Hồ sơ APT31: Bộ công cụ exploit BlueMoon bị bốn nhóm gián điệp dùng chung trong một tuần

Ngày 9 tháng 9 năm 2026, công ty bảo mật Proofpoint công bố báo cáo về một bộ công cụ khai thác lỗ hổng (exploit kit) chưa từng được ghi nhận trước đây, mang tên BlueMoon. Điều đáng lo ngại là trong vòng chưa đầy một tuần kể từ khi xuất hiện lần đầu, BlueMoon đã được ít nhất bốn nhóm tin tặc có liên hệ với hoạt động gián điệp nhà nước sử dụng — phần lớn được cho là có liên quan đến Trung Quốc.

APT31 — nhóm khai thác BlueMoon đầu tiên

BlueMoon lần đầu được ghi nhận trong thực tế vào ngày 28 tháng 8 năm 2026, do nhóm APT31 triển khai. APT31 là nhóm tấn công được nhà nước Trung Quốc bảo trợ, còn được theo dõi dưới nhiều tên khác nhau như Bronze Vinewood, Judgement Panda, JungleBamboo, PerplexedGoblin, RedBravo, TA412, Tide Castle và Violet Typhoon. Nhóm này có lịch sử hoạt động gián điệp lâu dài nhắm vào các tổ chức phi chính phủ (NGO), doanh nghiệp khai khoáng và công ty thương mại hàng hóa tại Mỹ.

Trong chiến dịch tháng 8 năm 2026, APT31 sử dụng email spear-phishing để lừa nạn nhân nhấp vào liên kết độc hại, kích hoạt BlueMoon. Sau khi kiểm soát được trình duyệt, bộ công cụ tải về một loader cài tiện ích mở rộng Chrome giả mạo Google Gemini — thực chất là backdoor có tên GemStone — cho phép nhóm tấn công thực thi lệnh từ xa và đánh cắp thông tin đăng nhập.

Chuỗi khai thác ba lỗ hổng liên hoàn

BlueMoon khai thác ba lỗ hổng kết hợp để đạt được kiểm soát hoàn toàn hệ thống nạn nhân:

• CVE-2026-85046: Lỗ hổng type confusion trong V8 — engine JavaScript của Google Chrome. Google đã vá lỗ hổng này vào tuần trước thời điểm báo cáo được công bố.
• Lỗ hổng thoát V8 sandbox (chưa có mã CVE): Lỗ hổng thứ hai trong V8 cho phép thoát khỏi môi trường sandbox của Chrome, mở rộng phạm vi tấn công ra ngoài trình duyệt.
• CVE-2026-85880: Lỗ hổng heap-based buffer overflow trong Windows Advanced Local Procedure Call (ALPC), cho phép leo thang đặc quyền cục bộ (LPE). Microsoft đã xử lý lỗ hổng này trong đợt Patch Tuesday tháng 9 năm 2026.

Điểm đặc biệt đáng chú ý là cả hai lỗ hổng V8 đều là “patch-gap zero-day” — tức là bản vá đã xuất hiện trong mã nguồn Chromium công khai nhưng chưa được triển khai đến phiên bản stable của Chrome. Proofpoint nhận định kẻ phát triển BlueMoon có thể đã chủ động theo dõi các commit vá lỗi trên Chromium để ngược dòng tìm ra lỗ hổng và phát triển exploit trước khi bản cập nhật đến tay người dùng cuối.

Chuỗi tấn công từng bước

Quy trình tấn công của BlueMoon diễn ra theo các giai đoạn sau:

1. Nạn nhân nhận email spear-phishing chứa URL độc hại và nhấp vào liên kết.
2. Trang đích kích hoạt lần lượt hai lỗ hổng V8 để thực thi mã và thoát khỏi sandbox trình duyệt.
3. Một DLL được nạp phản chiếu (reflectively loaded) thu thập thông tin hệ thống Windows để quyết định có nên khai thác tiếp hay không.
4. DLL thứ hai thực thi exploit LPE (CVE-2026-85880) để leo thang đặc quyền tiến trình renderer.
5. Shellcode tiêm vào tiến trình Chrome cha, thực thi lệnh tải về payload từ máy chủ điều khiển thông qua curl.
6. Payload cuối cùng được triển khai tùy theo từng nhóm tấn công.

