Il kit di exploit BlueMoon concatena vulnerabilità di Chrome e Windows

Un kit di exploit di nuova documentazione chiamato BlueMoon viene utilizzato da diversi cluster di spionaggio per concatenare vulnerabilità recentemente corrette in Google Chrome e Microsoft Windows, secondo un rapporto di Proofpoint. Il kit combina due bug del browser con una falla di escalation di privilegi locale di Windows per installare silenziosamente malware di sorveglianza e furto di credenziali. Il primo utilizzo noto in natura è stato attribuito al gruppo allineato alla Cina APT31 il 28 agosto 2026, e nel giro di pochi giorni diversi altri cluster, la maggior parte con un presunto legame con la Cina, hanno iniziato a usare lo stesso kit.

La catena di exploit utilizza tre vulnerabilità: CVE-2026-85046, un bug di type confusion nel motore JavaScript V8 di Chrome; CVE-2026-87491, un bug out-of-bounds in V8 che può portare a un'evasione dalla sandbox; e CVE-2026-85880, un buffer overflow basato su heap in Windows Advanced Local Procedure Call (ALPC). Google ha corretto CVE-2026-85046 la scorsa settimana, Microsoft ha risolto CVE-2026-85880 nei suoi aggiornamenti del Patch Tuesday di settembre 2026, e Proofpoint ha detto a The Hacker News che Google ha rilasciato una patch per CVE-2026-87491 l'8 settembre 2026. In particolare, entrambe le falle di V8 erano zero-day "patch-gap": erano già state corrette nel codice sorgente pubblico upstream di Chromium ma non erano ancora arrivate alle versioni stabili di Chrome e altri browser basati su Chromium quando gli attaccanti hanno iniziato a usarle.

Proofpoint ha affermato che lo sviluppatore dell'exploit probabilmente monitorava attentamente le patch pubbliche di Chromium per assemblare la catena del browser prima che quelle correzioni fossero distribuite agli utenti. Le catene di attacco iniziano con email di phishing che attirano gli obiettivi verso un URL controllato dall'attore. Quella pagina attiva in successione le due falle di V8 per eseguire codice ed evadere la sandbox del browser, poi usa il bug ALPC di Windows per ottenere privilegi più elevati. Con quei privilegi, un iniettore di shellcode inserisce uno stub CreateProcess nel processo broker padre di Chrome ed esegue un comando specificato dall'operatore; per impostazione predefinita, il comando scarica un eseguibile usando curl e lo esegue. Prima dell'escalation di privilegi locale, il kit usa una DLL caricata in modo riflessivo per fare fingerprinting dell'host Windows in modo che il JavaScript del kit di exploit possa decidere se tentare quel passaggio.

I ricercatori di Proofpoint Mark Kelly, Greg Lesnewich, Konstantin Klinger, Saher Naumaan, Julia Paluch, David Galazin e Stuart Del Caliz hanno osservato molteplici varianti di BlueMoon. Alcune varianti hanno rimosso commenti o offuscato componenti; altre hanno aggiunto pagine di atterraggio specifiche per la campagna, reindirizzamenti, controlli del sistema operativo lato browser o telemetria extra, ma la catena di exploit sottostante è rimasta la stessa. Vengono descritti quattro cluster di attività. APT31 ha usato esche di spear-phishing contro organizzazioni non governative, aziende minerarie e società di trading di materie prime fisiche negli Stati Uniti a partire dal 28 agosto. Il suo dispiegamento di BlueMoon ha scaricato un loader che installava un'estensione malevola del browser camuffata da Google Gemini, usando un bypass dell'integrità delle estensioni di Chrome chiamato GhostChrome-X. Quell'estensione, chiamata GemStone, agisce come backdoor di sorveglianza del browser e furto di credenziali controllata tramite un canale command-and-control (C2). UNK_LateNight, un cluster allineato alla Cina, ha preso di mira diverse aziende aerospaziali statunitensi dal 2 settembre e ha usato BlueMoon per distribuire la backdoor ShadowPad tramite DLL sideloading, una tecnica che fa caricare a un programma un file di supporto malevolo invece di quello legittimo. UNK_DoubleCheck ha preso di mira un'entità manifatturiera vietnamita il 2 settembre; ha ospitato BlueMoon su un dominio Cloudflare Workers e ha usato un attacco di DLL sideloading per rilasciare un binario Rust, che poi ha recuperato ed eseguito una seconda coppia di DLL sideloading da un Cloudflare R2 Bucket. UNK_QuietRacket, un cluster allineato alla Cina attivo dal 3 settembre, ha preso di mira organizzazioni governative, di consulenza e del settore finanziario in Indonesia e Singapore. Il suo BlueMoon modificato ha scaricato una coppia di DLL sideloading, e la DLL malevola ha usato domini Cloudflare Workers per ottenere ed eseguire in memoria un assembly .NET; quel payload in memoria ha creato un'attività pianificata in modo che il malware sopravvivesse ai riavvii.

