4 Kelompok Spionase Gunakan Celah Chrome dan Windows

Dunia keamanan siber kembali dihadapkan pada ancaman baru yang memanfaatkan celah keamanan browser dan sistem operasi secara berantai. Dalam waktu kurang dari sepekan, sedikitnya empat kelompok ancaman yang diduga memiliki kepentingan spionase terdeteksi menggunakan exploit kit yang sama untuk menyerang target di berbagai negara.

Exploit kit tersebut diberi nama BlueMoon oleh peneliti keamanan. Perangkat ini dirancang untuk menggabungkan beberapa kerentanan pada Google Chrome dan Microsoft Windows sehingga penyerang dapat menjalankan kode, melewati perlindungan sandbox browser, kemudian meningkatkan hak akses di komputer korban.

Temuan ini diungkap perusahaan keamanan siber Proofpoint dalam laporan yang diterbitkan 9 September 2026. Penggunaan BlueMoon pertama kali yang terdeteksi di dunia nyata dikaitkan dengan APT31, kelompok yang oleh berbagai peneliti keamanan dikaitkan dengan China. APT31 diketahui mulai menggunakan exploit kit tersebut pada 28 Agustus 2026.

Yang membuat temuan ini menarik bukan hanya kecanggihan eksploitasi yang digunakan, tetapi juga kecepatan penyebarannya. Dalam beberapa hari setelah aktivitas APT31 terdeteksi, kelompok ancaman lain mulai menggunakan rangkaian eksploitasi yang sama.

Proofpoint menyebut sebagian besar kelompok tersebut diduga memiliki hubungan dengan China. Namun, perusahaan keamanan itu menegaskan bahwa BlueMoon belum tentu eksklusif digunakan oleh kelompok yang berafiliasi dengan China. Sejumlah aktivitas masih belum dapat dikaitkan dengan pelaku tertentu.

BlueMoon Rangkai Tiga Kerentanan

Kekuatan BlueMoon terletak pada kemampuannya menggabungkan beberapa celah keamanan menjadi satu rangkaian serangan. Exploit kit ini diketahui memanfaatkan tiga kerentanan, yakni CVE-2026-85046, CVE-2026-87491, dan CVE-2026-85880.

CVE-2026-85046 merupakan kerentanan type confusion pada mesin JavaScript V8 yang digunakan Chrome. Google mengungkap bahwa celah tersebut telah dieksploitasi di dunia nyata dan memasukkan perbaikannya dalam pembaruan Chrome yang dirilis pada 3 September 2026.

Sementara itu, CVE-2026-87491 merupakan kerentanan out-of-bounds write pada V8. Google menyatakan mengetahui adanya eksploitasi terhadap celah tersebut di dunia nyata dan memasukkan perbaikannya dalam pembaruan Chrome yang dirilis 8 September 2026.

Kerentanan ketiga, CVE-2026-85880, berada di komponen Windows dan digunakan untuk memperoleh peningkatan hak akses lokal setelah penyerang berhasil menembus perlindungan Chrome.

Secara sederhana, BlueMoon tidak mengandalkan satu celah untuk mengambil alih komputer. Serangan dilakukan secara bertahap. Celah pertama membantu mendapatkan kemampuan menjalankan kode, celah berikutnya digunakan untuk keluar dari sandbox Chrome, kemudian kerentanan Windows dimanfaatkan untuk memperoleh hak akses lebih tinggi.

Kombinasi seperti ini membuat serangan jauh lebih berbahaya dibandingkan eksploitasi satu kerentanan secara terpisah.

Ada Celah Waktu Setelah Patch Chromium

Salah satu aspek paling menarik dari BlueMoon adalah cara pengembangnya memanfaatkan apa yang disebut sebagai patch gap. Dalam ekosistem Chromium, perbaikan terhadap kerentanan dapat terlebih dahulu tersedia di kode sumber publik sebelum perbaikan tersebut sampai kepada seluruh pengguna melalui pembaruan browser stabil.

Situasi ini menciptakan jeda waktu.

Ketika patch sudah tersedia untuk publik, peneliti keamanan maupun pelaku ancaman dapat mempelajari perubahan kode tersebut. Jika pelaku mampu memahami bug yang diperbaiki, mereka berpotensi merekonstruksi cara kerja kerentanan sebelum semua pengguna mendapatkan browser yang telah diperbarui.

Proofpoint menduga pengembang BlueMoon memantau perubahan kode Chromium yang tersedia secara publik. Informasi dari patch tersebut kemudian kemungkinan digunakan untuk menyusun rangkaian eksploitasi.

