BlueMoon Exploit Kit verschafft vier Spionagegruppen eine gemeinsame Angriffskette von Chrome bis Windows

Vier Bedrohungscluster haben ein bislang nicht dokumentiertes Exploit Kit eingesetzt, das zwei Schwachstellen in Google Chrome/V8 mit einer Schwachstelle zur Rechteausweitung in Microsoft Windows verkettet.

Das Kit namens BlueMoon verwandelt einen Spear-Phishing-Link in eine Codeausführung innerhalb von Chrome, umgeht die Browser-Sandbox, erweitert die Rechte unter Windows und installiert anschließend eine vom Betreiber ausgewählte Payload. Die Ausnutzung wurde erstmals am 28. August 2026 beobachtet und der China-nahen Gruppe APT31 zugeschrieben.

Drei weitere Cluster setzten innerhalb weniger Tage weitgehend dieselben Werkzeuge ein. Die schnelle Verbreitung einer vollständigen Browser-Exploit-Kette deutet darauf hin, dass Fähigkeiten, die bislang nur wenigen gut ausgestatteten Betreibern vorbehalten waren, möglicherweise leichter geteilt und angepasst werden können.

Vier Cluster übernahmen BlueMoon innerhalb einer Woche

APT31 setzte BlueMoon ab dem 28. August 2026 gegen Nichtregierungsorganisationen, Bergbauunternehmen und Händler physischer Rohstoffe mit Sitz in den USA ein. Der staatlich unterstützte Akteur wird auch als TA412, Bronze Vinewood, Judgement Panda, JungleBamboo, PerplexedGoblin, RedBravo, Tide Castle und Violet Typhoon geführt.

Die US-Regierung erhob 2024 Anklage gegen die Gruppe. Ihr wurde vorgeworfen, im Auftrag des zivilen chinesischen Auslandsnachrichtendienstes agiert zu haben, wie aus der Berichterstattung über die BlueMoon-Kampagnen hervorgeht.

Zwei weitere Cluster, UNK_LateNight und UNK_DoubleCheck, übernahmen das Kit am 2. September 2026. UNK_LateNight griff mehrere US-amerikanische Luft- und Raumfahrtunternehmen an und verteilte ShadowPad per DLL-Sideloading. Das Cluster wird als China-nahe Spionageoperation eingeschätzt.

UNK_DoubleCheck griff über eine von den Angreifern kontrollierte Cloudflare-Workers-Domain eine vietnamesische Produktionsorganisation an. BlueMoon startete eine Sideloading-Kette, die eine Rust-Executable ablegte. Diese kontaktierte anschließend einen Cloudflare-R2-Bucket und lud ein weiteres DLL-Sideloading-Paar herunter. Die nationale Zuordnung des Clusters ist bislang ungeklärt.

UNK_QuietRacket begann am 3. September 2026 mit dem Einsatz von BlueMoon. Das China-nahe Cluster nahm Regierungs-, Beratungs- und Finanzorganisationen in Indonesien und Singapur ins Visier. Sein modifiziertes Kit bezog eine manipulierte DLL über die Cloudflare-Workers-Infrastruktur und führte eine .NET-Assembly im Speicher aus. Die Payload stellte ihre Persistenz über eine geplante Aufgabe her.

Die meisten beobachteten Aktivitäten weisen damit vermutlich einen chinesischen Bezug auf. Das Kit ist jedoch nicht zwangsläufig exklusiv China-nahen Betreibern vorbehalten. Wie die vier Cluster das Kit erworben haben, ist weiterhin unbekannt, und es könnte weitere Nutzer geben.

Zwei Chrome-Schwachstellen öffnen den Weg aus der Sandbox

Die Browser-Phase beginnt mit CVE-2026-85046, einer schwerwiegenden Type-Confusion-Schwachstelle in der JavaScript-Engine V8 von Chrome. Die Schwachstelle hat einen CVSS-Score von 8,8 und kann eine beliebige Codeausführung innerhalb der Browser-Sandbox ermöglichen, wenn ein Nutzer eine speziell präparierte HTML-Seite aufruft.

Betroffen sind folgende Versionen:

• Google Chrome vor 152.0.7977.82
• Google V8 vor 15.3.48

Nach der initialen Kompromittierung nutzt BlueMoon eine separate V8-Schwachstelle, um die Renderer-Sandbox zu verlassen. Diese zweite Browser-Schwachstelle hat keine CVE-Kennung, da Google für V8-Sandbox-Escapes keine CVEs vergibt. Genaue eigenständige Versionsbereiche der betroffenen Versionen wurden nicht veröffentlicht.

