4つのスパイ集団が、わずか1週間のうちに同一のエクスプロイトキットをChromeとWindowsに対して使用していたことがわかりました。パッチが適用されるまでの隙間が、米国と東南アジア各地で実際の攻撃に悪用される事態となっています。
Proofpointはこのツールキットを「BlueMoon」として追跡しています。BlueMoonは2つのChromium V8の脆弱性とWindowsの権限昇格の脆弱性を連鎖させ、ブラウザのサンドボックスから脱出したうえで、昇格した権限でマルウェアを実行する仕組みです。標的となったのは、米国のNGO、鉱業・商品取引企業、航空宇宙企業、ベトナムの製造業者、そしてシンガポールとインドネシアの政府機関、コンサルティング会社、金融機関などです。
3つの脆弱性はいずれも既にパッチが適用済みですが、侵害されたシステムには依然としてマルウェアや永続化の仕組みが残っている可能性があります。
攻撃者たちの対応の速さは、防御側にとって警鐘となります。別々のスパイ集団がほぼ同一のエクスプロイトコードをわずか数日のうちに導入しており、修正の公開から実際の悪用開始までの猶予はほとんど残されていませんでした。
BlueMoon、ChromeとWindowsの脆弱性を連鎖利用
Proofpointによると、BlueMoonはV8の型の取り違え（type confusion）の脆弱性であるCVE-2026-85046と、Chromeのサンドボックス脱出に使われる別のV8脆弱性CVE-2026-87491を組み合わせています。さらに攻撃者は、Windowsの権限昇格の脆弱性であるCVE-2026-85880を悪用し、システム上でより高い権限を取得します。
攻撃はまず、攻撃者が管理するウェブサイトへ標的を誘導するフィッシングメールから始まります。ブラウザのエクスプロイトが成功すると、BlueMoonはWindowsホストの状況を確認し、Windowsの脆弱性を利用して権限を昇格させたうえで、攻撃者が選んだマルウェアをダウンロードします。
2つのChromeの脆弱性は、攻撃当時「パッチギャップ」型のゼロデイとみなされていました。Ars Technicaの報道によれば、これらの脆弱性はChromiumの公開ソースコード上では既に修正されていたものの、その修正が安定版のChromeや他のChromiumベースのブラウザにはまだ反映されていませんでした。
4つのキャンペーンが数日のうちにBlueMoonを導入
The Hacker Newsによると、Proofpointが最初にBlueMoonの使用を確認したのは、APT31としても知られるTA412で、8月28日のことでした。同グループは米国のNGO、鉱業企業、商品取引企業を標的とし、GoogleのGemini AIアシスタントを装った悪意あるChrome拡張機能「GemStone」を仕込んでいました。
UNK_LateNightは9月2日から、米国の航空宇宙企業を標的にBlueMoonの使用を開始し、バックドア「ShadowPad」を展開しました。UNK_DoubleCheckはベトナムの製造業者を標的とし、中国と関係の深いUNK_QuietRacketはインドネシアとシンガポールの政府機関、コンサルティング会社、金融機関を狙っていました。
それぞれのキャンペーンは標的もマルウェアも指揮統制(C2)インフラも異なっていましたが、BlueMoonのコードはほぼ同一でした。Proofpointの研究者Mark Kelly氏はThe Recordに対し、「これが並行して独自開発されたものである可能性はない」と語っています。
研究者たちは、これらのグループが共通の請負業者や国家と関係のある提供元、あるいは他の共通のルートからこのキットを入手したのかどうかは特定できていません。
Proofpointはまた、広範なログ記録や開発時のコメントも発見しており、これらはAIを活用したエクスプロイト開発の兆候である可能性があります。研究者たちはAIが実際に使用されたと断定するには至っていないものの、AIツールを使えば公開されたパッチを調べて実用的なエクスプロイトに変換する作業がより迅速に行える可能性があると警告しています。
The Hacker Newsによると、CISAはBlueMoonに関連する3つの脆弱性すべてを「既知の悪用された脆弱性(KEV)」カタログに追加しました。連邦の文民機関には、9月中にこれらの脆弱性を是正するよう期限が設けられています。
脆弱性のあるChrome、Chromiumベースのブラウザ、Windowsシステムを更新すれば、既知の攻撃経路は塞がれます。しかしパッチの適用だけでは、更新以前に既にインストールされてしまったマルウェアや永続化の仕組みは除去されません。
侵害の可能性を調査するセキュリティチームは、Proofpointが特定した以下の痕跡(indicator)を確認するとよいでしょう。
- chrome.exeがcmd.exeを起動し、続けてcurl.exeとmsgbox.exeを実行する動き
- %TEMP%内のChromeUpdate.exeまたはmsgbox.exe、およびC:\Users\Public\stomp_extフォルダ
- EdgeCore_AutoUpdate、MicrosoftEdgeUpdatesTaskMachine、Avpcheckup、GeForceServiceといった名前のスケジュールタスク
Proofpointは、BlueMoonのJavaScriptローダーおよび指揮統制(C2)通信を検知するためのルールも公開しています。同社は、このキットが今後さらに多くのスパイ活動集団や金銭目的の攻撃者にも広がると見ており、標的となった可能性のある組織は、迅速なパッチ適用に加えて、それ以前に侵害を受けていないかエンドポイントを点検することを勧めています。
ブラウザを狙う脅威についてさらに知りたい方は、ChromeとEdgeを侵害後のバックドアに変える「PEEP」が、認証情報窃取・セッション乗っ取り・ホスト上でのコマンド実行をどのように行うかについての記事もご覧ください。
KJ
Kezia Jungco
Kezia Jungcoは、人工知能、データ分析、CRMソフトウェア、クラウドインフラ、サイバーセキュリティ、そして新興のビジネステクノロジーを専門とするテクノロジーライター兼リサーチャーです。ソフトウェアプラットフォームやテクノロジーソリューションの評価において5年以上の経験を持ち、ビジネスリーダーが今後の働き方を形作るツールやトレンドを理解する手助けをしています。
Keziaは、生成AIプラットフォーム、チャットボット、自然言語処理(NLP)ツール、CRMシステム、業務用ソフトウェアの実地テストと分析において豊富な経験を持っています。彼女の仕事は、複雑なテクノロジーを実践的な知見へと翻訳し、テクノロジー導入、業務効率化、デジタルトランスフォーメーションについて組織が的確な判断を下せるよう支援することに主眼を置いています。
TechnologyAdviceのスタッフライターとして、KeziaはAIイノベーション、機械学習のビジネス応用、データ駆動型テクノロジー、クラウドコンピューティング、サイバーセキュリティ、セールステクノロジーを担当しています。ジャーナリズム、リサーチ、教育分野での経歴を活かし、厳密な分析と、企業・一般読者双方にとって分かりやすい明快な記事執筆を両立させています。
Keziaはフィリピン大学ロスバニョス校で開発コミュニケーション学の学士号(開発ジャーナリズム専攻)を取得しています。また、人工知能、データプライバシー、情報セキュリティに関する専門トレーニングも修了しています。彼女の記事は、TechnologyAdvice、TechRepublic、eWeek、Datamation、Selling Signalsなどに掲載されており、急速に変化するテクノロジーの世界を読者が実践的かつ調査に基づいた形で理解できるよう手助けしています。
翻訳元: https://www.esecurityplanet.com/threats/news-bluemoon-chrome-windows-exploit-kit/
