Exploit-Kit Bluemoon: Chinesische Hacker attackieren Windows-Nutzer
Mehrere chinesische Hackergruppen haben offenbar zuletzt ein neues Exploit-Kit namens Bluemoon eingesetzt, um Windows-Systeme vollständig zu kompromittieren. Wie Sicherheitsforscher von Proofpoint in einem Bericht(öffnet im neuen Fenster) schildern, setzt das Kit an mehreren Sicherheitslücken im Webbrowser Chrome sowie in Microsofts Betriebssystem Windows an. Patches sind inzwischen verfügbar und sollten zügig installiert werden.
Der Angriff beginnt den Angaben zufolge im Chrome-Browser. Darin hatte Google in den letzten Tagen zwei an dem Angriff beteiligte Sicherheitslücken (CVE-2026-87491(öffnet im neuen Fenster) und CVE-2026-85046(öffnet im neuen Fenster)) gepatcht, die beide die Javascript-Engine V8 betreffen. Laut Proofpoint konnten die Angreifer damit Schadcode zur Ausführung bringen und aus der Browser-Sandbox ausbrechen.
Danach setzten die chinesischen Akteure mit Bluemoon an einer ALPC-Lücke (Advanced Local Procedure Call) in Windows an, die als CVE-2026-85880(öffnet im neuen Fenster) registriert ist. Diese ermöglicht unter älteren Windows-Varianten wie Windows 10 oder Windows Server 2012, 2016, 2019 oder 2022 eine Rechteausweitung und verleiht weitreichende Systemrechte. Auch dafür gibt es seit dem September-Patchday eine Korrektur.
Patch-Lücke verschafft Angreifern einen Vorteil
Laut Proofpoint waren die beiden V8-Lücken im öffentlichen Quellcode der Chromium-Codebasis von Google Chrome zum Zeitpunkt der Angriffe bereits geschlossen. Jedoch gab es wohl ein "Patch-Gap", was den Angreifern einen zeitlichen Vorteil verschaffte. Google soll die Korrekturen nämlich zum Angriffszeitpunkt noch nicht in Chrome übernommen und ein entsprechendes Update bereitgestellt haben.
"Dies ermöglichte es den Angreifern, schutzlose Systeme direkt über den Browser zu attackieren, bevor die Anwender ihre Software aktualisieren konnten", erklärte Proofpoint. Auch Sicherheitsforscher von Volexity haben entsprechende Beobachtungen gemacht und einen eigenen Bericht(öffnet im neuen Fenster) zu den Angriffen veröffentlicht.
Mehrere Angreifer, ein Exploit-Kit
Genutzt wird Bluemoon nach Angaben der Forscher von mindestens vier mit China verbundenen Cybergruppierungen – beginnend mit einer bekannten Gruppe, die oft Jungle Bamboo, Violet Typhoon, Tide Castle, APT31 oder TA412 genannt wird. Die anderen drei Gruppierungen führt Proofpoint unter den Bezeichnungen UNK_Latenight, UNK_Doublecheck und UNK_Quietracket.
Die Forscher gehen jedoch davon aus, dass möglicherweise noch weitere Akteure Zugang zu Bluemoon haben, da einige Aktivitäten in Verbindung mit dem Exploit-Kit noch keinem konkreten Akteur zugeordnet werden konnten. Zudem haben die Forscher mehrere Hinweise darauf gefunden, dass die Entwicklung von Bluemoon mithilfe von KI erfolgt ist.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.