Secondo quanto riferito, l’Exploit Kit BlueMoon combina zero-day di Chrome e Windows

I ricercatori di sicurezza di Proofpoint riferiscono che diversi gruppi di minacce sospettati di concentrarsi sullo spionaggio hanno iniziato a utilizzare un nuovo exploit kit denominato BlueMoon, che combina vulnerabilità divulgate di recente in Google Chrome e Microsoft Windows.

Secondo l’azienda, il kit è apparso per la prima volta il 28 agosto in attacchi attribuiti a Violet Typhoon, un gruppo collegato alla Cina noto anche come APT31. Altri cluster ritenuti legati ad attività di spionaggio cinese avrebbero adottato lo strumento nel giro di pochi giorni. Proofpoint ha dichiarato di non aver determinato in che modo i vari gruppi abbiano ottenuto il kit e ha avvertito che potrebbero utilizzarlo anche altri attori mossi da finalità finanziarie o allineati a Stati.

La catena di exploit prende di mira falle del browser e del sistema operativo

Secondo quanto riportato, BlueMoon utilizza due zero-day di Chrome, tracciati come CVE-2026-85046 e CVE-2026-87491, che interessano il motore JavaScript e WebAssembly V8. Google ha corretto le falle negli aggiornamenti rilasciati il 3 e l’8 settembre. La catena include anche CVE-2026-85880, una vulnerabilità di escalation dei privilegi di Windows Advanced Local Procedure Call corretta da Microsoft negli aggiornamenti di sicurezza di settembre.

Proofpoint ha dichiarato che le vulnerabilità di Chrome vengono utilizzate per aggirare le protezioni del browser prima che il kit raccolga informazioni sul dispositivo e tenti l’escalation su Windows. L’attività inietta quindi un componente per la creazione di processi nel processo broker di Chrome, scarica un eseguibile tramite un comando curl e lo esegue.

I bersagli includono diversi settori e regioni

L’attività iniziale attribuita a Violet Typhoon avrebbe preso di mira organizzazioni non governative con sede negli Stati Uniti, società minerarie e aziende di commercio di materie prime fisiche. Un cluster separato, identificato come UNK_LateNight, è stato osservato mentre prendeva di mira organizzazioni aerospaziali statunitensi a partire dal 2 settembre. Altri bersagli segnalati includevano un’organizzazione manifatturiera vietnamita e soggetti dei settori governativo, della consulenza e finanziario in Indonesia e Singapore.

I ricercatori hanno identificato più varianti del pacchetto BlueMoon, ma hanno affermato che tutte facevano affidamento sulla medesima sequenza di exploit e sullo stesso approccio di caricamento. Alcuni artefatti di sviluppo suggerivano che strumenti di intelligenza artificiale potessero aver contribuito alla creazione del kit, sebbene Proofpoint abbia dichiarato che le prove non erano conclusive.

Le organizzazioni dovrebbero applicare gli attuali aggiornamenti di sicurezza di Chrome e Windows, monitorare l’attività dei processi correlati al browser e analizzare download o esecuzioni inattesi dalla riga di comando provenienti da processi Chrome.