4개 스파이 그룹, 일주일 만에 동일한 Chrome·Windows 익스플로잇 킷 사용

여러 스파이 목적의 위협 그룹이 Microsoft Windows와 Google Chrome의 다중 취약점을 연결하는 BlueMoon이라는 이름의 미공개 익스플로잇 킷을 배포한 사실이 확인됐다.

BlueMoon의 첫 실제 악용은 2026년 8월 28일, 중국 연계 국가 지원 그룹인 APT31(Bronze Vinewood, Judgement Panda, JungleBamboo, PerplexedGoblin, RedBravo, TA412, Tide Castle, Violet Typhoon으로도 추적됨)에 의한 것으로 귀속됐다.

"불과 며칠 만에 여러 스파이 목적의 그룹이 BlueMoon을 사용하기 시작했으며, 대다수는 중국과의 연관성이 의심된다"고 Proofpoint는 오늘 발표한 보고서에서 밝혔다. "그러나 BlueMoon이 중국 연계 행위자에게만 국한되지 않을 수 있다. 일부 사용 주체는 여전히 미확인 상태이며, 이 익스플로잇 킷을 활용하는 행위자가 더 있을 가능성도 있다."

익스플로잇 체인은 세 가지 취약점을 활용한다:

• CVE-2026-85046: Google Chrome V8 엔진의 타입 컨퓨전(type confusion) 취약점
• CVE 식별자가 부여되지 않은 V8 샌드박스 탈출 취약점
• CVE-2026-85880: Windows ALPC(Advanced Local Procedure Call)의 힙 기반 버퍼 오버플로우 취약점

CVE-2026-85046은 Google이 지난주 패치했으며, CVE-2026-85880은 Microsoft의 2026년 9월 Patch Tuesday를 통해 수정됐다.

흥미롭게도, Chrome의 V8 취약점 두 가지 모두 악성 악용 당시 '패치 갭(patch-gap)' 제로데이 상태였다고 알려졌다. 해당 보안 기업은 이 결함들이 공개 업스트림 Chromium 소스코드에는 이미 수정됐지만, Chrome 및 Chromium 기반 브라우저의 최신 안정 릴리스에는 아직 반영되지 않은 상태였다고 밝혔다.

익스플로잇 킷 개발자가 공개된 Chromium 패치를 면밀히 추적하며 브라우저 익스플로잇 체인을 구성했을 것으로 추정된다.

BlueMoon을 활용한 공격 체인은 피싱 이메일을 시작점으로 삼아 피해자를 공격자 통제 URL로 유도하고, 두 V8 결함을 연속 악용해 코드 실행 및 브라우저 샌드박스 탈출을 달성한 뒤, Windows 로컬 권한 상승 버그를 악용해 쉘코드를 주입함으로써 위협 그룹에 따라 다양한 페이로드를 다운로드하는 방식으로 확인됐다.

"Chrome 익스플로잇 실행 후, 킷은 리플렉티브 로딩(reflectively loaded) DLL을 사용해 Windows 호스트를 핑거프린팅하며, 익스플로잇 킷의 JavaScript가 이를 바탕으로 LPE(로컬 권한 상승) 익스플로잇 시도 여부를 결정한다"고 Proofpoint 연구원 Mark Kelly, Greg Lesnewich, Konstantin Klinger, Saher Naumaan, Julia Paluch, David Galazin, Stuart Del Caliz는 밝혔다.

"두 번째 리플렉티브 로딩 DLL은 LPE 익스플로잇을 실행해 렌더러 프로세스의 권한을 상승시킨다. 이 추가 권한을 이용해 별도의 인젝터 쉘코드가 상위 Chrome 브로커 프로세스에 CreateProcess 스텁을 주입하고, 운영자가 지정한 명령을 실행한다. 기본 명령은 curl 명령을 통해 원격 호스팅 실행 파일을 다운로드하고 실행하는 것이다."

익스플로잇 킷의 다양한 변종이 탐지됐으며, 일부는 주석 제거나 구성 요소 난독화 등의 미묘한 변경이 가해졌고, 또 다른 변종은 캠페인별 랜딩 페이지 및 리다이렉트, 브라우저 측 운영체제 확인, 또는 추가 텔레메트리를 포함하고 있다. 이러한 변형에도 불구하고 기본 익스플로잇 체인은 동일하다.

관측된 공격 체인을 간략히 정리하면 다음과 같다:

