Dört İstihbarat Grubu, Aynı Chrome ve Windows Açıklarını Kullandı

Dört farklı istihbarat grubunun, Microsoft Windows ve Google Chrome'daki daha önce belgelenmemiş açıkları hedef alan BlueMoon adlı bir exploit kitini kullandığı belirlendi. İlk olarak 28 Ağustos 2026 tarihinde, Çin ile bağlantılı APT31 grubu tarafından kullanıldığı tespit edilen BlueMoon, istihbarat amaçlı tehdit aktiviteleri yürüten gruplar arasında hızla yayıldı.

BlueMoon Exploit Kiti Nedir?

BlueMoon, bir dizi güvenlik açığını bir araya getiren bir exploit kitidir. Bu kit, Google Chrome'daki V8 motorundaki üç ana güvenlik açığını kullanarak hedef sistemlere sızmayı amaçlıyor. Kullanılan açıklar şunlardır:

• CVE-2026-85046: Google Chrome'daki V8 motorunda bir tür karışıklık.
• CVE-2026-87491: V8 motorundaki bir dış sınır hatası, bu hata bir sandbox kaçışına yol açabiliyor.
• CVE-2026-85880: Windows'taki Advanced Local Procedure Call (ALPC) üzerinde bir bellek taşması açığı.

Google, CVE-2026-85046 açığını geçtiğimiz hafta kapatmışken, Microsoft da CVE-2026-85880 açığını Eylül 2026 güncellemesi ile düzeltmiştir. Ancak, bu açıkların kötü niyetli olarak kullanıldığı dönemde henüz düzeltme yapılmamıştı.

Hedefler ve Kullanım Yöntemleri

BlueMoon exploit kiti, hedeflerini kandırmak için phishing e-postaları kullanarak başlıyor. Bu e-postalar, hedeflerin kötü amaçlı bir URL'yi ziyaret etmesini sağlıyor. Ardından, Chrome'daki iki V8 açığı sırasıyla tetikleniyor ve ardından Windows'taki yerel ayrıcalık yükseltme açığı kullanılarak zararlı yazılım yükleniyor.

Çeşitli gruplar, BlueMoon'u kullanarak farklı hedeflere saldırılar düzenledi:

• APT31: 28 Ağustos 2026'dan itibaren, ABD'deki sivil toplum kuruluşlarını ve madencilik şirketlerini hedef aldı.
• UNK_LateNight: 2 Eylül 2026'dan itibaren, ABD'deki havacılık şirketlerini hedef aldı.
• UNK_DoubleCheck: 2 Eylül 2026'dan itibaren, Vietnam'daki bir üretim kuruluşunu hedef aldı.
• UNK_QuietRacket: 3 Eylül 2026'dan itibaren, Endonezya ve Singapur'daki hükümet ve finans kuruluşlarını hedef aldı.

Geliştirici ve AI Kullanımı

BlueMoon exploit kitinin arkasındaki geliştiricinin, Chromium üzerindeki halka açık yamanın takibini yaptığı düşünülüyor. Ayrıca, malware kaynak kodunda geniş bir kayıt tutma yeteneği ve ayrıntılı yorumlar bulunması, yapay zeka (AI) araçlarının kullanımını düşündürüyor. Bu durum, exploit geliştiricilerinin büyük dil modellerinin (LLM) koruma mekanizmalarını aşmak için bu tür bir çerçeve kullandığı anlamına gelebilir.

Sonuç ve Öneriler

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), CVE-2026-85046, CVE-2026-85880 ve CVE-2026-87491 açıklarını bilinen istismar edilen açıklar listesine eklemiştir. Ancak, tarayıcı güncellemeleri mevcut zararlı yazılımları kaldırmaz; bu nedenle hedef organizasyonların belirli işlemleri kontrol etmeleri gerekmektedir.

Gelişen tehditler karşısında, kullanıcıların güvenlik açıklarına karşı dikkatli olmaları ve güncellemeleri takip etmeleri önemlidir. BlueMoon gibi exploit kitlerinin hızlı bir şekilde yayılması, siber güvenlik alanında daha fazla önlem alınması gerektiğini gösteriyor.