Four groups caught using the same Chrome and Windows exploit kit
TL;DR · AI 摘要
四个黑客组织利用同一Chrome和Windows漏洞工具包，AI加速漏洞发现导致攻击迅速扩散。
核心要点
- BlueMoon工具包同时利用3个漏洞，含2个Chromium和1个Windows内核漏洞
- AI使漏洞利用开发周期从数月缩短至数天
- TA412等中国关联组织针对美国能源和矿业公司发动攻击
结构提纲
按章节快速跳转。
介绍BlueMoon工具包的发现及四个使用该工具的攻击组织
详细解析BlueMoon利用的三个关键漏洞及其影响范围
分析AI技术如何缩短漏洞发现到利用的时间窗口
列举四个攻击组织及其针对的行业目标分布
解释Chromium供应链补丁延迟为攻击者提供的机会窗口
思维导图
用一张图看清主题之间的关系。
查看大纲文本（无障碍 / 无 JS 友好）
- BlueMoon漏洞工具包
- 漏洞利用
- Chromium漏洞(2个)
- Windows内核漏洞(1个)
- 技术特征
- AI加速开发
- 高检测信号
- 攻击者
- TA412
- UNK_LateNight
- UNK_DoubleCheck
金句 / Highlights
值得收藏与分享的关键句。
AI使威胁行为者开发利用程序的周期从数月缩短至数天
BlueMoon同时利用Chrome和Windows 10 2004版本内核漏洞
TA412组织2024年被美国政府起诉，持续攻击美国非政府组织
四组黑客被发现使用相同的Chrome和Windows漏洞利用工具包 - Ars Technica
一夜爆红
四组黑客被发现使用相同的Chrome和Windows漏洞利用工具包
补丁漏洞期和基于AI的漏洞发现加速可能是主要原因。
Dan Goodin
–
2026年9月9日 下午4:55
|
23
图片来源：Getty Images
按钮
文本设置
面板
正文文本
字号
小号
标准
大号
宽度
*
宽屏
链接颜色
橙色
- 仅限订阅者
了解更多
最小化至导航栏
至少有四个黑客组织正在积极使用一个几乎相同的漏洞利用工具包，该工具包针对基于Chromium的浏览器和旧版Windows系统中的关键漏洞。安全公司Proofpoint的研究人员周三表示，他们将该工具包命名为BlueMoon，该工具包通过串联三个漏洞，使攻击者能够安装任意恶意软件。BlueMoon利用了两个Chromium漏洞和Windows 10（2018年10月更新版）、Windows Server 2019、Windows 10 2004、Windows Server 2022以及Windows 11初始版本中的内核漏洞。这三个漏洞在过去24小时内均已获得补丁。
快速部署，广泛传播
这些攻击缺乏许多行动中常见的隐蔽性。通常，黑客会谨慎利用新发现的漏洞以延长其使用周期。Proofpoint推测，该漏洞链被广泛使用且可见的原因之一是利用了Chromium供应链中的"补丁漏洞期"，即从开发者发布补丁到浏览器（如Chrome和Edge）整合该补丁的时间窗口。另一个可能因素是AI的使用，AI通常能比纯人工发现更快识别漏洞。
这两个因素可能促使攻击者在机会窗口关闭前迅速行动。Proofpoint表示：
历史上，完全武器化的Chrome漏洞链是一种高价值且罕见的能力。BlueMoon在开发后迅速部署，并在数天内被多个威胁行为者共享，这种方式产生了高度的检测信号。这可能反映出，随着AI代理越来越多地赋能威胁行为者的漏洞开发，此类能力的开发成本和进入门槛正在降低。这对开源代码库（如Chromium）尤其相关，因为在代码库的下游用户应用补丁之前，上游补丁通常是公开可访问的。这为威胁行为者创造了快速逆向工程补丁并在下游稳定版本发布前开发漏洞利用的机会窗口。
这四个组织针对了广泛范围的机构和公司。相关组织及目标包括：
- TA412，一个被美国政府于2024年起诉的中国关联国家支持型威胁行为者（代表中国民用对外情报机构），多次攻击关注非政府组织、矿业公司和大宗商品交易公司的美国机构
- UNK_LateNight，一个中国关联的间谍组织，针对多家美国航空航天公司
- UNK_DoubleCheck 针对一家越南制造实体
- UNK_QuietRacket 活动针对新加坡和印度尼西亚
首次攻击来自TA412，始于8月28日。其余攻击则在本月早些时候开始。Proofpoint表示，尚不清楚其他组织是否也获得了该漏洞利用工具包的访问权限。
这两个针对Chrome的漏洞均存在于V8中，即Google开源的JavaScript引擎。攻击者通过利用V8的类型混淆漏洞和V8中的独立沙盒逃逸漏洞，成功实现了远程代码执行。随后，他们利用旧版Windows系统的本地权限提升漏洞，使恶意代码以系统权限运行。第一个V8漏洞被标记为CVE-2026-85046，而Windows漏洞被标记为CVE-2026-85880。Google不会为V8的沙盒逃逸漏洞分配CVE编号。
Proofpoint表示：“在观察到的攻击活动中，这两个V8漏洞均为‘补丁差距型’零日漏洞。”换句话说，尽管这些漏洞已在公开的上游Chromium源代码中修复，但Chrome和基于Chromium的浏览器最新稳定版本尚未修补。研究人员推测，攻击工具包开发者可能利用这些公开的Chromium补丁，将浏览器漏洞链武器化。
尽管BlueMoon工具包留下了大量被使用的痕迹，且三个漏洞均已修复，Proofpoint仍表示该工具可能继续被使用。“鉴于其易于采用的特性，随着修补版本在所有基于Chromium的浏览器中全面部署，该工具很可能进一步扩散，并被出于间谍活动或经济利益动机的威胁行为者所采用。”研究人员表示。
高级安全编辑
Dan Goodin是Ars Technica的高级安全编辑，负责监督恶意软件、计算机间谍活动、僵尸网络、硬件黑客攻击、加密和密码相关的报道。在工作之余，他喜欢园艺、烹饪以及关注独立音乐场景。Dan目前常驻旧金山，可通过以下方式关注他：
here
在Mastodon和
Bluesky上。可通过Signal联系他，联系方式为DanArs.82。
23条评论