BlueMoon Exploit Kit offre a quattro gruppi di cyberspionaggio una catena d’attacco condivisa da Chrome a Windows

Quattro cluster di minacce hanno utilizzato un exploit kit finora non documentato che concatena due vulnerabilità di Google Chrome/V8 con una vulnerabilità di Microsoft Windows per l’escalation dei privilegi.

Chiamato BlueMoon, il kit trasforma un link di spear-phishing in un’esecuzione di codice all’interno di Chrome, evade la sandbox del browser, eleva i privilegi su Windows e installa un payload scelto dall’operatore. Lo sfruttamento è stato osservato per la prima volta il 28 agosto 2026, in un’attività attribuita al gruppo APT31, vicino alla Cina.

Nel giro di pochi giorni, altri tre cluster hanno iniziato a utilizzare strumenti sostanzialmente identici. La rapida diffusione di una catena completa di exploit per browser suggerisce che capacità un tempo riservate a pochi operatori con ampie risorse potrebbero essere diventate più facili da condividere e modificare.

Quattro cluster hanno adottato BlueMoon nel giro di una settimana

APT31 ha iniziato a utilizzare BlueMoon il 28 agosto 2026 contro organizzazioni non governative con sede negli Stati Uniti, società minerarie e aziende attive nel trading di materie prime fisiche. L’attore sponsorizzato da uno Stato è noto anche come TA412, Bronze Vinewood, Judgement Panda, JungleBamboo, PerplexedGoblin, RedBravo, Tide Castle e Violet Typhoon.

Nel 2024 il governo degli Stati Uniti ha incriminato il gruppo per attività presumibilmente condotte per conto dell’agenzia cinese di intelligence estera civile, secondo quanto riportato nell’analisi delle campagne BlueMoon.

Altri due cluster, UNK_LateNight e UNK_DoubleCheck, hanno adottato il kit il 2 settembre 2026. UNK_LateNight ha preso di mira diverse aziende aerospaziali statunitensi e ha distribuito ShadowPad tramite DLL sideloading. Si ritiene che sia un’operazione di cyberspionaggio vicina alla Cina.

UNK_DoubleCheck ha preso di mira un’azienda manifatturiera vietnamita attraverso un dominio Cloudflare Workers controllato dall’attaccante. BlueMoon ha avviato una catena di sideloading che ha rilasciato un eseguibile Rust; quest’ultimo ha quindi contattato un bucket Cloudflare R2 e recuperato un’altra coppia destinata al DLL sideloading. Non è stata stabilita la sua affiliazione nazionale.

UNK_QuietRacket ha iniziato a utilizzare BlueMoon il 3 settembre 2026. Questo cluster vicino alla Cina ha preso di mira organizzazioni governative, società di consulenza e realtà finanziarie in Indonesia e Singapore. La versione modificata del kit ha ottenuto una DLL malevola tramite l’infrastruttura Cloudflare Workers ed eseguito in memoria un assembly .NET. Il payload ha stabilito la persistenza attraverso un’attività pianificata.

La maggior parte delle attività osservate presenta quindi un presunto legame con la Cina, ma il kit non è necessariamente riservato agli operatori vicini a Pechino. Non è ancora noto come i quattro cluster lo abbiano acquisito e potrebbero esistere altri utilizzatori.

Due vulnerabilità di Chrome aprono la via d’uscita dalla sandbox

La fase browser inizia con CVE-2026-85046, una vulnerabilità di type confusion ad alta gravità nel motore JavaScript V8 di Chrome. Ha un punteggio CVSS di 8,8 e può consentire l’esecuzione arbitraria di codice all’interno della sandbox del browser quando l’utente visita una pagina HTML appositamente preparata.

Le versioni interessate sono:

• Google Chrome precedenti a 152.0.7977.82
• Google V8 precedenti a 15.3.48

BlueMoon concatena la compromissione iniziale con una vulnerabilità distinta di V8 che consente di evadere dalla sandbox del renderer. Questa seconda vulnerabilità del browser non ha un identificativo CVE perché Google non assegna CVE alle evasioni della sandbox di V8. Non sono stati divulgati gli intervalli esatti delle versioni interessate in modo indipendente.

