BlueMoon to nazwa nadana przez Proofpoint łańcuchowi exploitów, który łączy dwie podatności Chromium/V8 z podatnością jądra Windows umożliwiającą lokalną eskalację uprawnień. Do 9 września 2026 roku zidentyfikowano co najmniej cztery klastry zagrożeń wykorzystujące ten mechanizm. Atak zaczynał się od ukierunkowanej wiadomości phishingowej i odsyłacza prowadzącego do strony kontrolowanej przez napastników, a kończył wykonaniem kodu poza piaskownicą przeglądarki oraz dostarczeniem payloadu.
Jak działa łańcuch BlueMoon
Najpierw luka CVE-2026-85046 pozwala na wykonanie kodu po stronie renderera V8. Następny etap wykorzystuje błąd ucieczki z piaskownicy V8, czyli warstwy, która ma ograniczać skutki wykonania niebezpiecznego kodu w przeglądarce. Trzeci element to CVE-2026-85880 — luka w jądrze Windows związana z lokalną eskalacją uprawnień, oparta na mechanizmach ALPC i WNF.
W praktyce nie chodzi więc o pojedynczą „dziurę w Chrome”. To wieloetapowy łańcuch: wiadomość phishingowa prowadzi ofiarę do kontrolowanego adresu, kod wykorzystuje przeglądarkę, następnie opuszcza jej piaskownicę, a komponent Windows pozwala przejść na wyższy poziom uprawnień. Dopiero wtedy napastnicy mogą uruchomić dalszy kod i zainstalować wybrany payload.
BlueMoon nie ogranicza się przy tym do samego Chrome. Część przeglądarkowa dotyczy także innych przeglądarek opartych na Chromium, w tym Microsoft Edge. Pełny łańcuch wymaga jednak również odpowiedniej, starszej wersji Windows.
27 dni między poprawką a wydaniem stabilnym
W przypadku CVE-2026-85046 zmiana naprawiająca problem została zatwierdzona w upstreamowym Chromium 7 sierpnia 2026 roku. Do stabilnego wydania Chromium trafiła 3 września. To 27 dni między publicznie dostępną zmianą a jej pojawieniem się w stabilnej gałęzi.
Taka luka czasowa ma znaczenie, bo ujawniona zmiana może dostarczyć napastnikom wskazówek potrzebnych do odtworzenia sposobu wykorzystania błędu, zanim poprawka dotrze do użytkowników stabilnych wydań. Nie oznacza to, że każdy użytkownik Chromium był w tym okresie zaatakowany ani że każda kampania wykorzystywała tę podatność samodzielnie. Pokazuje jednak, dlaczego szybkość wdrażania poprawek jest częścią obrony, a nie tylko kwestią wygody.
Cztery klastry i różne cele
Pierwszą aktywność BlueMoon zaobserwowano 28 sierpnia 2026 roku. Kolejne klastry pojawiły się w ciągu kilku dni, kierując ten sam ogólny mechanizm przeciwko różnym organizacjom.
| Klaster | Początek aktywności | Cel | Zaobserwowany payload lub persystencja | Kwalifikacja atrybucji |
| TA412 | 28 sierpnia 2026 | Organizacje pozarządowe w USA, firmy wydobywcze i podmioty handlujące surowcami fizycznymi | GemStone — złośliwe rozszerzenie Chromium podszywające się pod pomocnika Google Gemini | Aktywność oceniana jako powiązana z Chinami; klaster znany także jako APT31, Violet Typhoon, JungleBamboo i TIDE CASTLE |
| UNK_LateNight | 2 września 2026 | Wiele amerykańskich firm z sektora lotniczego i kosmicznego | ShadowPad dostarczany przez sideloading DLL oraz zadanie harmonogramu EdgeCore_AutoUpdate | Aktywność oceniana jako powiązana z Chinami |
| UNK_DoubleCheck | 2 września 2026 | Podmiot produkcyjny w Wietnamie | Loader napisany w Rust i drugi łańcuch sideloadingu DLL | Motywacja szpiegowska; brak przypisania do konkretnego państwa |
| UNK_QuietRacket | 3 września 2026 | Organizacje rządowe, konsultingowe i finansowe w Indonezji oraz Singapurze | Payload .NET ładowany do pamięci i zadanie harmonogramu GeForceService | Podejrzenie powiązania z Chinami |
Większość zaobserwowanej aktywności oceniono jako powiązaną z Chinami, ale nie jest to uniwersalna atrybucja wszystkich użytkowników BlueMoon. W przypadku UNK_DoubleCheck nie wskazano konkretnego państwa. To ważne rozróżnienie: ocena wywiadu zagrożeń nie jest tym samym co rozstrzygnięcie, że za każdą kampanią stoi ten sam podmiot.
Chiny i AI: ostrożny język jest tu konieczny
W analizie BlueMoon znaleziono artefakty zgodne z wykorzystaniem AI przy tworzeniu narzędzia — między innymi rozbudowane komentarze, intensywne logowanie i odniesienie do przekazania kodu w formacie Markdown. Nie ma jednak pojedynczego artefaktu, który dowodziłby, że AI stworzyła BlueMoon albo samodzielnie uzbroiła exploit.
Najciekawszą konsekwencją może być nie „magiczna” zdolność modelu do znalezienia luki, lecz skrócenie pętli między poprawką a działającym atakiem. Jeśli napastnicy szybciej analizują publiczne zmiany i przekazują sobie gotowe komponenty, okno na reakcję obrońców staje się jeszcze węższe. W przypadku BlueMoon nie ustalono jednak, w jaki sposób wiele niezależnych klastrów uzyskało dostęp do tego samego kitu.
Aktualizacja nie usuwa wszystkiego
Aktualizacja Chrome, Edge lub innej przeglądarki Chromium zamyka przeglądarkową drogę wejścia. Nie usuwa jednak payloadu ani persystencji, które mogły już trafić na komputer z Windows. W obserwowanych kampaniach występowały między innymi złośliwe rozszerzenia, zadania harmonogramu, pliki tymczasowe, wpisy rejestru i inne artefakty.
Dla zespołu obrony oznacza to dwa osobne zadania: wdrożenie poprawek w przeglądarce i Windows oraz sprawdzenie punktów końcowych pod kątem śladów wcześniejszego działania. Wśród opisanych sygnałów znalazł się nietypowy łańcuch procesów:
chrome.exe → cmd.exe → curl.exe → msgbox.exe
Warto również zwrócić uwagę na podejrzane zadania, takie jak EdgeCore_AutoUpdate i GeForceService, pliki ChromeUpdate.exe oraz msgbox.exe, a także artefakty w %TEMP%. Żadna pojedyncza nazwa nie jest jednak automatycznie dowodem infekcji — znaczenie ma kontekst hosta, czasu i pozostałych oznak.
Nie wiadomo, jak BlueMoon trafił do wielu aktorów
Największą zagadką pozostaje dystrybucja samego zestawu. BlueMoon został szybko wykorzystany przez co najmniej cztery klastry, ale nie ustalono, czy otrzymały go od wspólnego dostawcy, kupiły dostęp, czy uzyskały go inną drogą.
To właśnie szybkość ponownego użycia jest tu najważniejszą wiadomością. BlueMoon pokazuje, że luka w łańcuchu aktualizacji — między poprawką upstream a stabilnym wydaniem — może zostać wykorzystana nie tylko przez jedną grupę. Dla użytkowników i administratorów praktyczny wniosek jest prosty: aktualizować przeglądarki i Windows bez zwłoki, a po podejrzanym phishingu traktować samą aktualizację jako zamknięcie wejścia, nie jako dowód, że host został oczyszczony.
