สี่กลุ่มจารกรรมใช้ชุดโจมตี BlueMoon ชุดเดียวกันภายในสัปดาห์เดียว — ร้อย zero-day ของ Chrome สองตัวเข้ากับช่องโหว่ ALPC ของวินโดวส์

สรุปสั้น

บริษัท Proofpoint เปิดเผยชุดโจมตีที่ไม่เคยถูกบันทึกมาก่อนชื่อ BlueMoon ซึ่งร้อยช่องโหว่หลายตัวในวินโดวส์ของ Microsoft และ Chrome ของ Google เข้าด้วยกัน โดยกลุ่มกิจกรรมที่มีแรงจูงใจด้านการจารกรรมหลายกลุ่มถูกพบว่านำชุดนี้ไปใช้งานจริง การใช้งานครั้งแรกในโลกจริงถูกระบุว่าเป็นของกลุ่มที่จีนหนุนหลังซึ่งถูกติดตามในชื่อ APT31 หรือชื่ออื่นอย่าง Bronze Vinewood, Judgement Panda, JungleBamboo, PerplexedGoblin, RedBravo, TA412, Tide Castle และ Violet Typhoon เมื่อวันที่ 28 สิงหาคม พ.ศ. 2569 และภายในเวลาไม่กี่วันก็มีกลุ่มจารกรรมอื่นอีกหลายกลุ่มเริ่มใช้ BlueMoon เช่นกัน ซึ่งส่วนใหญ่ต้องสงสัยว่าเชื่อมโยงกับจีน แม้ Proofpoint จะระบุว่าชุดนี้อาจไม่ได้สงวนไว้สำหรับกลุ่มที่เชื่อมโยงกับจีนเท่านั้น

ห่วงโซ่ช่องโหว่ประกอบด้วยสามรายการ ได้แก่ CVE-2026-85046 ซึ่งเป็นบั๊ก type confusion ใน V8 ของ Chrome ที่รายงานไว้ในโพสต์ 032 , CVE-2026-87491 ซึ่งเป็นบั๊กเขียนนอกขอบเขตใน V8 ที่นำไปสู่การหนีแซนด์บ็อกซ์และเป็นตัวเดียวกับที่รายงานไว้ในโพสต์ 072 และ CVE-2026-85880 ซึ่งเป็นบัฟเฟอร์ล้นในส่วน Advanced Local Procedure Call หรือ ALPC ของวินโดวส์ที่ Microsoft แก้ไปใน Patch Tuesday เดือนกันยายนตามที่รายงานในโพสต์ 069 จุดที่น่าสนใจคือช่องโหว่ V8 ทั้งสองตัวเป็น zero-day แบบ patch-gap ในเวลาที่ถูกใช้โจมตี กล่าวคือถูกแก้ไปแล้วในซอร์สโค้ดสาธารณะของ Chromium แต่ยังไม่ถูกส่งต่อไปยังรุ่นเสถียรล่าสุดของ Chrome และเบราว์เซอร์ตระกูล Chromium ที่ผู้ใช้ทั่วไปใช้งานอยู่

สิ่งที่ทำให้กรณีนี้ต่างจากการพบชุดโจมตีทั่วไปคือความเร็วของการแพร่กระจาย Proofpoint ระบุว่าห่วงโซ่ช่องโหว่ Chrome ที่ถูกทำเป็นอาวุธครบชุดเป็นความสามารถที่หายากและมีมูลค่าสูงมาโดยตลอด แต่ BlueMoon ถูกพัฒนา นำไปใช้ และส่งต่อระหว่างผู้โจมตีหลายรายภายในไม่กี่วัน ซึ่งอาจสะท้อนว่าต้นทุนและกำแพงของการสร้างความสามารถระดับนี้ลดลง เนื่องจากเอเจนต์ AI เข้ามาช่วยพัฒนาโค้ดโจมตีมากขึ้น โดยเฉพาะกับโค้ดโอเพนซอร์สอย่าง Chromium ที่แพตช์ต้นน้ำเปิดให้เห็นก่อนที่ผู้ใช้ปลายน้ำจะได้รับ ทำให้เกิดหน้าต่างเวลาที่ผู้โจมตีเร่งวิศวกรรมย้อนกลับแพตช์แล้วสร้างโค้ดโจมตีได้ก่อนรุ่นเสถียรจะออก

