Mehrere Hackergruppen nutzten innerhalb einer Woche dieselbe Chrome-Malware: Was bedeutet das?
Erfahren Sie, warum mehrere Hackergruppen innerhalb einer Woche dieselbe Chrome-Malware einsetzen. Verstehen Sie die tatsächlichen Risiken, deren Auswirkungen auf Ihre digitale Sicherheit und wie Sie Ihre Daten schützen können.
Die wichtigsten Dinge, die Sie wissen müssen
- Hackergruppen nutzen die Lücke zwischen Googles Behebung von Chromium-Schwachstellen und Browser-Updates aus, und künstliche Intelligenz hat die Entdeckung von Schwachstellen beschleunigt und damit die Einstiegshürde für die Entwicklung von Exploits gesenkt.
- Die BlueMoon-Malware beinhaltete die Ausnutzung zweier kritischer Schwachstellen in der Chromium V8-Engine (eine davon mit einer Schweregradbewertung von 8.8/10) und einer Windows-Pufferüberlauf-Schwachstelle, die eine Rechteausweitung auf SYSTEM ermöglichte.
- Nutzer sollten ihre auf Chromium basierenden Betriebssysteme und Browser umgehend aktualisieren, um sich vor kürzlich behobenen Sicherheitslücken zu schützen.
Experten warnen davor, dass vier Hackergruppen, von denen einige Verbindungen zur chinesischen Regierung haben, innerhalb einer Woche das exakt gleiche Exploit-Kit benutzten, was auf eine Art „Angst, etwas zu verpassen“ (FOMO) unter Kriminellen hindeutet.
Sicherheitsforscher bei Proofpoint haben Details zu BlueMoon enthüllt, einem Exploit-Paket, das drei Sicherheitslücken ausnutzt : zwei in Chromium und eine in älteren Windows-Versionen, darunter: Windows 10 (Oktober 2018 Update), Windows Server 2019, Windows 10 2004, Windows Server 2022 und die ursprüngliche Version von Windows 11.
Dieses Exploit-Paket wurde erstmals am 28. August 2026 entdeckt und von dem als TA412 bekannten chinesischen, staatlich geförderten Bedrohungsakteur eingesetzt, der bereits zuvor Unternehmen mit Microsoft SharePoint ins Visier genommen hatte. TA412, auch bekannt als Violet Typhoon, nutzte BlueMoon, um wiederholt eine kleine Anzahl von US-amerikanischen Nichtregierungsorganisationen (NGOs), Bergbauunternehmen und Rohstoffhandelsunternehmen anzugreifen.
Kurz darauf wurden drei weitere Gruppen identifiziert: UNK_LateNight, eine weitere von China unterstützte Spionagegruppe, die mehrere US-amerikanische Luft- und Raumfahrtunternehmen ins Visier nahm; UNK_DoubleCheck, eine Gruppe, die ein Produktionsunternehmen in Vietnam angriff; und UNK_QuietRacket, ein Bedrohungsakteur, der Organisationen in Singapur und Indonesien ins Visier nahm.
Allen diesen Gruppen ist gemeinsam, dass sie kaum Anstrengungen unternahmen, ihre Aktivitäten zu verbergen. Dies ist ungewöhnlich, da ein verdecktes Vorgehen normalerweise sicherstellt, dass eine Sicherheitslücke über einen längeren Zeitraum ausgenutzt werden kann.
Das Wettrennen um die Ausnutzung von Chromium-Schwachstellen
Die BlueMoon-Malware nutzt drei Sicherheitslücken aus: zwei in Chromium und eine in älteren Windows-Versionen. Die Chromium-Schwachstellen wurden in V8 entdeckt, der JavaScript-Engine, die Browser für die effiziente Ausführung von Anwendungen verwenden. Die erste Schwachstelle ist ein Fehler, der zu einer Überlappung von Arten führt (CVE-2026-85046) und mit einem Schweregrad von 8.8/10 (hoch) eingestuft wurde. Die zweite Schwachstelle ermöglicht das Entkommen aus der Isolationsumgebung. Google hat dieser Schwachstelle weder eine CVE-Nummer noch einen Schweregrad zugewiesen.
Die Windows-Schwachstelle CVE-2026-85880 hat einen Schweregrad von 7.8/10 (hoch). Sie wird als „Heap-basierter Pufferüberlauf“ in der Windows-Funktion „Erweiterter lokaler Prozeduraufruf“ beschrieben. Angreifer, die bereits Code in einem AppContainer mit niedrigen Berechtigungen ausführen können, können dadurch die Isolationsumgebung verlassen und ihre Berechtigungen auf Systemebene erweitern. Hierfür ist keine weitere Benutzerinteraktion erforderlich.
Proofpoint hat eine Theorie, warum Kriminelle lieber offen als verdeckt agieren. Zwischen dem Beheben einer Sicherheitslücke in Chromium durch Google und der Veröffentlichung des Updates in Browsern wie Edge oder Brave scheint nur ein sehr kurzes Zeitfenster zu bestehen. Dieses Zeitfenster ermöglicht es Kriminellen, die Vorgehensweise von Google bei der Behebung der Sicherheitslücke zu analysieren, sie zu entschlüsseln und einen Exploit zu entwickeln, bevor das Browser-Update veröffentlicht wird. Das bedeutet, dass keine Zeit bleibt, sich zu verstecken.
Keine Zeit zum Verstecken
Proofpoint erklärte, dass es sich bei beiden V8-Schwachstellen um Zero-Day-Exploits handelte, die eine Sicherheitslücke zum Zeitpunkt der beobachteten Aktivitäten ausnutzten. Weiter hieß es: „Anders ausgedrückt: Obwohl diese Schwachstellen im öffentlichen Quellcode von Chromium bereits bekannt und behoben waren, blieben sie in den neuesten stabilen Versionen von Chrome und öffentlich verfügbaren Chromium-basierten Browsern ungepatcht. Es ist wahrscheinlich, dass der Entwickler des Exploit-Kits diese öffentlich verfügbaren Chromium-Updates nutzte, um die Browser-Exploit-Kette zu modifizieren.“
Ein weiterer wichtiger Faktor ist KI. KI scheint den Prozess der Schwachstellenerkennung erheblich beschleunigt zu haben, senkt die Eintrittsbarriere und ermöglicht es Angreifern, gezielter vorzugehen.
Proofpoint bestätigte, dass „eine vollständig ausgerüstete Chrome-Exploit-Kette in der Vergangenheit eine seltene und äußerst wertvolle Fähigkeit darstellte. BlueMoon wurde innerhalb weniger Tage schnell entwickelt, eingesetzt und von mehreren Angreifern geteilt, was zu einer hohen Erkennungsrate führte. Dies könnte auf sinkende Kosten und geringere Einstiegshürden für diese Art von Fähigkeit hindeuten, da KI-Faktoren die Entwicklung von Exploits durch Angreifer zunehmend ermöglichen.“
Alle drei Sicherheitslücken wurden inzwischen behoben. Stellen Sie daher sicher, dass Sie sowohl das Betriebssystem als auch den Chromium-Browser in der neuesten Version verwenden.
via Ars Technica
Kommentare sind geschlossen.