Google sendiri mencatat bahwa Chrome 152.0.7977.82/.83 yang dirilis 3 September memperbaiki CVE-2026-85046 dan bahwa eksploitasi terhadap celah tersebut telah ditemukan di dunia nyata. Beberapa hari kemudian, pembaruan Chrome 153 yang dirilis 8 September memperbaiki CVE-2026-87491 dan kembali mencatat bahwa eksploitasi terhadap celah tersebut telah terdeteksi.

Kondisi tersebut menunjukkan betapa pentingnya kecepatan distribusi patch. Bagi pengguna, patch yang tersedia tetapi belum terpasang tetap menyisakan ruang bagi serangan.

Serangan Dimulai dari Phishing

Meskipun teknologi di balik BlueMoon tergolong rumit, titik awal serangannya justru menggunakan metode yang sudah lama dikenal, yaitu phishing. Dalam sejumlah kampanye yang diamati Proofpoint, korban menerima email yang dirancang untuk meyakinkan mereka agar mengeklik tautan tertentu.

Ketika korban membuka tautan tersebut, browser diarahkan ke URL yang dikendalikan pelaku. Halaman tersebut kemudian menjalankan kode JavaScript yang memicu eksploitasi terhadap V8. Eksploitasi pertama digunakan untuk mendapatkan kemampuan menjalankan kode. Eksploitasi berikutnya dimanfaatkan untuk melewati sandbox Chrome.

Sandbox pada dasarnya merupakan lapisan isolasi yang membatasi dampak jika sebuah situs atau proses browser berhasil dieksploitasi. Karena itu, kemampuan keluar dari sandbox menjadi bagian penting dalam serangan terhadap browser.

Setelah keluar dari sandbox, BlueMoon melanjutkan serangan ke Windows. Exploit kit tersebut memanfaatkan kerentanan peningkatan hak akses lokal atau local privilege escalation (LPE). Tujuannya adalah mendapatkan hak istimewa tambahan sehingga malware dapat melakukan tindakan yang sebelumnya dibatasi.

Menurut Proofpoint, BlueMoon menggunakan DLL yang dimuat secara reflektif untuk mengumpulkan informasi mengenai komputer Windows korban. Informasi tersebut kemudian digunakan untuk menentukan apakah tahap eksploitasi LPE perlu dijalankan.

DLL kedua selanjutnya menjalankan eksploitasi LPE. Setelah hak akses diperoleh, komponen lain digunakan untuk menyuntikkan kode ke proses Chrome dan menjalankan perintah yang ditentukan operator. Perintah bawaan BlueMoon dapat mengunduh file executable dari server jarak jauh menggunakan curl, kemudian menjalankannya. Dengan mekanisme tersebut, exploit kit dapat menjadi jembatan dari browser menuju sistem operasi.

Empat Kelompok Menggunakan BlueMoon

Proofpoint menemukan sedikitnya empat kelompok atau klaster ancaman yang menggunakan BlueMoon dalam kampanye berbeda. APT31 Targetkan Organisasi di Amerika Serikat
Kelompok pertama adalah APT31. Aktivitasnya menggunakan BlueMoon terdeteksi mulai 28 Agustus 2026.

Targetnya mencakup organisasi nonpemerintah, perusahaan pertambangan, serta perusahaan perdagangan komoditas fisik di Amerika Serikat. Serangan dilakukan melalui spear-phishing. Korban diarahkan untuk mengeklik tautan yang kemudian menjalankan BlueMoon.

Setelah memperoleh akses, serangan berlanjut dengan mengunduh sebuah loader. Loader tersebut memasang ekstensi Chrome berbahaya yang dibuat menyerupai Google Gemini. Ekstensi tersebut memanfaatkan teknik yang disebut GhostChrome-X untuk melewati pemeriksaan integritas ekstensi Chrome.

Proofpoint menamai malware yang berada di balik ekstensi tersebut GemStone. GemStone berfungsi sebagai backdoor yang memungkinkan pelaku melakukan pengawasan terhadap aktivitas browser sekaligus mencuri kredensial. Komunikasi dengan pelaku dilakukan melalui saluran command-and-control (C2).

• UNK_LateNight Sasar Perusahaan Dirgantara
  Kelompok kedua, yang oleh Proofpoint disebut UNK_LateNight, mulai menggunakan BlueMoon pada 2 September 2026. Kelompok ini diduga memiliki hubungan dengan China dan menargetkan beberapa perusahaan dirgantara di Amerika Serikat. Metode yang digunakan kembali berupa spear-phishing. Korban diarahkan ke tautan berbahaya yang menjalankan BlueMoon.

  Setelah eksploitasi berlangsung, penyerang memasang ShadowPad, sebuah backdoor yang telah lama dikaitkan dengan berbagai aktivitas spionase siber, menggunakan teknik DLL sideloading. DLL sideloading memungkinkan malware dijalankan dengan memanfaatkan proses pemuatan DLL oleh aplikasi yang sah.

