Як BlueMoon експлуатує Chrome CVE-2026-85046 та CVE-2026-87491

Резюме

Комплект експлойтів BlueMoon є високорозвиненою рамкою доставки шкідливого програмного забезпечення, що пов’язує дві вразливості JavaScript-движка V8 з експлойтом ядра Windows для виходу з пісочниць браузера. Він дозволяє розгортання декількох навантажень, включаючи GemStone, ShadowPad та кастомні завантажувачі на основі Rust, через спірфішинг-кампанії. Комплект експлойтів використовують кілька загрозливих кластерів, що зосереджені на шпигунстві, націлено проти організацій у США та Південно-Східній Азії.

Розслідування

Аналіз описує повний ланцюг експлуатації, починаючи з непогодженості типів V8 (CVE-2026-85046) та виходу з пісочниці (CVE-2026-87491), слідом за підвищенням привілеїв ядра через CVE-2026-85880. Дослідники відстежили, як прогресує виконання від процесу рендерера до материнського брокерського процесу браузера для виконання довільних команд. Розслідування також задокументувало поведінку навантажень, включаючи персистування розширення браузера GemStone та функціональність крадіжки даних ShadowPad.

Пом’якшення

Захисники повинні пріоритезувати патчування Chrome і Windows для усунення виявлених CVE, особливо тому, що експлойт ядра націлений на старіші версії Windows. Командам безпеки слід стежити за підозрілими встановленнями розширень браузера та несподіваними завантаженнями виконаних файлів, таких як msgbox.exe у каталозі %TEMP%. Організаціям також слід зміцнювати фільтрацію електронної пошти проти посилань з спірфішингом та відстежувати несанкціоновані заплановані завдання, такі як EdgeCore_AutoUpdate.

Відповідь

Коли виявляється активність BlueMoon, реагенти на інциденти повинні ізолювати уражений хост для запобігання додатковому виконанню навантажень та латеральному руху. Потрібно провести судову перевірку каталогу %TEMP% та профілів браузера для визначення скинутих файлів і шкідливих розширень. Перегляньте мережеві журнали для з’єднань із відомою інфраструктурою C2 та розслідіть несанкціоновані механізми персистування, включаючи новостворені ключі реєстру або заплановані завдання.

Виконання симуляції

• Опис атаки та команди: Противник намагається експлуатувати вразливість браузера для отримання підвищених привілеїв. У реальному сценарії це відбувається в пам’яті; однак, щоб перевірити це конкретне правило виявлення, ми будемо симулювати артефакти які шукає правило. Зловмисник виконує команду, що імітує поведінку, описану в дослідженні BlueMoon, включно з рядками “підвищує привілеї рендерера” та “Base64” для активації логіки.

• Скрипт регресійного тестування:

  # Скрипт симуляції для активації правила виявлення BlueMoon
  # Цей скрипт імітує командні рядки, які шукає правило.
  
  $ExploitCommand = "cmd.exe /c echo 'Виконання навантаження: Base64 код експлойту JavaScript' && echo 'Цей процес підвищує привілеї рендерера та вводить код у материнський брокерський процес браузера'"
  
  Write-Host "[!] Початок симуляції: Виконання команди для активації виявлення..."
  Start-Process cmd.exe -ArgumentList "/c $ExploitCommand" -Wait
  Write-Host "[+] Симуляція завершена."

• Команди очищення:

  # Постійні артефакти скрипту симуляції не створюються.
  # Просто перевірте, що немає несанкціонованих процесів.
  Get-Process | Where-Object {$_.CommandLine -like "*BlueMoon*"} | Stop-Process -Force -ErrorAction SilentlyContinue