新型 "BlueMoon" 工具包利用了 Windows 和 Chrome 零日漏洞

多个网络间谍组织部署了一个名为 "BlueMoon" 的漏洞利用工具包，它利用了 Microsoft Windows 和 Google Chrome 中的零日漏洞。

BlueMoon 将基于 Chromium 的浏览器中两个允许远程代码执行和沙箱逃逸的安全问题，与 Windows 中的一个内核本地权限提升漏洞结合在一起。

该工具包似乎是一个共享的模块化工具，支持添加漏洞利用，并被用于不同的行动中。

企业网络安全公司 Proofpoint 的研究人员观察到，BlueMoon 自 8 月 28 日起被用于归因于与中国有关的 JungleBamboo（又名 APT31、Violet Typhoon、Tide Castle）威胁行为者的鱼叉式钓鱼行动中。

网络安全和威胁情报公司 Volexity 也在 9 月 1 日观察到了类似活动，来自其追踪为 UTA0560 的另一个行为者的攻击活动，该活动针对"多家非政府组织 (NGO) 的客户"。

据研究人员称，BlueMoon 的开发者维护者利用公开 Chromium 修复与稳定版 Chrome 发布之间的延迟，逆向工程公开的代码更改，并创建漏洞利用以针对下游浏览器用户。

BlueMoon 漏洞利用工具包串联的三个漏洞是：

• CVE-2026-85046：Chrome V8 JavaScript 引擎中的一个类型混淆漏洞，可在 V8 沙箱内提供任意内存访问
• CVE-2026-87491：一个 V8 沙箱逃逸漏洞，通过破坏 WebAssembly 元数据来运行嵌入的 shellcode
• CVE-2026-85880：Windows ALPC 中的一个基于堆的缓冲区溢出漏洞，允许本地权限提升

Proofpoint 表示，攻击者将 CVE-2026-85880 作为典型的零日漏洞利用，怀疑它自 2025 年以来就已被利用，并在 BlueMoon 中被重新打包。

"该 LPE DLL 的编译时间戳来自 2025 年，且似乎并未被伪造，"Proofpoint 解释道。

"这一点——结合该漏洞利用针对较旧的 Windows 构建——表明漏洞利用创建者将一项现有能力重新打包进了 BlueMoon 漏洞利用工具包。"

BlueMoon 在一个 Web Worker 中运行该漏洞利用，最多重试五次。它对系统进行指纹识别，利用 Windows 权限提升漏洞提升 Chrome 渲染器的权限，并注入到 Chrome 的父进程中以运行操作员选择的命令。

默认的最终命令使用 curl 将一个可执行文件（通常是恶意软件加载器）保存到 %TEMP% 下并运行它。

威胁组织和目标

来自 Volexity 和 Proofpoint [1, 2] 的报告识别出四个与 BlueMoon 部署相关的不同活动集群，其中三个被描述为中国或与中国结盟。

JungleBamboo 是首个被观察到使用 BlueMoon 的中国国家支持行为者，以针对美国的 NGO、矿业公司和个别高价值目标而闻名，使用伪装成 Google Gemini 的 Longtale/GemStone 凭据窃取扩展。

第二个黑客组织是 UTA0560，它使用捐款诱饵针对 NGO，并触发一条感染链，投递 Grimwedge，这是一个用于侦察、文件和进程管理、命令执行以及有效载荷上传的内存 JScript 后门。

第三个集群被追踪为 UNK_LateNight，以在美国航空航天和国防工业基础公司的系统上部署 ShadowPad 后门而闻名。

第四个组织被追踪为 UNK_DoubleCheck，使用一个内存 Rust 加载器针对越南制造企业，尽管最终有效载荷无法被获取以供分析。

Proofpoint 预计 BlueMoon 的采用和部署将会增加，未来可能扩展到以经济利益为动机的攻击者，因此建议防御者使用两份报告中提供的入侵指标来尽早阻止该活动。

这两家网络安全公司都分享了在使用 BlueMoon 漏洞利用工具包的攻击中观察到的文件和网络基础设施的入侵指标。