BlueMoon: кібератаки на Windows 10/11 через Chrome

Кость Могилевський
-

Групи хакерів розгорнули новий інструментарій під назвою “BlueMoon”, який використовує низку вразливостей у браузері Google Chrome та операційних системах Windows 10 і Windows 11 для виконання віддалених команд та крадіжки даних. Про це повідомляє ресурс bleepingcomputer, посилаючись на дані компанії з кібербезпеки Proofpoint.

Деталі атаки “BlueMoon”

За даними Proofpoint, з 28 серпня поточного року помічено активність групи JungleBamboo (також відомої як APT31, Violet Typhoon), яка використовує цей інструментарій. Пізніше, 1 вересня, компанія Volexity виявила схожі атаки, які були віднесені до групи UTA0560. Ці атаки переважно спрямовані на некомерційні організації.

Вразливості, що використовуються

Набір інструментів “BlueMoon” ефективно поєднує три вразливості:

  • CVE-2026-85046: Типова неузгодженість у JavaScript-рушії V8 браузера Chrome. Ця вразливість дозволяє зловмисникам отримати довільний доступ до пам’яті всередині пісочниці V8.
  • CVE-2026-87491: Вразливість, що дозволяє уникнути пісочниці V8. Вона може пошкодити метадані WebAssembly та виконати вбудований shellcode.
  • CVE-2026-85880: Переповнення буфера купи в Windows ALPC. Ця вразливість використовується для локального підвищення привілеїв у системі.

Методи розповсюдження

Атаки розповсюджуються за допомогою фішингових листів, які маскуються під теми, що стосуються пожертв, ділових пропозицій, обміну файлами або запрошень на зустрічі. Метою є обманом змусити користувачів завантажити та запустити шкідливі файли.

Процес виконання

Після зараження “BlueMoon” запускає експлойти в Web Worker, намагаючись до 5 разів. Інструмент ідентифікує пристрій жертви, а потім використовує вразливості Windows для підвищення привілеїв рендерера Chrome. Далі він впроваджується в батьківський процес Chrome і виконує команди, надані оператором.

За замовчуванням, окрім підвищення привілеїв, фінальна команда використовує утиліту curl для завантаження виконуваного файлу. Цей файл зазвичай є завантажувачем шкідливого програмного забезпечення, який зберігається в каталозі %TEMP% і потім запускається.

Розробка експлойтів

Дослідники зазначають, що розробники таких інструментаріїв використовують період між публікацією виправлень у Chromium та випуском стабільних версій Chrome. Вони займаються реверс-інжинірингом змін у коді та створюють на їх основі експлойти.

Джерело: https://www.ithome.com/1/001/183.htm

ПОВ'ЯЗАНІ СТАТТІЩЕ ВІД АВТОРА