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 9 กันยายน พ.ศ. 2569 ว่ากลุ่มกิจกรรมภัยคุกคามที่มีแรงจูงใจด้านการจารกรรมหลายกลุ่มถูกพบว่ากำลังใช้งานชุดโจมตีที่ไม่เคยถูกบันทึกมาก่อนชื่อ BlueMoon ซึ่งร้อยช่องโหว่หลายตัวในวินโดวส์และ Chrome เข้าด้วยกัน

Proofpoint ระบุในรายงานที่เผยแพร่ในวันเดียวกันว่าภายในเวลาไม่กี่วันหลังการใช้งานครั้งแรกโดย APT31 กลุ่มที่มีแรงจูงใจด้านการจารกรรมอีกหลายกลุ่มก็เริ่มใช้ BlueMoon ตาม ซึ่งส่วนใหญ่ต้องสงสัยว่ามีความเชื่อมโยงกับจีน อย่างไรก็ตามบริษัทเตือนว่า BlueMoon อาจไม่ได้จำกัดอยู่เฉพาะกลุ่มที่เชื่อมโยงกับจีน เพราะการใช้งานบางส่วนยังระบุผู้ใช้ไม่ได้ และอาจมีผู้โจมตีรายอื่นที่ใช้ชุดนี้อยู่อีก

เรื่องการออกรหัสช่องโหว่มีรายละเอียดที่ต้องบันทึก Proofpoint แจ้งกับ The Hacker News ว่าแม้ปัจจุบัน Google จะไม่ออก CVE ให้กับการหนีแซนด์บ็อกซ์ของ V8 แต่ในกรณีนี้บริษัทได้ออกรหัสให้เป็นการเฉพาะภายใต้ CVE-2026-87491 โดยแพตช์ถูกปล่อยเมื่อวันที่ 8 กันยายน พ.ศ. 2569 ส่วน CVE-2026-85046 นั้น Google แก้ไปตั้งแต่สัปดาห์ก่อนหน้า และ CVE-2026-85880 Microsoft จัดการไปในรอบ Patch Tuesday เดือนกันยายน

ประเด็น patch-gap เป็นหัวใจของเรื่องนี้ Proofpoint ระบุว่าช่องโหว่ V8 ทั้งสองตัวถูกแก้ไปแล้วในซอร์สโค้ดต้นน้ำสาธารณะของ Chromium ในเวลาที่ถูกใช้โจมตี แต่ยังไม่ถูกส่งต่อไปยังรุ่นเสถียรล่าสุดของ Chrome และเบราว์เซอร์ที่สร้างบน Chromium ทำให้เกิดช่องว่างที่ผู้ใช้ยังเสี่ยงอยู่แม้แพตช์จะมีอยู่แล้วในที่เปิดเผย และมีข้อสงสัยว่าผู้พัฒนาชุดโจมตีอาจติดตามแพตช์ของ Chromium ที่เปิดเผยต่อสาธารณะอย่างใกล้ชิดเพื่อประกอบห่วงโซ่โจมตีเบราว์เซอร์ขึ้นมา

อีกจุดที่ Proofpoint หยิบขึ้นมาคือร่องรอยที่บ่งชี้ว่าชุดโจมตีอาจถูกพัฒนาโดยมีปัญญาประดิษฐ์ช่วย เนื่องจากพบความสามารถในการบันทึกล็อกอย่างละเอียดและความคิดเห็นที่ยืดยาวในซอร์สโค้ด ประกอบกับการอ้างถึงโจทย์ v8CTF ซ้ำ ๆ ซึ่งเป็นโครงการให้รางวัลช่องโหว่และการแข่งขันแบบ capture-the-flag ที่ Google จัดขึ้นโดยพุ่งเป้าที่เอนจิน V8 ทั้งนี้ Proofpoint ระบุว่ายังไม่ทราบว่าโค้ดโจมตี V8 ถูกพัฒนาขึ้นเพื่อโครงการล่าบั๊ก v8CTF จริง ๆ หรือเป็นการอ้างกรอบดังกล่าวเพื่อหลบเลี่ยงมาตรการควบคุมของโมเดลภาษา

