Jak BlueMoon Wykorzystuje Luki Chrome CVE-2026-85046 i CVE-2026-87491

Podsumowanie

BlueMoon Exploit Kit to zaawansowana platforma dostarczania złośliwego oprogramowania, która łączy dwie podatności w silniku V8 JavaScript z exploitacją jądra Windows w celu ucieczki z sandboxa przeglądarki. Umożliwia wdrażanie wielu ładunków, w tym GemStone, ShadowPad i niestandardowych loaderów opartych na Rust, poprzez kampanie spearphishingowe. Zestaw exploitów jest wykorzystywany przez kilka grup zagrożeń skoncentrowanych na szpiegostwie, które atakują organizacje w USA i Azji Południowo-Wschodniej.

Śledztwo

Analiza przedstawia kompletny łańcuch eksploatacji, zaczynając od błędu typu w V8 (CVE-2026-85046) i ucieczki z sandboxa (CVE-2026-87491), a następnie przez eskalację uprawnień jądra za pomocą CVE-2026-85880. Badacze prześledzili, jak wykonanie postępuje z procesu renderera do nadrzędnego procesu pośrednika przeglądarki w celu uruchamiania dowolnych poleceń. Śledztwo również udokumentowało zachowanie ładunków, w tym trwałość rozszerzenia przeglądarki GemStone i funkcjonalność kradzieży danych ShadowPad.

Łagodzenie

Obrońcy powinni zająć się priorytetowym łatanie Chrome i Windows w celu załagodzenia zidentyfikowanych CVE, szczególnie dlatego, że exploit jądra celuje w starsze wersje Windows. Zespoły ds. bezpieczeństwa powinny monitorować podejrzane instalacje rozszerzeń przeglądarki i nieoczekiwane pobierania plików wykonywalnych, takie jak pojawienie się msgbox.exe w katalogu %TEMP%. Organizacje powinny również wzmocnić filtrowanie poczty e-mail przeciwko linkom spearphishingowym i monitorować nieautoryzowane zaplanowane zadania, takie jak EdgeCore_AutoUpdate.

Reakcja

Gdy zostanie wykryta aktywność BlueMoon, odpowiadający na incydenty powinni odizolować zainfekowany host, aby uniemożliwić dodatkowe uruchomienie ładunku i ruch po lateralnej stronie. Wykonaj analizę kryminalistyczną katalogu %TEMP% i profili przeglądarki, aby zidentyfikować upuszczone pliki i złośliwe rozszerzenia. Przejrzyj logi sieciowe pod kątem połączeń do znanej infrastruktury C2 i zbadaj nieautoryzowane mechanizmy trwałości, w tym nowo utworzone klucze rejestru lub zaplanowane zadania.

Symulacja Wykonania

• Narracja Ataku i Polecenia: Przeciwnik dąży do wykorzystania podatności przeglądarki w celu uzyskania podwyższonych uprawnień. W rzeczywistym scenariuszu dzieje się to w pamięci; jednak aby zweryfikować ten konkretny reguła wykrywania, zasymulujemy artefakty których reguła szuka. Atakujący wykonuje polecenie wiersza poleceń, które naśladuje zachowanie opisane w badaniach BlueMoon, w tym ciągi „podnosi uprawnienia renderera” i „Base64”, aby wywołać logikę.

• Skrypt Testowy Regresji:

  # Skrypt symulacji aby wywołać regułę wykrywania BlueMoon
  # Ten skrypt naśladuje łańcuchy poleceń, których szuka ta reguła.
  
  $ExploitCommand = "cmd.exe /c echo 'Wykonywanie ładunku: Base64 JavaScript exploit code' && echo 'Ten proces podnosi uprawnienia renderera i wstrzykuje kod w nadrzędny proces pośrednika przeglądarki'"
  
  Write-Host "[!] Rozpoczęcie Symulacji: Wykonywanie polecenia aby wywołać wykrywanie..."
  Start-Process cmd.exe -ArgumentList "/c $ExploitCommand" -Wait
  Write-Host "[+] Symulacja Zakończona."

• Polecenia Czyszczenia:

  # Skrypt symulacyjny nie tworzy żadnych trwałych artefaktów.
  # Proste sprawdzenie, czy nie są uruchomione żadne nieuczciwe procesy.
  Get-Process | Where-Object {$_.CommandLine -like "*BlueMoon*"} | Stop-Process -Force -ErrorAction SilentlyContinue