Die von BlueMoon ausgenutzte Schwachstelle war bereits Anfang August im quelloffenen Chromium-Projekt behoben worden, auf dem Chrome aufbaut. Bis der Fix die Nutzer der stabilen Chrome-Version erreichte, vergingen jedoch vier Wochen. In dieser Lücke — Forscher sprechen von einem Patch Gap — können Angreifer den öffentlich einsehbaren Code studieren, die Korrektur identifizieren und daraus rekonstruieren, welche Lücke sie schließt, um rechtzeitig einen Exploit zu bauen.
„Historisch gesehen war dieser Zeitraum von vier Wochen ziemlich vertretbar“, sagte Kelly und verwies darauf, dass es selten gelang, einen Patch in dieser Zeit zurückzuentwickeln und in eine Waffe zu verwandeln. „Das scheint nicht mehr der Fall zu sein.“ Google hat am Dienstag damit begonnen, Chrome auf einen zweiwöchigen Veröffentlichungszyklus umzustellen, unter anderem um Sicherheitskorrekturen schneller auszuliefern.
Das Kit kombiniert zwei Browser-Schwachstellen mit einer Windows-Lücke und erlaubt so die vollständige Übernahme des Rechners. Anschließend übergibt es an die Schadsoftware der jeweiligen Gruppe. Dieser letzte Schritt ist laut Proofpoint überraschend grob umgesetzt: Über das verbreitete Kommandozeilenwerkzeug curl wird eine Schaddatei in einen temporären Ordner geladen — Aktionen, die Sicherheitssoftware mehrere Gelegenheiten zur Erkennung bieten. Kelly führt die Nachlässigkeit auf den Wettlauf gegen den ausstehenden Chrome-Patch zurück: „Wegen der Patch-Gap-Dynamik verschob sich alles dahin, das Ding so schnell wie möglich herauszubringen.“
Als erste Gruppe setzte TA412 — auch bekannt als APT31, Violet Typhoon und RedBravo — das Kit Ende August ein. US-Behörden hatten 2024 mehrere Chinesen angeklagt, die für diese Gruppe gearbeitet haben sollen, und ein Unternehmen aus Wuhan sanktioniert, das mit Angriffen auf kritische Infrastruktur in Verbindung gebracht und für eine Tarnfirma des chinesischen Ministeriums für Staatssicherheit gehalten wird. TA412 nahm US-NGOs, Bergbaufirmen und Rohstoffhändler ins Visier, unter anderem mit vorgetäuschten Praktikumsanfragen und Nachrichten zu einer Asienwissenschafts-Konferenz. Installiert wurde eine bösartige Browser-Erweiterung, die sich als Googles KI-Assistent Gemini ausgab und laut Proofpoint „als Hintertür zur Browser-Überwachung und zum Diebstahl von Zugangsdaten dient“.
Eine zweite Gruppe, UNK_LateNight, griff US-Luftfahrt- und Rüstungsunternehmen mit gefälschten Beschaffungsanfragen an und installierte die bei chinesischen Staatshackern verbreitete Hintertür ShadowPad. Zeitgleich nutzte UNK_DoubleCheck BlueMoon gegen einen vietnamesischen Hersteller — über ein kompromittiertes E-Mail-Konto einer südostasiatischen Regierung und einen fingierten Impftermin. Diese Gruppe ordnet Proofpoint keinem Land zu: „Wir haben sie nur noch nicht zugeordnet. Wir sagen nicht, dass sie nicht China-nah sind“, so Kelly. Die vierte Gruppe, UNK_QuietRacket, zielte mit gefälschten Einladungen zu indonesischen Konferenzen auf Regierungs-, Beratungs- und Finanzorganisationen in Indonesien und Singapur; Proofpoint stuft sie als mutmaßlich China-nah ein.
Hinweise deuten darauf hin, dass KI bei der Entwicklung von BlueMoon geholfen hat: Debugging-Kommentare ähneln Austauschen mit einem KI-Werkzeug, zudem finden sich Verweise auf ein Dokument, das Kontext zwischen KI-Sitzungen überträgt. Der Code verweist außerdem auf Googles Bug-Bounty-Programm für V8 — womöglich, um der KI die Arbeit als legitime Sicherheitsforschung zu präsentieren. „Leute auf Twitter entwickeln mit KI funktionierende Exploits aus diesen Chromium-Patches“, sagte Kelly. „Sie ist ziemlich gut darin, weil es quelloffener Code ist.“
Wie die getrennten Gruppen binnen weniger Tage an denselben Exploit kamen, bleibt offen. Denkbar wäre das von ShadowPad bekannte Modell, bei dem ein privater Entwickler ein Werkzeug baut und an mehrere staatliche Kunden verkauft. Ob BlueMoon von einem gemeinsamen Auftragnehmer stammt, staatlich verteilt wurde oder über einen anderen Kanal zirkulierte, konnte Proofpoint nicht klären. „Es ist ein derart verworrenes Geflecht“, sagte Kelly. „Sehr schwer zu entwirren.“