คำถามที่ยังไม่มีคำตอบคือผู้โจมตีหลายรายที่ต่างกันเข้าถึงชุดโจมตีนี้ได้อย่างไร Proofpoint ระบุว่ายังไม่ทราบ และเมื่อพิจารณาจากความง่ายในการนำไปใช้ ก็มีแนวโน้มสูงที่ชุดนี้จะแพร่ต่อไปและถูกกลุ่มที่มีแรงจูงใจทั้งด้านจารกรรมและด้านการเงินนำไปใช้มากขึ้น ขณะที่เวอร์ชันที่แก้แล้วกำลังทยอยกระจายไปยังเบราว์เซอร์ตระกูล Chromium ทุกตัว

ด้านหน่วยงานรัฐ CISA ได้เพิ่มทั้ง CVE-2026-85046, CVE-2026-85880 และ CVE-2026-87491 เข้าแคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริงหรือ KEV โดยกำหนดให้หน่วยงานฝ่ายบริหารพลเรือนของรัฐบาลกลางสหรัฐติดตั้งแพตช์ภายในวันที่ 18, 22 และ 23 กันยายน พ.ศ. 2569 ตามลำดับ

วิธีการโจมตี

ห่วงโซ่การโจมตีที่ใช้ BlueMoon เริ่มจากอีเมลฟิชชิงที่หลอกให้เป้าหมายเข้าเยี่ยมชม URL ที่ผู้โจมตีควบคุม ซึ่งจะจุดชนวนช่องโหว่ V8 สองตัวต่อเนื่องกันเพื่อให้รันโค้ดได้และหนีออกจากแซนด์บ็อกซ์ของเบราว์เซอร์ จากนั้นจึงใช้ช่องโหว่ยกระดับสิทธิ์ในเครื่องของวินโดวส์เพื่อ inject เชลล์โค้ดที่ดาวน์โหลดเพย์โหลดหลายชิ้น โดยเพย์โหลดจะต่างกันไปตามกลุ่มที่อยู่เบื้องหลัง

ทีมวิจัยของ Proofpoint ประกอบด้วย นาย Mark Kelly, นาย Greg Lesnewich, นาย Konstantin Klinger, นางสาว Saher Naumaan, นางสาว Julia Paluch, นาย David Galazin และ นาย Stuart Del Caliz อธิบายกลไกภายในไว้ว่า หลังจากโค้ดโจมตี Chrome ทำงาน ชุดโจมตีจะใช้ DLL ที่ถูกโหลดแบบสะท้อนกลับเพื่อเก็บลายนิ้วมือของเครื่องวินโดวส์ ซึ่งจาวาสคริปต์ของชุดโจมตีใช้ตัดสินว่าจะลองใช้ช่องโหว่ยกระดับสิทธิ์หรือไม่ จากนั้น DLL ตัวที่สองที่ถูกโหลดแบบสะท้อนกลับจะรันโค้ดโจมตียกระดับสิทธิ์เพื่อเพิ่มสิทธิ์ให้กระบวนการเรนเดอร์ และเมื่อได้สิทธิ์เพิ่มแล้ว เชลล์โค้ดตัว inject อีกชุดจะ inject สตับ CreateProcess เข้าไปในกระบวนการโบรกเกอร์แม่ของ Chrome เพื่อรันคำสั่งที่ผู้ปฏิบัติการกำหนด โดยคำสั่งเริ่มต้นคือการดาวน์โหลดไฟล์ปฏิบัติการที่โฮสต์ไว้จากระยะไกลด้วยคำสั่ง curl แล้วรันไฟล์นั้น