Beide V8-Probleme waren während der Angriffe Berichten zufolge Zero-Days mit bestehender Patch-Lücke. Die Fehlerbehebungen waren bereits im öffentlich zugänglichen Chromium-Quellcode sichtbar, hatten aber noch nicht die neuesten stabilen Versionen von Chrome und Chromium-basierten Browsern erreicht.

Dieses Zeitfenster setzte die Verteidiger einem besonderen Problem beim Timing der Lieferkette aus. Angreifer konnten öffentliche Codeänderungen untersuchen, den korrigierten Sicherheitsfehler identifizieren und einen Exploit per Reverse Engineering entwickeln, bevor die meisten Nutzer das entsprechende stabile Update erhielten.

CVE-2026-85046 wurde am 4. September 2026 in den Katalog der Known Exploited Vulnerabilities von CISA aufgenommen. Für zivile US-Bundesbehörden gilt eine Frist zur Behebung bis zum 18. September 2026.

Windows-ALPC-Schwachstelle vollendet die Kompromittierung

Nach dem Verlassen der Chrome-Sandbox lädt BlueMoon reflektiv eine DLL, um den Windows-Host zu identifizieren. Anschließend entscheidet eine JavaScript-Logik, ob das System für die abschließende Phase zur Rechteausweitung geeignet ist.

Das Kit nutzt CVE-2026-85880, einen heap-basierten Buffer Overflow im Advanced Local Procedure Call von Windows. Die Schwachstelle hat einen CVSS-Score von 7,8 und ermöglicht es einem Angreifer mit bereits vorhandenem lokalem Zugriff, ohne weitere Interaktion des Nutzers seine Rechte auszuweiten.

Betroffen sind folgende Windows-Versionen und anfälligen Build-Bereiche:

• Windows 10 1607 vor 10.0.14393.9512
• Windows 10 1809 vor 10.0.17763.9245
• Windows 10 21H2 vor 10.0.19044.7725
• Windows 10 22H2 vor 10.0.19045.7725
• Windows Server 2012, für den kein Build-Schwellenwert verfügbar ist
• Windows Server 2016 vor 10.0.14393.9512
• Windows Server 2019 vor 10.0.17763.9245
• Windows Server 2022 vor 10.0.20348.5622

BlueMoon lädt eine zweite DLL mit dem ALPC-Exploit reflektiv und erweitert damit die Rechte des Chrome-Renderer-Prozesses. Injectorshellcode platziert anschließend ein CreateProcess-Stub im übergeordneten Chrome-Broker-Prozess. Dadurch kann der Betreiber einen beliebigen Befehl ausführen.

Der Standardbefehl ruft curl auf, um ein aus der Ferne gehostetes Programm herunterzuladen und auszuführen. Welche finale Malware zum Einsatz kommt, hängt von dem Cluster ab, das die Kampagne betreibt.

CVE-2026-85880 wurde am 8. September 2026 in den KEV-Katalog aufgenommen. Für Bundesbehörden gilt eine Frist zur Behebung bis zum 22. September 2026. Microsoft behob das Problem mit den Patch-Tuesday-Updates vom September 2026.

Die beiden BlueMoon-Schwachstellen sind Teil einer größeren Welle von Schwachstellen in Produkten von Google und Microsoft, die in den KEV aufgenommen wurden. In den vorangegangenen 90 Tagen ergänzte CISA für diese Anbieter außerdem CVE-2026-81963, CVE-2019-1068, CVE-2026-33824, CVE-2026-55040, CVE-2026-68820 und CVE-2026-50522.

Payloads reichen von Browserüberwachung bis ShadowPad

Die BlueMoon-Kette von APT31 lädt einen Loader herunter, der eine als Google Gemini präsentierte bösartige Chrome-Erweiterung installiert. Der Loader nutzt die Umgehung der Erweiterungsintegritätsprüfung GhostChrome-X, um GemStone bereitzustellen – eine Backdoor zur Browserüberwachung und zum Diebstahl von Zugangsdaten, die über einen Command-and-Control-Kanal gesteuert wird.

Die anderen Cluster setzen bevorzugt auf DLL-Sideloading. UNK_LateNight installiert ShadowPad, während UNK_DoubleCheck eine Rust-Komponente und den gestaffelten Abruf von Payloads aus Cloudflare R2 verwendet. UNK_QuietRacket kombiniert Sideloading, die Ausführung von .NET im Speicher und Persistenz über geplante Aufgaben.

