Le kit d’exploitation BlueMoon offre à quatre groupes d’espionnage une chaîne d’attaque commune, de Chrome à Windows

Quatre groupes de menaces ont déployé un kit d’exploitation inédit qui enchaîne deux failles de Google Chrome/V8 avec une vulnérabilité d’élévation de privilèges de Microsoft Windows.

Baptisé BlueMoon, ce kit transforme un lien d’hameçonnage ciblé en exécution de code dans Chrome, échappe à la sandbox du navigateur, élève les privilèges sous Windows et installe la charge utile choisie par l’opérateur. La première exploitation a été observée le 28 août 2026, dans le cadre d’une activité attribuée au groupe APT31, aligné sur la Chine.

Trois autres groupes ont commencé à utiliser des outils pratiquement identiques dans les jours suivants. La diffusion rapide d’une chaîne d’exploitation complète pour navigateur suggère que des capacités autrefois réservées à un petit nombre d’opérateurs disposant de moyens importants pourraient devenir plus faciles à partager et à modifier.

Quatre groupes adoptent BlueMoon en l’espace d’une semaine

APT31 a commencé à utiliser BlueMoon le 28 août 2026 contre des organisations non gouvernementales basées aux États-Unis, des sociétés minières et des entreprises de négoce de matières premières physiques. Cet acteur soutenu par un État est également suivi sous les noms TA412, Bronze Vinewood, Judgement Panda, JungleBamboo, PerplexedGoblin, RedBravo, Tide Castle et Violet Typhoon.

Le gouvernement américain a inculpé ce groupe en 2024 pour des activités qui auraient été menées au profit de l’agence chinoise de renseignement extérieur civil, selon les informations consacrées aux campagnes BlueMoon.

Deux autres groupes, UNK_LateNight et UNK_DoubleCheck, ont adopté le kit le 2 septembre 2026. UNK_LateNight a ciblé plusieurs entreprises américaines du secteur aérospatial et déployé ShadowPad au moyen d’un DLL sideloading. Il s’agirait d’une opération d’espionnage alignée sur la Chine.

UNK_DoubleCheck a ciblé une entreprise manufacturière vietnamienne via un domaine Cloudflare Workers contrôlé par l’attaquant. BlueMoon a lancé une chaîne de DLL sideloading qui a déposé un exécutable Rust. Celui-ci a ensuite contacté un bucket Cloudflare R2 et récupéré une autre paire destinée au DLL sideloading. Son affiliation nationale n’a pas été établie.

UNK_QuietRacket a commencé à utiliser BlueMoon le 3 septembre 2026. Ce groupe aligné sur la Chine a ciblé des organisations gouvernementales, de conseil et financières en Indonésie et à Singapour. Sa version modifiée du kit a obtenu une DLL malveillante via l’infrastructure Cloudflare Workers et exécuté un assembly .NET en mémoire. La charge utile a assuré sa persistance au moyen d’une tâche planifiée.

La plupart des activités observées semblent donc présenter un lien avec la Chine, mais le kit n’est pas nécessairement réservé aux opérateurs alignés sur la Chine. La manière dont les quatre groupes l’ont acquis demeure inconnue, et d’autres utilisateurs pourraient exister.

Deux failles de Chrome ouvrent la voie hors de la sandbox

La phase visant le navigateur commence par CVE-2026-85046, une vulnérabilité de confusion de types à haute sévérité dans le moteur JavaScript V8 de Chrome. Elle affiche un score CVSS de 8,8 et peut permettre l’exécution arbitraire de code à l’intérieur de la sandbox du navigateur lorsqu’un utilisateur consulte une page HTML spécialement conçue.

Les versions concernées sont les suivantes :

• Google Chrome antérieur à 152.0.7977.82
• Google V8 antérieur à 15.3.48

BlueMoon enchaîne cette compromission initiale avec une vulnérabilité V8 distincte permettant de s’échapper de la sandbox du renderer. Cette seconde faille du navigateur ne possède pas d’identifiant CVE, car Google n’attribue pas de CVE aux échappements de la sandbox V8. Les plages exactes de versions autonomes concernées n’ont pas été communiquées.

