです。

このほかにも、複数の異なる脅威グループが、技術的に若干の変更を加えたり標的を変えたりしながら、BlueMoonエクスプロイトチェーンを利用しています。

「Proofpointは直近では9月8日にもBlueMoonの使用を確認しています」とケリー氏は述べています。「活動はChromeのパッチがリリースされる直前の9月2日から3日にかけてピークを迎え、その後も断続的に続いています」

Proofpointが「UNK_LateNight」として追跡している中国アライアンス型のスパイ活動グループは、9月2日に米国の複数の航空宇宙企業を標的としました。研究者らはまた同日、東南アジアのある政府機関の侵害されたアカウントからのメールを使い、ベトナムの製造業組織を標的とした、スパイ活動を動機とすると見られる脅威グループ「UNK_DoubleCheck」の活動も確認しています。

研究者らによると、これも中国と連携するもう一つのスパイグループである「UNK_QuietRacket」は、9月3日にインドネシアとシンガポールの政府機関、コンサルティング業界、金融業界の組織を標的としたということです。

Proofpointがこれまでに世界全体で直接確認した標的組織は20組織に満たない数にとどまっていますが、ケリー氏は、実際に影響を受けた組織の数はおそらくそれよりはるかに多いだろうと述べています。

Proofpointは観測された攻撃の大半を中国のスパイグループによるものと見ていますが、今後は別の出身や動機を持つ攻撃者による攻撃も起こり得るとしています。

「導入のしやすさを考えると、このエクスプロイトキットは今後さらに拡散し、パッチ適用済みバージョンがすべてのChromiumベースブラウザに完全に行き渡るにつれて、スパイ活動目的や金銭目的のさらなる脅威アクターにも採用されていく可能性が高いと見ています」とケリー氏は述べています。