Chrome·Windows 제로데이 연계 'BlueMoon' 익스플로잇 키트 확산

Chrome·Windows 제로데이 연계한 ‘BlueMoon’ 익스플로잇 키트 다중 스파이 활동 확산

‘BlueMoon’ 익스플로잇 키트는 Chrome V8 취약점을 악용해 샌드박스를 탈출한 후 호스트를 지문 채취하고 권한 상승 코드를 실행하는 체계적 브라우저·OS 공격 도구이다.
공격 과정에서 Chrome 브로커 부모 프로세스에 CreateProcess 스텁을 주입하고, curl 명령으로 실행 파일을 내려받아 실행하는 등 합법 프로세스를 악용해 탐지를 회피하는 구조를 갖는다.
Proofpoint는 BlueMoon이 기본 익스플로잇 체인과 동일한 오케스트레이션·로딩 메커니즘을 유지한 채 여러 패키징 변형으로 유포되고 있다고 분석해 재사용성과 공격자 간 공유 용이성을 지적한다.
BlueMoon은 초기에는 Violet Typhoon이 미국 NGO, 광업 기업, 실물 상품 트레이딩 업체를 노렸고, 9월 2일 이후 UNK_LateNight가 미국 항공우주 기업, UNK_DoubleCheck가 베트남 제조업체를 표적했다는 점에서 산업·지역 다변화가 확인된다.
다음 날 UNK_QuietRacket이 인도네시아·싱가포르 정부·컨설팅·금융기관을 공격에 활용했고, Proofpoint는 수일 내 여러 중국 연계 스파이 그룹이 공유·배포한 속도가 높다는 점을 들어 AI 기반 개발로 비용·장벽이 급감했을 가능성을 제기한다.
AI 활용이 시사되는 BlueMoon은 중국 연계 위협 그룹이 미국·동남아 민간·정부·금융을 동시에 노리는 도구로 진화하고 있어, 국내 브라우저·OS 취약점 관리와 AI 악용 탐지 역량을 한꺼번에 강화해야 할 필요성을 보여준다.