複数のサイバースパイグループが、Microsoft WindowsとGoogle Chromeのゼロデイ脆弱性を悪用する「BlueMoon」と呼ばれるエクスプロイトキットを展開していたことが分かりました。
BlueMoonは、リモートコード実行とサンドボックスエスケープを可能にするChromiumベースブラウザの2つのセキュリティ問題と、Windowsのカーネルローカル権限昇格を組み合わせた攻撃キットです。
このキットは複数の異なる攻撃キャンペーンで使用されており、エクスプロイトの追加をサポートする共有モジュール型ツールとみられています。
企業向けサイバーセキュリティ企業のProofpointの研究者らは、8月28日以降、中国と関連の深い脅威アクターJungleBamboo(別名APT31、Violet Typhoon、APT31、Tide Castle)が関与するスピアフィッシング攻撃でBlueMoonが使用されているのを確認しました。
サイバーセキュリティ・脅威インテリジェンス企業のVolexityも、9月1日に同様の活動を確認しています。同社が追跡する別の脅威アクターUTA0560によるキャンペーンで、「複数の非政府組織(NGO)の顧客」を標的にしていたとのことです。
研究者らによると、BlueMoonの開発・保守を行う攻撃者は、Chromiumの公開修正パッチとChrome安定版リリースとの間に生じるタイムラグを悪用しています。公開されたコード変更をリバースエンジニアリングし、それを基にエクスプロイトを作成することで、まだパッチが適用されていない下流のブラウザ利用者を狙っているのです。
BlueMoonエクスプロイトキットが連結して利用する3つの脆弱性は以下の通りです。
- CVE-2026-85046: ChromeのV8 JavaScriptエンジンにおけるタイプコンフュージョンの脆弱性で、V8サンドボックス内の任意メモリへのアクセスを可能にする
- CVE-2026-87491: V8サンドボックスエスケープの脆弱性で、WebAssemblyのメタデータを破損させることで埋め込まれたシェルコードを実行させる
- CVE-2026-85880: Windows ALPCにおけるヒープベースのバッファオーバーフローで、ローカル権限昇格を可能にする
Proofpointによると、攻撃者はCVE-2026-85880を典型的なゼロデイ脆弱性として悪用しており、2025年から利用されていたものがBlueMoonに再パッケージ化された可能性があると同社は見ています。
「このLPE(ローカル権限昇格)用DLLのコンパイルタイムスタンプは2025年のもので、偽造された形跡は見られませんでした」とProofpointは説明しています。
「これは、このエクスプロイトが古いWindowsビルドを標的にしている事実と合わせて考えると、開発者が既存の攻撃能力をBlueMoonエクスプロイトキットに再パッケージ化したことを示唆しています」
BlueMoonはエクスプロイトをWeb Worker内で実行し、最大5回までリトライします。システムのフィンガープリントを取得した後、Windowsの権限昇格脆弱性を悪用してChromeレンダラーの権限を昇格させ、Chromeの親プロセスにインジェクトすることで、攻撃者が選択したコマンドを実行します。
デフォルトの最終コマンドはcurlを使用し、実行ファイル(通常はマルウェアローダー)を%TEMP%配下に保存して実行します。
脅威グループと標的
VolexityとProofpointによるレポート[1, 2]では、BlueMoonの展開に関連する4つの異なる活動クラスターが特定されており、そのうち3つは中国または中国と関連の深いアクターによるものとされています。
BlueMoonの使用が最初に確認された中国国家支援アクターであるJungleBambooは、米国のNGOや鉱業企業、個別の高価値標的を狙うことで知られており、Google Geminiを装った認証情報窃取用拡張機能Longtale/GemStoneを使用しています。
2番目のハッカーグループはUTA0560で、寄付を装ったおとりを使ってNGOを標的にし、感染チェーンを発動させてGrimwedgeを配布していました。Grimwedgeは偵察、ファイル・プロセス管理、コマンド実行、ペイロードのアップロードを行うインメモリ型のJScriptバックドアです。
3番目のクラスターはUNK_LateNightとして追跡されており、米国の航空宇宙・防衛産業基盤企業のシステムにShadowPadバックドアを展開することで知られています。
4番目のグループはUNK_DoubleCheckとして追跡されており、インメモリ型のRustローダーを使用してベトナムの製造企業を標的にしていましたが、最終ペイロードは分析のために取得できませんでした。
Proofpointは今後BlueMoonの採用・展開が増加し、いずれは金銭目的の攻撃者にも広がる可能性があると予測しています。そのため防御側に対しては、両レポートで提供されている侵害指標(IOC)を活用し、早期にこの攻撃活動をブロックするよう推奨しています。
両サイバーセキュリティ企業は、BlueMoonエクスプロイトキットを使用した攻撃で観測されたファイルおよびネットワークインフラの侵害指標を公開しています。