Proofpoint ha affermato che gli artefatti del codice sorgente contengono logging estensivo e commenti verbosi che suggeriscono che il malware possa essere stato sviluppato con l'aiuto di strumenti di intelligenza artificiale. Gli artefatti fanno anche ripetutamente riferimento a v8CTF, un programma di ricompensa per vulnerabilità focalizzato sugli exploit e una competizione capture-the-flag gestita da Google contro il motore V8. Non è noto se gli exploit di V8 siano stati realmente sviluppati per v8CTF o se quella impostazione sia stata usata per aggirare le protezioni dei modelli linguistici di grandi dimensioni. Proofpoint ha anche affermato che attualmente non è noto come molteplici attori di minaccia distinti abbiano ottenuto accesso a BlueMoon. L'azienda ha avvertito che la facilità di adozione del kit rende probabile un'ulteriore proliferazione sia tra attori motivati dallo spionaggio sia tra quelli motivati finanziariamente, man mano che le versioni corrette vengono completamente distribuite tra i browser basati su Chromium. "Una catena di exploit di Chrome completamente armata è stata storicamente una capacità di alto valore e rara", ha affermato Proofpoint. "BlueMoon è stato sviluppato, dispiegato rapidamente e condiviso tra molteplici attori di minaccia nel giro di pochi giorni in un modo che presentava forti segnali di rilevamento." Il rapporto suggerisce un costo ridotto e una barriera all'ingresso inferiore per questa classe di capacità, poiché gli agenti di IA consentono sempre più lo sviluppo di exploit da parte degli attori di minaccia, specialmente per basi di codice open source come Chromium, dove le patch upstream sono pubbliche prima che i browser downstream le applichino.

La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto tutte e tre le vulnerabilità al suo catalogo Known Exploited Vulnerabilities (KEV), dando alle agenzie del ramo esecutivo civile federale statunitense scadenze del 18 settembre per CVE-2026-85046, del 22 settembre per CVE-2026-85880 e del 23 settembre per CVE-2026-87491. Tuttavia, aggiornare il browser chiude solo la via d'ingresso; non rimuove gli artefatti che sono già stati installati. L'estensione GemStone e le attività pianificate create da altri cluster sopravvivono a una patch. Proofpoint ha elencato segni specifici che le organizzazioni prese di mira dovrebbero controllare: un albero dei processi che mostra chrome.exe avviare cmd.exe, poi curl.exe, poi msgbox.exe; file ChromeUpdate.exe o msgbox.exe nella cartella %TEMP% di Windows; una cartella chiamata C:\Users\Public\stomp_ext; attività pianificate chiamate EdgeCore_AutoUpdate, MicrosoftEdgeUpdatesTaskMachine, Avpcheckup o GeForceService; un mutex chiamato Dataupcheckinfo; e una chiave di registro in HKCU\SOFTWARE\Classes\CLSID\{5D4CFCB7-222C-4CA3-96B6-1F8195FBBB4B}\InprocServer32. Proofpoint ha anche pubblicato regole di rilevamento per il loader JavaScript del kit e il traffico C2, numerate da Signature ID 2071919 a 2071924.

Per i proprietari di siti web, la catena di exploit mostra perché l'applicazione delle patch al browser lato client e al server lato host deve avvenire insieme; mentre AEU Hosting fornisce hosting WordPress gestito e protetto end to end e può ridurre il rischio lato server, i singoli visitatori devono comunque mantenere aggiornati i propri browser perché questo attacco viene eseguito sui loro dispositivi, non sul server web.