Bốn nhóm, bốn mục tiêu, một bộ công cụ

Trong vòng chưa đầy một tuần sau lần xuất hiện đầu tiên, BlueMoon đã được chia sẻ và sử dụng bởi ít nhất ba nhóm khác:

UNK_LateNight (bắt đầu ngày 2 tháng 9 năm 2026): Nhóm liên hệ Trung Quốc tấn công nhiều công ty hàng không vũ trụ Mỹ. BlueMoon được dùng để triển khai backdoor ShadowPad thông qua kỹ thuật DLL sideloading.

UNK_DoubleCheck (bắt đầu ngày 2 tháng 9 năm 2026): Nhóm này đáng chú ý vì nhắm vào một doanh nghiệp sản xuất tại Việt Nam. Nạn nhân bị dẫn đến tên miền Cloudflare Workers do tin tặc kiểm soát, từ đó BlueMoon triển khai một file nhị phân viết bằng Rust. Malware này kết nối đến Cloudflare R2 Bucket để tải và thực thi thêm payload DLL sideloading.

UNK_QuietRacket (bắt đầu ngày 3 tháng 9 năm 2026): Nhóm liên hệ Trung Quốc tấn công các tổ chức chính phủ, tư vấn và tài chính tại Indonesia và Singapore. Phiên bản BlueMoon của nhóm này sử dụng assembly .NET được thực thi trong bộ nhớ và tạo scheduled task để duy trì persistence.

Dấu hiệu phát triển bằng trợ giúp AI

Các nhà nghiên cứu Proofpoint phát hiện mã nguồn BlueMoon chứa nhiều bình luận (comment) chi tiết và nhật ký lỗi dày đặc — đặc điểm thường gặp trong mã do công cụ AI hỗ trợ tạo ra. Ngoài ra, mã nguồn có nhiều tham chiếu đến chương trình v8CTF của Google — một cuộc thi capture-the-flag tập trung vào khai thác V8. Proofpoint chưa xác định được liệu các exploit V8 có thực sự được phát triển thông qua chương trình bug bounty này hay không, hay liệu các đề cập đó chỉ là thủ thuật để vượt qua bộ lọc nội dung của các mô hình ngôn ngữ lớn (LLM).

Nguy cơ lan rộng và khuyến nghị

CISA đã thêm CVE-2026-85046 vào danh sách KEV (Known Exploited Vulnerabilities) ngày 4 tháng 9 năm 2026, yêu cầu các cơ quan liên bang Mỹ vá lỗ hổng trước ngày 18 tháng 9. Tuy nhiên, cập nhật Chrome chỉ ngăn chặn vector xâm nhập ban đầu — không tự động gỡ bỏ các thành phần độc hại đã được cài đặt.

Proofpoint khuyến nghị kiểm tra các dấu hiệu xâm phạm sau trên hệ thống:

• Cây tiến trình: chrome.exe khởi động cmd.exe, sau đó curl.exe, rồi msgbox.exe.
• File: ChromeUpdate.exe hoặc msgbox.exe trong thư mục %TEMP% của Windows.
• Thư mục: C:\Users\Public\stomp_ext.
• Scheduled task tên: EdgeCore_AutoUpdate, MicrosoftEdgeUpdatesTaskMachine, Avpcheckup hoặc GeForceService.
• Mutex: Dataupcheckinfo.
• Registry key: HKCU\SOFTWARE\Classes\CLSID\{5D4CFCB7-222C-4CA3-96B6-1F8195FBBB4B}\InprocServer32.

Việc BlueMoon được nhiều nhóm chia sẻ và triển khai trong thời gian ngắn kỷ lục cho thấy rào cản phát triển exploit cấp cao đang giảm đáng kể, một phần do sự hỗ trợ của công cụ AI trong việc phân tích và viết mã khai thác.

VNCyberS tổng hợp từ The Hacker News và Proofpoint