• APT31 (2026년 8월 28일부터): 스피어 피싱 미끼를 활용해 미국 내 비정부기구(NGO), 광산 기업, 실물 원자재 거래 회사를 표적으로 삼았다. 피해자가 악성 링크를 클릭하면 BlueMoon이 실행되고, 이후 로더 실행 파일이 GhostChrome-X라는 Chrome 확장 프로그램 무결성 우회 기법을 활용해 Google Gemini로 위장한 악성 브라우저 부가기능을 설치한다. 이 확장 프로그램은 GemStone이라 불리는 브라우저 감시·자격증명 탈취 백도어로, 위협 행위자가 C2(명령 및 제어) 채널을 통해 명령을 내릴 수 있게 한다.
• UNK_LateNight (2026년 9월 2일부터): 중국 연계 위협 클러스터로, 스피어 피싱 미끼를 이용해 다수의 미국 항공우주 기업을 표적으로 삼았다. 피해자를 악성 링크로 유도해 BlueMoon을 배포하고 DLL 사이드로딩을 통해 ShadowPad 백도어를 설치한다.
• UNK_DoubleCheck (2026년 9월 2일부터): 스피어 피싱 미끼를 통해 베트남의 한 제조업체를 표적으로 삼았다. 피해자를 BlueMoon을 호스팅하는 공격자 통제 Cloudflare Workers 도메인으로 유도하고, DLL 사이드로딩 공격을 통해 Rust 바이너리를 투하한다. 이 악성코드는 Cloudflare R2 버킷에 접속해 두 번째 DLL 사이드로딩 쌍을 가져와 실행한다.
• UNK_QuietRacket (2026년 9월 3일부터): 중국 연계 위협 행위자로, 스피어 피싱 미끼를 이용해 인도네시아와 싱가포르의 정부·컨설팅·금융 부문 기관을 표적으로 삼았다. 피해자를 BlueMoon이 배포되는 랜딩 페이지로 유도한다. 이 경우 익스플로잇 킷은 DLL 사이드로딩 쌍을 다운로드·실행하도록 변형됐다. 악성 DLL은 Cloudflare Workers 도메인과 통신해 메모리 내에서 .NET 어셈블리를 가져와 실행한다. 이 인메모리 .NET 페이로드는 지속성 확보를 위해 DLL 사이드로딩 시퀀스를 시작하는 예약 작업을 생성한다.

또한 소스코드 아티팩트 내에 방대한 로깅 기능과 상세한 주석이 포함된 점은 AI 도구의 도움을 받아 악성코드가 개발됐을 가능성을 시사한다. 이는 V8 엔진을 대상으로 하는 Google 운영의 익스플로잇 중심 취약점 보상 프로그램(VRP) 및 CTF(해킹 대회)인 v8CTF에 대한 반복적인 언급으로도 뒷받침된다.

Proofpoint는 V8 익스플로잇이 실제로 v8CTF 버그 바운티 프레임워크를 대상으로 개발됐는지, 아니면 이 프레이밍이 대형 언어 모델(LLM)의 가드레일을 우회하기 위해 익스플로잇 개발자들에 의해 활용된 것인지는 현재 불분명하다고 밝혔다.

"여러 별개의 위협 행위자들이 어떻게 이 익스플로잇 킷에 접근할 수 있었는지는 현재 알 수 없다"고 Proofpoint는 밝혔다. "채택 용이성을 감안할 때, Chromium 기반 브라우저 전반에 걸쳐 패치가 완전히 배포되는 동안 스파이 목적 및 금전적 목적의 위협 행위자들에게 더욱 확산될 가능성이 높다."

"완전히 무기화된 Chrome 익스플로잇 체인은 역사적으로 고가치의 희귀한 역량이었다. BlueMoon은 불과 며칠 만에 개발·배포됐으며, 높은 탐지 신호를 발생시키는 방식으로 여러 위협 행위자들에게 공유됐다."

"이는 AI 에이전트가 위협 행위자의 익스플로잇 개발을 점점 더 가능하게 함에 따라 이 클래스의 역량에 대한 비용 및 진입 장벽이 낮아지고 있음을 반영할 수 있다. 이는 특히 Chromium과 같은 오픈소스 코드베이스에서 두드러지는데, 코드베이스의 다운스트림 소비자가 패치를 적용하기 전에 업스트림 패치가 공개적으로 접근 가능하기 때문이다. 이로 인해 위협 행위자들이 패치를 신속히 리버스 엔지니어링하고 다운스트림 안정 릴리스보다 먼저 익스플로잇을 개발하려 시도할 수 있는 기회가 생긴다."

CISA는 9월 4일 Chrome 결함을 알려진 악용 취약점(KEV) 카탈로그에 추가하고, 미국 연방 민간 기관에 9월 18일까지 패치를 완료하도록 지시했다.

그러나 브라우저 업데이트는 침투 경로를 차단할 뿐이다. 이미 설치된 항목은 제거하지 않는다. GemStone 확장 프로그램과 다른 그룹들이 생성한 예약 작업은 패치 후에도 살아남으므로, 표적이 됐을 가능성이 있는 경우 다음 항목을 반드시 확인해야 한다:

• 프로세스 트리: chrome.exe가 cmd.exe, 이후 curl.exe, 이후 msgbox.exe를 시작하는 경우
• 파일: Windows %TEMP% 폴더 내 ChromeUpdate.exe 또는 msgbox.exe
• 폴더: C:\Users\Public\stomp_ext
• 예약 작업: EdgeCore_AutoUpdate, MicrosoftEdgeUpdatesTaskMachine, Avpcheckup 또는 GeForceService
• 뮤텍스: Dataupcheckinfo
• 레지스트리 키: HKCU\SOFTWARE\Classes\CLSID\{5D4CFCB7-222C-4CA3-96B6-1F8195FBBB4B}\InprocServer32

Proofpoint는 킷의 JavaScript 로더 및 명령·제어 트래픽에 대한 탐지 규칙도 공개했으며, 번호는 2071919부터 2071924까지다.