少なくとも4つのスパイ活動グループ(その大半は中国との関連が疑われています)が、Chromiumベースのブラウザにおける2つの欠陥とMicrosoft Windowsの1つの欠陥を連鎖させる新しい攻略キットを使用し、米国と東南アジアの組織のネットワークに侵入していることが分かりました。
メールセキュリティ企業Proofpointの脅威研究者であるMark Kelly氏は、The Register に対し、研究者たちは誰が正確に標的にされたのか、どのような手法が使われたのかは把握できておらず、これまでのところ被害は限定的とみられると語りました。 「標的となった組織については、今回明らかにした攻撃活動全体を通じて、全世界で20組織未満が狙われたことを確認しています」と同氏は述べています。「しかし、実際の数はほぼ確実にこれより多いでしょう」
Proofpointの脅威ハンティングチームは、この新しい攻略キットを発見し「BlueMoon」と名付けました。同チームによれば、最初に使用が確認されたのは8月28日のことです。この日、北京を後ろ盾とする攻撃グループ(同社が追跡している名称ではTA412、別名Violet TyphoonまたはAPT31)がBlueMoonを使用し、米国の非政府組織(NGO)、鉱業企業、現物商品取引会社を「繰り返し」標的にしていたことが分かりました。
TA412は、米当局によって中国国家安全部(MSS)と関連があるとされているサイバースパイ活動グループです。米検察は以前、容疑者7名を訴追し、コンピュータ侵入と電信詐欺の共謀の罪で起訴しました。検察側の主張によれば、これらの人物は数多くの重要インフラ組織や企業、個人が保有するコンピュータネットワーク、メールアカウント、クラウドストレージに侵入していたとされています。
Proofpointが8月末の活動を報告してから数日後、「複数の別のスパイ活動系クラスターがBlueMoonの使用を開始しました。そのほとんどには中国との関連が疑われます」と、Kelly氏および同僚の研究者であるGreg Lesnewich氏、Konstantin Klinger氏、Saher Naumaan氏、Julia Paluch氏、David Galazin氏、Stuart Del Caliz氏は水曜日に明らかにしました。また、中国と関連のない攻撃者もこの攻略キットを使用している可能性があると指摘しています。
「BlueMoonは迅速に開発・展開され、複数の攻撃者間で数日のうちに共有されました」とKelly氏はThe Registerに語っています。「これは、AIエージェントが攻撃者による攻略コード開発を可能にする状況が広がる中、この種の能力に関するコストと導入障壁が低下していることを反映しているのかもしれません。歴史的にこうした能力は稀少で高価値なものでした。これはChromiumのようなオープンソースのコードベースで特に当てはまります。アップストリームのパッチが公開されていることで、下流の安定版リリースに反映される前に、迅速なリバースエンジニアリングと攻略コード開発が可能になる『パッチギャップ』の期間が生まれるからです」
Googleの広報担当者は、Proofpointが記した内容以上のコメントを控えました。Microsoftは火曜日にWindowsの脆弱性(CVE-2026-85880)を修正し、同社の広報担当者はこのパッチを適用した顧客は保護されていると改めて説明しています。
BlueMoonの攻撃チェーン
このキットは3つの脆弱性を連鎖させます。
1つ目は、遠隔コード実行を許すV8の型の混同(CVE-2026-85046)の脆弱性で、Google ChromeやMicrosoft Edgeを含むすべてのChromiumベースのブラウザに影響します。Googleは9月3日にChromeでこの脆弱性を修正し、当時「CVE-2026-85046を悪用する攻略コードが実際に存在することを認識している」と警告していました。Microsoftはセキュリティ勧告を公開し、9月2日にEdge安定版バージョン152.0.4191.62でこの脆弱性を修正したと発表しています。
2つ目は、Chrome V8のサンドボックス脱出の脆弱性です。こちらも全てのChromiumベースのブラウザに影響します。GoogleはサンドボックスエスケープにはCVE番号を発行しないため、この脆弱性にはCVE番号が付いていません。
最後に3つ目の脆弱性は、Windows Advanced Local Procedure Call(CVE-2026-85880)における権限昇格の脆弱性で、前述の通りMicrosoftが火曜日に修正しました。Microsoftは、この脆弱性がセキュリティ更新の公開前にゼロデイとして悪用されていたことも警告しています。
