中II 网络战与关键基础设施2026年9月9日, 星期三

BlueMoon漏洞利用工具包：Chrome和Windows零日漏洞在亲华团体间迅速扩散

Proofpoint识别出四个攻击者集群；目标包括美国航空公司以及印度尼西亚和新加坡的政府与金融机构。

根据Proofpoint 9月9日的报告，8月28日首次被发现的BlueMoon漏洞利用工具包将两个Chrome V8漏洞与一个Windows内核漏洞串联起来入侵系统。该公司识别出四个使用该工具包的集群，其中三个与中国立场一致。又名APT31的TA412以美国民间社会、采矿和大宗商品贸易公司为目标，UNK_LateNight针对美国航空公司，UNK_QuietRacket则针对印度尼西亚和新加坡的政府与金融机构。

据SecurityWeek 9月12日报道，该工具包在数天内即在不同团体之间共享；其中一个集群攻击了越南的制造业。尽管事件未造成中断或破坏，但它表明与国家相关的间谍能力可以借助零日漏洞迅速扩大规模，东南亚的关键机构同样处于攻击范围之内。

Talay 研判

结论

BlueMoon首次被发现后数日内即扩散至四个不同集群，其中三个与中国立场一致，表明国家关联组织正从共同资源池快速共享零日漏洞能力。此次活动以间谍为主而非破坏性，因此主要风险在于未被察觉的持续数据窃取。最可能的路径是补丁封堵攻击链，但补丁发布前被入侵的系统仍将在一段时间内处于被控状态。

可能影响

企业网络安全负面数周内
同时利用Chrome和Windows内核漏洞，使补丁更新滞后的机构暴露在风险中；航空、大宗商品贸易、政府和金融机构风险最高。
土耳其机构负面数周内
报告所列目标中没有土耳其，但同样的浏览器和操作系统在土耳其公共和金融机构中广泛使用；补丁管理薄弱的机构同样面临类似攻击链的威胁。
东南亚安全负面1至6个月
印尼、新加坡和越南的政府、金融和制造业目标表明，该地区正成为国家支持的间谍活动的重点区域，机构防御投资需求随之上升。

可能情形（按概率排序）

1
补丁封堵的有限攻击浪潮50%
谷歌和微软补丁广泛部署，新的受害者披露有限；清理现有入侵需要数周。
观察指标: 相关Chrome和Windows漏洞补丁发布，补丁后无新的利用报告
2
扩散至更多行为体和地区40%
工具包流入其他国家关联或犯罪团伙，在新的行业和国家发现攻击活动。
观察指标: 安全公司报告发现新的集群或新的目标国家
3
演变为外交归因争端10%
某一受害国政府正式将攻击归咎于中国，事件演变为双边外交纠纷。
观察指标: 受影响政府发表正式归因声明或采取制裁措施

概率是基于来源的校准判断，并非测量结果，会随新信息更新。不构成投资建议。