• UNK_DoubleCheck Menyerang Perusahaan Manufaktur Vietnam
  Kelompok ketiga diberi nama UNK_DoubleCheck. Aktivitasnya juga mulai terdeteksi pada 2 September 2026 dengan sasaran sebuah perusahaan manufaktur di Vietnam.

  Dalam serangan ini, korban diarahkan ke domain Cloudflare Workers yang dikendalikan pelaku. Domain tersebut digunakan untuk menyajikan BlueMoon. Setelah eksploitasi berhasil, serangan dilanjutkan dengan DLL sideloading untuk memasang sebuah program yang ditulis menggunakan bahasa pemrograman Rust.

  Malware tersebut kemudian berkomunikasi dengan Cloudflare R2 Bucket untuk mengambil komponen tambahan dan menjalankan pasangan DLL sideloading berikutnya. Penggunaan layanan cloud yang sah dalam infrastruktur serangan dapat membuat aktivitas berbahaya lebih sulit dibedakan dari lalu lintas internet biasa.

• UNK_QuietRacket Menargetkan Indonesia dan Singapura
  Kelompok keempat, UNK_QuietRacket, mulai terdeteksi pada 3 September 2026. Kelompok yang juga diduga memiliki hubungan dengan China ini menargetkan organisasi pemerintah, perusahaan konsultan, dan sektor keuangan di Indonesia serta Singapura.

  Dalam kampanye tersebut, korban diarahkan ke halaman pendaratan yang menjalankan BlueMoon. Versi BlueMoon yang digunakan telah dimodifikasi agar dapat mengunduh dan menjalankan pasangan DLL sideloading. DLL berbahaya kemudian berkomunikasi dengan domain Cloudflare Workers untuk memperoleh dan menjalankan .NET assembly langsung di memori.

  Payload tersebut kemudian membuat scheduled task pada Windows. Tugas terjadwal itu digunakan untuk menjalankan kembali rangkaian DLL sideloading sehingga malware dapat mempertahankan keberadaannya di sistem. Bagi organisasi di Indonesia, temuan ini menjadi perhatian tersendiri karena Proofpoint secara eksplisit mencatat sektor pemerintah, konsultasi, dan keuangan di Indonesia sebagai target dalam salah satu kampanye BlueMoon.

Ada Dugaan AI Membantu Pengembangan Malware

Selain teknik eksploitasi, Proofpoint menemukan indikasi lain yang tidak kalah menarik, yaitu kemungkinan penggunaan kecerdasan buatan atau AI dalam pengembangan exploit kit. Peneliti menemukan kemampuan logging yang luas serta komentar yang cukup rinci dalam sejumlah artefak kode.

Karakteristik tersebut, menurut Proofpoint, dapat menjadi indikasi bahwa pengembang menggunakan bantuan perangkat AI ketika membuat atau mengembangkan malware. Kecurigaan tersebut diperkuat dengan adanya referensi berulang terhadap v8CTF, kompetisi dan program penghargaan kerentanan yang berfokus pada mesin JavaScript V8.

Namun, Proofpoint menekankan bahwa belum ada kepastian apakah eksploitasi tersebut benar-benar dikembangkan berdasarkan kerangka v8CTF. Ada kemungkinan referensi tersebut digunakan sebagai konteks untuk mengarahkan model AI agar membantu pekerjaan teknis tertentu sekaligus melewati mekanisme keamanan atau guardrail pada large language model (LLM).

Dengan kata lain, hubungan antara BlueMoon dan AI masih merupakan dugaan berdasarkan karakteristik artefak yang ditemukan, bukan bukti bahwa seluruh exploit kit dibuat oleh AI.

Mengapa BlueMoon Menjadi Perhatian?

Yang membuat BlueMoon mendapat perhatian besar adalah kecepatan penyebarannya. Exploit Chrome yang mampu menembus sandbox dan kemudian digabungkan dengan eksploitasi Windows untuk memperoleh hak akses lebih tinggi secara historis merupakan kemampuan yang relatif sulit dikembangkan.

Namun, dalam kasus BlueMoon, rangkaian tersebut terlihat digunakan oleh beberapa kelompok hanya dalam hitungan hari. Proofpoint menilai fenomena ini dapat menjadi tanda bahwa hambatan untuk memperoleh kemampuan eksploitasi tingkat tinggi mulai menurun.

AI menjadi salah satu faktor yang patut diperhatikan.

Jika AI mampu membantu penyerang memahami kode sumber, mengidentifikasi pola kerentanan, melakukan analisis patch, atau mempercepat pekerjaan pengembangan, waktu yang dibutuhkan untuk mengubah informasi keamanan menjadi eksploitasi dapat semakin pendek.