Secondo quanto riportato, durante gli attacchi entrambe le vulnerabilità di V8 erano zero-day dovuti a un ritardo nella distribuzione delle patch. Le correzioni erano già visibili nel codice sorgente pubblico upstream di Chromium, ma non erano ancora arrivate nelle versioni stabili più recenti di Chrome e dei browser basati su Chromium.

Quell’intervallo ha esposto i difensori a uno specifico problema di tempistica nella supply chain. Gli attaccanti potevano esaminare le modifiche al codice pubblico, individuare il difetto di sicurezza corretto e procedere al reverse engineering di un exploit prima che la maggior parte degli utenti ricevesse il corrispondente aggiornamento stabile.

CVE-2026-85046 è entrata nel catalogo CISA delle Known Exploited Vulnerabilities il 4 settembre 2026. Le agenzie civili federali statunitensi devono completare la remediation entro il 18 settembre 2026.

La vulnerabilità ALPC di Windows completa la compromissione

Dopo aver evaso la sandbox di Chrome, BlueMoon carica in modo riflessivo una DLL per effettuare il fingerprinting dell’host Windows. La logica JavaScript decide quindi se il sistema è adatto alla fase finale di escalation dei privilegi.

Il kit utilizza CVE-2026-85880, un buffer overflow basato sull’heap in Windows Advanced Local Procedure Call. La vulnerabilità ha un punteggio CVSS di 7,8 e consente a un attaccante che dispone già di accesso locale di elevare i privilegi senza ulteriori interazioni da parte dell’utente.

Le versioni interessate di Windows e gli intervalli di build vulnerabili sono:

• Windows 10 1607 precedenti a 10.0.14393.9512
• Windows 10 1809 precedenti a 10.0.17763.9245
• Windows 10 21H2 precedenti a 10.0.19044.7725
• Windows 10 22H2 precedenti a 10.0.19045.7725
• Windows Server 2012, per il quale non è disponibile una soglia di build
• Windows Server 2016 precedenti a 10.0.14393.9512
• Windows Server 2019 precedenti a 10.0.17763.9245
• Windows Server 2022 precedenti a 10.0.20348.5622

BlueMoon carica in modo riflessivo una seconda DLL contenente l’exploit ALPC ed eleva il processo del renderer di Chrome. Lo shellcode dell’injector inserisce quindi uno stub CreateProcess nel processo broker principale di Chrome, consentendo all’operatore di eseguire un comando arbitrario.

Per impostazione predefinita, il comando invoca curl per scaricare ed eseguire un programma ospitato da remoto. Il malware finale dipende dal cluster che conduce la campagna.

CVE-2026-85880 è entrata nel catalogo KEV l’8 settembre 2026, con una scadenza per la remediation federale fissata al 22 settembre 2026. Microsoft ha risolto il problema con gli aggiornamenti del Patch Tuesday di settembre 2026.

Le due vulnerabilità sfruttate da BlueMoon fanno parte di una serie più ampia di vulnerabilità Google e Microsoft inserite nel catalogo KEV. Nei 90 giorni precedenti, CISA aveva aggiunto al catalogo anche CVE-2026-81963, CVE-2019-1068, CVE-2026-33824, CVE-2026-55040, CVE-2026-68820 e CVE-2026-50522 per questi fornitori.

I payload spaziano dalla sorveglianza del browser a ShadowPad

La catena BlueMoon di APT31 scarica un loader che installa una Chrome extension malevola presentata come Google Gemini. Il loader utilizza il bypass dell’integrità delle estensioni GhostChrome-X per distribuire GemStone, una backdoor per la sorveglianza del browser e il furto di credenziali, controllata tramite un canale command-and-control.

Gli altri cluster prediligono il DLL sideloading. UNK_LateNight installa ShadowPad, mentre UNK_DoubleCheck utilizza un componente Rust e il recupero scaglionato dei payload da Cloudflare R2. UNK_QuietRacket combina sideloading, esecuzione .NET in memoria e persistenza tramite attività pianificate.

