Chrome・Windowsの脆弱性突く攻撃基盤「BlueMoon」、複数のスパイ集団が使用

米国の非政府組織や航空宇宙・防衛企業、東南アジアの政府・金融組織などを狙った標的型攻撃で、4つのスパイ活動グループが同じエクスプロイトキット「BlueMoon」を相次いで使用していたことが分かった。セキュリティ企業Proofpointが2026年9月9日に公表した。

確認されたグループの大半には中国との関連が疑われているが、すべての活動の帰属が確定しているわけではない。BlueMoonはChromeおよびChromiumベースのブラウザとWindowsの脆弱性を連鎖させる。攻撃で悪用された脆弱性はいずれも修正版が提供されており、利用者と組織にはブラウザとOSの速やかな更新が求められる。

■短期間で4つのスパイ活動グループが採用

Proofpointは「Once in a BlueMoon」と題した報告書で、2026年8月下旬から9月にかけて、スパイ活動を目的とする4つの脅威アクターがBlueMoonを使用したと報告した。最初に確認されたのは8月28日で、その後数日以内に別の複数のグループが同じ攻撃基盤を使い始めた。

各グループが使ったBlueMoonには、コードの難読化やパッケージ方法、攻撃後に導入するマルウェアなどに違いがあった。一方、基盤となるエクスプロイトチェーンや実行を制御する仕組みは共通していた。Proofpointは、これらのビルドがほぼ確実に同じ供給元に由来すると分析しているが、複数のグループがどのようにキットを入手したのかは分かっていない。

攻撃では、標的に合わせて作成したスピアフィッシングメールから攻撃者のWebサイトへ誘導する。対象者がリンクを開くと、ブラウザとWindowsの脆弱性が順番に悪用され、対応する環境では追加のファイル操作などを求めずに攻撃コードが実行された。

ただし、BlueMoonがWindows側で悪用する脆弱性は、Windows 10の一部旧バージョン、Windows 11 21H2、Windows Server 2019、Windows Server 2022など、比較的古いビルドを対象としていた。このため、ブラウザに脆弱性が残っているすべてのWindows端末で、攻撃チェーン全体が成立するわけではない。

■3件の脆弱性を連鎖させる攻撃

BlueMoonは、ChromiumのJavaScriptエンジン「V8」にある2件の脆弱性と、Windowsカーネルのローカル権限昇格の脆弱性を順番に悪用する。

第1段階は、V8の型混同の脆弱性「CVE-2026-85046」である。細工されたWebページを開いたブラウザのレンダラープロセス内で、攻撃者がコードを実行する足掛かりになる。Googleは9月3日に公開したChrome 152.0.7977.82および83で修正し、実際の攻撃に悪用されていることも明らかにした。

第2段階は、V8の境界外書き込みの脆弱性「CVE-2026-87491」である。BlueMoonはWebAssemblyモジュールのメタデータを破壊し、コンパイル済みの関数本体を攻撃コードで上書きすることで、V8 Sandboxからの脱出に利用していた。この脆弱性は9月8日に安定版となったChrome 153で修正され、Googleは実環境での悪用を確認している。

第3段階では、WindowsのAdvanced Local Procedure CallとWindows Notification Facilityに関係するヒープベースのバッファオーバーフロー「CVE-2026-85880」を悪用する。これによりカーネルメモリの読み書きが可能な状態を作り、ブラウザのレンダラープロセスが持つ権限を引き上げる。

権限昇格に成功すると、BlueMoonは親側のブラウザプロセスへコードを挿入し、攻撃者が指定したプログラムを実行する。既定の設定ではcurlコマンドを使い、遠隔のサーバーから実行ファイルを一時ディレクトリへダウンロードして起動する仕組みだった。

■公開修正と安定版配信の間を突く「パッチギャップ」

BlueMoonの特徴の一つが、Chromiumのソースコード上ではすでに修正されていたものの、一般利用者向けの安定版ブラウザにはまだ届いていない脆弱性を悪用した点である。この時間差は「パッチギャップ」と呼ばれる。

