4つのハッカー集団が同一の Chrome・Windows 攻撃キットを使用
原題: Four groups caught using the same Chrome and Windows exploit kit
なぜ重要か
AI による脆弱性発見の高速化がパッチギャップを悪用する攻撃の拡散速度を押し上げており、オープンソースサプライチェーン全体のリスク管理が急務になっている。
セキュリティ企業 Proofpoint は2026年9月9日、「BlueMoon」と名付けた攻撃キットが少なくとも4つのハッカー集団によって悪用されていると発表した。同キットは Chromium の脆弱性2件と Windows カーネルの脆弱性1件を連鎖させてマルウェアを展開する。関与集団には中国政府との関連が指摘されるグループが複数含まれており、3つの脆弱性はすべて過去24時間以内にパッチが提供された。
Proofpoint の研究者が公表した調査報告によると、BlueMoon は Chromium ベースのブラウザと旧バージョンの Windows を標的にした攻撃キットで、3つの脆弱性をチェーン状に組み合わせる。Windows 側の対象は Windows 10（2018年10月アップデート）、Windows Server 2019、Windows 10 2004、Windows Server 2022、Windows 11 初期リリースのカーネル。Chrome 側の2件は Google のオープンソース JavaScript エンジン V8 に存在する。
通常、ゼロデイ攻撃では発覚を避けるため悪用を絞るのが定石だが、今回は4集団が数日以内に同一キットを共有・展開するという異例の動きが見られた。Proofpoint はその背景として2つの要因を挙げる。1つは「パッチギャップ」——Chromium の上流リポジトリにパッチが公開されてから Chrome や Edge の安定版に反映されるまでの時間差だ。この間にオープンソースのパッチを逆解析し、悪用コードを開発する窓口が生まれる。もう1つは AI の活用で、人間だけで行う脆弱性調査より高速に欠陥を特定できるようになっているという。
Proofpoint は「完全に武器化された Chrome エクスプロイトチェーンは歴史的に希少な能力だったが、AI エージェントが脅威アクターの開発コストと参入障壁を下げつつある」と指摘している。
関与が確認された4集団とその標的は以下の通り。米政府が2024年に中国の対外情報機関（民間）と関連付けて起訴した国家支援型アクター「TA412」はNGO・鉱業・物品貿易企業を標的にし、最初の攻撃は8月28日に確認された。中国系スパイ集団「UNK_LateNight」は米国の複数の航空宇宙企業を攻撃。「UNK_DoubleCheck」はベトナムの製造企業、「UNK_QuietRacket」はシンガポールとインドネシアを標的にした。他の集団がキットを入手している可能性についても、Proofpoint は排除していない。