BlueMoon selbst ist ebenfalls in mehreren Varianten aufgetaucht. Die Betreiber entfernten Kommentare aus dem Quellcode, verschleierten Komponenten, fügten Prüfungen des Betriebssystems hinzu, änderten Landingpages und Weiterleitungen und erweiterten die Erfassung von Telemetriedaten. Die Kernsequenz blieb unverändert: Ausnutzung des Renderer-Prozesses, Verlassen der Sandbox und Rechteausweitung unter Windows.

Spear-Phishing ist der gemeinsame Einstiegspunkt. Die Ziele erhalten Links zu von den Angreifern kontrollierten Seiten, die die JavaScript-Exploit-Kette unbemerkt ausliefern. Damit setzt die Ausnutzung weiterhin voraus, dass der Empfänger die bösartige Seite öffnet.

Entwicklung mit Unterstützung von KI ist plausibel, aber unbestätigt

Forscher fanden in zugehörigen Artefakten umfangreiche Protokollierung, ungewöhnlich ausführliche Kommentare im Quellcode und wiederholte Verweise auf die V8CTF-Challenge von Google. Diese Merkmale führten zu der Einschätzung, dass generative KI-Werkzeuge die Entwicklung von BlueMoon unterstützt haben könnten.

Diese Schlussfolgerung ist nicht bestätigt. Die Entwickler könnten mit Material gearbeitet haben, das mit der auf V8 fokussierten Challenge zusammenhing, ein KI-System zur Erstellung oder Verbesserung von Code eingesetzt oder Verweise eingefügt haben, um Schutzmechanismen von Modellen zu umgehen.

Die wichtigere Erkenntnis ist operativer Natur: Vier unterschiedliche Cluster erhielten innerhalb weniger Tage eine funktionierende mehrstufige Exploit-Kette. Bewaffnete Browser-Ketten waren traditionell kostspielig und wurden nur einem kleinen Kreis zugänglich gemacht, da sie sowohl einen Renderer-Exploit als auch einen zuverlässigen Sandbox-Escape erfordern.

Eine KI-gestützte Analyse könnte diese Hürde senken, insbesondere bei Open-Source-Projekten, bei denen Sicherheitspatches bereits im Upstream sichtbar werden, bevor sie stabile nachgelagerte Produkte erreichen. Öffentliche Patches allein belegen jedoch nicht, dass KI zum Einsatz kam.

Auf das Patchen muss eine forensische Untersuchung folgen

Organisationen sollten Chrome mindestens auf 152.0.7977.82 und V8 mindestens auf 15.3.48 aktualisieren. Administratoren müssen betroffene Windows-Systeme außerdem auf den jeweils zutreffenden behobenen Build aktualisieren.

Da beide Schwachstellen in den KEV aufgenommen wurden, sollten sie als Priorität für aktive Ausnutzung behandelt werden. CISA verpflichtet betroffene Behörden, die Maßnahmen der Hersteller gemäß BOD 26-04 umzusetzen, die Anforderungen an die forensische Untersuchung zu befolgen, die Erreichbarkeit aus dem Internet zu bewerten und betroffene Produkte außer Betrieb zu nehmen, wenn keine Abhilfe verfügbar ist.

Ein Browser-Update verhindert die initiale Ausnutzung, entfernt aber keine bereits installierte Malware oder Persistenz. Ermittler sollten nach der folgenden Prozesskette suchen:

chrome.exe -> cmd.exe -> curl.exe -> msgbox.exe

Weitere Indikatoren sind:

• %TEMP%\ChromeUpdate.exe
• %TEMP%\msgbox.exe
• C:\Users\Public\stomp_ext
• Mutex Dataupcheckinfo
• Geplante Aufgaben EdgeCore_AutoUpdate, MicrosoftEdgeUpdatesTaskMachine, Avpcheckup und GeForceService
• Registrierungsschlüssel HKCU\SOFTWARE\Classes\CLSID\{5D4CFCB7-222C-4CA3-96B6-1F8195FBBB4B}\InprocServer32

Sicherheitsteams sollten außerdem nicht autorisierte Chrome-Erweiterungen, DLL-Sideloading-Aktivitäten, den Abruf über Cloudflare Workers oder R2, die Ausführung von .NET im Speicher sowie Hinweise auf GemStone oder ShadowPad untersuchen. Die Erkennungsregeln 2071919 bis 2071924 decken den JavaScript-Loader und den Command-and-Control-Datenverkehr von BlueMoon ab.

Das Patchen schließt die ausgenutzten Schwachstellen. Damit ist die Incident Response jedoch noch nicht abgeschlossen.