Китайские шпионские группы быстро внедрили эксплоит‑кит BlueMoon, использующий уязвимости Chrome и Windows

Исследователи из компании Proofpoint в начале сентября 2026 года объявили о появлении нового эксплоит‑кита под кодовым названием BlueMoon. Инструмент объединяет сразу три критических уязвимости – две в JavaScript‑движке V8 браузера Chrome и одну в подсистеме межпроцессного взаимодействия Windows – и уже оказался в арсенале минимум четырёх шпионских группировок, большинство из которых связывают с Китаем.

Технически BlueMoon использует цепочку из трёх CVE. Сначала атакующие задействуют недавно исправленную ошибку типа type confusion (CVE‑2026‑85046) в V8, позволяющую выполнить произвольный код. Затем применяется свежая уязвимость обхода песочницы V8 (CVE‑2026‑87491), после чего активируется баг в механизме ALPC Windows (CVE‑2026‑85880), дающий повышение привилегий до уровня системы. По умолчанию набор команд скачивает исполняемый файл через curl в каталог %TEMP% и сразу запускает его.

Первая зафиксированная атака с использованием BlueMoon произошла 28 августа 2026 года, когда китайская группировка TA412 (известная также как JungleBamboo, Violet Typhoon и APT31) нацелилась на американские некоммерческие организации, горнодобывающие компании и фирмы, торгующие сырьевыми товарами. Через несколько дней аналогичный набор эксплоитов был использован группировкой UNK_LateNight против аэрокосмических компаний США, при этом в заражённые системы внедрялся бэкдор ShadowPad. Другие группы – UNK_DoubleCheck и UNK_QuietRacket – атаковали производственное предприятие во Вьетнаме и финансово‑консалтинговые организации в Индонезии и Сингапуре соответственно; последние также приписываются к Китаю, тогда как происхождение UNK_DoubleCheck остаётся неизвестным.

Особое внимание аналитиков привлекла скорость, с которой BlueMoon распространился. Обычно полноценные цепочки эксплоитов для Chrome требуют длительной разработки и применяются избирательно, однако в данном случае один и тот же набор уязвимостей оказался доступен нескольким группировкам в течение нескольких дней. Эксперты связывают это с так называемым «промежутком патча»: исправления появляются в открытом коде Chromium задолго до их выхода в стабильные версии Chrome, Edge и прочих браузеров, давая злоумышленникам время на реверс‑инжиниринг и подготовку эксплоита.

В отчёте также отмечено, что в коде BlueMoon присутствуют подробные диагностические логи, комментарии по итерациям отладки и ссылки на markdown‑файл, что может указывать на участие ИИ‑агентов в его создании. По мнению специалистов, набор будет продолжать расширяться и со временем может попасть в руки финансово‑мотивированных групп, что повышает риски для компаний по всему миру.