Bộ khai thác BlueMoon nhắm vào Chrome và Windows
"Proofpoint reported a new exploit kit called BlueMoon being used by at least four espionage groups to chain two Chromium/V8 browser flaws and a Windows privilege escalation bug for initial access and payload delivery. The chain includes CVE-2026-85046, a Chrome V8 type confusion RCE, and CVE-2026-85880, a Windows ALPC privilege escalation; Google and Microsoft patched the issues, while the article highlights a patch-gap window that allowed exploitation before downstream releases were updated."
CVE-2026-85046 đã bị khai thác ngoài thực tế; CVE-2026-85880 cũng bị dùng trong chuỗi tấn công. Patch-gap làm tăng rủi ro trước khi bản vá được triển khai rộng.
Nguy cơ xâm nhập ban đầu và đánh cắp thông tin xác thực có thể ảnh hưởng đến NGO, khai khoáng và giao dịch hàng hóa. Có thể phát sinh gián đoạn vận hành nếu thiết bị bị cài loader hoặc tiện ích độc hại.
Proofpoint cho biết một bộ khai thác mới tên BlueMoon đang được ít nhất 4 nhóm gián điệp sử dụng để xâm nhập mạng của tổ chức tại Mỹ và Đông Nam Á. Chuỗi tấn công kết hợp hai lỗi trên Chromium/V8 và một lỗi nâng quyền trên Windows để đạt remote code execution, thoát browser sandbox rồi cài tải trọng tiếp theo.
Chuỗi này gồm CVE-2026-85046 trên Chrome V8 (type confusion, đã bị khai thác ngoài thực tế), một lỗi sandbox escape không có CVE, và CVE-2026-85880 trong Windows ALPC. Google và Microsoft đã phát hành bản vá, nhưng Proofpoint nhấn mạnh khoảng trễ patch-gap giữa bản vá upstream và bản phát hành ổn định đã tạo cơ hội khai thác trước khi người dùng cập nhật.
Theo báo cáo, hoạt động ban đầu bắt đầu từ 28/8 và nhắm vào NGO, công ty khai khoáng và doanh nghiệp giao dịch hàng hóa. Chuỗi tấn công bắt đầu từ phishing email dẫn nạn nhân tới URL do kẻ tấn công kiểm soát, sau đó tải loader và cài browser extension độc hại ngụy trang thành Google Gemini.
Khuyến nghị: cập nhật Chrome/Edge và Windows ngay, kiểm tra dấu hiệu phishing, rà soát tiện ích mở rộng trình duyệt bất thường, và tăng giám sát các hành vi tải payload sau khi người dùng truy cập liên kết lạ.