Chromiumの修正コードは公開リポジトリで確認できる。安定版が提供される前に修正内容を詳しく分析すれば、変更前のコードにどのような問題があったのかを推定し、攻撃手法を組み立てられる場合がある。

CVE-2026-85046の修正を含む変更は8月7日にChromiumのリポジトリへ反映されたが、Chrome安定版での修正は9月3日だった。Proofpointは、BlueMoonの開発者が公開済みのChromiumパッチを利用し、ブラウザ向けの攻撃チェーンを作成した可能性が高いとみている。

同様にCVE-2026-87491も、攻撃が観測された時点では公開ソース上で修正されながら、最新の安定版ブラウザには未反映だった。両方のV8脆弱性は、修正版が一般利用者へ届く前に実際の攻撃へ投入されたパッチギャップ型のゼロデイだった。

オープンソース開発では、透明性と外部からのレビューがソフトウェアの安全性向上に重要な役割を果たす。一方、公開された修正差分を攻撃者も分析できることから、開発元による修正と各ブラウザの安定版配信との時間差が、攻撃コードの開発機会になり得る。BlueMoonは、この時間差が複数の攻撃グループによって短期間に利用された事例となった。

■米国と東南アジアで確認された攻撃

BlueMoonを最初に使ったことが確認されたのは、Proofpointが「TA412」として追跡する中国関連の国家支援型グループである。APT31、Violet Typhoon、JungleBamboo、TIDE CASTLEの名称でも知られる。

TA412は8月28日以降、米国の非政府組織、鉱業会社、現物商品取引会社を標的にした。大学生を装ってインターンシップを申し込むメールや、アジア研究関連の会議を題材としたメールを送り、攻撃サイトへ誘導していた。標的がリンクを開くと、数秒間の読み込み画面を表示している間にBlueMoonを実行し、その後は正規のWebサイトへ転送した。

この攻撃で導入されたのは、Google GeminiによるAIブラウジング支援ツールを装った悪意あるブラウザ拡張機能「GemStone」だった。GemStoneはCookie、キーストローク、スクリーンショット、閲覧履歴、ローカルストレージとセッションストレージなどを取得する機能を備えていた。ブラウザ内からHTTPリクエストを発行し、ログイン済みのWebセッションを悪用することも可能だった。

9月2日には、Proofpointが「UNK_LateNight」と呼ぶ、中国との関連が疑われるクラスターが、米国の航空宇宙・防衛企業を攻撃した。正規の航空宇宙企業を模したドメインへのリンクを偽の見積依頼メールに記載し、BlueMoonを介してモジュール型バックドア「ShadowPad」を導入していた。

同日には、別のクラスター「UNK_DoubleCheck」がベトナムの製造組織を標的にした。この攻撃では、侵害された東南アジアの政府機関のメールアカウントから、ワクチン接種の予約を装ったメールが送られた。攻撃後にはCloudflare R2からRust製ローダーを取得し、DLLサイドローディングを使った次の段階の攻撃につなげていた。Proofpointは、このクラスターの国別帰属を示していない。

9月3日には、中国との関連が疑われる「UNK_QuietRacket」が、インドネシアとシンガポールの政府、コンサルティング、金融分野の組織を狙った。インドネシアで開かれる会議を題材にしたフィッシングメールを使用し、GoogleのDNS-over-HTTPSサービスやCloudflare WorkersをC2通信に組み込んでいた。

このように、確認された4つのグループは標的、誘い文句、最終的に導入するマルウェアが異なっていた。中国関連が確認されているか疑われているグループが多数を占めるものの、一部の活動は帰属が確定しておらず、BlueMoonを「4つの中国系グループだけが使用した」と断定することはできない。

