Nhiều nhóm gián điệp dùng cùng bộ khai thác Chrome và Windows
"Multiple espionage-focused threat clusters used a previously undocumented exploit kit called BlueMoon within a week, chaining Chrome V8 type confusion (CVE-2026-85046), an unassigned V8 sandbox escape, and a Windows ALPC heap-based buffer overflow (CVE-2026-85880). The attacks used phishing links to trigger browser code execution, sandbox escape, and Windows privilege escalation, then delivered payloads such as ShadowPad, credential-theft extensions, and DLL sideloading loaders; Google and Microsoft had already patched the disclosed CVEs."
Rủi ro cao do chuỗi khai thác kết hợp thực thi mã, thoát sandbox và leo thang đặc quyền; có thể dẫn tới cài backdoor và đánh cắp thông tin.
Có thể gây xâm nhập ban đầu, gián đoạn điều tra sự cố và tăng chi phí khắc phục; các tổ chức dùng Chrome và Windows cần ưu tiên kiểm tra và vá lỗi.
Các nhà nghiên cứu an ninh ghi nhận nhiều cụm đe dọa gián điệp đã sử dụng cùng một bộ khai thác chưa từng được công bố trước đó, mang tên BlueMoon, chỉ trong vòng một tuần. Chuỗi tấn công kết hợp CVE-2026-85046 trong Google Chrome V8, một lỗi sandbox escape chưa được gán CVE, và CVE-2026-85880 trong Windows ALPC để đi từ thực thi mã trong trình duyệt đến leo thang đặc quyền trên máy Windows.
Theo mô tả, kẻ tấn công thường bắt đầu bằng email lừa đảo dẫn nạn nhân tới liên kết độc hại, sau đó kích hoạt chuỗi khai thác để tải thêm ShadowPad, tiện ích đánh cắp thông tin đăng nhập, hoặc các trình nạp dùng DLL sideloading. Một số biến thể còn bổ sung kiểm tra hệ điều hành, trang đích riêng cho từng chiến dịch và cơ chế ghi log chi tiết.
Google và Microsoft đã phát hành bản vá cho các CVE được nêu, vì vậy trọng tâm hiện nay là rà soát mức độ phơi nhiễm và khả năng đã bị khai thác trước khi cập nhật.
Khuyến nghị: ưu tiên vá Chrome và Windows, kiểm tra email phishing, giám sát DLL sideloading, rà soát tiện ích trình duyệt bất thường và tăng phát hiện hành vi tải/chạy tệp từ tiến trình trình duyệt.