ブルームーンがChromeのCVE-2026-85046およびCVE-2026-87491をどのように悪用するか

概要

BlueMoonエクスプロイトキットは、高度なマルウェア配信フレームワークであり、ブラウザサンドボックスから脱出するために、2つのV8 JavaScriptエンジンの脆弱性をチェーンし、Windowsカーネルエクスプロイトを使用します。GemStone、ShadowPad、カスタムRustベースのローダーを含む複数のペイロードの展開を可能にし、スピアフィッシングキャンペーンを通じて配信されます。このエクスプロイトキットは、米国および東南アジアの組織を標的とした複数のスパイ活動に焦点を当てた脅威クラスターによって使用されています。

調査

この分析は、V8型混乱（CVE-2026-85046）とサンドボックス脱出（CVE-2026-87491）に始まり、カーネル特権のエスカレーションを通じてCVE-2026-85880に続く完全なエクスプロイトチェーンを概説しています。研究者たちは、実行がレンダラープロセスからブラウザの親ブローカープロセスに進み、任意のコマンドを実行するまでの流れを追跡しました。調査はまた、GemStoneブラウザ拡張の持続性およびShadowPadデータ窃盗機能を含むペイロードの動作を記録しました。

緩和策

防御者は、特にカーネルエクスプロイトが古いWindowsビルドを標的としているため、特定されたCVEを緩和するためにChromeおよびWindowsを優先的にパッチする必要があります。セキュリティチームは、%TEMP%ディレクトリにmsgbox.exeなどの不審なブラウザ拡張のインストールおよび予期しない実行可能ファイルのダウンロードを監視するべきです。組織は、スピアフィッシングリンクに対するメールフィルタリングを強化し、EdgeCore_AutoUpdateのような未承認のスケジュールされたタスクを監視するべきです。

対応策

BlueMoonの活動が検出された場合、インシデント対応者は追加のペイロード実行と横方向への移動を防ぐために影響を受けたホストを隔離するべきです。%TEMP%ディレクトリとブラウザプロファイルのフォレンジック分析を実施し、ドロップされたファイルと悪意のある拡張を特定してください。既知のC2インフラストラクチャへの接続をネットワークログで確認し、新たに作成されたレジストリキーやスケジュールされたタスクを含む未承認の持続性メカニズムを調査します。

シミュレーション実行

• 攻撃の流れとコマンド: 敵対者は、ブラウザの脆弱性を利用して特権を上げようとします。実世界のシナリオでは、これはメモリで発生しますが、この特定の検出ルールを検証するために、 アーティファクト ルールが探しているもの。この攻撃者は、BlueMoon研究で説明されている動作を模したコマンドライン命令を実行し、「レンダラーの特権を上昇させる」や「Base64」といった文字列を含むロジックをトリガーします。

• リグレッションテストスクリプト:

  # BlueMoon検出ルールをトリガーするシミュレーションスクリプト
  # このスクリプトは、ルールが探しているコマンドライン文字列を模倣します。
  
  $ExploitCommand = "cmd.exe /c echo 'ペイロードを実行中: Base64 JavaScriptエクスプロイトコード' && echo 'このプロセスはレンダラーの特権を上げ、ブラウザの親ブローカープロセスにコードを注入します'"
  
  Write-Host "[!] シミュレーション開始: 検出をトリガーするためのコマンドを実行中..."
  Start-Process cmd.exe -ArgumentList "/c $ExploitCommand" -Wait
  Write-Host "[+] シミュレーション完了."

• クリーンアップコマンド:

  # シミュレーションスクリプトによって恒久的なアーティファクトは作成されません。
  # ただし、悪意のあるプロセスが実行されていないことを確認します。
  Get-Process | Where-Object {$_.CommandLine -like "*BlueMoon*"} | Stop-Process -Force -ErrorAction SilentlyContinue