มีการตรวจพบชุดโจมตีหลายรูปแบบที่แตกต่างกันในรายละเอียด บางรูปแบบถอดความคิดเห็นออกหรืออำพรางส่วนประกอบ บางรูปแบบเพิ่มหน้าล่อและการเปลี่ยนเส้นทางเฉพาะแคมเปญ การตรวจสอบระบบปฏิบัติการฝั่งเบราว์เซอร์ หรือการเก็บข้อมูลเชิงเทคนิคเพิ่มเติม แต่แม้จะดัดแปลงอย่างไร ห่วงโซ่ช่องโหว่ที่อยู่ข้างใต้ยังคงเหมือนเดิม

การใช้งานที่ Proofpoint สังเกตพบแยกได้เป็นสี่กลุ่ม กลุ่มแรกคือ APT31 ซึ่งเริ่มตั้งแต่วันที่ 28 สิงหาคม พ.ศ. 2569 ใช้อีเมลหลอกลวงแบบเจาะจงเป้าหมายกับองค์กรพัฒนาเอกชน บริษัทเหมืองแร่ และบริษัทค้าสินค้าโภคภัณฑ์ในสหรัฐ เพื่อหลอกให้คลิกลิงก์ที่ส่ง BlueMoon ซึ่งจะดาวน์โหลดและรันไฟล์ตัวโหลดที่ทำหน้าที่ติดตั้งส่วนเสริมเบราว์เซอร์ที่เป็นอันตราย โดยปลอมตัวเป็น Google Gemini ด้วยเทคนิคข้ามการตรวจสอบความถูกต้องของส่วนขยาย Chrome ที่เรียกว่า GhostChrome-X ส่วนขยายดังกล่าวคือแบ็กดอร์สำหรับสอดแนมเบราว์เซอร์และขโมยข้อมูลยืนยันตัวตนที่ชื่อ GemStone ซึ่งเปิดให้ผู้โจมตีสั่งการผ่านช่องทางสั่งการและควบคุม

กลุ่มที่สองคือ UNK_LateNight เริ่มตั้งแต่วันที่ 2 กันยายน พ.ศ. 2569 เป็นกลุ่มที่เชื่อมโยงกับจีนซึ่งใช้อีเมลหลอกลวงแบบเจาะจงกับบริษัทด้านอากาศยานหลายแห่งในสหรัฐ เพื่อนำเหยื่อไปยังลิงก์ที่ส่ง BlueMoon และแบ็กดอร์ ShadowPad ผ่านเทคนิค DLL sideloading กลุ่มที่สามคือ UNK_DoubleCheck เริ่มวันเดียวกัน ใช้อีเมลหลอกลวงกับหน่วยงานภาคการผลิตในเวียดนาม โดยส่งเหยื่อไปยังโดเมน Cloudflare Workers ที่ผู้โจมตีควบคุมซึ่งโฮสต์ BlueMoon ไว้ แล้วใช้ DLL sideloading ปล่อยไบนารีที่เขียนด้วยภาษา Rust ซึ่งจะติดต่อไปยัง Cloudflare R2 Bucket เพื่อดึงคู่ DLL sideloading ชุดที่สองมารัน

กลุ่มที่สี่คือ UNK_QuietRacket เริ่มตั้งแต่วันที่ 3 กันยายน พ.ศ. 2569 เป็นกลุ่มที่เชื่อมโยงกับจีนซึ่งใช้อีเมลหลอกลวงแบบเจาะจงกับองค์กรภาครัฐ ภาคที่ปรึกษา และภาคการเงินในอินโดนีเซียและสิงคโปร์ เพื่อพาเหยื่อไปยังหน้าล่อที่ติดตั้ง BlueMoon โดยชุดโจมตีในกรณีนี้ถูกดัดแปลงให้ดาวน์โหลดและรันคู่ DLL sideloading ซึ่ง DLL ตัวปลอมจะสื่อสารกับโดเมน Cloudflare Workers เพื่อรับแอสเซมบลี .NET มารันในหน่วยความจำ และเพย์โหลด .NET ตัวนั้นถูกออกแบบให้สร้างงานตั้งเวลาเพื่อเรียกลำดับ DLL sideloading ขึ้นมาใหม่ ซึ่งเป็นกลไกคงอยู่ถาวรในเครื่อง