Les deux failles V8 étaient apparemment des zero-days liés à un décalage de correctif au moment des attaques. Les correctifs étaient déjà visibles dans le code source public en amont de Chromium, mais n’avaient pas encore atteint les dernières versions stables de Chrome et des navigateurs basés sur Chromium.

Cet intervalle a exposé les défenseurs à un problème spécifique de synchronisation au sein de la chaîne d’approvisionnement. Les attaquants pouvaient examiner les modifications publiques du code, identifier la faille corrigée et rétroconcevoir un exploit avant que la plupart des utilisateurs ne reçoivent la mise à jour stable correspondante.

CVE-2026-85046 a été ajoutée au catalogue des vulnérabilités exploitées connues de la CISA le 4 septembre 2026. Les agences civiles fédérales américaines doivent appliquer le correctif au plus tard le 18 septembre 2026.

La faille ALPC de Windows achève la compromission

Après s’être échappé de la sandbox de Chrome, BlueMoon charge une DLL par réflexion afin d’établir l’empreinte de l’hôte Windows. La logique JavaScript détermine ensuite si le système convient à la phase finale d’élévation de privilèges.

Le kit exploite CVE-2026-85880, un dépassement de tampon basé sur le tas dans l’Advanced Local Procedure Call de Windows. La vulnérabilité affiche un score CVSS de 7,8 et permet à un attaquant disposant déjà d’un accès local d’élever ses privilèges sans interaction supplémentaire de l’utilisateur.

Les versions de Windows concernées et les plages de builds vulnérables sont les suivantes :

• Windows 10 1607 antérieur à 10.0.14393.9512
• Windows 10 1809 antérieur à 10.0.17763.9245
• Windows 10 21H2 antérieur à 10.0.19044.7725
• Windows 10 22H2 antérieur à 10.0.19045.7725
• Windows Server 2012, pour lequel aucun seuil de build n’est disponible
• Windows Server 2016 antérieur à 10.0.14393.9512
• Windows Server 2019 antérieur à 10.0.17763.9245
• Windows Server 2022 antérieur à 10.0.20348.5622

BlueMoon charge par réflexion une seconde DLL contenant l’exploit ALPC et élève les privilèges du processus renderer de Chrome. Le shellcode de l’injecteur place ensuite un stub CreateProcess dans le processus broker parent de Chrome, ce qui permet à l’opérateur d’exécuter une commande arbitraire.

Par défaut, la commande invoque curl afin de télécharger et d’exécuter un programme hébergé à distance. Le malware final dépend du groupe à l’origine de la campagne.

CVE-2026-85880 a été ajoutée au catalogue KEV le 8 septembre 2026, avec une échéance de correction fixée au 22 septembre 2026 pour les agences fédérales. Microsoft a corrigé le problème dans le cadre des mises à jour du Patch Tuesday de septembre 2026.

Les deux failles exploitées par BlueMoon s’inscrivent dans une série plus vaste de vulnérabilités Google et Microsoft ajoutées au catalogue KEV. Au cours des 90 jours précédents, la CISA avait également ajouté CVE-2026-81963, CVE-2019-1068, CVE-2026-33824, CVE-2026-55040, CVE-2026-68820 et CVE-2026-50522 pour ces éditeurs.

Des charges utiles allant de la surveillance du navigateur à ShadowPad

La chaîne BlueMoon d’APT31 télécharge un loader qui installe une extension Chrome malveillante présentée comme Google Gemini. Le loader exploite le contournement de l’intégrité des extensions GhostChrome-X pour déployer GemStone, une porte dérobée de surveillance du navigateur et de vol d’identifiants contrôlée via un canal de commande et de contrôle.

Les autres groupes privilégient le DLL sideloading. UNK_LateNight installe ShadowPad, tandis qu’UNK_DoubleCheck utilise un composant Rust et récupère progressivement des charges utiles depuis Cloudflare R2. UNK_QuietRacket combine le sideloading, l’exécution de .NET en mémoire et la persistance par tâche planifiée.

