ChromeとWindowsの脆弱性を突く新型攻撃キット「BlueMoon」が出現、複数のサイバースパイ組織が相次ぎ悪用

要点

• Google ChromeとMicrosoft Windowsの計3件の脆弱性を連鎖させて悪用する未確認のエクスプロイトキット「BlueMoon」が確認された。

• 米セキュリティ企業Proofpointによると、中国関連グループ「APT31」の利用確認からわずか数日のうちに複数のスパイ組織へと利用が拡大した。

• 悪用されたChromeの欠陥は、公開ソースコード上で修正されてから製品の安定版へ反映されるまでの隙を突く「パッチギャップ」ゼロデイだった。

• 攻撃チェーンはフィッシングを起点とし、ブラウザサンドボックスの突破からWindowsでの権限昇格、遠隔からの不正プログラム実行までを自動で行う。

• 関連する脆弱性に対しては、GoogleおよびMicrosoftからすでに修正パッチが提供されている。

• 米セキュリティ企業のProofpoint（プルーフポイント）は、Google ChromeとMicrosoft Windowsの複数の脆弱性を組み合わせて悪用する未確認のエクスプロイトキット（脆弱性を突いて不正侵入を行う攻撃ツール群）「BlueMoon」が、複数のサイバースパイ組織によって実戦投入されていることを明らかにした。同社が2026年9月に公開した調査レポートによると、中国政府との関連が疑われる国家支援グループ「APT31」が2026年8月28日に使用したのを皮切りに、わずか数日の間に他のスパイ組織でも相次いで利用が始まったという。

1週間足らずで複数の脅威グループへ急速に拡散

Proofpointの研究者らによると、BlueMoonを最初に悪用したAPT31（別名：Bronze Vinewood、Violet Typhoonなど）は、2026年8月28日から米国の非政府組織（NGO）や鉱山会社、現物商品取引企業を標的としたスピアフィッシング（特定の組織や個人を狙い撃ちする詐欺メール）を展開していた。

ところが、その最初の観測から数日と経たないうちに、国家関与が疑われる別の複数のスパイ活動クラスターでもBlueMoonの採用が確認された。Proofpointは、確認されたグループの大半が中国との関連を疑われているものの、一部の利用については帰属が特定されておらず、さらに多くの攻撃者がこのキットを利用している可能性もあると報告している。

連携された3つの脆弱性と「パッチギャップ」の悪用

BlueMoonの攻撃チェーンには、ChromeとWindowsに存在する以下の3件の脆弱性が組み込まれている。

• CVE-2026-85046: Google ChromeのJavaScriptエンジン「V8」における型混同（プログラムが想定と異なるデータ型として処理してしまう不具合）の欠陥。
• CVE-2026-87491: Google ChromeのV8における境界外メモリアクセスの欠陥。ブラウザのサンドボックス（外部攻撃の影響を制限する隔離保護領域）からの脱出につながる。
• CVE-2026-85880: WindowsのALPC（プロセス間通信機能であるAdvanced Local Procedure Call）に存在するヒープベースのバッファオーバーフローの欠陥。ローカル環境での特権昇格（LPE）を可能にする。

特に注目される点として、ChromeのV8に関する2件の欠陥は、実際に悪用された時点で「パッチギャップ」と呼ばれる状態にあったことが挙げられる。パッチギャップとは、オープンソースであるChromiumのソースコード上で先行して修正が公開されていながら、一般ユーザーが利用するChromeの最新安定版（Stable版）に反映されるまでに生じるタイムラグのことだ。BlueMoonの開発者は、公開されているChromiumの修正コミットを綿密に追跡し、安定版にパッチが届く前の隙間を突いてブラウザ向けの攻撃コードを構築したと推測されている。

なお、Googleは通常V8のサンドボックス回避に対してCVE番号を付与しない運用をとっているが、今回は例外的にCVE-2026-87491を割り当て、2026年9月8日に修正パッチを公開した。CVE-2026-85046も先行してパッチが配信されている。また、WindowsのCVE-2026-85880については、Microsoftが2026年9月の月例セキュリティ更新（Patch Tuesday）の一部として修正を完了している。

初期侵入から不正プログラム実行に至る攻撃フロー

BlueMoonによる一連の攻撃は、標的を攻撃者が管理するWebサイトへと誘導するフィッシングメールから始まる。ユーザーがリンクを踏んで悪意あるURLにアクセスすると、以下のプロセスが順次実行される。

1. ブラウザ侵害とサンドボックス突破: Webページ上でChromeの2つのV8脆弱性が連続して発動し、ブラウザ内でコードを実行した上でサンドボックスを突破する。
2. 端末環境の調査: リフレクティブローディング（ファイルをディスクに書き込まずメモリ上に直接展開する手法）を用いてDLLを読み込み、Windows端末の環境調査（フィンガープリント）を実施する。その結果をもとに、スクリプトが特権昇格攻撃を行うか判断する。
3. OS権限の昇格: 2つ目のリフレクティブDLLがWindowsの脆弱性（CVE-2026-85880）を突いてレンダラープロセスの権限を昇格させる。
4. プロセスの乗っ取りと外部通信: 昇格した権限を使い、インジェクターシェルコードが親となるChromeブローカープロセスにCreateProcessスタブを注入し、攻撃者が指定したコマンドを実行する。標準設定ではcurlコマンドを用いて外部サーバーから実行ファイルをダウンロードし、システム上で起動させる。

キャンペーンに応じた複数の亜種も確認

Proofpointの解析によると、コード内のコメント削除や難読化処理が施されたもの、攻撃キャンペーン固有のランディングページやリダイレクト機能を備えたもの、ブラウザ側でのOS判別やテレメトリ収集機能を追加したものなど、細部に変更が加えられた複数の亜種が検出されている。

このようにグループやキャンペーンごとに外観や周辺機能のカスタマイズが行われているものの、根底にある3つの脆弱性を連鎖させたエクスプロイトチェーンそのものは共通して維持されているという。