크로미움 기반 브라우저와 구형 Windows 버전을 모두 표적으로 하는 거의 동일한 익스플로잇 키트가 최소 4개의 해킹 그룹에 의해 활발히 사용되고 있으며, 이 중 일부는 중국 정부와 연관된 것으로 나타났다.

보안 회사 Proofpoint 연구원들은 수요일에 BlueMoon(키트에 부여된 이름)이 세 가지 취약점을 연결하여 공격자가 원하는 악성 코드를 설치할 수 있도록 한다고 밝혔다. BlueMoon은 두 가지 크로미움 취약점과 Windows 10(2018년 10월 업데이트), Windows Server 2019, Windows 10 2004, Windows Server 2022 및 Windows 11 초기 릴리스 커널의 한 가지 취약점을 악용한다. 이 세 가지 취약점은 모두 지난 24시간 이내에 패치가 완료됐다.

이번 공격은 많은 캠페인에서 발견되는 은밀함이 부족했다. 일반적으로 해커들은 새로 발견된 취약점을 아껴서 사용해 수명을 연장하기를 원한다. Proofpoint는 널리 사용되고 눈에 띄는 익스플로잇 체인의 한 가지 이유가 크로미움 공급망의 “패치 격차”를 이용하기 위함이라고 추정했다. 이는 개발자가 패치를 제공하는 시점과 해당 패치가 Chrome 및 Edge와 같은 브라우저에 통합되는 시점 사이의 간격을 의미한다. 또 다른 원인으로는 AI 사용이 지목됐는데, AI는 인간이 단독으로 수행하는 발견보다 더 빠르게 취약점을 찾아낼 수 있다.

이 두 가지 요인 모두 공격자들이 기회의 창이 닫히기 전에 신속하게 움직이도록 만들었을 가능성이 있다. Proofpoint는 다음과 같이 언급했다.

• 완전히 무장된 Chrome 익스플로잇 체인은 역사적으로 고가치이며 희귀한 기능이었다. BlueMoon은 높은 탐지 신호를 보이는 방식으로 며칠 만에 개발, 배포되었고 여러 위협 행위자들 사이에서 공유됐다. 이는 AI 에이전트가 위협 행위자의 익스플로잇 개발을 점점 더 가능하게 함에 따라 이러한 종류의 기능에 대한 비용과 진입 장벽이 낮아졌음을 반영할 수 있다. 이는 특히 크로미움과 같은 오픈 소스 코드베이스에 해당하는데, 여기서 업스트림 패치는 코드베이스의 다운스트림 소비자가 패치를 적용하기 전에 공개적으로 접근할 수 있다. 이는 위협 행위자들이 다운스트림 안정화 릴리스 이전에 패치를 신속하게 역설계하고 익스플로잇을 개발하려는 시도를 할 수 있는 기회를 제공한다.

네 그룹은 광범위한 조직과 회사를 표적으로 삼았다. 그룹과 표적은 다음과 같다.

• TA412는 정부 기관을 표적으로 삼았다.
• TA471은 유럽의 정부 기관을 표적으로 삼았다.
• TA474는 정부 기관을 표적으로 삼았다.
• TA475는 정부 기관을 표적으로 삼았다.

첫 번째 공격은 TA412에서 시작되어 8월 28일에 시작됐다. 나머지는 이달 초에 시작됐다. Proofpoint는 다른 그룹들도 익스플로잇 키트에 접근했는지 여부는 알 수 없다고 밝혔다.

Chrome을 표적으로 하는 두 가지 취약점은 모두 Google의 오픈 소스 JavaScript 엔진인 V8에 존재했다. V8 유형 혼동 버그와 V8의 별도 샌드박스 탈출을 악용하여 공격자들은 원격 코드를 실행할 수 있었다. 그런 다음 구형 Windows 버전의 로컬 권한 상승을 사용하여 악성 코드가 시스템 권한으로 실행되도록 했다. 첫 번째 V8 취약점은 CVE-2026-85046으로 추적되며, Windows 버그는 CVE-2026-85880으로 추적된다. Google은 V8 샌드박스 탈출에 대해 CVE 지정을 할당하지 않는다.

Proofpoint는 “두 V8 취약점 모두 관찰된 활동 당시 ‘패치 격차’ 제로데이였다”고 밝혔다. “다시 말해, 공개된 업스트림 크로미움 소스 코드에서 이미 수정된 알려진 취약점이었지만, 대중에게 제공되는 Chrome 및 크로미움 기반 브라우저의 최신 안정화 릴리스에서는 패치되지 않은 상태였다. 익스플로잇 키트 개발자가 이러한 공개된 크로미움 패치를 사용하여 브라우저 익스플로잇 체인을 무기화했을 가능성이 높다.”

BlueMoon이 사용되고 있다는 많은 징후를 남기고 세 가지 취약점 모두 패치되었음에도 불구하고, Proofpoint는 이 키트가 계속 사용될 수 있다고 밝혔다. 연구원들은 “채택 용이성을 고려할 때, 패치된 버전이 모든 크로미움 기반 브라우저에 완전히 배포됨에 따라 스파이 활동 및 금전적 동기를 가진 위협 행위자들에 의해 더욱 확산되고 채택될 가능성이 높다”고 말했다.