1. "BlueMoon" is de naam van een nieuwe exploitkit die sinds eind augustus 2026 wordt gebruikt door ten minste vier verschillende dreigingsgroepen. De meeste van deze groepen worden vermoedelijk geassocieerd met China.
2. De eerste bevestigde inzet van BlueMoon vond plaats op 28 augustus 2026 door de groep TA412, ook bekend als Violet Typhoon of APT31.
3. TA412 gebruikte spearphishing-aanvallen gericht op Amerikaanse NGO's, mijnbouwbedrijven en grondstoffenhandelaren. Hierbij werd een kwaadaardige browser-extensie genaamd "GemStone" geïnstalleerd.
4. GemStone fungeert als een backdoortoegang voor browserbewaking, inclusief keylogging, cookie-diefstal, screenshots en het onderscheppen van HTTP-verzoeken.
5. BlueMoon maakt gebruik van drie kwetsbaarheden na elkaar: een type-fout in de V8 JavaScript-engine van Chromium (CVE-2026-85046), een ontsnapping uit de V8 sandbox, en een Windows kernel local privilege escalation kwetsbaarheid (CVE-2026-85880).
6. De kwetsbaarheden aan de Chrome-zijde waren zero-days in de "patch gap" fase. Dit betekent dat fixes beschikbaar waren in de publieke broncode, maar nog niet in stabiele browserversies.
7. Er zijn aanwijzingen dat BlueMoon gehaast is ingezet. Zo werkt de Windows privilege-escalatie alleen op oudere builds (Windows 10 en Server 2019/2022) en werd de infrastructuur vaak op dezelfde dag geregistreerd als de campagne.
8. De standaard payload van de exploitkit is een eenvoudig curl-commando om een bestand te downloaden en uit te voeren, wat relatief weinig operationele stealth biedt.
9. Onderzoekers hebben aanwijzingen gevonden voor AI-ondersteunde ontwikkeling, waaronder uitgebreide logboeken, debugcommentaren en een "overdrachtsdocument" in markdown. Referenties naar Google's v8CTF bug bounty framework komen voor in de code.
10. De snelle verspreiding van de exploitkit onder verschillende dreigingsactoren suggereert een gedeelde inkoopketen of een "digitale kwartiermeester" model.
11. Andere groepen die BlueMoon gebruiken zijn onder andere UNK_LateNight, UNK_DoubleCheck en UNK_QuietRacket.
12. Groep UNK_LateNight richtte zich op Amerikaanse luchtvaartbedrijven en leverde de ShadowPad-backdoor.
13. Groep UNK_DoubleCheck gebruikte een gecompromitteerd e-mailaccount in Zuidoost-Azië om een Vietnamese fabrikant te targeten met een Rust-gebaseerde loader.
14. Groep UNK_QuietRacket richtte zich op overheids- en financiële organisaties in Indonesië en Singapore met phishing-aanvallen en DNS-over-HTTPS-commando-kanalen.
15. Organisaties met verouderde Windows-versies en niet-gepatchte browsers op basis van Chromium lopen het grootste risico.
16. Onderzoekers verwachten dat BlueMoon of vergelijkbare "patch-gap" exploitatietechnieken vaker zullen voorkomen bij zowel spionage- als financieel gemotiveerde actoren.