Die Angriffe beginnen laut Proofpoint mit Phishing-Mails, die Empfänger auf eine von den Angreifern kontrollierte URL locken. Dort werden die beiden V8-Schwachstellen nacheinander ausgelöst, um Codeausführung zu erreichen und aus der Browser-Sandbox auszubrechen. Anschließend dient die Windows-Lücke zur lokalen Rechteausweitung, über die Shellcode eingeschleust wird, der je nach dahinterstehendem Cluster unterschiedliche Nutzlasten nachlädt.
„Nach den Chrome-Exploits nutzt das Kit eine reflektiv geladene DLL, um den Windows-Host zu erfassen; anhand dieser Daten entscheidet das JavaScript des Exploit-Kits, ob der Rechteausweitungs-Exploit versucht wird", schreiben die Proofpoint-Forscher Mark Kelly, Greg Lesnewich, Konstantin Klinger, Saher Naumaan, Julia Paluch, David Galazin und Stuart Del Caliz. Eine zweite reflektiv geladene DLL führe den Exploit aus und hebe die Rechte des Renderer-Prozesses an. Mit diesen Privilegien injiziere ein separater Injektor-Shellcode einen CreateProcess-Stub in den übergeordneten Chrome-Broker-Prozess und führe einen vom Operator vorgegebenen Befehl aus. Der Standardbefehl lädt per curl eine entfernt gehostete ausführbare Datei herunter und startet sie.
Beobachtet wurden mehrere Varianten des Kits: Manche entfernen Kommentare oder verschleiern Komponenten, andere bringen kampagnenspezifische Landing Pages und Weiterleitungen, Betriebssystemprüfungen auf Browserseite oder zusätzliche Telemetrie mit. Die zugrunde liegende Exploit-Kette bleibt jedoch in allen Fällen identisch.
Auffällig sind umfangreiche Protokollierfunktionen und ausführliche Kommentare in den Quellcode-Artefakten – für Proofpoint ein Hinweis darauf, dass bei der Entwicklung KI-Werkzeuge zum Einsatz kamen. Gestützt wird diese Vermutung durch wiederholte Verweise auf v8CTF, ein von Google betriebenes Bug-Bounty- und Capture-the-Flag-Programm rund um die V8-Engine. Ob die Exploits tatsächlich im Rahmen dieses Programms entstanden oder ob die Einkleidung dazu diente, Schutzmechanismen großer Sprachmodelle zu umgehen, ist laut Proofpoint offen.
Ebenso unklar bleibt, wie mehrere voneinander getrennte Akteure Zugriff auf dasselbe Kit erhielten. „Angesichts der einfachen Übernahme dürfte es sich weiter verbreiten und sowohl von spionage- als auch von finanziell motivierten Akteuren übernommen werden, während gepatchte Versionen erst nach und nach über alle Chromium-basierten Browser ausgerollt werden", so das Unternehmen. Eine vollständig waffenfähige Chrome-Exploit-Kette sei historisch eine seltene, hochwertige Fähigkeit gewesen; BlueMoon dagegen sei binnen Tagen entwickelt, eingesetzt und zwischen mehreren Akteuren geteilt worden – bei gleichzeitig deutlichen Erkennungssignalen. Proofpoint wertet das als Hinweis auf sinkende Kosten und Einstiegshürden, da KI-Agenten die Exploit-Entwicklung zunehmend erleichtern. Gerade bei quelloffenen Codebasen wie Chromium seien Patches öffentlich, bevor nachgelagerte Nutzer sie ausliefern – ein Zeitfenster, in dem Angreifer Korrekturen zurückentwickeln und Exploits vor den stabilen Releases fertigstellen können.
Die CISA nahm die Chrome-Lücke am 4. September in ihren Katalog bekannter ausgenutzter Schwachstellen auf; US-Bundesbehörden müssen bis zum 18. September patchen. Ein Browser-Update schließt allerdings nur den Einstiegsweg und entfernt nichts, was bereits installiert wurde: Die GemStone-Erweiterung und die von anderen Gruppen angelegten geplanten Aufgaben überstehen den Patch. Für die Erkennung veröffentlichte Proofpoint Regeln für den JavaScript-Loader und den Command-and-Control-Verkehr des Kits mit den Nummern 2071919 bis 2071924.