「BlueMoon」攻撃は3つの高深刻度のChromeおよびWindowsの脆弱性を連鎖させるもので、高度な悪用手法がより迅速かつ再利用可能になりつつあることへの懸念が高まっています。
新たなエクスプロイトキットが、「後で修正すればいい」という考え方の危険性を浮き彫りにしています。
Proofpoint Threat Researchチームによると、スパイ活動を目的とする脅威アクターが新たな悪意あるツールキットを使い、Chromeブラウザと Microsoft Windowsの4つの脆弱性を連鎖させることで、標的型スピアフィッシングキャンペーンを展開しているといいます。
ProofpointはGoogleのThreat Intelligence Group、MicrosoftのThreat Intelligence Center、そしてサイバーセキュリティ企業Volexityとともにこの新たな攻撃手法を調査し、「BlueMoon」と名付けました。
Proofpointは「BlueMoonは開発から迅速な展開、そして複数の脅威アクター間での共有までがわずか数日のうちに行われ、その過程で高い検知シグナルを発していました」と指摘しています。これは、AIエージェントを使って自らの手口を強化する攻撃者が増える中、低コストかつ低いハードルで攻撃に参入できる手段を提供するものです。
BlueMoonの攻撃チェーン
BlueMoonは、ChromeおよびChromiumベースのブラウザに存在する3つの異なる脆弱性を連鎖させます。Chromiumのオープンソースの V8 JavaScriptエンジンにおけるタイプコンフュージョンの脆弱性(CVE-2026-85046)、WebAssemblyの欠陥に起因するV8サンドボックスエスケープ(CVE-2026-87491)、そして旧バージョンのWindowsビルドに存在するWindowsカーネルのローカル権限昇格(LPE)ゼロデイ(CVE-2026-85880)の3つです。いずれも深刻度は「高」に分類されています。
Info-Tech Research GroupのシニアリサーチアナリストであるSeva Ioussoufovitch氏の説明によると、CVE-2026-85046とCVE-2026-87491を連鎖させることで、攻撃者はフィッシングリンクのクリック一つでChrome内で任意のコードを実行できるようになるといいます。さらにCVE-2026-85880を組み合わせることで、旧バージョンのWindows(Windows 10 22H2、Windows 11 21H2)上でWindowsカーネルのエクスプロイトを利用して権限を昇格させ、「被害の規模を飛躍的に拡大させる」としています。
「つまりBlueMoonを使えば、脅威アクターはワンクリックでWindowsの完全な管理者権限を手に入れ、エンドポイントに好きなマルウェアをインストールできてしまうのです」とIoussoufovitch氏は述べています。
2つのV8脆弱性はいずれも「パッチギャップ」型のゼロデイです。Proofpointの説明によれば、これらは既に把握されており、公開されている上流のソースコードでは修正済みだったものの、その後の Chromeおよび Chromiumベースブラウザの安定版リリースには修正が反映されないままになっていたといいます。
CVE-2026-85046は、8月4日にセキュリティ研究者によって初めてChromiumプロジェクトに報告されました。修正はGoogle ChromeやChromiumベースブラウザの基盤となっているオープンソースのChromiumコードベースに追加されました。しかし、その修正が新しいバージョンのGoogle Chromeにはまだ反映されていなかったため、研究者らが「異例のパッチギャップ」と呼ぶ状況が生まれました。
Ioussoufovitch氏の説明によれば、その間、AIによってエクスプロイトキットの構築能力が「驚異的なスピードで加速」している脅威アクターたちは、オープンソースのコードベースからエクスプロイトをリバースエンジニアリングし、これまでは妥当と思われていたパッチギャップを悪用する時間を十分に得ていた可能性が高いといいます。
「攻撃者の動きは以前より速くなっており、パッチの適用が1日遅れるごとに、これまで以上に大きなリスクを背負うことになります」と同氏は述べています。
Proofpointの脅威分析チームは、Chromiumのソースコードレベルでは既知でありパッチも公開されている「Nデイ」脆弱性だったものが、実質的にGoogle Chromeにおいては未知の「ゼロデイ」脆弱性として機能していたと指摘し、「これまで、完全に武器化されたChromeのエクスプロイトチェーンは、価値が高く希少な能力とされてきました」と述べています。
信頼関係を築いて被害者をスピアフィッシングする手口
ある事例では、中国と関係の深い国家支援型の脅威アクターが、BlueMoonキットを使って、米国内のごく少数の非政府組織(NGO)、鉱業会社、実物商品取引企業を狙いました。
彼らはさまざまな誘い文句を用いてスピアフィッシングキャンペーンを展開しました。組織へのインターンシップに関心を持つ大学生を装ったり、今後開催されるカンファレンスに関する連絡を装ったり、さらには「標的ごとに個別に信頼関係を築くようなやり取り」を行い、一部のユーザーをだましてフィッシングリンクをクリックさせました。クリックしたユーザーは攻撃者が管理するドメインに誘導され、数秒間読み込み中の画面を表示される間に攻撃者側でエクスプロイトが試みられ、その後(GitHubなど)正規のウェブサイトへとリダイレクトされました。
この特定のキャンペーンは8月28日に始まり、Proofpointの説明によれば「数日のうちに、他の複数のスパイ活動目的のクラスターもBlueMoonを使い始め、その大半には中国との関連が疑われる」といいます。
Proofpointは、BlueMoonが「今後さらに拡散し、スパイ活動を目的とするアクターと金銭目的のアクターの双方に採用される可能性が高い」と予測しています。
SwimlaneのリードセキュリティオートメーションアーキテクトであるNick Tausek氏も同様の見解を示し、BlueMoonが4つの異なる攻撃クラスターで使用されていたという事実は、これが「特化型の兵器というよりも、再利用可能なインフラのように見える」と述べています。
同氏は、利用範囲の広がりが必ずしも攻撃者側の余力不足を意味するわけではないと指摘します。「モジュール式のエクスプロイトキットを使えば、攻撃チェーンをゼロから作り直すことなく、異なるグループがそれぞれ異なる目的を追求できるようになります」と同氏は述べています。さらに、一つのエクスプロイト経路が、まったく異なるリスクプロファイルを持つ複数の業界にまたがって出現することもあり得るとしています。
「BlueMoonは広範囲に網を張るかもしれませんが、防御側は依然として、それがどこで被害者に最も大きな打撃を与えうるかを把握しておく必要があります」とTausek氏は述べています。
Ioussoufovitch氏は、今回の具体的な攻撃に対する対策はシンプルだと指摘します。ChromeとWindowsを直ちにパッチ適用すること、Proofpointが提供している検知ルールを適用すること、そしてこのキットに関連するアーティファクトがないか、インフラを再スキャンすることです。というのも、Chrome拡張機能、スケジュールされたタスク、レジストリキーなど、BlueMoonによってインストールされたものは、パッチを適用しても削除されないためです。
「より広い視点で見れば、業界全体が高い警戒レベルを維持し続ける必要があります」と同氏は述べています。ベンダー各社のパッチ適用speedが速まっている以上、組織側もそれに応じてパッチ適用の頻度を高める必要があります。
これらの攻撃の多くは依然としてソーシャルエンジニアリングを通じて悪用されているため、Ioussoufovitch氏は意識向上トレーニングも重要だと述べています。しかし同氏は「現実的には、AIの進歩のペースを考えると、ユーザーの意識向上トレーニングだけでは分が悪い戦いになりつつあります」と認めています。
