一套几乎相同的漏洞利用工具包正被至少四个黑客组织积极使用，该工具包针对基于Chromium的浏览器以及旧版Windows系统中的关键漏洞，其中部分组织与中国政府有关联。
安全公司Proofpoint的研究人员周三表示，他们将该工具包命名为"BlueMoon"，它将三个漏洞串联起来，使使用该工具包的攻击者能够安装任意恶意软件。BlueMoon利用了两个Chromium漏洞和一个存在于Windows 10、Windows 22以及Windows 11初始版本内核中的漏洞。这三个漏洞均已在过去24小时内获得补丁修复。
快速部署，广泛传播
此次攻击缺乏许多攻击行动中常见的隐蔽性。通常情况下，黑客希望谨慎地利用新发现的漏洞，以延长其可用时间。Proofpoint推测，该漏洞利用链被广泛使用且高调曝光的一个原因，可能是为了利用Chromium供应链中存在的"补丁差距"——即开发者发布补丁的时间，与该补丁被实际整合进Chrome、Edge等浏览器之间的时间差。另一个可能的因素是AI的使用，AI往往能比单纯依靠人工发现更快地识别出漏洞。
这两个因素很可能促使攻击者在机会窗口关闭之前迅速采取行动。Proofpoint表示：
"一套完全武器化的Chrome漏洞利用链历来都是一项高价值、稀有的能力。BlueMoon的开发和部署速度极快，并在数天内被多个威胁行为者共享使用，这种方式留下了大量高检测信号的痕迹。这可能反映出，随着AI智能体日益推动威胁行为者的漏洞利用开发，此类能力的门槛和成本正在降低。这一点对于像Chromium这样的开源代码库尤其重要，因为上游补丁在下游代码库使用者应用补丁之前就已公开可访问。这为威胁行为者创造了一个窗口，使其能够在下游稳定版本发布之前，快速对补丁进行逆向工程并开发出漏洞利用程序。"
这四个组织攻击了范围广泛的机构和公司，具体情况如下：
TA412是一个与中国关联的国家支持型威胁行为者，2024年美国政府以代表中国民用对外情报机构的名义对其提起诉讼，该组织多次攻击专注于非政府组织、矿业公司以及美国实体商品交易公司的机构。
UNK_LateNight是另一个与中国关联的间谍活动组织，其目标为多家美国航空航天公司。
第三个组织UNK_DoubleCheck，其攻击目标是一家越南制造企业。
UNK_QuietRacket的活动目标为新加坡和印度尼西亚。
首次攻击来自TA412，始于8月28日。其余攻击则始于本月早些时候。Proofpoint表示，目前尚不清楚是否还有其他组织也获得了该漏洞利用工具包。
两个针对Chrome的漏洞均存在于V8中，即谷歌的开源JavaScript引擎。攻击者通过利用一个V8类型混淆漏洞以及V8中一个单独的沙盒逃逸漏洞，得以执行远程代码。随后，他们利用旧版Windows系统中的一个本地权限提升漏洞，使恶意代码能够以系统权限运行。第一个V8漏洞被编号为CVE-2026-85046，Windows漏洞被编号为CVE-2026-85880。谷歌并未为V8沙盒逃逸漏洞分配CVE编号。
Proofpoint表示："这两个V8漏洞在被观察到活动发生时，均属于'补丁差距'型零日漏洞。换句话说，尽管这些漏洞是已知漏洞，并已在公开的上游Chromium源代码中得到修复，但它们在面向公众发布的Chrome及基于Chromium浏览器的最新稳定版本中仍未得到修补。该漏洞利用工具包的开发者很可能正是利用了这些公开可获取的Chromium补丁，将浏览器漏洞利用链武器化。"
尽管BlueMoon留下了大量表明其正被使用的痕迹，且三个漏洞均已修复，但Proofpoint表示该工具包可能仍会继续被使用。研究人员表示："鉴于其易于被采用的特性，随着已修补版本在所有基于Chromium的浏览器中全面推广，该工具包很可能会进一步扩散，并被间谍动机和经济利益驱动的威胁行为者所采用。"
Q&A
Q1：BlueMoon漏洞利用工具包是什么？
A：BlueMoon是安全公司Proofpoint发现并命名的一套漏洞利用工具包，它将三个漏洞串联起来，攻击者可借此安装任意恶意软件，主要针对基于Chromium的浏览器和旧版Windows系统。
Q2：BlueMoon利用了哪些具体漏洞？
A：BlueMoon利用了两个Chromium的V8引擎漏洞（类型混淆漏洞和沙盒逃逸漏洞）以及一个Windows内核本地权限提升漏洞，编号分别为CVE-2026-85046和CVE-2026-85880，目前均已修复。
Q3：使用BlueMoon工具包的黑客组织有哪些？
A：目前已发现至少四个组织使用该工具包，分别是TA412、UNK_LateNight、UNK_DoubleCheck和UNK_QuietRacket，其中部分组织与中国政府有关联，攻击目标涉及美国、越南、新加坡和印度尼西亚等地的多家机构。
