複数のハッキンググループが1週間以内に同じChromeマルウェアを使用した。これは何を意味するのか？
複数のハッキンググループがなぜ同じChromeマルウェアを1週間で使用しているのか、その理由を探ります。実際のリスク、デジタルセキュリティへの影響、そしてデータを保護する方法を理解しましょう。
知っておくべき最も重要なこと
- ハッキング集団は、GoogleによるChromiumの脆弱性対策とブラウザのアップデートの間の「継ぎ接ぎだらけの隙間」を悪用しており、人工知能は脆弱性の発見を加速させ、エクスプロイト開発への参入障壁を下げている。
- BlueMoonマルウェアは、Chromium V8エンジンにおける2つの重大な脆弱性（うち1つは深刻度8.8/10）と、SYSTEM権限への昇格を可能にするWindowsバッファオーバーフローの脆弱性を悪用するものでした。
- ユーザーは、最近修正された脆弱性から保護するために、Chromiumベースのオペレーティングシステムとブラウザを直ちにアップデートする必要があります。
専門家らは、中国政府と関係のあるグループを含む4つのハッキンググループが、わずか1週間のうちに全く同じエクスプロイトキットを使用しているのが確認されたと警告しており、これは犯罪者の間で一種の「機会損失への恐怖」（FOMO）が存在することを示唆している。
Proofpointのセキュリティ研究者は、BlueMoonというエクスプロイトパッケージの詳細を明らかにしました。BlueMoonは、3つのセキュリティ脆弱性を悪用します。2つはChromiumの脆弱性、1つはWindowsの旧バージョン（Windows 10（2018年10月アップデート）、Windows Server 2019、Windows 10 2004、Windows Server 2022、およびWindows 11の初期リリースを含む）の脆弱性です。
このエクスプロイトパッケージは、2026年8月28日に初めて確認され、TA412として知られる脅威アクターによって使用されました。TA412は、以前にMicrosoft SharePointを使用している企業を標的にしていた中国政府支援の脅威アクターです。Violet Typhoonとしても知られるTA412は、BlueMoonを使用して「少数の米国の非政府組織（NGO）、鉱業会社、および現物商品取引会社を繰り返し標的にしている」とのことです。
その後まもなく、さらに3つのグループが特定された。UNK_LateNightは、複数の米国航空宇宙企業を標的とした、中国が支援する別のスパイグループである。UNK_DoubleCheckは、ベトナムの製造企業を標的としたグループである。そしてUNK_QuietRacketは、シンガポールとインドネシアの組織を標的とした脅威アクターである。
これらのグループに共通しているのは、活動を隠蔽しようとほとんど努力しなかった点である。これは異例のことだ。なぜなら、通常、秘密裏に活動することで、脆弱性をより長期間にわたって悪用できるからである。
Chromiumの脆弱性を悪用する競争
BlueMoonマルウェアは、3つのセキュリティ脆弱性を悪用します。そのうち2つはChromiumの脆弱性、1つはWindowsの旧バージョンの脆弱性です。Chromiumの脆弱性は、ブラウザがアプリケーションを効率的に動作させるために使用するJavaScriptエンジンであるV8で発見されました。最初の脆弱性は「種重複」エラーで、CVE-2026-85046と指定されており、深刻度スコアは8.8/10（高）です。2番目の脆弱性は「隔離環境からの脱出」の脆弱性で、GoogleはCVEや深刻度スコアを割り当てていません。
CVE-2026-85880として識別されたWindowsの脆弱性は、深刻度7.8/10（高）と評価されています。この脆弱性は、WindowsのAdvanced Local Procedure Callにおける「ヒープベースのバッファオーバーフロー」として説明されており、低権限のAppContainer内で既にコードを実行できる攻撃者が、隔離環境から脱出し、権限をSYSTEMレベルに昇格させることを可能にします。これには、ユーザーによる追加の操作は必要ありません。
Proofpointは、犯罪者がなぜ隠密に活動するのではなく、公然と活動することを選ぶのかについて、ある仮説を立てています。GoogleがChromiumの脆弱性を修正してから、EdgeやBraveなどのブラウザにそのアップデートをリリースするまでの間には、非常に短い時間しか猶予がないようです。この時間的猶予によって、犯罪者はGoogleがどのように脆弱性を修正したかを把握し、リバースエンジニアリングを行い、ブラウザのパッチがリリースされる前にエクスプロイトを公開することができます。つまり、身を隠しておく時間はないということです。
隠れる時間はない
Proofpoint社は、「V8の脆弱性はいずれも、活動が確認された時点で『パッチのギャップ』を悪用したゼロデイ攻撃だった」と述べた。さらに、「つまり、これらの脆弱性はChromiumの公開ソースコードでは既に知られており、パッチが適用されていたにもかかわらず、Chromeの最新安定版や一般に公開されているChromiumベースのブラウザではパッチが適用されていなかった。エクスプロイトキットの開発者は、これらの一般に公開されているChromiumのアップデートを利用して、ブラウザのエクスプロイトチェーンを悪用した可能性が高い」と付け加えた。
もう一つの重要な要素はAIです。AIは脆弱性発見プロセスを大幅に加速させ、参入障壁を下げ、脅威アクターの動きをより明確にしているようです。
Proofpointは、「完全に武装したChromeエクスプロイトチェーンは、これまで稀少で非常に価値の高い機能でした。BlueMoonは、わずか数日で複数の脅威アクター間で迅速に開発、展開、共有され、高い検出シグナルを示しました。これは、AIの要素が脅威アクターによるエクスプロイトの開発をますます容易にするにつれて、この種の機能のコストと参入障壁が低下していることを反映している可能性があります。」と述べています。
これら3つの脆弱性はすべて既に修正されているため、オペレーティングシステムとChromiumブラウザの両方が最新バージョンであることを確認してください。
コメントは締め切りました。