Четыре группы — один Chrome-взлом
Следите за новостями по этой теме!
Подписаться на «Гик Гайд (3 апельсина) / Цифра сегодня»
Исследователи Proofpoint обнаружили необычную серию атак: в течение одной недели четыре хакерские группы применяли один и тот же набор эксплойтов BlueMoon для взлома Chrome и других браузеров на базе Chromium. Среди участников были группировки, связанные с китайскими государственными интересами. Такая синхронность может говорить не о внезапной любви преступников к командной работе, а о коротком «окне возможностей», пока исправления уже опубликованы, но ещё не дошли до всех пользователей.
BlueMoon использует три уязвимости: две в движке V8 — JavaScript-компоненте Chromium, который отвечает за выполнение кода, — и одну в старых версиях Windows. Первая проблема Chromium, CVE-2026-85046, относится к классу type confusion, то есть ошибки, при которой программа неверно обращается с типом данных. Ей присвоили высокий рейтинг опасности 8,8 из 10. Вторая уязвимость позволяет выйти из браузерной песочницы — защитного изолированного окружения, ограничивающего последствия вредоносного кода. Google не назначила ей CVE и отдельную оценку опасности.
Третья проблема, CVE-2026-85880, обнаружена в Windows Advanced Local Procedure Call. Это переполнение буфера в куче, позволяющее злоумышленнику, который уже получил возможность выполнять код внутри малопривилегированного AppContainer, покинуть песочницу и повысить права до уровня SYSTEM. Дополнительное действие пользователя не требуется. Уязвимость получила оценку 7,8 из 10.
Первой BlueMoon 28 августа 2026 года заметила группа TA412, также известная как Violet Typhoon. Её связывают с Китаем и ранее замечали в атаках на организации, использующие Microsoft SharePoint. На этот раз группа неоднократно атаковала небольшое число неправительственных организаций, горнодобывающих компаний и трейдеров физическими сырьевыми товарами в США.
Затем BlueMoon применили ещё три группировки. UNK_LateNight, также связанная с китайской разведывательной активностью, атаковала несколько американских аэрокосмических компаний. UNK_DoubleCheck выбрала производственную организацию во Вьетнаме. UNK_QuietRacket нацелилась на организации в Сингапуре и Индонезии.
Исследователей особенно удивило, что все четыре группы не слишком старались скрыть свои действия. Обычно атакующие берегут рабочий эксплойт: чем незаметнее взлом, тем дольше уязвимость можно использовать. Но в случае BlueMoon скрытность, похоже, уступила место спешке.
Proofpoint объясняет это особенностями так называемого patch gap — промежутка между публикацией исправления разработчиками Chromium и его появлением в стабильной версии конкретного браузера, например Chrome, Edge или Brave. После выхода патча злоумышленники могут изучить изменения, восстановить логику устранённой ошибки и быстро собрать рабочую цепочку атаки. В такой гонке времени маскировка становится роскошью: главное — успеть использовать дыру до обновления браузеров.
«Обе уязвимости V8 на момент атак были zero-day в рамках patch gap», — отметили в Proofpoint. Это означает, что сведения об ошибках и исправления уже присутствовали в открытом исходном коде Chromium, однако стабильные версии Chrome и других браузеров на Chromium ещё не были защищены. Вероятно, создатель BlueMoon использовал общедоступные патчи, чтобы превратить исправления в оружие против тех, кто ещё не успел обновиться.
Отдельный фактор — искусственный интеллект. По оценке Proofpoint, ИИ ускоряет поиск уязвимостей и разработку эксплойтов, снижая технический порог для групп, которые раньше не смогли бы собрать полноценную цепочку взлома. BlueMoon создали, развернули и передали нескольким операторам за считаные дни, причём атаки оставляли заметные следы. Раньше полностью готовый эксплойт Chrome считался редким и дорогим ресурсом; теперь он всё больше напоминает инструмент, который можно быстро заказать, адаптировать и распространить.
Все три уязвимости уже исправлены. Пользователям следует установить последние обновления операционной системы и браузера на базе Chromium. В этом сюжете обновление — не формальность, а единственный скучный способ не стать статистом в чужом эксперименте.
PEREC.RU
В цифровой безопасности есть ритуал, который успокаивает сильнее молитвы: разработчик выпускает исправление, пользователь его устанавливает — и мир снова выглядит под контролем. Между этими глаголами помещается целая индустрия, а вместе с ней привычная надежда, что чужую дыру можно закрыть личной дисциплиной.
Когда несколько групп быстро подхватывают один инструмент, рынок получает редкий момент единодушия. Злоумышленники согласны, что окно возможностей короткое; защитники согласны, что обновляться нужно срочно; консультанты согласны, что пора пересмотреть бюджет. Каждому достаётся своя версия тревоги, зато сама уязвимость никому не принадлежит.
Исправление в открытом исходном коде звучит как победа инженеров — и одновременно как подсказка тем, кто умеет читать разницу между старым и новым. Технологическая прозрачность полезна, но она не торжественно закрывает дверь: пока готовый патч путешествует по версиям и устройствам, дверь стоит приоткрытой и кто-то уже держит её для следующего гостя.
Этот промежуток удобно назвать техническим термином. Термин дисциплинирует читателя, словно проблема возникла не из-за раздробленной экосистемы обновлений, а из-за некой естественной щели в природе интернета. Производители браузеров, платформы и организации распределяют ответственность, а крайним в конце часто оказывается человек, который должен проверить ещё один значок.
ИИ в этом сюжете появляется как ускоритель, но соблазн назначить его единственным злодеем велик. Так легче объяснить, почему опасный инструмент быстро распространился, чем обсуждать рынок, где эксплойт становится переносимым продуктом, а доступ к компетенциям дешевеет. Машина ускоряет работу — люди всё ещё выбирают, кому её поручить и как долго смотреть в другую сторону.
Есть и деловой уют в повторяющемся цикле: появляется уязвимость, выходит предупреждение, рынок продаёт защиту, затем покупатели получают новый список срочных действий. Никто не обязан радоваться атакам, чтобы получать выгоду от вечной спешки. Достаточно строить процессы так, будто очередной пожар — досадное, но регулярное условие эксплуатации.
Совет обновить систему звучит скучно именно потому, что он работает лучше громких обещаний. Но если безопасность держится на том, что каждый пользователь безошибочно угадает нужный момент, это не столько защита, сколько массовая проверка внимательности с неприятным призом за провал.
Самый неприятный вывод здесь не в том, что злоумышленники действуют быстрее. Он в том, что уязвимость превращается в гонку между теми, кто умеет читать исправления, и теми, кто должен ждать их доставки. В этой гонке обычному пользователю продают роль финишной черты — и просят не забыть обновиться.
