Proofpointが"BlueMoon"を報告、ChromeとWindowsのゼロデイ連鎖を中国系を含む複数スパイ集団が採用

Proofpointは2026年9月9日、ChromiumブラウザとWindowsカーネルの脆弱性を連鎖させる新たなエクスプロイトキット 「BlueMoon」 を複数の諜報活動グループが急速に採用していることを明らかにした。Proofpoint Threat Researchが同日公開した報告によれば、最初の観測は2026年8月28日の**TA412（別名 APT31、Violet Typhoon）**による攻撃だった。数日のうちに少なくとも3つの別の諜報クラスタが同じキットを使い始め、その大半は中国との関連が疑われている。

同社はGoogle脅威インテリジェンスグループ（GTIG）やMicrosoft脅威インテリジェンスセンター（MSTIC）、Volexityとの連携と責任ある開示を経て本件を公開した。日本企業でも広く利用されるChromeやEdgeなどのChromium系ブラウザが標的になっており、パッチギャップ（修正が公開リポジトリに存在するものの安定版に未反映の期間）を悪用する手口は他組織にも影響し得る。

何が起きたのか — BlueMoonの連鎖構造

Proofpointによれば、BlueMoonは次の3段階で端末の制御を奪う。

• Chromium V8の型混乱（Type Confusion）脆弱性 CVE-2026-85046 — V8 JavaScriptエンジンに存在する欠陥で、細工されたウェブページを開かせることでレンダラープロセス内でコードを実行する。
• V8サンドボックス脱出 — ブラウザのタブ隔離を破り、レンダラー外へ脱出する。
• Windowsカーネルの権限昇格 CVE-2026-85880 — 旧来のWindowsビルドに存在するLocal Privilege Escalation（LPE、ローカルでの権限昇格）のゼロデイで、システム権限を奪う。

Proofpointは、2件のV8欠陥はいずれも観測時点で「パッチギャップ」のゼロデイだったと説明している。Chromiumの公開リポジトリでは既に修正されていたが、一般向けの最新安定版にはまだ反映されておらず、攻撃者は公開された修正差分を武器化したとみられる。Googleは9月3日の安定版更新でこれらを反映した。こうした修正から安定版配信までの窓が悪用された形だ。

攻撃の起点はスピアフィッシングメールに含まれたリンクだった。受信者がリンクを開くと、ブラウザ上で警告なくエクスプロイトが実行される。Proofpointは「インフラの作成がキャンペーン当日から直前数日に集中していたこと」や「対象を狭める古いWindowsへの依存」から、長期計画ではなくパッチ適用を予期して急ぎ投入された能力だった可能性を指摘している。コードには詳細なデバッグログや引き継ぎ用のMarkdown文書、反復的なコメントが残っており、AI支援で開発された可能性も示唆されているが、断定はしていない。

誰が使ったのか — 4つの諜報クラスタ

Proofpointは中程度から高い確信度で、観測された活動の大半が中国国家の利益と整合すると評価している。

• TA412（APT31） — 最初にBlueMoonを採用した中国系グループ。2024年には米国で経済スパイ容疑で構成員が起訴されている。8月28日から活動を開始し、GemStone と呼ぶ悪性ブラウザ拡張を配布した。GemStoneは「Google GeminiによるAIブラウジング支援」を装い、Cookieやストレージ、タブ操作などの権限を取得してセッション窃取やキーストローク記録、スクリーンショット取得を行う。ChromiumのSecure Preferences保護を、ユーザーのセキュリティ識別子（SID）を用いた正当なHMACとsuper_macの再計算で回避し、警告なしに拡張を読み込ませる手口が確認された。
• UNK_LateNight — 中国系とみられる別のクラスタ。9月2日から米国の航空宇宙企業複数を標的に、米防衛産業基盤（DIB）に関連するB2Bや見積依頼（RFQ）を装うメールでBlueMoonを配信し、ShadowPad バックドアを展開した。ShadowPadはネットワーク監視機能のフック解除やトラフィック盗聴、外部へのビーコン送信を行う。
• UNK_QuietRacket — インドネシアやシンガポールなどの組織を「創造経済カンファレンスへの招待」に偽装したメールで狙った。中国系の疑いがあるが、Proofpointは帰属を限定していない。
• UNK_DoubleCheck — ベトナムの製造業を、侵害された東南アジアの政府アカウントから送信されたメールで標的にした。諜報目的の可能性が高いとされるが、国別の帰属は未確定だ。

複数の異なるグループが短期間に同一キットを採用したことから、Proofpointは共有された「デジタル補給源（quartermaster）」や集中供給者の存在を示唆している。

影響と限界 — なぜWindows 11は対象外か

ペイロードはグループごとに異なるが、共通してブラウザと旧来Windowsへの依存が成功率を下げている。Proofpointによれば、CVE-2026-85880は Windows 10 バージョン1809から22H2およびWindows Server 2022 といった旧来ビルドにのみ存在し、Windows 11の現行ビルドでは悪用がブロックされる。そのため、標的の母集団は限定される。一方で、TA412のGemStoneはCloudflare Workers上のC2へ定期的に窃取データを送信し、キーストロークやCookie、localStorage、閲覧履歴などをまとめて外部へ送る仕様だった。

Proofpointが示した対策

Proofpointは、BlueMoonが「採用が容易」であることから、今後は諜報目的だけでなく金銭目的の攻撃者にも拡散する可能性が高いと警告している。同社が報告で示した防御の要点は次のとおりだ。

• Chromium系ブラウザ（Chrome、Edgeなど）を最新の安定版へ直ちに更新する。 9月3日以降の安定版でV8の修正が反映されている。
• 旧来のWindows 10端末はWindows 11などの現行ビルドへ移行する。 CVE-2026-85880は旧ビルドのみに影響する。
• インストール済みブラウザ拡張を監査する。 不審な拡張が過剰なタブ権限を要求していないか確認する。
• ブラウザプロセスから生成される不審なcurl実行など、端末上の異常なプロセス生成を監視する。
• 既知のC2インフラや動的ワーカーエンドポイントへの通信をブロックする。

日本国内でもChromeとWindows 10の組み合わせは依然として残存しており、特に取引先や委託先を含めたサプライチェーンでの利用状況の確認が重要だ。Proofpointが指摘するように、公開パッチと安定版配信の間に生じる「パッチギャップ」は今後も繰り返し悪用の機会を生む。

出典

• Proofpoint Threat Insight「Once in a BlueMoon: Multiple State-Aligned Threat Actors Rapidly Adopt Novel Exploit Chain Using Chrome and Windows Zero-Days」（2026年9月9日） https://www.proofpoint.com/us/blog/threat-insight/once-bluemoon-multiple-state-aligned-threat-actors-rapidly-adopt-novel-exploit