Aktualizované: Kampaň BlueMoon UTA0565 využila reťazec chýb Chrome a Windows
Volexity zdokumentovala aktéra UTA0565, ktorý 3. a 4. septembra využil reťazec troch zraniteľností pre Chrome a Windows. Kampaň doručovala predtým nezdokumentovaný malvér CLEANGULP.
Kampaň BlueMoon UTA0565 3. a 4. septembra využila reťazec zraniteľností CVE-2026-85046, CVE-2026-87491 a CVE-2026-85880 pre Chrome a Windows. Volexity 21. septembra 2026 zverejnila analýzu kampane, ktorá podľa jej zistení predstavuje ďalší verejne zdokumentovaný prípad použitia rovnakého exploit kitu.
UTA0565 použil odlišný mechanizmus doručenia a po úspešnom zneužití nasadzoval predtým nezdokumentovaný malvér CLEANGULP. Priradenie aktéra k Číne je hodnotením Volexity, nie verejne potvrdeným zistením štátneho orgánu.
Kampaň BlueMoon UTA0565 využila podvodné weby
Obete boli lákané na podvodné stránky napodobňujúce médiá a organizáciu Center for American Progress. Exploit sa načítaval zo skrytého prvku iframe, takže používateľ mohol vidieť obsah podobný legitímnemu webu, zatiaľ čo prehliadač na pozadí spracovával útočný reťazec.
Reťazec obsahoval CVE-2026-85046 a CVE-2026-87491 vo V8, JavaScriptovom engine prehliadača Chrome, a CVE-2026-85880 vo Windows. Podľa technických opisov ide pri CVE-2026-85046 o chybu typu type confusion vo V8, ktorá umožňuje vykonanie kódu v sandboxe prehliadača. CVE-2026-87491 je chyba out-of-bounds write vo V8.
Malvér CLEANGULP priniesol ďalšie schopnosti
Finálnym nákladom kampane bol CLEANGULP. Volexity mu pripisuje spúšťanie príkazov, výpis procesov, prenos súborov a spúšťanie BOF, teda Beacon Object Files. Tento zoznam vychádza z analýzy Volexity a nemusí zachytávať všetky schopnosti malvéru.
Nové zistenie rozširuje obraz o BlueMoone: rovnaký exploit kit sa objavil u ďalšieho aktéra, no s iným mechanizmom doručenia a iným finálnym malvérom. Verejne nie je potvrdené, kto BlueMoon vytvoril alebo distribuoval a či ho aktéri získali od spoločného dodávateľa.
Čo majú preveriť správcovia
Organizácie, ktoré už preverovali skoršie kampane BlueMoonu, majú dôvod rozšíriť lov hrozieb o domény, artefakty a perzistenciu spojenú s CLEANGULP. Vizuálna podobnosť podvodných stránok s legitímnymi webmi zároveň znižuje spoľahlivosť kontroly stránky používateľom.
Úplný rozsah obetí ani kompromitovaných organizácií nie je známy. Ďalší vývoj môže priniesť ďalšie nezávisle potvrdené prípady použitia BlueMoonu alebo CLEANGULP, nové indikátory kompromitácie, zmeny C2 infraštruktúry a spresnenie pôvodu či modelu zdieľania exploit kitu.
Zdroje
- Volexity – Primárna forenzná analýza kampane UTA0565, použitia reťazca troch CVE, podvodných webov a malvéru CLEANGULP.
- The Hacker News – Nezávislé zhrnutie zistení Volexity vrátane cieľov kampane a deklarovaných funkcií CLEANGULP.
- Red Hat CVE-2026-85046 – Technický opis chyby typu type confusion vo V8, ktorá umožňuje vykonanie kódu v sandboxe prehliadača.
- Red Hat CVE-2026-87491 – Technický opis chyby out-of-bounds write vo V8 použitej v uvádzanom reťazci.
Overené a aktualizované: 23. 09. 2026 15:26
