LONDON (IT BOLTWISE) – Ein zuvor unbekanntes Exploit-Kit namens BlueMoon wird laut Auswertung von mehreren Spionage-Clustern innerhalb weniger Tage für Angriffe genutzt. Die Kette verbindet zwei V8-Schwachstellen in Google Chrome mit einem lokalen Privilegien-Upgrade in Windows über CVE-2026-85046 und CVE-2026-85880. Besonders kritisch: In beiden Chrome-Fällen soll zur Ausnutzungszeit ein Patch-Lückentag existiert haben. Wer betroffen sein könnte, muss nicht nur Updates nachziehen, sondern auch nach Überresten wie Browser-Erweiterungen und persistierenden Scheduled Tasks suchen.
Für Security-Teams ist der aktuelle Fall vor allem deshalb heikel, weil er ein Muster zeigt, das in der Praxis selten so schnell skaliert: Ein neu identifiziertes Exploit-Kit namens BlueMoon soll innerhalb von nur einer Woche von mehreren, zuvor nicht zwangsläufig zusammenarbeitenden Gruppen eingesetzt worden sein. In der beobachteten Kampfwelle begann die erste In-the-wild-Nutzung am 28. August 2026, danach kamen laut der technischen Auswertung rasch weitere Cluster hinzu. Das Kit kombiniert dabei bewusst browserseitige Schwächen mit einem Windows-Seitenschritt, sodass aus einem initialen Web-Blick häufig eine Kette bis zur Codeausführung und anschließendem Privilege-Escalation wird.
Technisch baut BlueMoon auf einer klaren Exploit-Kette auf: Zuerst kommt ein Typenproblem in V8 aus Chrome, das unter CVE-2026-85046 geführt wird. Danach folgt ein V8-Sandbox-Escape, für den zunächst keine eigene CVE-Nummer vergeben sein soll. Den letzten Baustein liefert dann CVE-2026-85880, eine Heap-basierte Buffer-Overflow-Schwachstelle in Windows’ Advanced Local Procedure Call (ALPC). Für die operative Priorisierung zählt vor allem die Timing-Lücke: Laut der Auswertung waren die beiden V8-Flaws bereits im öffentlichen Chromium-Quellcode behoben, die entsprechenden stabilen Chrome- und Chromium-Versionen hätten diese Fixes aber zum Zeitpunkt der Ausnutzung noch nicht vollständig propagiert.
Aus Sicht der Angriffsarchitektur ist das Vorgehen dabei eher „chain-first“ als „single-bug“-getrieben. Die Startphase läuft über Phishing: Zielpersonen sollen auf einen actor-kontrollierten Link klicken, der einen URL-Trigger auslöst, der beide V8-Flaws nacheinander aktiviert. Wenn das gelingt, kann der Angreifer die Browser-Sandbox verlassen und anschließend eine lokale Privilegieneskalation anstoßen. Danach injiziert das Kit Shellcode, der je nach Bedrohungscluster mehrere Payloads nachlädt. Auffällig ist auch die Rolle der Host-Validierung: Nach den Chrome-Exploits nutzt das Kit eine reflectively geladene DLL, um den Windows-Host zu fingerprinten, bevor überhaupt der LPE-Schritt versucht wird.
Im nächsten Schritt wird die Privilegieneskalation genutzt, um weiter in den Prozessfluss einzugreifen. Die zweite reflectively geladene DLL soll den Renderer-Prozess nach oben bringen; mit den zusätzlichen Rechten injiziert anschließend ein separater Injector-Shellcode einen CreateProcess-Stub in den Chrome Broker-Prozess. Dieser Stub führt dann einen Operator-spezifizierten Befehl aus, dessen Standardvariante laut der Auswertung eine remote gehostete ausführbare Datei per curl herunterlädt und anschließend startet. Dass es mehrere Varianten des Kits gab, die Kommentare entfernten oder Komponenten obfuscierten, ändert am Kern der Exploit-Logik wenig: Subtile Modifikationen betrafen eher Strukturdetails, Landingpages, Redirects, Browser-seitige OS-Checks sowie zusätzliche Telemetrie.
