BlueMoon Exploit Kit kombiniert Chrome- und Windows-Schwachstellen

Ein neu dokumentiertes Exploit Kit namens BlueMoon wird laut einem Bericht von Proofpoint von mehreren Spionagegruppen genutzt, um kürzlich gepatchte Schwachstellen in Google Chrome und Microsoft Windows zu verketten. Das Kit kombiniert zwei Browser-Fehler mit einer lokalen Windows-Privilegieneskalation, um stillschweigend Überwachungs- und Zugangsdaten-stehlende Malware zu installieren. Die erste bekannte Nutzung in freier Wildbahn wurde der China-nahen Gruppe APT31 am 28. August 2026 zugeschrieben, und innerhalb weniger Tage begannen mehrere andere Cluster, die meisten mit vermutetem China-Bezug, dasselbe Kit zu verwenden.

Die Exploit-Kette nutzt drei Schwachstellen: CVE-2026-85046, einen Typverwechslungsfehler in Chromes V8-JavaScript-Engine; CVE-2026-87491, einen Out-of-Bounds-Fehler in V8, der zu einem Sandbox-Ausbruch führen kann; und CVE-2026-85880, einen Heap-basierten Pufferüberlauf in Windows Advanced Local Procedure Call (ALPC). Google hat CVE-2026-85046 letzte Woche gepatcht, Microsoft hat CVE-2026-85880 in seinen September 2026 Patch Tuesday-Updates behoben, und Proofpoint teilte The Hacker News mit, dass Google am 8. September 2026 einen Patch für CVE-2026-87491 veröffentlicht hat. Bemerkenswert ist, dass beide V8-Fehler "Patch-Gap"-Zero-Days waren: Sie waren bereits im öffentlichen Upstream-Chromium-Quellcode behoben, aber noch nicht in den stabilen Versionen von Chrome und anderen Chromium-basierten Browsern angekommen, als Angreifer begannen, sie zu nutzen.

Proofpoint sagte, der Exploit-Entwickler habe wahrscheinlich die öffentlichen Chromium-Patches genau beobachtet, um die Browser-Kette zusammenzustellen, bevor diese Fixes an die Nutzer ausgeliefert wurden. Angriffsketten beginnen mit Phishing-E-Mails, die Ziele auf eine von Angreifern kontrollierte URL locken. Diese Seite löst nacheinander die beiden V8-Fehler aus, um Code auszuführen und die Browser-Sandbox zu verlassen, und nutzt dann den Windows-ALPC-Fehler, um höhere Privilegien zu erlangen. Mit diesen Privilegien fügt ein Shellcode-Injektor einen CreateProcess-Stub in den übergeordneten Chrome-Broker-Prozess ein und führt einen vom Angreifer angegebenen Befehl aus; standardmäßig lädt der Befehl eine ausführbare Datei mit curl herunter und führt sie aus. Vor der lokalen Privilegieneskalation verwendet das Kit eine reflektiv geladene DLL, um den Windows-Host zu fingerprinten, damit das JavaScript des Exploit Kits entscheiden kann, ob dieser Schritt versucht werden soll.

Die Proofpoint-Forscher Mark Kelly, Greg Lesnewich, Konstantin Klinger, Saher Naumaan, Julia Paluch, David Galazin und Stuart Del Caliz beobachteten mehrere Varianten von BlueMoon. Einige Varianten entfernten Kommentare oder verschleierten Komponenten; andere fügten kampagnenspezifische Landing Pages, Weiterleitungen, browser-seitige Betriebssystemprüfungen oder zusätzliche Telemetrie hinzu, aber die zugrunde liegende Exploit-Kette blieb gleich. Vier Aktivitätscluster werden beschrieben. APT31 verwendete ab dem 28. August Spear-Phishing-Köder gegen Nichtregierungsorganisationen, Bergbauunternehmen und physische Rohstoffhandelsfirmen in den Vereinigten Staaten. Seine BlueMoon-Bereitstellung lud einen Loader herunter, der eine bösartige Browser-Erweiterung installierte, die als Google Gemini getarnt war, und nutzte dabei einen Chrome-Erweiterungsintegritäts-Bypass namens GhostChrome-X. Diese Erweiterung mit dem Namen GemStone fungiert als Browser-Überwachungs- und Zugangsdaten-Diebstahl-Backdoor, die über einen Command-and-Control-Kanal (C2) gesteuert wird. UNK_LateNight, ein China-nahes Cluster, zielte ab dem 2. September auf mehrere US-Luft- und Raumfahrtunternehmen und nutzte BlueMoon, um die ShadowPad-Backdoor über DLL-Sideloading zu liefern, eine Technik, die ein Programm dazu bringt, eine bösartige Hilfsdatei anstelle der legitimen zu laden. UNK_DoubleCheck zielte am 2. September auf ein vietnamesisches Fertigungsunternehmen; es hostete BlueMoon auf einer Cloudflare Workers-Domain und nutzte einen DLL-Sideloading-Angriff, um eine Rust-Binärdatei abzulegen, die dann ein zweites DLL-Sideloading-Paar von einem Cloudflare R2 Bucket abrief und ausführte. UNK_QuietRacket, ein China-nahes Cluster, das ab dem 3. September aktiv war, zielte auf Regierungs-, Beratungs- und Finanzsektororganisationen in Indonesien und Singapur. Sein modifiziertes BlueMoon lud ein DLL-Sideloading-Paar herunter, und die bösartige DLL verwendete Cloudflare Workers-Domains, um eine .NET-Assembly im Speicher abzurufen und auszuführen; diese In-Memory-Payload erstellte eine geplante Aufgabe, damit die Malware Neustarts überlebt.

