Групи хакерів розгорнули новий інструментарій під назвою “BlueMoon”, який використовує низку вразливостей у браузері Google Chrome та операційних системах Windows 10 і Windows 11 для виконання віддалених команд та крадіжки даних. Про це повідомляє ресурс bleepingcomputer, посилаючись на дані компанії з кібербезпеки Proofpoint.
Деталі атаки “BlueMoon”За даними Proofpoint, з 28 серпня поточного року помічено активність групи JungleBamboo (також відомої як APT31, Violet Typhoon), яка використовує цей інструментарій. Пізніше, 1 вересня, компанія Volexity виявила схожі атаки, які були віднесені до групи UTA0560. Ці атаки переважно спрямовані на некомерційні організації.
Вразливості, що використовуютьсяНабір інструментів “BlueMoon” ефективно поєднує три вразливості:
- CVE-2026-85046: Типова неузгодженість у JavaScript-рушії V8 браузера Chrome. Ця вразливість дозволяє зловмисникам отримати довільний доступ до пам’яті всередині пісочниці V8.
- CVE-2026-87491: Вразливість, що дозволяє уникнути пісочниці V8. Вона може пошкодити метадані WebAssembly та виконати вбудований shellcode.
- CVE-2026-85880: Переповнення буфера купи в Windows ALPC. Ця вразливість використовується для локального підвищення привілеїв у системі.
Атаки розповсюджуються за допомогою фішингових листів, які маскуються під теми, що стосуються пожертв, ділових пропозицій, обміну файлами або запрошень на зустрічі. Метою є обманом змусити користувачів завантажити та запустити шкідливі файли.
Процес виконанняПісля зараження “BlueMoon” запускає експлойти в Web Worker, намагаючись до 5 разів. Інструмент ідентифікує пристрій жертви, а потім використовує вразливості Windows для підвищення привілеїв рендерера Chrome. Далі він впроваджується в батьківський процес Chrome і виконує команди, надані оператором.
За замовчуванням, окрім підвищення привілеїв, фінальна команда використовує утиліту curl для завантаження виконуваного файлу. Цей файл зазвичай є завантажувачем шкідливого програмного забезпечення, який зберігається в каталозі %TEMP% і потім запускається.
Розробка експлойтівДослідники зазначають, що розробники таких інструментаріїв використовують період між публікацією виправлень у Chromium та випуском стабільних версій Chrome. Вони займаються реверс-інжинірингом змін у коді та створюють на їх основі експлойти.
Джерело: https://www.ithome.com/1/001/183.htm
