BlueMoon Exploit Kit ผสานการโจมตีผ่านช่องโหว่ Zero-Day ของ Chrome และ Windows อย่างต่อเนื่อง

นักวิจัยด้าน Threat intelligence ได้ค้นพบการเพิ่มขึ้นของการใช้งาน BlueMoon exploit kit ซึ่งเป็นเฟรมเวิร์กขั้นสูงที่กลุ่มจารกรรมทางไซเบอร์ที่ได้รับการสนับสนุนจากรัฐบาลนำมาใช้มากขึ้นเรื่อยๆ โดยผู้โจมตีกำลังเชื่อมโยงช่องโหว่ Zero-Day ที่สำคัญทั้งใน Google Chrome และระบบปฏิบัติการ Microsoft Windows เพื่อให้สามารถรันโค้ดจากระยะไกล (remote code execution) และยกระดับสิทธิ์ (privilege escalation) บนอุปกรณ์ปลายทางที่เป็นเป้าหมาย การใช้งานเชิงฉวยโอกาสเหล่านี้บ่งชี้ว่ากลุ่มผู้คุกคามระดับสูงกำลังเคลื่อนไหวอย่างรวดเร็วเพื่อเปลี่ยนช่องโหว่ที่เพิ่งค้นพบให้เป็นอาวุธ ก่อนที่ทีมป้องกันขององค์กรจะสามารถดำเนินการแพตช์ความปลอดภัยได้

Anatomy of the Chained Attack Vector

BlueMoon toolkit ทำงานโดยการส่ง exploit ผ่านเบราว์เซอร์จากเว็บไซต์ที่ถูกบุกรุกหรือเว็บไซต์ที่ผู้โจมตีควบคุม เมื่อผู้ใช้เข้าชมหน้าเว็บที่เป็นอันตราย exploit kit จะพุ่งเป้าไปที่ช่องโหว่ใน rendering engine ของ Google Chrome เพื่อบายพาส sandbox ของแอปพลิเคชัน เมื่อเข้ามาอยู่ในบริบทของผู้ใช้งานแล้ว เฟรมเวิร์กจะกระตุ้นช่องโหว่การยกระดับสิทธิ์ในระดับท้องถิ่น (local privilege escalation) ภายในส่วนประกอบระบบของ Windows ทันที สิ่งนี้ช่วยให้ผู้โจมตีได้รับสิทธิ์ระดับผู้ดูแลระบบหรือระดับ SYSTEM โดยไม่ต้องอาศัยการโต้ตอบจากผู้ใช้ นอกเหนือจากการเข้าชมหน้าเว็บดังกล่าว

Defensive Strategies and Recommendations

เพื่อรับมือกับการโจมตีที่เกี่ยวข้องกับ exploit kit ระดับสูงอย่าง BlueMoon ทาง FORTSECURE GLOBAL แนะนำให้องค์กรปฏิบัติตามมาตรการการดำเนินงานดังต่อไปนี้:

• เร่งกระบวนการ Patch Management: นำนโยบายการอัปเดตเบราว์เซอร์แบบอัตโนมัติมาใช้ และเร่งดำเนินการอัปเดตรายเดือนที่สำคัญสำหรับ Windows endpoint เพื่อปิดช่องโหว่โดยเร็วที่สุด
• เพิ่มความเข้มงวดในการป้องกันระดับ Endpoint: เปิดใช้งานคุณสมบัติการลดผลกระทบจาก exploit ที่ทันสมัย เช่น กฎ Attack Surface Reduction (ASR) และปรับใช้โซลูชัน Endpoint Detection and Response (EDR) ที่มีประสิทธิภาพเพื่อระบุพฤติกรรมการเรียกใช้กระบวนการที่ผิดปกติจากเว็บเบราว์เซอร์
• แยกการท่องเว็บที่มีความเสี่ยงสูง: สำหรับสภาพแวดล้อมที่มีความสำคัญ ให้ใช้เทคโนโลยี browser isolation เพื่อป้องกันไม่ให้สคริปต์อันตรายทำงานบนระบบปฏิบัติการท้องถิ่นโดยตรง

---

แหล่งที่มา: SecurityWeek เผยแพร่ครั้งแรก: Sat, 12 Sep 2026 11:10:00 +0000 บทความต้นฉบับ: อ่านต้นฉบับ