Besonders relevant für den Alltag in Unternehmen ist, wie die Kampagnen anschließend auf Persistenz und Fernsteuerung setzen. In einer beobachteten Variante (APT31 ab 28. August 2026) sollen spear-phishing-Lures nicht nur zu BlueMoon geführt haben, sondern danach auch einen Loader installieren, der eine Browser-Erweiterung tarnt: Die Erweiterung wird dabei als Google Gemini verkleidet und über eine Chrome-Erweiterungs-Integritäts-Bypass-Technik mit dem Namen GhostChrome-X verteilt. Die dahinterliegende Backdoor wird als GemStone beschrieben; über ein Command-and-Control-(C2)-Konstrukt sollen die Operatoren anschließend Befehle nachreichen können. Andere Cluster setzten dagegen auf DLL sideloading und auf Infrastruktur wie Cloudflare Workers bzw. Cloudflare R2, um weitere Rust- oder.NET-basierte In-Memory-Komponenten abzulegen und die Sequenz zyklisch fortzuführen, etwa über geplante Tasks.
Für die Verteidigung zählt außerdem, dass der Fall nicht im „Patchen“-Vakuum endet. Die Auswertung verweist darauf, dass das Kit umfangreiche Logging-Fähigkeiten und verbose Kommentare in den Artefakten enthält, was als Hinweis gewertet wird, dass bei der Entwicklung möglicherweise KI-Tools mitgeholfen haben. Dabei bleibt aber offen, ob die V8-Teile tatsächlich gegen das v8CTF-„Challenge“-Umfeld entwickelt wurden oder ob diese Referenzen lediglich genutzt wurden, um Hürden von LLM-Guardrails zu umgehen. Unabhängig davon, wie sehr KI hier konkret beteiligt war, beschreibt die Branche ein klares Risiko: Wenn Chromium-Patches öffentlich verfügbar sind, während Downstream-Consumers die Fixes noch in stabile Releases übernehmen, entsteht ein Zeitfenster für Reverse-Engineering und schnelle Exploit-Assemblierung.
Damit verschiebt sich die Priorität von reiner Browser-Härtung hin zu einem kombinierten Vorgehen. Zwar soll CISA am 4. September 2026 die Chrome-Flaws in das Known Exploited Vulnerabilities Catalog aufgenommen haben und Bundesbehörden des zivilen Bereichs in den USA eine Patch-Frist bis zum 18. September eingeräumt worden sein. Doch der operative Hinweis ist ebenso klar: Ein Update „schließt“ den Angriffspfad, entfernt aber nicht automatisch bereits installierte Komponenten. Die Auswertung empfiehlt deshalb auch Post-Compromise-Checks nach typischen Spuren wie dem Prozessbaum „chrome.exe startet cmd.exe, dann curl.exe, dann msgbox.exe“, nach Dateien im Windows-%TEMP%-Umfeld wie ChromeUpdate.exe oder msgbox.exe, nach Extensions/Ordnern im Stil von C: \UsersPublicstomp_ext sowie nach Scheduled Tasks wie EdgeCore_AutoUpdate, MicrosoftEdgeUpdatesTaskMachine, Avpcheckup oder GeForceService. Zusätzlich werden IoC-Beispiele bis hin zu einem Mutex-Namen und einem Registry-Eintrag genannt, und es sollen auch konkrete Detection-Rules für den JavaScript-Loader und C2-Verkehr vorliegen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "BlueMoon: Neuer Chrome-Windows-Exploit-Kit wird von mehreren Gruppen schnell geteilt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "BlueMoon: Neuer Chrome-Windows-Exploit-Kit wird von mehreren Gruppen schnell geteilt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »BlueMoon: Neuer Chrome-Windows-Exploit-Kit wird von mehreren Gruppen schnell geteilt« bei Google Deutschland suchen, bei Bing oder Google News!