Thought Leadership
Sicherheitsforscher von Proofpoint haben eine gezielte Spearphishing-Kampagne entdeckt, bei der mehrere staatlich unterstützte Spionagegruppen ein neues Exploit-Kit namens BlueMoon einsetzen.
Die Angreifer nutzten dabei eine Lücke zwischen der Veröffentlichung von Sicherheits-Patches im Chromium-Quellcode und deren Verfügbarkeit für Endnutzer aus.
Angriffe vor dem nächsten Browser-Update
Im Mittelpunkt der Kampagne steht das sogenannte Patch-Gap. Bei Open-Source-Projekten wie Chromium können Sicherheitskorrekturen öffentlich einsehbar sein, bevor sie in allen stabilen Versionen der darauf basierenden Browser verfügbar sind. Für Angreifer entsteht dadurch ein begrenztes Zeitfenster, in dem sich aus den veröffentlichten Änderungen Rückschlüsse auf die zugrunde liegende Schwachstelle ziehen lassen.
Nach Angaben von Proofpoint wurde BlueMoon innerhalb weniger Tage von mindestens vier unterschiedlichen, überwiegend China zugerechneten Cyberspionage-Gruppen eingesetzt. Ziel war es, Systeme anzugreifen, deren Browser noch nicht über die entsprechenden Sicherheitskorrekturen verfügten.
Drei Schwachstellen als Angriffskette
BlueMoon verbindet mehrere Schwachstellen zu einer mehrstufigen Exploit-Kette. Den Ausgangspunkt bildet eine Typverwechslung im JIT-Compiler der V8-JavaScript-Engine von Chromium (CVE-2026-85046). Sie ermöglicht die Ausführung von Schadcode innerhalb des Browser-Renderers.
Anschließend versucht das Exploit-Kit, die V8-Sandbox zu verlassen. Dafür manipuliert es WebAssembly-Metadaten. Eine weitere Schwachstelle im Windows-Kernel (CVE-2026-85880) dient schließlich der lokalen Rechteausweitung.
Mit den dadurch erlangten Administratorrechten kann Schadcode in einen übergeordneten Chrome-Prozess eingeschleust werden. Die beobachtete Variante führte anschließend über einen einfachen Kommandozeilenbefehl einen Download aus.
Hinweise auf KI bei der Entwicklung
Proofpoint sieht zudem Anzeichen dafür, dass bei der Entwicklung von BlueMoon möglicherweise künstliche Intelligenz eingesetzt wurde. Einen eindeutigen Beleg für eine KI-generierte Entwicklung gibt es den Forschern zufolge jedoch nicht.
Auffällig sind unter anderem umfangreiche Diagnoseprotokolle und ungewöhnlich detaillierte Kommentare im Quellcode. Sie dokumentieren verschiedene Debugging-Schritte, wie sie auch bei softwaregestützten Entwicklungsprozessen auftreten können. Hinzu kommt ein internes Markdown-Dokument, das offenbar dazu diente, Arbeitskontext zwischen verschiedenen Sitzungen oder Modellen weiterzugeben.
Auch einzelne Bezeichnungen im Code könnten darauf hindeuten, dass die Entwickler versucht haben, ihre Arbeit als Teilnahme an einem legitimen Bug-Bounty-Programm von Google darzustellen. Damit könnten Sicherheitsmechanismen von Sprachmodellen umgangen worden sein.
Unterschiedliche Ziele und Schadsoftware
Die beteiligten Gruppen verwendeten BlueMoon nicht für eine einheitliche Kampagne. Stattdessen passten sie ihre Köder und Schadsoftware an die jeweiligen Ziele an.
TA412, eine China zugerechnete Gruppe, verschickte beispielsweise gefälschte Bewerbungsnachrichten an US-Nichtregierungsorganisationen und Unternehmen aus dem Bergbau. Nach der Infektion wurde unter anderem die Browser-Erweiterung GemStone eingesetzt, die sich als Google-Gemini-Werkzeug ausgab und auf Passwörter sowie Tastatureingaben abzielte.
Der Akteur UNK_LateNight nutzte dagegen fingierte Preisanfragen, um US-Unternehmen aus der Luft- und Raumfahrtbranche zu erreichen. Dort kam die Backdoor ShadowPad zum Einsatz.
Weitere Kampagnen richteten sich gegen Organisationen in Asien. UNK_DoubleCheck kompromittierte über ein manipuliertes Regierungskonto ein vietnamesisches Industrieunternehmen und setzte einen in Rust entwickelten Loader ein. UNK_QuietRacket verwendete gefälschte Einladungen gegen Finanz- und Regierungsorganisationen in Indonesien und Singapur.
Technisch anspruchsvoll, aber nicht perfekt getarnt
Trotz der komplexen Exploit-Kette weist BlueMoon laut Proofpoint auch deutliche Schwächen auf. So funktionierte die Komponente zur Rechteausweitung unter Windows nur auf älteren Builds. Dadurch war die Zahl potenziell angreifbarer Systeme begrenzt.
Auch die anschließende Schadcode-Ausführung war vergleichsweise auffällig. Der Download über einen einfachen, unverschlüsselten Kommandozeilenbefehl kann von modernen Endpoint-Security-Systemen erkannt werden und hinterlässt entsprechende Spuren.
Die Kampagne zeigt damit zwei Entwicklungen gleichzeitig: Exploit-Ketten für weit verbreitete Software können zunehmend kurzfristig entwickelt und eingesetzt werden. Gleichzeitig bleibt die praktische Umsetzung solcher Angriffe anfällig für Erkennungsmechanismen.
Besonders relevant ist dabei das Patch-Gap bei Open-Source-Projekten. Wenn Sicherheitskorrekturen öffentlich verfügbar sind, bevor sie Nutzer tatsächlich erreicht haben, entsteht ein begrenztes, aber potenziell gefährliches Zeitfenster für Angreifer.
(red/Proofpoint)