Proofpoint sagte, die Quellcode-Artefakte enthielten umfangreiche Protokollierung und ausführliche Kommentare, die darauf hindeuten, dass die Malware möglicherweise mit Hilfe von KI-Tools entwickelt wurde. Die Artefakte verweisen auch wiederholt auf v8CTF, ein exploit-fokussiertes Schwachstellen-Belohnungsprogramm und Capture-the-Flag-Wettbewerb, den Google gegen die V8-Engine durchführt. Es ist nicht bekannt, ob die V8-Exploits tatsächlich für v8CTF entwickelt wurden oder ob diese Rahmung verwendet wurde, um die Schutzmaßnahmen großer Sprachmodelle zu umgehen. Proofpoint sagte auch, dass derzeit unbekannt ist, wie mehrere verschiedene Bedrohungsakteure Zugang zu BlueMoon erhielten. Das Unternehmen warnte, dass die einfache Übernahme des Kits eine weitere Verbreitung sowohl unter spionage-motivierten als auch finanziell motivierten Akteuren wahrscheinlich macht, sobald gepatchte Versionen vollständig über Chromium-basierte Browser ausgerollt sind. "Eine vollständig weaponisierte Chrome-Exploit-Kette war historisch eine hochwertige, seltene Fähigkeit", sagte Proofpoint. "BlueMoon wurde entwickelt, schnell eingesetzt und innerhalb weniger Tage auf eine Weise zwischen mehreren Bedrohungsakteuren geteilt, die hohe Erkennungssignale aufwies." Der Bericht deutet auf reduzierte Kosten und Eintrittsbarrieren für diese Art von Fähigkeit hin, da KI-Agenten zunehmend die Exploit-Entwicklung von Bedrohungsakteuren ermöglichen, insbesondere für Open-Source-Codebasen wie Chromium, wo Upstream-Patches öffentlich sind, bevor Downstream-Browser sie anwenden.

Die U.S. Cybersecurity and Infrastructure Security Agency (CISA) hat alle drei Schwachstellen in ihren Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen und den US-Bundesbehörden Fristen gesetzt: 18. September für CVE-2026-85046, 22. September für CVE-2026-85880 und 23. September für CVE-2026-87491. Allerdings schließt das Aktualisieren des Browsers nur den Weg hinein; es entfernt keine Artefakte, die bereits installiert wurden. Die GemStone-Erweiterung und die von anderen Clustern erstellten geplanten Aufgaben überleben einen Patch. Proofpoint listete spezifische Anzeichen auf, die betroffene Organisationen prüfen sollten: einen Prozessbaum, der zeigt, wie chrome.exe cmd.exe startet, dann curl.exe, dann msgbox.exe; Dateien ChromeUpdate.exe oder msgbox.exe im Windows-%TEMP%-Ordner; einen Ordner namens C:\Users\Public\stomp_ext; geplante Aufgaben namens EdgeCore_AutoUpdate, MicrosoftEdgeUpdatesTaskMachine, Avpcheckup oder GeForceService; einen Mutex namens Dataupcheckinfo; und einen Registrierungsschlüssel unter HKCU\SOFTWARE\Classes\CLSID\{5D4CFCB7-222C-4CA3-96B6-1F8195FBBB4B}\InprocServer32. Proofpoint hat auch Erkennungsregeln für den JavaScript-Loader und C2-Verkehr des Kits veröffentlicht, nummeriert von Signature IDs 2071919 bis 2071924.

Für Website-Besitzer zeigt die Exploit-Kette, warum clientseitiges Browser-Patching und hostseitiges Server-Patching zusammen erfolgen müssen; während AEU Hosting verwaltetes WordPress-Hosting bietet, das Ende-zu-Ende abgesichert ist und das serverseitige Risiko reduzieren kann, müssen einzelne Besucher ihre eigenen Browser weiterhin aktualisieren, da dieser Angriff auf ihren Geräten und nicht auf dem Webserver ausgeführt wird.