Eine der drei verketteten Lücken sticht heraus: CVE-2026-85880 wurde laut Proofpoint als klassischer Zero-Day ausgenutzt, vermutlich bereits seit 2025 und später in BlueMoon eingebaut. „Der Kompilierungszeitstempel der DLL für die Rechteausweitung stammt aus dem Jahr 2025 und wirkte nicht gefälscht", schreibt Proofpoint. „Zusammen mit dem Umstand, dass der Exploit auf ältere Windows-Builds zielt, deutet das darauf hin, dass der Ersteller eine bestehende Fähigkeit in das BlueMoon-Exploit-Kit umverpackt hat."
Technisch führt BlueMoon den Exploit innerhalb eines Web Workers aus und wiederholt den Versuch bis zu fünfmal. Das Kit erstellt zunächst einen Fingerabdruck des Systems, hebt über die Windows-Schwachstelle die Rechte des Chrome-Renderers an und injiziert anschließend Code in den übergeordneten Chrome-Prozess, um dort einen vom Betreiber gewählten Befehl auszuführen. Standardmäßig lädt dieser Befehl per curl eine ausführbare Datei – in der Regel einen Malware-Loader – in das Verzeichnis %TEMP% und startet sie.
JungleBamboo ist der erste staatlich gestützte chinesische Akteur, der beim Einsatz von BlueMoon beobachtet wurde. Die Gruppe fällt üblicherweise durch Angriffe auf Nichtregierungsorganisationen in den USA, auf Bergbauunternehmen und auf einzelne hochwertige Ziele auf; dabei kommt die Zugangsdaten-stehlende Browsererweiterung Longtale/GemStone zum Einsatz, die sich als Google Gemini tarnt.
Die zweite Gruppe, UTA0560, köderte Nichtregierungsorganisationen mit Spendenaufrufen. Am Ende der Infektionskette stand Grimwedge, eine im Arbeitsspeicher laufende JScript-Backdoor für Aufklärung, Datei- und Prozessverwaltung, Befehlsausführung und das Nachladen weiterer Komponenten.
Als drittes Cluster führen die Forscher UNK_LateNight, das die Backdoor ShadowPad auf Systemen US-amerikanischer Luft- und Raumfahrtunternehmen sowie von Firmen der Verteidigungsindustrie installiert. Die vierte Gruppe, UNK_DoubleCheck, richtete sich gegen vietnamesische Fertigungsunternehmen und nutzte einen in Rust geschriebenen Loader, der ausschließlich im Arbeitsspeicher läuft. Die abschließende Schadkomponente konnte in diesem Fall nicht zur Analyse beschafft werden.
Proofpoint rechnet damit, dass Verbreitung und Einsatz von BlueMoon zunehmen und das Kit künftig auch finanziell motivierte Angreifer erreichen könnte. Beide Unternehmen haben Kompromittierungsindikatoren zu Dateien und zur beobachteten Netzwerkinfrastruktur veröffentlicht, mit denen sich die Aktivität frühzeitig blockieren lässt.