Sicherheitsforscher haben Ende August 2026 ein hochentwickeltes Exploit-Kit namens BlueMoon identifiziert, das durch die Verkettung von drei teils kritischen Sicherheitslücken weitreichende Spionageangriffe ermöglicht. Die Kampagne nutzt Zero-Day-Schwachstellen in Google Chrome und dem Windows-Kernel aus, um unbefugten Zugriff auf Systeme internationaler Organisationen, Regierungsstellen und Industrieunternehmen zu erlangen.
Technisches Zusammenwirken dreier Schwachstellen
Das BlueMoon-Kit basiert auf einer Kombination technischer Schwachstellen, die aufeinander aufbauen. Den Ausgangspunkt bildet laut Analysen von Proofpoint die Lücke CVE-2026-85046, eine sogenannte Type-Confusion-Schwachstelle in der V8-Engine von Google Chrome, die mit einem Score von 8,8 von 10 bewertet wurde. Diese wird mit CVE-2026-87491 kombiniert, einem Sandbox-Escape über WebAssembly, um den Browser-Schutz zu durchbrechen.
Den Abschluss der Kette bildet CVE-2026-85880, eine Sicherheitslücke zur lokalen Rechteausweitung (LPE) im Windows-Kernel. Dieser ALPC Heap Overflow weist einen Score von 7,8 auf und ermöglicht Angreifern administrative Rechte auf betroffenen Windows-Systemen.
Davon betroffen sind insbesondere Windows 10 bis Version 22H2, Windows 11 Version 21H2 sowie die Server-Editionen 2019 und 2022. Die Windows-LPE-Schwachstelle wurde laut Experten bereits seit dem Vorjahr genutzt und nun für das BlueMoon-Kit neu aufbereitet.
Forscher von Proofpoint und Volexity wiesen zudem darauf hin, dass Hinweise auf eine Unterstützung durch Künstliche Intelligenz bei der Entwicklung des Kits vorlägen.
Gezielte Kampagnen gegen Wirtschaft und Infrastruktur
Die Ausnutzung der Schwachstellen durch verschiedene Akteure begann unmittelbar nach der Bereitstellung des Exploit-Kits. Die Gruppierung Violet Typhoon (auch bekannt als APT31 oder TA412) setzte BlueMoon ab dem 28. August gegen Nichtregierungsorganisationen sowie Bergbau- und Rohstoffunternehmen in den USA ein. Dabei kamen Spear-Phishing-Methoden zum Einsatz, die unter dem Vorwand von Praktikumsangeboten, Konferenzen oder Forschungsberichten verbreitet wurden.
Wer sich gegen professionelle Angriffe auf die IT-Infrastruktur wappnen möchte, findet in diesem kostenlosen E-Book wertvolle Strategien zur Abwehr aktueller Bedrohungen. IT-Sicherheit stärken und Unternehmen proaktiv schützen
In der Folgezeit weiteten weitere Akteure die Angriffe aus:
* Ab dem 2. September griff die Gruppe UNK_LateNight Ziele in der US-Luftfahrt und Verteidigungsindustrie an.
* Zeitgleich nutzte UNK_DoubleCheck das Kit gegen Fertigungsbetriebe in Vietnam.
* Seit dem 3. September zielt die Gruppe UNK_QuietRacket auf Regierungsbehörden sowie Beratungs- und Finanzunternehmen in Indonesien und Singapur ab.
Fristen für Sicherheitsupdates und Behördenreaktion
Die US-Cybersicherheitsbehörde CISA hat alle drei im BlueMoon-Kit genutzten Lücken in den Katalog der bekanntlich ausgenutzten Schwachstellen (KEV) aufgenommen. Für Administratoren gelten strikte Fristen zur Behebung der Mängel.
Google veröffentlichte bereits am 3. September einen Patch für die V8-Lücke CVE-2026-85046; hierfür setzte die CISA eine Umsetzungsfrist bis zum 18. September 2026. Ein zweiter Patch für den Sandbox-Escape (CVE-2026-87491) folgte am 8. September in der Chrome-Version 153.0.8010.36, mit einer entsprechenden CISA-Frist bis zum 23. September.
Microsoft schloss die Windows-Kernel-Lücke im Rahmen des Patch-Tuesdays im September. Experten wiesen darauf hin, dass die V8-Schwachstellen als sogenannte Patch-Gap-Zero-Days eingestuft wurden: Korrekturen waren im Open-Source-Code von Chromium bereits seit Anfang August vorhanden, wurden jedoch erst verzögert in den offiziellen Chrome-Browser übernommen.
Angesichts immer komplexerer Angriffsmethoden wie Phishing-Kampagnen gegen Unternehmen liefert dieses Gratis-Paket eine fundierte Analyse aktueller Hacker-Taktiken. Kostenloses Anti-Phishing-Paket für Unternehmen anfordern
Evolution der Phishing-Landschaft und KI-Einsatz
Die Entdeckung von BlueMoon fällt in eine Phase zunehmender Komplexität bei Cyberangriffen. Ein Bericht von Anthropic für den Zeitraum von Dezember 2025 bis August 2026 belegt beispielsweise, dass staatliche Akteure wie GTG-20006 KI-Modelle für Spionageaktivitäten gegen über 20 Organisationen in Europa und der Ukraine nutzten. Dabei wurden hunderte Gigabyte an Daten, unter anderem von Herstellern für Drohnenkomponenten, entwendet.
Parallel dazu beobachten Sicherheitsbehörden wie das FBI eine Zunahme von OAuth-Consent-Phishing. Dabei registrieren Angreifer legitime Apps bei Identitätsdienstleistern, um dauerhafte Zugriffstoken zu erhalten. Diese Methoden erlauben es, herkömmliche Sicherheitsmaßnahmen wie Passwortänderungen oder Multi-Faktor-Authentifizierung (MFA) zu umgehen.
Auch Dienste wie BigBear 2.0 bieten mittlerweile automatisierte MFA-Bypasses an, von denen bereits über 250 Organisationen weltweit betroffen waren. Experten raten angesichts dieser Entwicklung zur Überwachung von Redirect-Ketten und zum Einsatz von Phishing-resistenten MFA-Methoden wie FIDO2 oder WebAuthn.
Mehr zum Thema bei BleepingComputer: „New ‚BlueMoon‘ kit exploited Windows and Chrome zero“
