Sicherheitsforscher von Proofpoint haben eine staatlich gelenkte, aggressive Spearphishing-Welle entdeckt, bei der ein hochentwickeltes neues Exploit-Kit zum Einsatz kommt, das sie „BlueMoon“ getauft haben. Proofpoint wertet BlueMoon als Vorboten für eine neue Ära der Cyberbedrohungen, in der künstliche Intelligenz die Entwicklungskosten für hochkarätige Angriffswerkzeuge drastisch senkt und Patch-Gap-Szenarien gefährlicher werden lässt.
Dies gilt insbesondere für Open-Source-Code wie Chromium, bei dem Upstream-Patches öffentlich zugänglich sind, bevor die Downstream-Nutzer den Patch anwenden. Dadurch entsteht ein Zeitfenster, in dem Angreifer versuchen können, schnell Exploits zu entwickeln, noch bevor die stabilen Downstream-Versionen veröffentlicht werden.
Die Kampagne
Mindestens vier unterschiedliche, staatlich (meist durch China) gelenkte Cyberspionage-Gruppen nutzten BlueMoon innerhalb weniger Tage. Die Angreifer nutzten dabei das kritische Zeitfenster des „Patch-Gaps“ aus. Die Schwachstellen waren im öffentlichen Quellcode der Chromium-Browser-Plattform zwar bereits behoben, die Sicherheits-Updates waren jedoch noch nicht vollständig in die stabilen, offiziellen Versionen für Endnutzer integriert.
Dreistufige Exploit-Kette
BlueMoon kombiniert drei getrennte Schwachstellen zu einer lückenlosen Kette, um die vollständige Kontrolle über ein Windows-System zu erlangen. Der erste Angriffsvektor beruht auf einer Typverwechslung im JIT-Compiler der Chromium-JavaScript-Engine V8 (CVE-2026-85046), was die Ausführung von beliebigem Schadcode direkt im Browser-Renderer erlaubt.
Im zweiten Schritt bricht das Kit über eine gezielte Manipulation von WebAssembly-Metadaten aus der schützenden V8-Sandbox aus. Um schließlich die Beschränkungen des Betriebssystems zu überwinden, schaltet das Kit eine Schwachstelle zur lokalen Rechteausweitung im Windows-Kernel (CVE-2026-85880) nach.
Mit diesen erweiterten Administratorrechten wird Schadcode in den übergeordneten Chrome-Prozess injiziert, welcher standardmäßig einen einfachen Download-Befehl via Kommandozeile startet.
Klare Spuren von KI-Unterstützung
Obwohl kein einzelner Beweis eine eindeutige Zuordnung erlaubt, weist der Aufbau von BlueMoon markante Merkmale einer KI-gestützten Softwareentwicklung auf. Ungewöhnlich für hochentwickelte Cyberwaffen sind die extrem ausführlichen Diagnose-Logs und detaillierten Kommentare im Code, die aufeinanderfolgende Debugging-Schritte dokumentieren.
Ein besonders starkes Indiz ist der Verweis auf ein internes Markdown-Übergabedokument, eine Methode, wie sie von autonomen KI-Agenten verwendet wird, um den Kontext zwischen verschiedenen Arbeitssitzungen oder Modellen zu wahren. Zudem deuten Bezeichnungen im Code darauf hin, dass die Entwickler das Kit unter dem Vorwand von Googles legalem Bug-Bounty-Wettbewerb erstellten, um die Sicherheitsfilter großer Sprachmodelle zu umgehen.
Breites Spektrum an Schadlasten
Die verschiedenen Spionagegruppen gingen bei ihren Kampagnen hochspezifisch vor und setzten nach der erfolgreichen Infektion völlig unterschiedliche Payloads ein. Die der chinesischen Regierung zugerechnete Gruppe TA412 attackierte US-NGOs sowie Minenunternehmen mit gefälschten Bewerbungsmails und installierte die bösartige Browser-Erweiterung GemStone, die sich als nützliches Google-Gemini-KI-Tool tarnte, um Passwörter und Tastatureingaben zu stehlen.
Ein zweiter Akteur, UNK_LateNight, täuschte geschäftliche Preisanfragen vor, um US-Luft- und Raumfahrtunternehmen zu infiltrieren und die bekannte ShadowPad-Backdoor einzuschleusen. Im asiatischen Raum infizierte UNK_DoubleCheck ein Industrieunternehmen mittels eines kompromittierten Regierungskontos mit einem neuartigen Rust-Loader, während UNK_QuietRacket über gefälschte Einladungen Finanz- und Regierungsorganisationen ins Visier nahm.
Hohes Risiko bei mangelnder operativer Finesse
Trotz der beachtlichen technischen Komplexität der Browser-Exploits offenbarte die Kampagne erhebliche handwerkliche Schwächen und Anzeichen von Zeitdruck. Da die Komponente für die Windows-Rechteausweitung auf ältere, teilweise nicht mehr unterstützte Windows-Builds beschränkt war, blieb der Kreis potenzieller Opfer von vornherein stark eingegrenzt.
Zudem vernachlässigten die Entwickler grundlegende Prinzipien der Tarnung: Der standardmäßige Versuch, die finale Schadsoftware über einen simplen, unverschlüsselten Download-Befehl auf die Festplatte zu schreiben, erzeugt massive Alarmsignale bei modernen Endpoint-Sicherheitssystemen (EDR).
Das neue Exploit-Kit ist allerdings ein Vorbote für eine neue Ära der Cyberbedrohungen, in der künstliche Intelligenz die Entwicklungskosten für hochkarätige Angriffswerkzeuge drastisch senkt und Patch-Gap-Szenarien zunehmend gefährlicher werden lässt.