Vier Spionagegruppen nutzen dieselben Zero-Day-Lücken in Chrome und Windows aus

Mindestens vier spionageorientierte Hackergruppen, die meisten davon mit mutmaßlichen Verbindungen zum chinesischen Geheimdienst, wurden dabei ertappt, wie sie dasselbe Exploit-Toolkit verwenden, um Google Chrome Alphabet Inc. ↘ 2.09% und Microsoft ↘ 0.47% Windows in einer schnellen Kampagne zu kompromittieren, die Ende August begann und noch immer andauert, wie das Cybersicherheitsunternehmen Proofpoint am Mittwoch mitteilte.proofpoint

Das Toolkit, das Proofpoint BlueMoon nannte, verkettet drei Schwachstellen, um Angreifern die volle Kontrolle über den Computer eines Ziels zu geben: einen Type-Confusion-Fehler in der V8-JavaScript-Engine von Chrome (CVE-2026-85046), einen Ausbruch aus der V8-Sandbox und einen Fehler bei der Privilegienerweiterung im Windows-Kernel innerhalb des Advanced Local Procedure Call-Systems (CVE-2026-85880). Alle Angriffe beginnen mit Phishing-E-Mails, die Opfer auf von Angreifern kontrollierte URLs locken und so die Exploit-Kette nacheinander auslösen.thehackernews+2

Patch-Gap Zero-Days und KI-gestützte Entwicklung

Beide Chrome-Schwachstellen waren sogenannte Patch-Gap-Zero-Days, das heißt, Korrekturen existierten im öffentlichen Quellcode von Chromium, hatten aber noch keine stabilen Browser-Releases erreicht. Dies gab dem Exploit-Entwickler ein Zeitfenster von etwa vier Wochen, um funktionierende Exploits durch Reverse Engineering zu erstellen, bevor die Patches die Endbenutzer erreichten. Google korrigierte CVE-2026-85046 in Chrome am 3. September, und Microsoft behandelte CVE-2026-85880 als Teil seiner Patch-Tuesday-Updates im September 2026.cybersecuritynews+3

Proofpoint-Forscher wiesen auf Indizien hin, dass KI-Codierungstools bei der Entwicklung von BlueMoon geholfen haben könnten, darunter ausführliche Debugging-Kommentare, umfangreiche Diagnoseprotokolle und Verweise auf Googles v8CTF-Bug-Bounty-Framework im gesamten Code. Forscher erklärten, sie könnten nicht feststellen, ob die v8CTF-Referenzen echte Forschung oder einen Versuch darstellten, Sicherheitsvorkehrungen von KI-Modellen zu umgehen.thehackernews+1

Vier Gruppen, ein Toolkit

Die erste bestätigte Nutzung von BlueMoon erfolgte am 28. August durch APT31, die China-nahe Gruppe, die auch als Violet Typhoon verfolgt wird. Die Gruppe zielte auf US-NGOs, Bergbauunternehmen und Rohstoffhändler ab und setzte eine bösartige Browser-Erweiterung ein, die als Google Gemini getarnt war und als vollständige Überwachungs-Backdoor fungiert. Innerhalb weniger Tage übernahmen drei weitere Gruppen das Toolkit: UNK_LateNight zielte mit der ShadowPad-Backdoor auf US-Luft- und Raumfahrtunternehmen ab; UNK_DoubleCheck traf einen vietnamesischen Hersteller mit einem Rust-basierten Loader; und UNK_QuietRacket nahm Regierungs- und Finanzorganisationen in Indonesien und Singapur ins Visier.therecord+2

Das geteilte Toolkit wirft laut The Record Fragen darüber auf, ob diese Gruppen aus einer gemeinsamen Beschaffungspipeline oder einem Modell eines digitalen Quartiermeisters schöpfen.therecord

Patchen reicht nicht aus

Die CISA fügte den Chrome-Fehler am 4. September ihrem Katalog bekannter ausgenutzter Schwachstellen hinzu und gab Bundesbehörden bis zum 18. September Zeit, Updates anzuwenden. Proofpoint warnte jedoch, dass das Aktualisieren des Browsers zwar den Einstiegspunkt schließt, aber bereits installierte Schadsoftware nicht entfernt. Die GemStone-Erweiterung und geplante Aufgaben, die von anderen Gruppen erstellt wurden, überleben ein Patch, was bedeutet, dass zuvor angegriffene Organisationen ihre Systeme auf Anzeichen einer Kompromittierung überprüfen sollten.thehackernews+1

"Eine vollständig bewaffnete Chrome-Exploit-Kette war historisch gesehen eine seltene Fähigkeit mit hohem Wert", sagte Proofpoint. "Dies könnte auf gesunkene Kosten und niedrigere Eintrittsbarrieren für diese Art von Fähigkeiten hindeuten, da KI-Agenten zunehmend die Entwicklung von Bedrohungen durch Akteure ermöglichen."thehackernews