BlueMoon: ชุดโจมตี Chrome + Windows ที่กลุ่มสายลับหลายชุดใช้ร่วมกัน
ถ้าเปิด Chrome / Edge แล้วคลิกลิงก์จากเมลงานทุกวัน รอบนี้ไม่ใช่แค่ “มี CVE ใหม่” แต่เป็นเรื่องที่ หลายกลุ่มสายลับใช้ชุดโจมตีชุดเดียวกันภายในไม่กี่วัน
Proofpoint ตั้งชื่อชุดนี้ว่า BlueMoon โดยเห็นการใช้ตั้งแต่ประมาณ 28 ส.ค. 2026 เริ่มจากกลุ่มที่ติดตามในชื่อ JungleBamboo / APT31 / Violet Typhoon แล้วอีกหลายคลัสเตอร์ espionage ตามมาภายในสัปดาห์
ผมไม่ลงรายละเอียดช่องโหว่หรือขั้นตอนโจมตีครับ — โฟกัสแค่ว่าทำไมคนทั่วไปต้องอัปเดตเครื่อง
สิ่งที่สื่อสรุปตรงกัน
ชุดนี้ผูกช่องโหว่ในเบราว์เซอร์ Chromium กับช่องโหว่ยกระดับสิทธิ์บน Windows ที่เคยถูกพูดถึงแยกกันแล้ว
- CVE-2026-85046 และ CVE-2026-87491 ฝั่ง Chrome / V8 (Google แพตช์เป็น zero-day ช่วงต้น–กลาง ก.ย.)
- CVE-2026-85880 ฝั่ง Windows ALPC (อยู่ใน Patch Tuesday ก.ย. 2026)
SecurityWeek สรุป 12 ก.ย. ว่าผู้โจมตีใช้ spearphishing ให้เหยื่อคลิกลิงก์ แล้วชุดจะพยายามออกจาก sandbox ของเบราว์เซอร์ก่อนยกระดับบน Windows
Proofpoint มองว่าการรับชุดนี้ไปใช้เร็วผิดปกติ และอาจแพร่ไปกลุ่มที่ทำเงินด้วยในอนาคต — ยังไม่ฟันธงว่าแต่ละกลุ่มได้ชุดมาอย่างไร
ทำไมถึงเกี่ยวชีวิตประจำวัน
- คนใช้ Chrome / Edge / เบราว์เซอร์ Chromium อื่นบน Windows
- คนที่ยังเลื่อนแพตช์ Windows กันยายน
- คนทำงานที่เปิดลิงก์จากเมล/แชทภายนอกบ่อย
บล็อกเรามีสรุป CVE แยกชิ้นของ Chrome กับ ALPC อยู่แล้ว — โพสต์นี้เน้นมุม ชุดรวมที่ใช้จริงโดยหลายกลุ่ม เพื่อให้รู้ว่าการอัปเดตช้ามีราคา
สิ่งที่ผมจะทำวันนี้
- เปิด Chrome → ตั้งค่า → เกี่ยวกับ Chrome ให้อัปเดตจนขึ้นว่าเป็นเวอร์ชันล่าสุด (Edge ด้วยถ้าใช้)
- ติดตั้งอัปเดตความปลอดภัย Windows กันยายน 2026 ให้ครบ แล้วรีสตาร์ท
- อย่าคลิกลิงก์จากเมลที่เร่งด่วนผิดปกติ โดยเฉพาะไฟล์/หน้าเว็บแปลก ๆ จากคู่ค้าใหม่
- ถ้าเป็นแอดมินองค์กร: เร่งอัปเดตเบราว์เซอร์ผ่านนโยบาย และไล่เครื่องที่ยังค้างแพตช์
- ติดตาม IoC จากรายงาน Proofpoint ถ้าทีมมีระบบตรวจจับ
Recap
- BlueMoon คือชุดที่ผูกช่องโหว่ Chrome กับ Windows ALPC มีการใช้โดยกลุ่มสายลับหลายชุดตั้งแต่ปลาย ส.ค. 2026
- ช่องทางเริ่มต้นที่รายงานคือ spearphishing ให้คลิกลิงก์
- คนใช้คอม: อัปเดต Chrome/Edge + แพตช์ Windows กันยายน อย่าคลิกลิงก์แปลก
- ที่มา: Proofpoint, SecurityWeek, The Hacker News — ไม่มีขั้นตอนโจมตีในบทความนี้