Die Sicherheitsfirma Proofpoint meldete am Mittwoch, dass mindestens vier Hackergruppen aktiv ein nahezu identisches Exploit-Kit namens BlueMoon einsetzen. Einige der Gruppen stehen der chinesischen Regierung nahe. Das Kit verkettet drei Schwachstellen: zwei in Chromium-basierten Browsern und eine im Windows-Kernel. Betroffen sind Windows 10 (Oktober-2018-Update), Windows Server 2019, Windows 10 2004, Windows Server 2022 und die erste Windows-11-Version. Alle drei Lücken wurden in den letzten 24 Stunden geschlossen.

Beide Browser-Lücken stecken in V8, Googles quelloffener JavaScript-Engine. Ein Type-Confusion-Fehler und ein separater Sandbox-Ausbruch erlauben Remote Code Execution. Die erste V8-Lücke ist als CVE-2026-85046 gelistet; für Sandbox-Escapes in V8 vergibt Google keine CVEs. Anschließend nutzten die Angreifer eine lokale Privilegieneskalation, CVE-2026-85880, in älteren Windows-Versionen, um Systemrechte zu erlangen. Laut Proofpoint waren beide V8-Lücken Patch-Gap-Zero-Days: im öffentlichen Chromium-Quellcode bereits behoben, aber in den stabilen Chrome-Releases noch ungepatcht. Der Entwickler des Kits hat die öffentlichen Patches vermutlich rückentwickelt, bevor die Browser die Fixes auslieferten.

Die vier identifizierten Gruppen und ihre Ziele: TA412, ein China-naher Akteur, den die USA 2024 im Auftrag des chinesischen zivilen Auslandsgeheimdienstes angeklagt haben, griff NGOs, Bergbaufirmen und Rohstoffhändler in den USA an. UNK_LateNight, eine zweite China-nahe Spionagegruppe, zielte auf US-Luft- und Raumfahrtunternehmen. UNK_DoubleCheck attackierte einen vietnamesischen Hersteller. UNK_QuietRacket war in Singapur und Indonesien aktiv. TA412 begann am 28. August. Die übrigen Kampagnen begannen in diesem Monat. Ob weitere Gruppen das Kit besitzen, ist unbekannt.

Die Kampagnen waren für Zero-Day-Angriffe ungewöhnlich auffällig, die sonst sparsam eingesetzt werden. Proofpoint führt die Eile auf die Chromium-Patch-Lücke und auf KI-gestützte Schwachstellenanalyse zurück, die die Kosten für die Exploit-Entwicklung senkt. Die Forscher warnen, dass BlueMoon sich auch nach vollständiger Patch-Ausrollung weiter unter Spionage- und finanziell motivierten Akteuren verbreiten dürfte.