ผลกระทบ

สิ่งที่ต้องเข้าใจก่อนคือการอัปเดตเบราว์เซอร์ปิดได้เพียงทางเข้า แต่ไม่ได้ลบสิ่งที่ถูกติดตั้งไปแล้ว ส่วนขยาย GemStone และงานตั้งเวลาที่กลุ่มอื่นสร้างไว้ยังอยู่รอดหลังการแพตช์ องค์กรที่ตกเป็นเป้าจึงต้องไล่ตรวจร่องรอยย้อนหลังตามรายการตัวบ่งชี้ ไม่ใช่จบที่การบังคับอัปเดต Chrome แล้วถือว่าเรียบร้อย ซึ่งเป็นความเข้าใจผิดที่พบบ่อยเมื่อข่าวช่องโหว่เบราว์เซอร์ถูกสื่อสารออกไปพร้อมคำแนะนำให้อัปเดตเพียงอย่างเดียว

ในมุมของภูมิภาค เหตุการณ์ชุดนี้ไม่ใช่เรื่องไกลตัว เพราะสองในสี่กลุ่มพุ่งเป้าที่เอเชียตะวันออกเฉียงใต้โดยตรง คือภาคการผลิตในเวียดนาม และภาครัฐ ภาคที่ปรึกษา กับภาคการเงินในอินโดนีเซียและสิงคโปร์ รูปแบบเป้าหมายเหล่านี้ตรงกับลักษณะขององค์กรจำนวนมากในภูมิภาค ได้แก่ หน่วยงานรัฐที่ถือข้อมูลนโยบาย บริษัทที่ปรึกษาที่เป็นทางผ่านไปยังลูกค้าหลายราย และโรงงานผลิตที่อยู่ในห่วงโซ่อุปทานระหว่างประเทศ การที่ชุดโจมตีเดียวกันถูกส่งต่อไปยังหลายกลุ่มภายในสัปดาห์เดียวยังหมายความว่าองค์กรในพื้นที่อาจเจอผู้โจมตีคนละกลุ่มที่ใช้เครื่องมือเดียวกันในเวลาไล่เลี่ยกัน

ในเชิงยุทธศาสตร์ สิ่งที่ Proofpoint ชี้คือการเปลี่ยนแปลงของต้นทุนในการสร้างความสามารถระดับสูง ห่วงโซ่โจมตี Chrome ที่ครบเครื่องเคยเป็นของหายากที่มีเฉพาะกลุ่มที่มีทรัพยากรมาก แต่ BlueMoon ถูกพัฒนา ใช้งาน และแบ่งปันในเวลาไม่กี่วัน โดยมีร่องรอยการตรวจจับสูง ซึ่งต่างจากปฏิบัติการที่ระมัดระวังในอดีต รูปแบบนี้ชี้ว่าฝ่ายตั้งรับอาจต้องเจอเหตุการณ์ลักษณะนี้บ่อยขึ้น โดยเฉพาะกับซอฟต์แวร์โอเพนซอร์สที่แพตช์ต้นน้ำเปิดเผยก่อนถึงผู้ใช้ปลายน้ำ ซึ่งเป็นช่องว่างที่ผู้โจมตีใช้ประโยชน์ได้ทุกครั้งที่รอบการปล่อยรุ่นเสถียรช้ากว่าการแก้ไขในซอร์สโค้ด