BlueMoon lui-même est également apparu sous plusieurs variantes. Les opérateurs ont supprimé les commentaires du code source, obfusqué des composants, ajouté des vérifications du système d’exploitation, modifié les pages d’atterrissage et les redirections, et étendu la collecte de télémétrie. La séquence centrale reste inchangée : exploitation du renderer, échappement de la sandbox et élévation de privilèges sous Windows.

L’hameçonnage ciblé constitue le point d’entrée commun. Les cibles reçoivent des liens menant vers des pages contrôlées par l’attaquant, qui servent discrètement la chaîne d’exploitation JavaScript. L’exploitation nécessite donc toujours que le destinataire ouvre la page malveillante.

Le développement assisté par IA est plausible, mais non confirmé

Les chercheurs ont découvert une journalisation abondante, des commentaires de code source exceptionnellement détaillés et des références répétées au challenge v8CTF de Google dans les artefacts associés. Ces caractéristiques les ont conduits à estimer que des outils d’IA générative pourraient avoir contribué au développement de BlueMoon.

Cette conclusion n’est pas confirmée. Les développeurs ont pu travailler à partir de documents associés au challenge consacré à V8, utiliser un système d’IA pour générer ou perfectionner du code, ou insérer des références destinées à contourner les garde-fous des modèles.

La conclusion la plus importante est opérationnelle : quatre groupes distincts ont obtenu une chaîne d’exploitation multiétape fonctionnelle en l’espace de quelques jours. Les chaînes d’exploitation de navigateurs militarisées ont traditionnellement un coût élevé et sont conservées de manière très confidentielle, car elles nécessitent à la fois un exploit du renderer et un échappement fiable de la sandbox.

L’analyse assistée par IA pourrait réduire cette difficulté, en particulier pour les projets open source dont les correctifs de sécurité deviennent visibles en amont avant d’atteindre les produits stables en aval. Les correctifs publics ne prouvent toutefois pas à eux seuls qu’une IA a été utilisée.

Les correctifs doivent être suivis d’un triage forensique

Les organisations doivent mettre à jour Chrome au moins vers la version 152.0.7977.82 et V8 au moins vers la version 15.3.48. Les administrateurs doivent également mettre les systèmes Windows concernés à niveau vers le build corrigé applicable.

Les deux vulnérabilités concernées ayant été ajoutées au catalogue KEV, elles doivent être traitées comme des priorités en matière d’exploitation active. La CISA exige des agences couvertes qu’elles appliquent les mesures d’atténuation des éditeurs conformément à la directive BOD 26-04, respectent ses exigences de triage forensique, évaluent l’exposition à Internet et cessent d’utiliser les produits concernés lorsqu’aucune mesure d’atténuation n’est disponible.

Une mise à jour du navigateur empêche l’exploitation initiale, mais ne supprime ni les malwares ni la persistance déjà installés. Les enquêteurs doivent rechercher cette chaîne de processus :

chrome.exe -> cmd.exe -> curl.exe -> msgbox.exe

Les indicateurs supplémentaires comprennent :

• %TEMP%\ChromeUpdate.exe
• %TEMP%\msgbox.exe
• C:\Users\Public\stomp_ext
• Mutex Dataupcheckinfo
• Tâches planifiées EdgeCore_AutoUpdate, MicrosoftEdgeUpdatesTaskMachine, Avpcheckup et GeForceService
• Clé de registre HKCU\SOFTWARE\Classes\CLSID\{5D4CFCB7-222C-4CA3-96B6-1F8195FBBB4B}\InprocServer32

Les équipes de sécurité doivent également examiner les extensions Chrome non autorisées, les activités de DLL sideloading, les récupérations depuis Cloudflare Workers ou R2, l’exécution de .NET en mémoire, ainsi que les signes de présence de GemStone ou ShadowPad. Les règles de détection 2071919 à 2071924 couvrent le loader JavaScript de BlueMoon et le trafic de commande et de contrôle.

Les correctifs comblent les vulnérabilités exposées. Ils ne suffisent pas à clore la réponse à incident.