BlueMoonエクスプロイトキット、ChromeとWindowsの最新ゼロデイを連鎖悪用

複数のサイバースパイグループが、BlueMoonと呼ばれる新種のエクスプロイトキットを使用していることが、サイバーセキュリティ企業Proofpointの報告で明らかになりました。展開の様子は場当たり的かつ急ごしらえに見えるということです。

中国と関係が深いAPTグループ「Violet Typhoon」（APT31、JungleBamboo、TA412、Tide Castleとしても知られる）が、8月28日に最初にこれを使用しました。それから数日のうちに、他の複数の中国系脅威アクターも使用を開始しましたが、この活動は中国系グループだけに限られたものではない可能性があります。

「複数の異なる脅威アクターがどのようにしてこのエクスプロイトキットを入手したのかは、現時点では不明です。導入のしやすさを考えると、今後さらに拡散し、スパイ目的や金銭目的の脅威アクターに広く採用される可能性が高いでしょう」とProofpointは指摘しています。

BlueMoonエクスプロイトキットが急速に採用された理由は、初出時点でパッチが未適用だった3件の脆弱性——Chromeのゼロデイ2件とWindowsのゼロデイ1件——を連鎖させている点にあります。

CVE-2026-85046およびCVE-2026-87491として追跡されているこれらのChromeの欠陥は、それぞれ9月3日と9月8日にゼロデイとして修正パッチが提供されました。いずれもV8 JavaScriptおよびWebAssemblyエンジンに影響するものです。

CVE-2026-85880として追跡されているWindowsのゼロデイは、2026年9月の月例パッチ（Patch Tuesday）で修正されました。これはWindowsのAdvanced Local Procedure Call（ALPC）における権限昇格の脆弱性です。

Proofpointによると、BlueMoonはまずV8の欠陥を悪用してサンドボックスを脱出し、ホストの情報を収集した上で権限昇格コードを実行します。続いて、親プロセスであるChromeブローカープロセスにCreateProcessスタブを注入し、curlコマンド経由で実行ファイルをダウンロードして実行させる仕組みです。

Proofpointは、BlueMoonのパッケージングにはいくつかのバリエーションが存在することを確認していますが、いずれも同一のエクスプロイトチェーンを基盤としており、オーケストレーションとロード機構も同一だとしています。

回収された開発関連の痕跡からは、このエクスプロイトキットの開発者がAIを利用して構築した可能性がうかがえますが、Proofpointは「単独でこれを決定的に裏付ける痕跡は存在しない」としています。

BlueMoonは当初、Violet Typhoonによって、米国のNGOのほか、鉱業関連団体や現物商品取引企業を標的とした攻撃に使用されていました。

9月2日以降は、UNK_LateNightとして追跡されている中国系の第2のスパイグループが、米国の複数の航空宇宙企業に対してこれを使用し、UNK_DoubleCheckとして追跡されている脅威アクターはベトナムの製造業組織を標的にしました。

翌日には、中国のスパイグループUNK_QuietRacketが、インドネシアとシンガポールの政府機関、コンサルティング企業、金融機関を狙った攻撃でこれを使用し始めました。

「BlueMoonは開発され、迅速に展開され、検知シグナルが多く発生する形で複数の脅威アクターの間で数日のうちに共有されました。これは、AIエージェントが脅威アクターによるエクスプロイト開発をますます後押しする中で、この種の能力を手に入れるコストと参入障壁が低下していることを反映しているのかもしれません」とProofpointは述べています。