Chrome·Windows 제로데이 연계 ‘BlueMoon’ 익스플로잇 키트 확산

Chrome·Windows 제로데이 연계한 ‘BlueMoon’ 익스플로잇 키트 다중 스파이 활동 확산

• ‘BlueMoon’ 익스플로잇 키트는 Chrome V8 취약점을 악용해 샌드박스를 탈출한 후 호스트를 지문 채취하고 권한 상승 코드를 실행하는 체계적 브라우저·OS 공격 도구이다.
• 공격 과정에서 Chrome 브로커 부모 프로세스에 CreateProcess 스텁을 주입하고, curl 명령으로 실행 파일을 내려받아 실행하는 등 합법 프로세스를 악용해 탐지를 회피하는 구조를 갖는다.
• Proofpoint는 BlueMoon이 기본 익스플로잇 체인과 동일한 오케스트레이션·로딩 메커니즘을 유지한 채 여러 패키징 변형으로 유포되고 있다고 분석해 재사용성과 공격자 간 공유 용이성을 지적한다.
• BlueMoon은 초기에는 Violet Typhoon이 미국 NGO, 광업 기업, 실물 상품 트레이딩 업체를 노렸고, 9월 2일 이후 UNK_LateNight가 미국 항공우주 기업, UNK_DoubleCheck가 베트남 제조업체를 표적했다는 점에서 산업·지역 다변화가 확인된다.
• 다음 날 UNK_QuietRacket이 인도네시아·싱가포르 정부·컨설팅·금융기관을 공격에 활용했고, Proofpoint는 수일 내 여러 중국 연계 스파이 그룹이 공유·배포한 속도가 높다는 점을 들어 AI 기반 개발로 비용·장벽이 급감했을 가능성을 제기한다.
• AI 활용이 시사되는 BlueMoon은 중국 연계 위협 그룹이 미국·동남아 민간·정부·금융을 동시에 노리는 도구로 진화하고 있어, 국내 브라우저·OS 취약점 관리와 AI 악용 탐지 역량을 한꺼번에 강화해야 할 필요성을 보여준다.

AI로 개발·공유된 익스플로잇 키트가 중국 연계 스파이 활동의 표준 도구가 될 수 있어, 브라우저·OS 제로데이 대응 체계와 AI 기반 공격 탐지 기술을 융합한 국가 차원의 위협 인텔리전스 체계를 서둘러 구축할 필요가 있다.

주요 용어: 익스플로잇 키트(취약점을 묶어 자동 공격하는 도구 세트), 샌드박스 탈출(격리된 실행 환경을 무력화해 시스템 전체 권한을 얻는 공격)

출처: SecurityWeek