Исследователи Proofpoint зафиксировали четыре группы активности, использовавших набор эксплойтов под названием BlueMoon. Большинство наблюдений указывают на направленность на кибершпионаж, однако не все случаи приписывают одной стране или одной команде.
Цепочка эксплуатации объединяет ошибку типов в движке V8, выход из песочницы движка и повышение привилегий в ядре устаревших сборок Windows. В документе перечислены идентификаторы уязвимостей, относящиеся к этим этапам атаки.
Условия эксплуатации сужают охват: уязвимости браузера работают в связке с ошибкой Windows, которой нет во всех актуальных сборках. Наличие установленного Chrome или Edge само по себе не доказывает успешную компрометацию устройства.
Proofpoint отмечает проблему задержки с попаданием исправлений в стабильные сборки браузера: исправление могло появиться в исходном коде движка Chromium раньше, чем обновление стало доступно пользователям. Публично доступный diff может помочь специалистам по безопасности в анализе уязвимости, однако это не означает, что каждую атаку создал автоматизированный инструмент или ИИ.
Причины, по которым несколько групп используют один и тот же набор эксплойтов, остаются неизвестными. Установка официальных исправлений снижает известный риск, но не удаляет автоматически вредоносные компоненты в случае уже состоявшегося вторжения. Защитникам доступны индикаторы компрометации, приведённые в отчёте.