KI beschleunigt Exploit-Bau: BlueMoon nutzt gefährliche Patch-Lücke
Ein neues Exploit-Kit zeigt, wie riskant öffentlich sichtbare Patches werden können: BlueMoon kombinierte Chrome- und Windows-Lücken zu einer Angriffskette, noch bevor alle Nutzer geschützt waren. Hinweise im Code legen zudem nahe, dass KI bei der Entwicklung geholfen haben könnte.
Proofpoint hat eine Spearphishing-Kampagne analysiert, bei der mindestens vier Cyberspionage-Gruppen innerhalb weniger Tage dasselbe Exploit-Kit einsetzten. BlueMoon zielte auf Chrome- und Chromium-basierte Browser und nutzte dabei ein besonders heikles Zeitfenster: Die zugrunde liegende Schwachstelle war im öffentlich einsehbaren Chromium-Code bereits korrigiert, der Patch hatte die stabile Chrome-Version aber noch nicht erreicht. Proofpoint spricht von einem typischen „Patch Gap“.
Drei Stufen bis zur Systemkontrolle
Den Einstieg bildet CVE-2026-85046, eine Typverwechslung im JIT-Compiler der Chromium- JavaScript-Engine V8. Präparierte Webseiten können darüber Code innerhalb der Browser-Sandbox ausführen. Google schloss die Lücke am 3. September mit Chrome 152.0.7977.82/.83 und bestätigte zugleich aktive Angriffe.
BlueMoon kombiniert diese Schwachstelle mit einem Ausbruch aus der V8-Sandbox. Anschließend wird CVE-2026-85880 ausgenutzt, ein Heap-basierter Pufferüberlauf in Windows Advanced Local Procedure Call (ALPC), der lokale Rechteausweitung ermöglicht. Die US-Cybersicherheitsbehörde CISA führt inzwischen beide Schwachstellen im Katalog aktiv ausgenutzter Lücken.
Mit den erweiterten Rechten injiziert das Kit Code in den übergeordneten Chrome-Prozess und kann anschließend weitere Schadsoftware nachladen. Proofpoint beobachtete unterschiedliche Varianten mit verschleierten Skripten, zusätzlichen Weiterleitungen und kampagnenspezifischen Prüfungen des Zielsystems.
Vier Gruppen, ein Exploit-Kit
Bemerkenswert ist die schnelle Verbreitung unter unterschiedlichen Akteuren. TA412 setzte BlueMoon ab Ende August gegen US-NGOs und Unternehmen ein und installierte die als Gemini-Werkzeug getarnte Browser-Erweiterung GemStone. UNK_LateNight attackierte US-Luft- und Raumfahrtunternehmen und verteilte ShadowPad. UNK_DoubleCheck zielte auf ein vietnamesisches Industrieunternehmen, UNK_QuietRacket auf Organisationen in Indonesien und Singapur.
Proofpoint zufolge waren Code, Variablennamen und Kommentare der Exploit-Versionen praktisch identisch. Damit spricht vieles für eine gemeinsame Quelle oder einen zentralen Lieferanten statt unabhängiger Entwicklung.
Spuren führen zu KI-gestützter Entwicklung
Zusätzliche Aufmerksamkeit verdienen ungewöhnlich ausführliche Debug-Kommentare sowie Verweise auf ein Markdown-Dokument, das offenbar Kontext zwischen Entwicklungssitzungen bewahren sollte. Proofpoint sieht darin Hinweise auf KI-Unterstützung. Auch Referenzen auf Googles V8-Bug-Bounty-Programm könnten darauf hindeuten, dass Entwicklungsaufgaben gegenüber KI-Systemen als legitime Schwachstellenanalyse dargestellt wurden. Ein eindeutiger Beweis für KI-generierten Exploit-Code ist das allerdings nicht.
BlueMoon zeigt damit ein grundsätzliches Problem: Bei Open-Source-Projekten können veröffentlichte Änderungen Angreifern verraten, wo eine Schwachstelle geschlossen wurde. Wenn KI die Analyse solcher Änderungen und den Bau funktionierender Exploits weiter beschleunigt, schrumpft die Zeit zwischen Patch-Veröffentlichung und realem Angriff erheblich.
Den vollständigen Blogbeitrag zu den Befunden gibt es hier.
Newsletter Abonnieren
Abonnieren Sie jetzt IT-SICHERHEIT News und erhalten Sie alle 14 Tage aktuelle News, Fachbeiträge, exklusive Einladungen zu kostenlosen Webinaren und hilfreiche Downloads.
