BlueMoon: кибератаки на Windows 10/11 через Chrome

Костя Могилевский
-

Группы хакеров развернули новый инструментарий под названием BlueMoon, который использует ряд уязвимостей в браузере Google Chrome и операционных системах Windows 10 и Windows 11 для выполнения удаленных команд и кражи данных. Об этом сообщает ресурс bleepingcomputer, ссылаясь на данные компании по кибербезопасности Proofpoint.

Детали атаки "BlueMoon"

По данным Proofpoint, с 28 августа текущего года подмечена активность группы JungleBamboo (также известной как APT31, Violet Typhoon), использующей этот инструментарий. Позже, 1 сентября, компания Volexity обнаружила схожие атаки, отнесенные к группе UTA0560. Эти атаки в основном направлены на некоммерческие организации.

Используемые уязвимости

Набор инструментов BlueMoon эффективно сочетает три уязвимости:

  • CVE-2026-85046: Типичная несогласованность в JavaScript-движке V8 браузера Chrome. Эта уязвимость позволяет злоумышленникам получить произвольный доступ к памяти внутри песочницы V8.
  • CVE-2026-87491: Уязвимость, позволяющая избежать песочницы V8. Она может повредить метаданные WebAssembly и выполнить встроенный shellcode.
  • CVE-2026-85880: Переполнение буфера кучи в Windows ALPC. Эта уязвимость используется для локального повышения привилегий в системе.

Методы распространения

Атаки распространяются с помощью фишинговых писем, которые маскируются под темы, касающиеся пожертвований, деловых предложений, обмена файлами или приглашений на встречи. Целью является обман заставить пользователей загрузить и запустить вредоносные файлы.

Процесс выполнения

После заражения BlueMoon запускает эксплойты в Web Worker, пытаясь до 5 раз. Инструмент идентифицирует устройство жертвы, а затем использует уязвимости Windows для повышения привилегий рендерера Chrome. Далее он внедряется в родительский процесс Chrome и выполняет команды, предоставленные оператором.

По умолчанию, кроме повышения привилегий, финальная команда использует утилиту curl для загрузки исполняемого файла. Этот файл обычно является загрузчиком вредоносного программного обеспечения, хранящимся в каталоге %TEMP% и затем запускается.

Разработка эксплойтов

Исследователи отмечают, что разработчики таких инструментов используют период между публикацией исправлений в Chromium и выпуском стабильных версий Chrome. Они занимаются реверс-инжинирингом изменений в коде и создают на их основе эксплойты.

Источник: https://www.ithome.com/1/001/183.htm

СВЯЗАННЫЕ СТАТЬИЕЩЕ ОТ АВТОРА