- Proofpointが、Chromiumの2件の欠陥とWindowsの1件のバグを連鎖させるエクスプロイトキット「BlueMoon」の詳細を報告
- 中国と関係の深いTA412を含む4つの集団が、NGO、航空宇宙、製造業の標的に対して大々的に使用
- エクスプロイトは「パッチギャップ」ゼロデイであり、すべての欠陥は現在修正済み
中国政府と関係があるとされる集団を含む4つのハッキンググループが、わずか1週間の間にまったく同じエクスプロイトキットを使用していたことが判明しました。専門家は、犯罪者の間にある種の「取り残される恐怖(FOMO)」が働いていることを示唆していると警告しています。
セキュリティ研究者であるProofpointは、3つの脆弱性を利用するエクスプロイトキット「BlueMoon」の詳細を報告しました。3つの脆弱性のうち2つはChromiumに、1つは旧バージョンのWindows(Windows 10 October 2018 Update、Windows Server 2019、Windows 10 2004、Windows Server 2022、およびWindows 11の初期リリース)に存在します。
このキットが最初に確認されたのは2026年8月28日で、使用したのは過去にMicrosoft SharePointを利用する企業を標的にしていたことで知られる、中国と連携する国家支援型の脅威アクター「TA412」でした。「Violet Typhoon」としても知られるTA412は、BlueMoonを使って「米国の少数の非政府組織(NGO)、鉱業企業、現物商品取引企業を繰り返し標的にした」とされています。
その直後、他に3つの集団の活動が確認されました。米国の複数の航空宇宙企業を標的にした、これも中国と連携するスパイ活動集団「UNK_LateNight」、ベトナムの製造業企業を狙う「UNK_DoubleCheck」、そしてシンガポールとインドネシア各地の組織を標的にした脅威アクター「UNK_QuietRacket」です。
これらの集団に共通しているのは、自らの活動を特に隠そうとしなかった点です。ステルス性を重視するアプローチのほうが通常、脆弱性を長く悪用し続けられることを考えると、これはかなり異例と言えます。
Chromiumのサプライチェーンを先回りする
BlueMoonは3つの欠陥を悪用します。2つはChromium、1つは旧バージョンのWindowsに存在するものです。Chromiumの脆弱性は、ブラウザがアプリケーションを効率的に実行するために使用するJavaScriptエンジン「V8」で見つかりました。1つ目は「型の混同(type confusion)」バグで、CVE-2026-85046として追跡されており、深刻度スコアは8.8/10(高)とされています。もう1つは「サンドボックスエスケープ」の欠陥ですが、Googleはこちらにはこれに対してCVEも深刻度スコアも割り当てていません。
一方、Windowsのバグは CVE-2026-85880 として追跡されており、深刻度スコアは7.8/10(高)とされています。これは、Windowsの「Advanced Local Procedure Call」における「ヒープベースのバッファオーバーフロー」脆弱性と説明されており、すでに権限の低いAppContainer内でコードを実行できる悪意のある攻撃者が、サンドボックスから脱出してSYSTEM権限まで昇格できてしまうというものです。追加のユーザー操作は一切必要としません。
Proofpointは、犯罪者たちがなぜ目立たないように立ち回るのではなく、あえて大々的に活動したのかについて、ある仮説を示しています。GoogleがChromiumの脆弱性を修正してから、その修正がEdgeやBraveといったブラウザに実際に配信されるまでの間には、非常に短い「機会の窓」が存在するというのです。この機会の窓を利用すれば、犯罪者はGoogleがどのように欠陥を修正したかを確認し、それをリバースエンジニアリングして、ブラウザ側にパッチが適用される前にエクスプロイトを展開できます。つまり、ステルス性を保っている時間的余裕がないということです。
身を隠す時間はない
「今回観測された活動の時点で、V8の脆弱性はいずれも『パッチギャップ』ゼロデイでした」とProofpointは述べています。「言い換えれば、これらは公開されているChromiumの上流ソースコードではすでに修正済みの既知の脆弱性でありながら、一般に提供されている最新の安定版ChromeおよびChromiumベースのブラウザには、まだパッチが適用されていない状態でした。エクスプロイトキットの開発者は、これら公開されているChromiumのパッチを利用して、ブラウザのエクスプロイトチェーンを武器化したとみられます」。
もう一つの重要な要因は人工知能(AI)です。AIによって欠陥の発見が大幅に高速化し、参入障壁が下がったことで、脅威アクターがより大胆に動くようになっているようです。
「これまで、完全に武器化されたChromeのエクスプロイトチェーンは、価値が高く希少な能力とされてきました。しかしBlueMoonは開発から展開までがきわめて迅速に行われ、検知されやすい特徴を伴いながらも、数日のうちに複数の脅威アクター間で共有されました。これは、AIエージェントが脅威アクターによるエクスプロイト開発をますます後押しする中で、この種の能力を獲得するコストと参入障壁が低下していることを反映しているのかもしれません」とProofpointは強調しています。
これら3つの欠陥はいずれもすでに修正されているため、OSとChromiumベースのブラウザの両方を必ず最新バージョンにしておいてください。
