Die technische Basis von BlueMoon bilden drei Schwachstellen. Die beiden Chrome-Lücken werden als CVE-2026-85046 und CVE-2026-87491 geführt und betreffen jeweils die JavaScript- und WebAssembly-Engine V8. Google schloss sie als Zero-Days am 3. beziehungsweise 8. September. Die Windows-Schwachstelle CVE-2026-85880 ist eine Rechteausweitung im Advanced Local Procedure Call (ALPC) und wurde am September-Patchday behoben.
Der Ablauf folgt laut Proofpoint einem festen Muster: Zunächst nutzt das Kit die V8-Fehler für einen Ausbruch aus der Browser-Sandbox. Anschließend erfasst es Merkmale des Systems und führt den Code zur Rechteausweitung aus. Danach wird ein CreateProcess-Stub in den übergeordneten Chrome-Broker-Prozess injiziert, der per curl-Befehl eine ausführbare Datei nachlädt und startet.
Proofpoint fand mehrere Verpackungsvarianten von BlueMoon. Alle greifen auf dieselbe Exploit-Kette zurück und nutzen identische Orchestrierungs- und Lademechanismen – ein Hinweis darauf, dass es sich um dieselbe Codebasis in unterschiedlicher Auslieferung handelt.
Aufschlussreich sind für die Forscher sichergestellte Entwicklungsartefakte: Sie legen nahe, dass die Urheber beim Bau des Kits auf künstliche Intelligenz zurückgegriffen haben könnten, „auch wenn kein einzelnes Artefakt dies abschließend belegt", so Proofpoint.
Die bislang beobachtete Einsatzkette lässt sich zeitlich eng eingrenzen. Violet Typhoon startete am 28. August mit Angriffen auf Nichtregierungsorganisationen in den USA sowie auf Bergbauunternehmen und Firmen aus dem physischen Rohstoffhandel. Ab dem 2. September griff eine zweite China-verbundene Spionagegruppe, die Proofpoint als UNK_LateNight führt, mehrere US-Luftfahrtunternehmen an; parallel richtete sich ein als UNK_DoubleCheck bezeichneter Akteur gegen ein Fertigungsunternehmen in Vietnam. Einen Tag später begann die chinesische Spionagegruppe UNK_QuietRacket, das Kit gegen Behörden, Beratungsunternehmen und Finanzinstitute in Indonesien und Singapur einzusetzen.
Auffällig ist für Proofpoint vor allem das Tempo: „BlueMoon wurde entwickelt, schnell ausgerollt und innerhalb weniger Tage zwischen mehreren Bedrohungsakteuren geteilt – und zwar auf eine Weise, die hohe Erkennungssignale erzeugte." Das könne, so die Analyse, auf gesunkene Kosten und eine niedrigere Einstiegshürde für diese Art von Fähigkeiten hindeuten, da KI-Agenten die Exploit-Entwicklung durch Angreifer zunehmend erleichterten.