■AI支援開発と整合する痕跡、利用の確証はなし

ProofpointはBlueMoonのコードから、AI支援による開発という仮説と整合する複数の痕跡を確認した。広範な診断ログ、デバッグを繰り返した過程や実装上の判断を説明する詳細なコメント、セッション間で作業内容を引き継ぐ用途を思わせるMarkdown文書への参照などである。

コードには、GoogleのV8エンジンを対象とした脆弱性報奨チャレンジ「v8CTF」への言及も複数含まれていた。Proofpointは、実際にv8CTFを前提として開発していた可能性と、AIモデルの安全対策を回避するために正当なセキュリティ研究を装った可能性の両方を挙げている。

一方、こうした開発上の痕跡だけでAIの利用を確定することはできない。Proofpointも、BlueMoonがAIの支援を受けて開発されたことを決定的に示す単一の証拠はないとしている。

BlueMoonの既定動作が、curlで実行ファイルを保存して起動する比較的検知されやすい方式だった点も注目された。複雑なブラウザ攻撃と比べて侵害後の処理は単純であり、Proofpointは、検知回避よりも迅速な投入を優先した開発だった可能性を指摘している。

AIが使われていたかどうかとは別に、公開された修正コードを分析し、動作する攻撃コードへ変換するまでの期間が短くなれば、ブラウザベンダーによる安定版の提供と利用者による更新には、これまで以上の速さが求められる。

■Chrome 153以降と各ブラウザ、Windowsを更新

BlueMoonが悪用した3件の脆弱性には修正版が提供されている。Chromeでは、CVE-2026-85046がChrome 152.0.7977.82および83で、CVE-2026-87491がChrome 153で修正された。攻撃チェーンに含まれる両方のV8脆弱性へ対処するには、Chrome 153以降へ更新する必要がある。

Chrome利用者は、メニューから「ヘルプ」「Google Chromeについて」を開いて更新を確認し、更新後にブラウザを再起動する必要がある。更新データを取得しても、ブラウザを再起動するまでは新しい実行ファイルへ切り替わらない場合がある。

Microsoft Edge、Brave、Opera、VivaldiなどのChromiumベースのブラウザは、Chromiumの修正をそれぞれの製品へ取り込んで配信する。Chromeを更新しても、別にインストールされたブラウザは自動的には更新されないため、使用しているブラウザごとに最新版へ更新する必要がある。

Windows側のCVE-2026-85880は、Microsoftが2026年9月のセキュリティ更新で修正した。Windows Updateや組織の更新管理システムを通じ、利用しているWindowsおよびWindows Serverに対応する9月のセキュリティ更新を適用することが重要だ。

米サイバーセキュリティ・インフラ安全保障庁の既知の悪用脆弱性カタログには、CVE-2026-85046、CVE-2026-87491、CVE-2026-85880が登録されている。いずれも実際の攻撃での悪用が確認された脆弱性であり、組織は通常の機能更新とは分けて優先的に対処する必要がある。

■追加の攻撃グループへ広がる可能性

Proofpointは、BlueMoonが今後、別のスパイ活動グループや金銭目的の攻撃者にも採用される可能性があるとみている。同社が確認した利用例には帰属が判明していないものもあり、中国関連以外のアクターが使用している可能性も残る。

観測された攻撃では、エクスプロイトの配信インフラが活動開始の当日か、その直前に作成されていた。防御側がドメインやサーバーを事前に検出し、遮断するまでの時間が限られていることを示している。

BlueMoonが浮き彫りにしたのは、個別の攻撃グループだけでなく、公開された修正から攻撃方法を分析できる一方、一般利用者への安定版配信には時間を要するという問題である。修正済みのバージョンが提供された後も、利用者が更新しなければ脆弱な状態は続く。ブラウザとOSの更新を速やかに適用することが、今回確認された攻撃チェーンへの最も直接的な対策となる。

元記事: Four Chinese Spy Groups Hacked US NGOs and Aerospace Firms With Same Exploit Kit