Исследователи из Proofpoint обнаружили новый эксплоит-кит BlueMoon, который объединяет три уязвимости в Chrome и Windows в единую цепочку атак. Инструмент практически одновременно оказался в распоряжении как минимум четырёх шпионских группировок, большинство из которых связывают с Китаем.

BlueMoon работает по схеме цепочки эксплойтов: сначала идёт эксплуатация уязвимости в браузере Chrome, затем — в операционной системе Windows, что в итоге позволяет получить полный контроль над целевой машиной. Такой подход требует от атакующих высокой квалификации, поскольку все три бага нужно сработать последовательно, без сбоев на промежуточных этапах.

По данным Proofpoint, киты подобного уровня обычно остаются эксклюзивом одной группировки или продаются на закрытых площадках за большие деньги. Здесь же инструмент почти синхронно всплыл у нескольких команд, что нетипично для рынка кибервооружений и указывает либо на утечку, либо на общего поставщика.

Связь большинства группировок с Китаем добавляет контекста: регион давно известен активностью APT-команд, нацеленных на госструктуры, дипломатов и промышленность. Совпадение по времени и составу участников намекает на координацию или как минимум на общий источник разработки.

Пока неясно, какие именно версии Chrome и Windows уязвимы и выпущены ли патчи. Proofpoint не раскрывает детали эксплойтов, чтобы не подсказывать атакующим.

Дальнейшее развитие событий зависит от того, как быстро Google и Microsoft закроют дыры. Если уязвимости останутся активными, BlueMoon может расползтись и к менее искушённым группировкам, что заметно расширит круг потенциальных жертв.