Situasi ini menjadi semakin relevan karena Chromium merupakan proyek open source dengan kode sumber yang tersedia secara luas.

Ketika patch keamanan dipublikasikan, penyerang memiliki kesempatan untuk mempelajari perubahan tersebut. Jika distribusi patch kepada pengguna browser membutuhkan waktu, muncul sebuah jendela yang dapat dimanfaatkan untuk melakukan reverse engineering dan mengembangkan eksploitasi.

CISA Masukkan Tiga Celah ke Katalog KEV

Risiko ketiga kerentanan tersebut juga tercermin dari langkah Cybersecurity and Infrastructure Security Agency (CISA) Amerika Serikat yang memasukkannya ke dalam katalog Known Exploited Vulnerabilities (KEV). Katalog KEV digunakan CISA untuk membantu organisasi memprioritaskan kerentanan yang telah diketahui dieksploitasi di dunia nyata. Tiga celah yang terkait dengan BlueMoon adalah:

• CVE-2026-85046
• CVE-2026-85880
• CVE-2026-87491

Untuk lembaga Federal Civilian Executive Branch Amerika Serikat, tenggat perbaikan yang disebut dalam laporan adalah 18 September, 22 September, dan 23 September 2026. Langkah tersebut menunjukkan bahwa ancaman tidak lagi sekadar berada pada tahap penelitian. Kerentanan yang dirangkai oleh BlueMoon telah dikaitkan dengan eksploitasi nyata.

Update Browser Tidak Otomatis Menghapus Malware

Ada satu hal penting yang perlu diperhatikan organisasi yang menggunakan Chrome. Memasang patch tidak selalu berarti sistem sudah bersih. Pembaruan browser dapat menutup celah yang digunakan penyerang untuk memperoleh akses. Namun, jika penyerang sudah berhasil memasang malware sebelumnya, komponen tersebut dapat tetap berada di komputer, sehingga organisasi yang ditargetkan perlu memeriksa hal-hal berikut:

• Process tree: chrome.exe starting cmd.exe, then curl.exe, then msgbox.exe
• File: ChromeUpdate.exe or msgbox.exe in the Windows %TEMP% folder
• Folder: C:\Users\Public\stomp_ext
• Scheduled task: EdgeCore_AutoUpdate, MicrosoftEdgeUpdatesTaskMachine, Avpcheckup or GeForceService
• Mutex: Dataupcheckinfo
• Registry key: HKCU\SOFTWARE\Classes\CLSID\{5D4CFCB7-222C-4CA3-96B6-1F8195FBBB4B}\InprocServer32

Pelajaran dari Kasus BlueMoon

Kemunculan BlueMoon memperlihatkan perubahan penting dalam lanskap serangan siber.

Sebelumnya, eksploitasi kompleks terhadap browser dan sistem operasi membutuhkan keahlian tinggi serta waktu pengembangan yang panjang. Kini, kombinasi antara kode sumber terbuka, informasi patch yang tersedia untuk publik, otomatisasi, dan kemungkinan bantuan AI dapat mempercepat proses tersebut.

Kasus ini juga memperlihatkan bahwa keamanan browser tidak dapat dipandang secara terpisah dari keamanan sistem operasi. Serangan dapat dimulai dari halaman web atau tautan phishing, bergerak ke mesin JavaScript V8, keluar dari sandbox browser, kemudian berlanjut ke Windows untuk memperoleh hak akses lebih tinggi.

Kecepatan menjadi faktor penting. Begitu sebuah patch keamanan tersedia, organisasi perlu segera menerapkannya. Namun, proses respons tidak boleh berhenti pada patching. Sistem juga perlu diperiksa untuk memastikan tidak ada malware, ekstensi berbahaya, scheduled task, atau mekanisme persistence yang telah ditanam sebelumnya.

BlueMoon pada akhirnya menjadi contoh bagaimana sebuah exploit kit dapat menyatukan beberapa kerentanan menjadi satu rantai serangan dan kemudian digunakan oleh beberapa kelompok dalam waktu sangat singkat. Bagi perusahaan dan instansi yang menggunakan Chrome serta Windows, kasus ini menjadi pengingat bahwa patching, deteksi endpoint, pemantauan browser, keamanan email, dan respons insiden harus berjalan sebagai satu kesatuan.

Terlebih, dengan semakin cepatnya perkembangan AI, batas antara kemampuan teknis yang sebelumnya hanya dimiliki kelompok dengan sumber daya besar dan kemampuan yang dapat diakses pelaku lain berpotensi semakin tipis. Dalam kondisi seperti ini, kecepatan mendeteksi, menambal, dan memastikan sistem benar-benar bersih menjadi sama pentingnya dengan menemukan celah keamanan itu sendiri.