Blue Moon-ის ახალი ნაკრები Chrome-სა და Windows-ს ესხმის თავს

TA412 ჩინეთის სახელმწიფო უსაფრთხოების სამინისტროსთან არის დაკავშირებული. აშშ-ის ხელისუფლებამ ამ ჯგუფის შვიდი წევრი კომპიუტერულ შეჭრასა და თაღლითობაში დაადანაშაულა.

რამდენიმე დღის შემდეგ სხვა ჯაშუშური ჯგუფებიც დაიწყეს BlueMoon-ის გამოყენება. მათი უმრავლესობა ჩინეთთან არის დაკავშირებული. მკვლევარებმა განაცხადეს, რომ ნაკრები რამდენიმე დღეში შეიქმნა და გავრცელდა.

მარკ კელიმ აღნიშნა, რომ ეს ასახავს AI-ის გავლენას ექსპლოიტების შექმნაზე. ღია წყაროს კოდი, როგორიცაა Chromium, საშუალებას აძლევს თავდამსხმელებს სწრაფად შექმნან იარაღი.

Google-მა კომენტარი არ გააკეთა. Microsoft-მა Windows-ის ხარვეზი CVE-2026-85880 9 სექტემბერს გამოასწორა. კომპანიამ განაცხადა, რომ განახლებული მომხმარებლები დაცულები არიან.

პირველი ხარვეზი არის V8 ტიპის დაბნეულობა CVE-2026-85046. ის საშუალებას იძლევა დისტანციური კოდის შესრულებისა და ყველა Chromium-ზე დაფუძნებულ ბრაუზერს ეხება. Google-მა 3 სექტემბერს გამოასწორა. Microsoft-მა Edge-ის ვერსია 152.0.4191.62-ში გამოასწორა 2 სექტემბერს.

მეორე ხარვეზი არის Chrome V8 sandbox-ის გაქცევა. მას CVE არ აქვს, რადგან Google sandbox-ის გაქცევებს არ ანიჭებს CVE-ს.

მესამე ხარვეზი არის Windows-ის პრივილეგიების ამაღლების ხარვეზი Advanced Local Procedure Call-ში CVE-2026-85880. Microsoft-მა ის 9 სექტემბერს გამოასწორა და განაცხადა, რომ ხარვეზი zero-day სახით იყო გამოყენებული.

მკვლევარებმა აღნიშნეს, რომ ორივე V8 ხარვეზი patch-gap zero-day იყო. ცვლილება, რომელიც CVE-2026-85046-ს ასწორებდა, 7 აგვისტოს გაკეთდა Chromium-ის კოდში, მაგრამ საჯარო გამოშვებებში კვირების განმავლობაში არ გამოჩნდა.

მკვლევარებმა დაწერეს, რომ ექსპლოიტ ნაკრების შემქმნელმა საჯაროდ ხელმისაწვდომი Chromium-ის პაჩები გამოიყენა ბრაუზერის ექსპლოიტ ჯაჭვის შესაქმნელად.

თავდასხმები იწყება ფიშინგის ელფოსტით, რომელიც მსხვერპლს დააჭერინებს თავდამსხმელის მიერ კონტროლირებულ ბმულს. ორი V8 ხარვეზი საშუალებას იძლევა დისტანციური კოდის შესრულებისა და ბრაუზერის sandbox-იდან გაქცევის. შემდეგ Windows-ის ხარვეზი იყენებს მრავალი პეილოუდის ჩამოსატვირთად, მათ შორის ბრაუზერის მეთვალყურე მავნე პროგრამის, მონაცემების მპარავი backdoor-ების და სხვა.

TA412-ის პირველ კამპანიაში გამოიყენეს უნივერსიტეტის სტუდენტების სტაჟირების მოთხოვნის მიმზიდველები და უფრო სპეციფიკური გაცვლები. შედეგად დაინსტალირდა ბრაუზერის გაფართოება GemStone, რომელიც Google Gemini-ის სახით იმალებოდა.

GemStone-ის გაფართოება Proofpoint-ის თვალთვალში საშუალებას აძლევდა ბრძანებების გაცემას C&C არხით, ქუქიების და სხვა მონაცემების მოპარვას, ეკრანის ანაბეჭდების გადაღებას და keylogger-ის ინექციას ბრაუზერის ჩანართში. მავნე პროგრამა შეიცავს საკვანძო სიტყვების მონიტორს, რომელიც თითოეულ გვერდზე ინექციას უკეთებს თავდამსხმელის მიერ მითითებულ სიტყვებს და HTML-ს სკანირებს.