کیت اکسپلویت BlueMoon که نخستین بار در تاریخ ۲۸ اوت ۲۰۲۶ شناسایی شد، با تبدیل بازدیدهای کاربران از وب‌سایت‌های مخرب به اجرای بدافزار در محیط ویندوز، تهدیدی جدی برای سازمان‌ها ایجاد کرده است. این کیت با زنجیر کردن دو آسیب‌پذیری در موتور JavaScript مرورگر کروم (V8) و یک اکسپلویت در هسته ویندوز (Windows Kernel)، قادر است Payloadهای مخرب را خارج از محیط ایزوله یا همان Sandbox مرورگر اجرا کند.
جزئیات فنی زنجیره حمله
این حمله از سه آسیب‌پذیری کلیدی برای نفوذ و ارتقای سطح دسترسی استفاده می‌کند:
- CVE-2026-85046: منجر به ایجاد Type Confusion در موتور V8 شده و نقطه ورود اولیه را فراهم می‌کند.
- CVE-2026-87491: برای فرار از محیط Sandbox مرورگر به کار می‌رود.
- CVE-2026-85880: جهت ارتقای سطح دسترسی در سطح هسته (Kernel Privilege Escalation) استفاده می‌شود تا مهاجم کنترل کامل سیستم را به دست آورد.
روش توزیع و اهداف
عوامل تهدید از طریق ایمیل‌های Spearphishing، قربانیان را به صفحات اکسپلویت تحت کنترل خود هدایت می‌کنند. در برخی موارد، برای فریب کاربران و کاهش سوءظن، این صفحات پس از اجرای کد مخرب، کاربر را به وب‌سایت‌های معتبر ریدایرکت می‌کنند.
بررسی‌ها نشان می‌دهد که چهار خوشه (Cluster) از عوامل تهدید با تمرکز بر جاسوسی، از BlueMoon برای توزیع بدافزارهای زیر استفاده کرده‌اند:
- بدافزار GemStone
- بدافزار ShadowPad
- یک لودر توسعه‌یافته با زبان Rust
- بدافزارهای سفارشی مبتنی بر .NET
دامنه هدف
این کمپین‌ها عمدتاً ایالات متحده و کشورهای جنوب شرق آسیا (از جمله ویتنام، اندونزی و سنگاپور) را هدف قرار داده‌اند. بخش‌های مورد حمله شامل سازمان‌های غیرانتفاعی، استخراج معدن، تجارت کالا، هوافضا، تولید، نهادهای دولتی، شرکت‌های مشاوره‌ای و بخش مالی بوده‌اند.
