นักวิจัยจากบริษัทความปลอดภัยไซเบอร์ Proofpoint รายงานการตรวจพบกลุ่มแฮกเกอร์อย่างน้อย 4 กลุ่ม ซึ่งบางกลุ่มมีความเชื่อมโยงกับรัฐบาลจีน ได้ร่วมกันใช้งานชุดเครื่องมือเจาะระบบ (Exploit Kit) เดียวกันในชื่อ "BlueMoon" เพื่อโจมตีช่องโหว่ร้ายแรงบนเบราว์เซอร์ตระกูล Chromium เช่น Google Chrome และ Microsoft Edge ร่วมกับช่องโหว่บนระบบปฏิบัติการ Windows รุ่นเก่า เพื่อลอบติดตั้งมัลแวร์ในองค์กรเป้าหมายหลายแห่งทั่วโลก
ในเชิงเทคนิค ชุดเจาะระบบ BlueMoon ทำงานโดยการเชื่อมโยงช่องโหว่ 3 ตัวเข้าด้วยกัน (Exploit Chain) ประกอบด้วยช่องโหว่ประเภท Type Confusion บนเอนจิน JavaScript V8 ของ Chromium (รหัส CVE-2026-85046) และช่องโหว่การหลุดพ้นจากแซนด์บ็อกซ์ (Sandbox Escape) ใน V8 เพื่อรันโค้ดจากระยะไกล จากนั้นจะใช้ช่องโหว่การยกระดับสิทธิ์ในเครื่อง (Local Privilege Escalation) บน Windows Kernel (รหัส CVE-2026-85880) เพื่อให้มัลแวร์ทำงานด้วยสิทธิ์ระดับระบบสูงสุด (System Rights) โดยช่องโหว่เหล่านี้ส่งผลกระทบต่อ Windows 10, Windows Server 2019, Windows Server 2022 และ Windows 11 รุ่นแรก
Proofpoint วิเคราะห์ว่า สาเหตุที่กลุ่มแฮกเกอร์สามารถพัฒนาและนำชุดเจาะระบบนี้มาใช้งานได้อย่างรวดเร็ว เกิดจากช่องว่างการอัปเดตแพตช์ (Patch Gap) ของซอฟต์แวร์โอเพนซอร์สอย่าง Chromium ที่โค้ดแก้ไขถูกเผยแพร่สู่สาธารณะก่อนที่เบราว์เซอร์ปลายทางจะอัปเดตเสร็จสิ้น นอกจากนี้ การนำเทคโนโลยีปัญญาประดิษฐ์หรือเอไอเอเจนต์ (AI Agent) มาช่วยวิเคราะห์และย้อนกระบวนการแพตช์ (Reverse Engineering) ยังเป็นปัจจัยสำคัญที่ช่วยลดต้นทุนและระยะเวลาในการพัฒนาโค้ดโจมตีของแฮกเกอร์ลงอย่างมาก
กลุ่มแฮกเกอร์ที่ใช้เครื่องมือนี้ประกอบด้วยกลุ่ม TA412 ซึ่งมีความเชื่อมโยงกับหน่วยงานข่าวกรองพลเรือนของจีน โดยพุ่งเป้าไปที่องค์กรพัฒนาเอกชน (NGO) และบริษัทเหมืองแร่ในสหรัฐฯ กลุ่ม UNK_LateNight ที่มุ่งเป้าบริษัทการบินและอวกาศในสหรัฐฯ กลุ่ม UNK_DoubleCheck โจมตีโรงงานผลิตในเวียดนาม และกลุ่ม UNK_QuietRacket โจมตีเป้าหมายในสิงคโปร์และอินโดนีเซีย แม้ว่าช่องโหว่ทั้งหมดจะได้รับการออกแพตช์แก้ไขแล้วในรอบ 24 ชั่วโมงที่ผ่านมา แต่นักวิจัยเตือนว่าชุดเจาะระบบนี้อาจยังถูกใช้งานต่อไปในกลุ่มแฮกเกอร์สายการเงินและจารกรรมข้อมูลที่ยังไม่ได้อัปเดตระบบ
