Dört casus grup aynı Chrome ve Windows açıklarını kullanıyor

Çoğu Çin devlet istihbaratıyla bağlantılı olduğundan şüphelenilen en az dört casusluk odaklı bilgisayar korsanlığı grubu, Google Chrome (Alphabet Inc. ↘ 2.09%) ve Microsoft ↘ 0.47% Windows sistemlerini ele geçirmek için aynı istismar kitini kullanırken yakalandı. Siber güvenlik firması Proofpoint'in Çarşamba günü açıkladığına göre, Ağustos sonunda başlayan kampanya halen devam ediyor.proofpoint

Proofpoint'in BlueMoon adını verdiği kit, saldırganlara hedefin bilgisayarı üzerinde tam kontrol sağlayan üç açığı birleştiriyor: Chrome'un V8 JavaScript motorunda bir tür karmaşası hatası (CVE-2026-85046), bir V8 sandbox kaçışı ve Gelişmiş Yerel Prosedür Çağrısı sisteminde bir Windows çekirdeği ayrıcalık yükseltme hatası (CVE-2026-85880). Tüm saldırılar, kurbanları saldırganların kontrolündeki URL'lere çeken ve istismar zincirini sırayla tetikleyen kimlik avı e-postalarıyla başlıyor.thehackernews+2

Yama Boşluğu Sıfırıncı Gün Açıkları ve Yapay Zeka Destekli Geliştirme

Chrome tarafındaki her iki güvenlik açığı da "yama boşluğu" (patch-gap) sıfırıncı gün açığıydı; düzeltmeler Chromium'un halka açık kaynak kodunda mevcuttu ancak henüz kararlı tarayıcı sürümlerine ulaşmamıştı. Bu durum, istismar geliştiriciye yamalar son kullanıcılara ulaşmadan önce çalışan istismarları tersine mühendislik yapmak için yaklaşık dört haftalık bir pencere sağladı. Google, CVE-2026-85046'yı 3 Eylül'de yamaladı ve Microsoft, CVE-2026-85880'i Eylül 2026 Patch Tuesday güncellemelerinin bir parçası olarak ele aldı.cybersecuritynews+3

Proofpoint araştırmacıları, BlueMoon'un geliştirilmesine yapay zeka kodlama araçlarının yardımcı olmuş olabileceğine dair dolaylı kanıtlar buldu; bunlar arasında ayrıntılı hata ayıklama yorumları, kapsamlı tanılama günlükleri ve kod boyunca Google'ın v8CTF hata ödül çerçevesine yapılan referanslar yer alıyor. Araştırmacılar, v8CTF referanslarının gerçek bir ödül araştırmasını mı yoksa yapay zeka güvenlik önlemlerini aşma girişimini mi yansıttığını belirleyemediklerini söyledi.thehackernews+1

Dört Küme, Bir Kit

BlueMoon'un ilk doğrulanmış kullanımı, 28 Ağustos'ta Violet Typhoon olarak da bilinen APT31 grubundan geldi. Grup, ABD'li STK'ları, madencilik şirketlerini ve emtia tüccarlarını hedef alarak, Google Gemini kılığına girmiş ve tam bir gözetim arka kapısı olarak işlev gören kötü amaçlı bir tarayıcı uzantısı dağıttı. Birkaç gün içinde üç küme daha kiti benimsedi: UNK_LateNight, ShadowPad arka kapısıyla ABD'li havacılık firmalarını hedef aldı; UNK_DoubleCheck, Rust tabanlı bir yükleyici ile Vietnamlı bir üreticiyi vurdu; ve UNK_QuietRacket, Endonezya ve Singapur'daki hükümet ve finans kuruluşlarının peşine düştü.therecord+2

The Record'a göre, paylaşılan araç seti, bu grupların ortak bir tedarik hattından mı yoksa "dijital levazım subayı" modelinden mi beslendiği konusunda soruları gündeme getiriyor.therecord

Yama Yapmak Yeterli Değil

CISA, Chrome açığını 4 Eylül'de Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi ve federal kurumlara güncellemeleri uygulamaları için 18 Eylül'e kadar süre verdi. Ancak Proofpoint, tarayıcıyı güncellemenin giriş noktasını kapattığını ancak halihazırda yüklenmiş olan kötü amaçlı yazılımları kaldırmadığını konusunda uyardı. GemStone uzantısı ve diğer gruplar tarafından oluşturulan zamanlanmış görevler yama sonrasında da varlığını sürdürüyor, bu da hedeflenen kuruluşların sistemlerini ihlal belirtileri açısından denetlemesi gerektiği anlamına geliyor.thehackernews+1

Proofpoint, "Tam donanımlı bir Chrome istismar zinciri tarihsel olarak yüksek değerli, nadir bir yetenekti" dedi. "Bu durum, yapay zeka ajanları tehdit aktörlerinin istismar geliştirmesini giderek daha fazla mümkün kıldıkça, bu yetenek sınıfı için giriş maliyetinin ve engelinin azaldığını yansıtabilir."thehackernews