คำแนะนำ

ขั้นแรกคือบังคับอัปเดตเบราว์เซอร์ทั้งองค์กรให้พ้นสามช่องโหว่ในห่วงโซ่นี้ และติดตั้งแพตช์ของ Microsoft สำหรับ CVE-2026-85880 ให้ครบ โดยยึดกรอบเวลาของ CISA คือวันที่ 18, 22 และ 23 กันยายน พ.ศ. 2569 เป็นเส้นตายแม้องค์กรจะไม่ได้อยู่ใต้คำสั่งนั้น ผู้ใช้เบราว์เซอร์ตระกูล Chromium รายอื่นต้องตรวจสอบด้วยว่าผู้พัฒนาปล่อยรุ่นที่มีการแก้ไขแล้วหรือยัง เพราะช่องว่างระหว่างแพตช์ต้นน้ำกับรุ่นเสถียรปลายน้ำคือสิ่งที่ผู้โจมตีใช้ในกรณีนี้โดยตรง

ขั้นที่สองคือการไล่ตรวจร่องรอย เพราะการแพตช์ไม่ลบสิ่งที่ฝังไว้แล้ว องค์กรควรค้นหาตามตัวบ่งชี้ในหัวข้อถัดไป โดยเน้นที่ลำดับกระบวนการซึ่ง chrome.exe เรียก cmd.exe แล้วต่อด้วย curl.exe ไฟล์แปลกปลอมในโฟลเดอร์ชั่วคราวของวินโดวส์ โฟลเดอร์ที่ถูกสร้างในพื้นที่สาธารณะ งานตั้งเวลาที่ตั้งชื่อเลียนแบบบริการอัปเดตของผู้ผลิตรายใหญ่ และคีย์รีจิสทรีที่ระบุไว้ นอกจากนี้ควรตรวจสอบส่วนขยายเบราว์เซอร์ที่ติดตั้งอยู่ในเครื่องของผู้บริหารและผู้ดูแลระบบเป็นลำดับแรก เนื่องจากแบ็กดอร์ GemStone ปลอมตัวเป็นส่วนขยายที่ดูน่าเชื่อถือ

ขั้นที่สามคือการควบคุมเชิงนโยบายที่ลดผลของห่วงโซ่นี้ ได้แก่ การกำหนดรายการส่วนขยายที่อนุญาตผ่านนโยบายของ Chrome เพื่อไม่ให้ติดตั้งส่วนขยายนอกรายการได้ การเฝ้าระวังการสร้างงานตั้งเวลาใหม่และการโหลด DLL จากเส้นทางที่ผิดปกติซึ่งเป็นสัญญาณของ DLL sideloading และการตรวจสอบการเชื่อมต่อออกไปยังโดเมนของ Cloudflare Workers และ R2 ที่ไม่เกี่ยวข้องกับงานขององค์กร เพราะทั้งสามกลุ่มหลังใช้บริการเหล่านี้เป็นโครงสร้างพื้นฐานสั่งการ

สุดท้าย ทีมตรวจจับควรนำกฎที่ Proofpoint เผยแพร่ไว้สำหรับตัวโหลดจาวาสคริปต์ของชุดโจมตีและทราฟฟิกสั่งการ ซึ่งมีหมายเลขลายเซ็นตั้งแต่ 2071919 ถึง 2071924 ไปใช้กับระบบตรวจจับการบุกรุกของตน และเนื่องจากจุดเริ่มของทุกกลุ่มคืออีเมลฟิชชิงแบบเจาะจงเป้าหมาย การฝึกอบรมกลุ่มเสี่ยงสูงอย่างผู้บริหารและผู้ที่ติดต่อกับภายนอกเป็นประจำ ควบคู่กับการกรองลิงก์ขาเข้า ยังคงเป็นชั้นป้องกันที่ให้ผลตอบแทนสูงที่สุดเมื่อเทียบกับต้นทุน

Indicators of Compromise (IoCs)

แหล่งอ้างอิง

• Four Spy Groups Used the Same Chrome and Windows Exploit Kit Within a Week — The Hacker News
• Once in a BlueMoon: Multiple State-Aligned Threat Actors Rapidly Adopt Novel Exploit Kit — Proofpoint
• The Phantom Extension: Backdooring Chrome Through Uncharted Pathways — Synacktiv
• v8CTF — Google Security Research บน GitHub