Четыре хакерские группировки за несколько дней начали применять один набор эксплойтов против Chrome и Edge. Оружием стали уязвимости, которые разработчики Chromium уже исправили в исходном коде, но ещё не успели закрыть в стабильных версиях браузеров.
Специалисты Microsoft Edge описали атаки, использующие patch gap, промежуток между публикацией исправления и появлением защищённой сборки у пользователей. Злоумышленники сравнивают старый и новый код Chromium, восстанавливают механизм ошибки и готовят эксплойт, пока пользователи не обновились. Публичный патч подсказывает, где искать брешь.
По наблюдениям Proofpoint, комплекс BlueMoon первой применила связанная с Китаем группировка TA412, известная также как APT31, 28 августа. Уже 2 сентября к атакам присоединились UNK_LateNight и UNK_DoubleCheck, а 3 сентября обнаружилась активность UNK_QuietRacket. Как группы получили общий набор, неизвестно. Не все кампании связаны с Китаем.
BlueMoon объединял несколько этапов взлома. Уязвимость CVE-2026-85046 в JavaScript-движке V8 позволяла запустить код в браузере. Затем атакующие выходили из внутренней песочницы V8, оставаясь внутри процесса браузера. Для дальнейшего выхода из изоляции и повышения привилегий в одной из цепочек применяли CVE-2026-85880 в старых сборках Windows. Одной ошибки браузера для захвата системы не хватало.
Разные группировки использовали общую технологию для разных задач. TA412 распространяла вредоносное расширение GemStone под видом помощника Google Gemini, похищавшее данные браузера. UNK_LateNight атаковывала американские аэрокосмические компании и устанавливала бэкдор ShadowPad. Другие группы атаковали завод во Вьетнаме и организации Сингапура и Индонезии.
Microsoft обнаружила активную эксплуатацию ошибки V8 1 сентября и ускорила выпуск исправлений. Уже 2 сентября компания начала распространять Edge 152.0.4191.62. 3 сентября выяснилось, что требуется закрыть ещё и выход из песочницы. Версия Edge 152.0.4191.66 начала выходить 4 сентября, а соответствующее исправление стабильного Chrome последовало 8 сентября.
Microsoft допускает, что ИИ-инструменты помогают быстрее анализировать исправления и создавать эксплойты. Недели работы потенциально сокращаются до часов. Однако прямых доказательств применения ИИ создателями BlueMoon компания не представила. Но публичный патч действительно появляется раньше защищённых сборок.
Microsoft собирается ускорять доставку исправлений Edge, включая срочные обновления до публикации подробностей CVE и режим Instant updates. Пользователям рекомендуют не ждать бюллетеней безопасности, проверять обновления через edge://settings/help и перезапускать браузер после установки. Пока старая версия продолжает работать, даже выпущенная заплатка не гарантирует защиту.
