BlueMoon unisce zero-day Chrome e Windows: quattro gruppi di spionaggio lo adottano in pochi giorni

🛡️ Executive Summary

• BlueMoon concatena CVE-2026-85046 e CVE-2026-87491 in Chromium con CVE-2026-85880 nel kernel Windows per uscire dal browser ed eseguire payload.
• Proofpoint osserva quattro cluster di spionaggio adottare lo stesso exploit kit tra il 28 agosto e il 3 settembre, soprattutto con nexus cinese.
• La rapidità di diffusione suggerisce un abbassamento della barriera tecnica e sfrutta il patch-gap tra fix pubblicati nel codice Chromium e rollout stabile.

Un exploit chain per Chrome e Windows che fino a pochi anni fa sarebbe stato considerato una capacità rara e costosa è passato nelle mani di almeno quattro gruppi di spionaggio nel giro di pochi giorni. Proofpoint chiama BlueMoon il kit che concatena due vulnerabilità del motore V8 di Chromium con una falla di privilege escalation nel kernel Windows, trasformando un link di spear phishing in esecuzione di codice fuori dalla sandbox del browser. Il primo utilizzo osservato risale al 28 agosto 2026 ed è attribuito a TA412, gruppo allineato alla Cina. Dal 2 settembre lo stesso framework compare però nelle campagne di altri cluster contro aziende aerospaziali statunitensi, manifattura vietnamita e organizzazioni governative, finanziarie e di consulenza nel Sud-est asiatico.

BlueMoon concatena due exploit V8 e un LPE nel kernel Windows

Secondo l’analisi tecnica pubblicata da Proofpoint, la catena parte da CVE-2026-85046, type confusion nel compilatore JIT TurboFan di V8 capace di ottenere primitive arbitrarie di lettura e scrittura dentro l’heap cage del browser. Il secondo stadio sfrutta CVE-2026-87491 per corrompere metadati WebAssembly e uscire dalla sandbox V8. Una DLL caricata riflessivamente identifica quindi versione e build di Windows, livello d’integrità del processo e versione di kernelbase.dll prima di decidere se tentare CVE-2026-85880, vulnerabilità locale nel kernel Windows basata su ALPC e Windows Notification Facility.

Il terzo exploit abilita SeDebugPrivilege nel token del renderer e permette a un injector di raggiungere il processo broker del browser. Il comportamento predefinito è sorprendentemente rumoroso: chrome.exe genera cmd.exe, che avvia curl.exe per scaricare un eseguibile nella directory temporanea e lanciarlo. Proprio questa semplicità operativa porta Proofpoint a ritenere che la velocità di distribuzione sia stata privilegiata rispetto alla furtività.

Leggi anche: Chrome zero-day e campagne attive hanno già ridotto drasticamente la finestra disponibile per il patching

Il patch-gap di Chromium apre quasi quattro settimane agli attaccanti

CVE-2026-85046 mostra con particolare chiarezza il problema del patch-gap. La correzione era stata inserita nel codice Chromium il 7 agosto, ma ha raggiunto il canale stabile soltanto il 3 settembre. Google ha confermato lo sfruttamento attivo della vulnerabilità distribuendo Chrome 152.0.7977.82/.83 e segnalando esplicitamente l’esistenza di un exploit in-the-wild. Per quasi quattro settimane, quindi, il diff con la correzione era pubblicamente consultabile mentre milioni di browser non avevano ancora ricevuto la patch. Proofpoint ritiene probabile che chi ha costruito BlueMoon abbia utilizzato proprio queste modifiche upstream per ricostruire rapidamente la vulnerabilità. Il problema non riguarda solo Chrome: Edge, Brave, Vivaldi e gli altri browser Chromium condividono parte della stessa superficie, con finestre temporali di aggiornamento non sempre identiche.

TA412 installa una falsa estensione Gemini per rubare cookie e tastiera

Il primo attore osservato è TA412, noto anche come JungleBamboo, Violet Typhoon e APT31 e pubblicamente collegato dalle autorità statunitensi ad attività di intelligence riconducibili al Ministero della Sicurezza dello Stato cinese. Tra il 28 agosto e l’inizio di settembre il gruppo ha colpito ONG, società minerarie e trader di materie prime statunitensi, utilizzando esche su stage universitari e conferenze accademiche. Dopo BlueMoon, TA412 installa GemStone, estensione malevola per browser mascherata da “AI-powered browsing companion by Google Gemini”.

Il payload può catturare cookie, localStorage, sessionStorage, screenshot e sequenze di tasti, eseguire richieste HTTP arbitrarie e ricevere comandi da remoto attraverso un’infrastruttura C2 ospitata anche su Cloudflare Workers. La tecnica conferma la crescente importanza del browser come deposito di identità e sessioni, già evidente nelle campagne che rubano direttamente token validi invece di password statiche.

ShadowPad arriva nelle aziende aerospaziali americane

Dal 2 settembre, Proofpoint osserva BlueMoon anche nelle mani di UNK_LateNight, cluster valutato come allineato alla Cina e orientato allo spionaggio. Gli obiettivi sono aziende del settore aerospaziale statunitense, raggiunte con false richieste commerciali e RFQ collegate alla Defense Industrial Base. Una volta riuscito l’exploit, il loader usa DLL sideloading per installare ShadowPad, backdoor storicamente associata a numerose operazioni cinesi. Il malware mantiene persistenza attraverso il task EdgeCore_AutoUpdate, rimuove hook da funzioni di monitoraggio di rete, raccoglie dati dai profili Firefox, sniffa traffico e comunica via HTTPS attraverso un protocollo binario dedicato. L’utilizzo dello stesso exploit contro soggetti della filiera difesa a pochi giorni dalla prima osservazione è il dato strategicamente più significativo. Non sembra una capacità custodita gelosamente da un singolo team, ma uno strumento diventato rapidamente disponibile a più operatori con obiettivi indipendenti.