Proofpointの研究者はさらに、確認された活動の時点で両方のV8脆弱性が「パッチギャップ」型のゼロデイであったと指摘しています。つまり、これらの脆弱性はすでに把握され、アップストリームのChromiumソースコードでは修正されていたということです。CVE-2026-85046を修正する変更は8月7日にコミットされていました。しかし、一般に公開されているChromeやChromiumベースブラウザの最新安定版リリースでは、数週間にわたって未修正のままだったのです。
「攻略キットの開発者は、公開されているこれらのChromiumのパッチを利用して、ブラウザの攻略チェーンを武器化した可能性が高いです」と研究者らは指摘しています。
フィッシングからブラウザ監視へ
攻撃は、被害者を騙して攻撃者が管理するURLをクリックさせるフィッシングメールから始まります。これにより2つのV8の脆弱性が起動し、遠隔コード実行とブラウザのサンドボックス脱出が可能になります。その後、攻撃チェーンはWindowsの脆弱性を悪用して複数のペイロードをダウンロードします。その内容には、ブラウザ監視マルウェアや認証情報窃取用のバックドアなどが含まれ、どの攻略キット使用グループかによって異なります。
8月28日に始まったTA412の最初のキャンペーンでは、さまざまな偽装手口が使われました。メールの一部は、標的組織でのインターンシップに興味を持つ大学生を名乗るものでした。また一部は、より標的個別に調整されたやり取りで、悪意あるリンクをメールで送る前に個人との信頼関係を構築することを狙ったものでした。
これらの事例では、攻略チェーンは「最終的に感染したホスト上でローダーの実行ファイルをダウンロードして実行し、これが被害者のChromiumベースブラウザにGoogle Geminiを装った悪意あるブラウザ拡張機能をインストールしました」と研究チームは記しています。
Proofpointが「GemStone」として追跡しているこのブラウザ拡張機能により、北京のスパイたちはコマンド&コントロール(C&C)チャネルを通じてコマンドを発行し、クッキーやその他の機密データを盗み、スクリーンショットを撮影し、ブラウザタブにキーロガーを注入することが可能になりました。このマルウェアには、攻撃者が指定したキーワードのリストを各ページのトップフレームに注入し、HTML本文をスキャンしてこれらのキーワードを検索し、見つかった場合にスクリーンショットの撮影を発動するキーワード監視機能も含まれています。
その数日後、9月2日から、Proofpointが暫定的にUNK_LateNightと呼んでいる中国と関連する2つ目のスパイ活動グループがBlueMoonを使用し、米国の複数の航空宇宙企業を標的にしていました。
フィッシングメールには防衛産業組織向けに特化した見積依頼(RFQ)を装う手口が使われ、さまざまな米国の航空宇宙企業を偽装した攻撃者管理下のドメインへのリンクが含まれていました。これらのウェブサイトもBlueMoon攻略キットを配信し、最終的には2019年以降複数の中国関連グループの間で共有されているバックドア「ShadowPad」を読み込みました。
同じ時期の9月2日には、Proofpointが「UNK_DoubleCheck」として追跡している、スパイ活動が疑われる別のグループが、侵害された東南アジアの政府機関のメールアドレスから送信されたメッセージを使い、ベトナムの製造業企業を標的にしていました。
4つ目のキャンペーンはその翌日に始まり、中国との関連が疑われるスパイ活動グループ「UNK_QuietRacket」がBlueMoonを使用して、インドネシアとシンガポールの政府機関、コンサルティング業界、金融業界の組織を標的にしていました。 このフィッシングメールでは、Indo Startup Expo and Forum 2026やWorld Conference on Creative Economy(WCCE 2026)といったインドネシアのカンファレンスに関連する偽装手口が使われました。
Proofpointは、BlueMoonが今後スパイ活動グループと金銭目的の攻撃者の双方に利用される可能性が高いと警告しています。
「この活動が示すより広範な力学、すなわちオープンソースのパッチギャップを活用した迅速な攻略コード開発は、こうした開発モデルが広く利用可能になるにつれ、BlueMoon以外の場面でも再発する可能性が高いでしょう」と研究チームは記しています。®
