새로운 'BlueMoon' 킷, Windows·Chrome 제로데이 취약점 악용

한 줄 요약

'BlueMoon'이라는 이름의 익스플로잇 킷(취약점을 자동으로 공격하는 도구 묶음)이 Google Chrome과 Microsoft Windows의 제로데이(패치 전 알려지지 않은) 취약점 3개를 연쇄 이용해 피해자 시스템을 완전히 장악하는 공격이 확인됐습니다. 중국과 연관된 국가 지원 해킹 그룹들이 이 킷을 스피어피싱(특정 대상을 겨냥한 정교한 이메일 사기) 이메일로 유포해 NGO(비정부기구), 미국 항공우주·방산 기업, 베트남 제조업체 등을 표적으로 삼았습니다. 공격에 성공하면 악성코드 로더가 설치되며, 이후 백도어·정보탈취 악성코드가 추가로 실행됩니다. Chrome과 Windows 최신 보안 패치 적용이 현재 가장 중요한 대응책이며, 두 보안업체가 공개한 침해지표(IoC)를 활용한 조기 차단이 권고됩니다.

사건

중국 연계 해킹 그룹 4개 조직이 'BlueMoon' 익스플로잇 킷을 공유·사용해 Chrome V8 엔진 취약점 2개(CVE-2026-85046, CVE-2026-87491)와 Windows ALPC 힙 오버플로우(CVE-2026-85880)를 연쇄 악용했다. 2026년 8월 28일부터 스피어피싱을 통해 NGO·방산·제조업체를 대상으로 실제 공격이 진행됐다.

영향

원격 코드 실행(RCE), V8 샌드박스 탈출, Windows 커널 권한 상승이 연쇄적으로 이뤄져 공격자가 피해 시스템을 완전 제어한다. 악성코드 로더·백도어(Grimwedge, ShadowPad 등)가 설치되며 자격증명 탈취·파일 유출·원격 명령 실행이 가능하다.

원인

BlueMoon 개발자들이 Chromium 공개 패치와 안정 Chrome 릴리스 사이의 시간 간격을 이용해 역공학으로 익스플로잇을 제작했다. Windows ALPC 취약점은 2025년부터 이미 악용된 것으로 추정되며 BlueMoon에 재패키징됐다.

대응

Proofpoint와 Volexity가 각각 침해지표(IoC)를 공개했다. Chrome 및 Windows 보안 업데이트 즉시 적용이 필요하며, 공개된 파일·네트워크 IoC를 방화벽·EDR에 등록해 조기 차단할 것을 권고한다.

실무 포인트

BlueMoon은 모듈형 공유 킷이므로 향후 금전적 동기의 공격자(랜섬웨어 등)에게도 확산될 가능성이 높다. Chrome 안정 채널 업데이트 주기를 단축하고, Web Worker 기반 익스플로잇 행위를 탐지하는 EDR 룰 점검이 실무적으로 유효하다.

본문

여러 사이버 스파이 그룹이 "BlueMoon"이라 불리는 익스플로잇 킷을 배포해 Microsoft Windows와 Google Chrome의 제로데이 취약점을 악용한 사실이 확인됐다.

BlueMoon은 Chromium 기반 브라우저의 보안 결함 두 가지(원격 코드 실행 및 샌드박스 탈출 허용)와 Windows 커널의 로컬 권한 상승 취약점을 결합한 도구다.

이 킷은 익스플로잇 추가를 지원하는 모듈형 공유 도구로 보이며, 서로 다른 작전에 활용됐다.

엔터프라이즈 사이버보안 기업 Proofpoint의 연구원들은 8월 28일부터 중국과 연계된 위협 행위자 JungleBamboo(일명 APT31, Violet Typhoon, Tide Castle)가 수행한 스피어피싱 작전에서 BlueMoon이 사용된 것을 관찰했다.

사이버보안·위협 인텔리전스 기업 Volexity도 9월 1일 유사한 활동을 확인했다. 이는 Volexity가 UTA0560으로 추적하는 또 다른 행위자의 캠페인으로, "여러 비정부기구(NGO) 고객"을 표적으로 삼았다.

연구원들에 따르면, BlueMoon 개발자·유지 관리자들은 Chromium 공개 수정 패치와 Chrome 안정 버전 릴리스 사이의 시간 간격을 이용해 공개 코드 변경 사항을 역공학으로 분석하고 익스플로잇을 제작해 하위 브라우저 사용자를 공격한다.

BlueMoon 익스플로잇 킷이 연쇄 활용하는 세 가지 취약점은 다음과 같다:

CVE-2026-85046: Chrome의 V8 자바스크립트 엔진에서 발생하는 타입 혼동(type-confusion) 결함으로, V8 샌드박스 내부에서 임의 메모리 접근을 허용
CVE-2026-87491: WebAssembly 메타데이터를 손상시켜 삽입된 셸코드를 실행하는 V8 샌드박스 탈출 취약점
CVE-2026-85880: Windows ALPC의 힙 기반 버퍼 오버플로우로, 로컬 권한 상승 허용

Proofpoint는 공격자들이 CVE-2026-85880을 전형적인 제로데이로 악용했으며, 2025년부터 이미 사용되어 BlueMoon에 재패키징된 것으로 의심한다고 밝혔다.

"LPE DLL 컴파일 타임스탬프가 2025년으로 기록돼 있으며 위조된 흔적이 없습니다." Proofpoint는 이렇게 설명했다.

"이는 구버전 Windows 빌드를 표적으로 삼는 익스플로잇과 결합해 볼 때, 익스플로잇 제작자가 기존 기능을 BlueMoon 익스플로잇 킷에 재패키징했음을 시사합니다."

BlueMoon은 Web Worker 내부에서 익스플로잇을 실행하며 최대 다섯 번까지 재시도한다. 시스템을 핑거프린팅하고, Windows 권한 상승 취약점을 이용해 Chrome 렌더러의 권한을 높인 후, Chrome 상위 프로세스에 인젝션해 공격자가 선택한 명령을 실행한다.

기본 최종 명령은 curl을 사용해 실행 파일(주로 악성코드 로더)을 %TEMP% 디렉터리에 저장하고 실행한다.

BlueMoon 공격 체인 개요

출처: Proofpoint