Altri due cluster colpiscono Vietnam, Indonesia e Singapore

Sempre dal 2 settembre, UNK_DoubleCheck prende di mira un’azienda manifatturiera vietnamita utilizzando email inviate da un account governativo del Sud-est asiatico già compromesso. Dopo BlueMoon parte una catena di DLL sideloading che carica un payload Rust, utilizza Cloudflare R2 per ulteriori download e stabilisce un nuovo canale C2. Proofpoint considera il gruppo probabilmente impegnato in attività di spionaggio ma non gli attribuisce ancora un Paese specifico.

Dal 3 settembre compare invece UNK_QuietRacket, altro cluster sospettato di allineamento cinese, contro enti governativi, società di consulenza e organizzazioni finanziarie in Indonesia e Singapore. Le esche riproducono conferenze reali e il malware risolve il proprio C2 attraverso query TXT su Google DNS-over-HTTPS, decifrando con ChaCha20 gli indirizzi dei successivi Cloudflare Worker. È la stessa tendenza osservata in numerose operazioni state-aligned che incorporano servizi cloud legittimi nelle proprie infrastrutture.

L’AI può avere aiutato lo sviluppo ma Proofpoint non lo considera provato

BlueMoon contiene un elemento particolarmente interessante: tracce compatibili con uno sviluppo assistito da agenti AI. Proofpoint ha trovato logging estremamente verboso, commenti che descrivono fallimenti e iterazioni successive, istruzioni per restituire l’intero log al tester e persino il riferimento a un file Markdown chiamato v8-ctf-chrome-stage4-handover.md, struttura tipica dei passaggi di consegne tra sessioni o agenti. Il codice contiene anche riferimenti al v8CTF, il programma di challenge di Google sul motore JavaScript. Una possibile spiegazione è che gli sviluppatori abbiano realmente adattato materiale costruito durante attività di ricerca; un’altra è che la cornice CTF sia stata utilizzata per indurre modelli generativi a collaborare evitando eventuali guardrail. Proofpoint resta però prudente: nessun singolo artefatto dimostra che BlueMoon sia stato sviluppato con l’AI. La ricerca parla di indicatori coerenti con questa possibilità, non di attribuzione certa. Il punto rilevante è piuttosto economico: strumenti AI sempre più capaci possono ridurre tempo e competenze necessarie per trasformare una patch pubblica in un exploit affidabile.

BlueMoon mostra una nuova economia delle zero-day

Proofpoint osserva che exploit chain complete per browser sono state storicamente capacità ad alto valore, usate selettivamente e protette per evitare che fossero individuate e corrette. BlueMoon mostra l’opposto: distribuzione rapida, codice con numerosi indicatori, più operatori nello stesso intervallo temporale e infrastrutture costruite spesso il giorno stesso o pochi giorni prima della campagna. Non è ancora chiaro come i diversi attori abbiano ricevuto il kit. Proofpoint propone diverse ipotesi, dalla presenza di un digital quartermaster o fornitore comune a un meccanismo di disseminazione collegato a strutture statali, ma non dispone delle prove necessarie per scegliere una spiegazione. Anche la prevalenza cinese non consente di attribuire BlueMoon esclusivamente alla Cina: uno dei quattro cluster rimane senza nexus nazionale definito.

Continua con:

• Midnight Blizzard trasforma reti Wi-Fi e browser in vettori per lo spionaggio contro diplomatici e aziende
• Storm-1175 mostra quanto rapidamente un accesso iniziale possa trasformarsi in ransomware e compromissione completa

Chi non aggiorna Chromium alimenta il mercato del patch-gap

La risposta difensiva più immediata è aggiornare Chrome e tutti i browser Chromium-based e mantenere Windows su build supportate e completamente corrette. BlueMoon utilizza infatti CVE-2026-85880 soltanto contro un insieme circoscritto di versioni relativamente vecchie di Windows, tra cui Windows 10 1809-22H2, Server 2019, Server 2022 e Windows 11 21H2. Microsoft ha pubblicato CVE-2026-85880 nel proprio Security Update Guide.

Per il threat hunting, Proofpoint indica una catena di processi particolarmente utile: chrome.exe → cmd.exe → curl.exe → msgbox.exe, oltre ai task EdgeCore_AutoUpdate, MicrosoftEdgeUpdatesTaskMachine e Avpcheckup, alla chiave sessione v8ctf_exp_attempt e ai file ChromeUpdate.exe o msgbox.exe nella directory temporanea.

Ma BlueMoon espone soprattutto un problema strutturale che nessuna singola regola YARA può eliminare. Quando il codice sorgente di una piattaforma è aperto, la pubblicazione del fix può diventare contemporaneamente documentazione difensiva e specifica tecnica per l’attaccante. Se agenti AI e automazione riducono davvero il tempo necessario per trasformare quei diff in exploit, il vantaggio non sarà più necessariamente di chi scopre per primo la vulnerabilità: sarà di chi riesce a distribuire la patch più velocemente di quanto l’avversario riesca a industrializzarla.