Anche BlueMoon è comparso in diverse varianti. Gli operatori hanno rimosso i commenti nel codice sorgente, offuscato i componenti, aggiunto controlli sul sistema operativo, modificato landing page e redirect e ampliato la raccolta di telemetria. La sequenza di base rimane invariata: sfruttamento del renderer, evasione della sandbox ed escalation dei privilegi in Windows.

Lo spear-phishing è il punto d’ingresso comune. Le vittime ricevono link che conducono a pagine controllate dall’attaccante e che forniscono silenziosamente la catena di exploit JavaScript; perciò lo sfruttamento richiede comunque che il destinatario apra la pagina malevola.

Lo sviluppo assistito dall’AI è plausibile, ma non confermato

I ricercatori hanno trovato un’estesa attività di logging, commenti nel codice sorgente insolitamente prolissi e riferimenti ripetuti alla challenge v8CTF di Google negli artefatti associati. Queste caratteristiche hanno portato a ritenere possibile l’impiego di strumenti di AI generativa nello sviluppo di BlueMoon.

La conclusione non è confermata. Gli sviluppatori potrebbero aver lavorato su materiale associato alla challenge incentrata su V8, aver utilizzato un sistema di AI per generare o perfezionare il codice oppure aver inserito riferimenti con l’obiettivo di aggirare i guardrail dei modelli.

L’aspetto più rilevante riguarda le modalità operative: quattro cluster distinti hanno ottenuto nel giro di pochi giorni una catena di exploit multi-stage funzionante. Le catene di exploit per browser armate sono state tradizionalmente costose e gelosamente custodite, perché richiedono sia un exploit del renderer sia un’evasione affidabile della sandbox.

L’analisi assistita dall’AI potrebbe abbassare questa barriera, soprattutto nei progetti open source in cui le patch di sicurezza diventano visibili upstream prima di arrivare ai prodotti downstream stabili. Le patch pubbliche, tuttavia, non dimostrano da sole il coinvolgimento dell’AI.

La distribuzione delle patch deve essere seguita dal triage forense

Le organizzazioni dovrebbero aggiornare Chrome almeno alla versione 152.0.7977.82 e V8 almeno alla versione 15.3.48. Gli amministratori devono inoltre portare i sistemi Windows interessati alla build corretta prevista.

Poiché entrambe le vulnerabilità assegnate sono presenti nel catalogo KEV, devono essere trattate come priorità di fronte a uno sfruttamento attivo. CISA impone alle agenzie interessate di applicare le mitigazioni dei fornitori previste dalla BOD 26-04, rispettare i requisiti di triage forense, valutare l’esposizione a Internet e dismettere i prodotti interessati se non è disponibile alcuna mitigazione.

Un aggiornamento del browser impedisce l’exploit iniziale, ma non rimuove il malware o la persistenza già installati. Gli investigatori dovrebbero cercare questa catena di processi:

chrome.exe -> cmd.exe -> curl.exe -> msgbox.exe

Tra gli ulteriori indicatori figurano:

• %TEMP%\ChromeUpdate.exe
• %TEMP%\msgbox.exe
• C:\Users\Public\stomp_ext
• Mutex Dataupcheckinfo
• Attività pianificate EdgeCore_AutoUpdate, MicrosoftEdgeUpdatesTaskMachine, Avpcheckup e GeForceService
• Chiave di registro HKCU\SOFTWARE\Classes\CLSID\{5D4CFCB7-222C-4CA3-96B6-1F8195FBBB4B}\InprocServer32

I team di sicurezza dovrebbero inoltre verificare la presenza di Chrome extension non autorizzate, attività di DLL sideloading, recuperi da Cloudflare Workers o R2, esecuzione .NET in memoria ed eventuali tracce di GemStone o ShadowPad. Le regole di rilevamento dalla 2071919 alla 2071924 coprono il loader JavaScript e il traffico command-and-control di BlueMoon.

Le patch chiudono le vulnerabilità esposte. Non concludono però la risposta all’incidente.