Le nouveau kit Blue Moon ciblant Chrome et Windows reflète la nouvelle réalité des exploits basés sur l’IA

Au moins quatre groupes d’espionnage, la plupart soupçonnés d’avoir des liens avec la Chine, utilisent un nouveau kit d’exploitation qui enchaîne deux failles de navigateur basées sur Chromium et un bug de Microsoft Windows pour s’introduire dans les réseaux d’organisations aux États-Unis et en Asie du Sud-Est.

Mark Kelly, chercheur en menaces au sein du magasin de sécurité de messagerie Proofpoint, a déclaré Le registre que les chercheurs ne savent pas exactement qui a été visé, ni comment, et que les dégâts semblent pour l’instant limités. « En termes d’organisations ciblées, nous avons vu moins de 20 organisations ciblées dans le monde pour l’activité mise en évidence », a-t-il déclaré. « Cependant, le chiffre réel est presque certainement plus élevé que cela. »

Les chasseurs de menaces de Proofpoint ont repéré le nouveau kit, qu’ils ont baptisé BlueMoon, et ont déclaré que sa première utilisation observée avait commencé le 28 août. C’est à ce moment-là qu’un équipage soutenu par Pékin qu’ils suivent sous le nom de TA412, également connu sous le nom de Violet Typhoon et APT31, a utilisé BlueMoon pour cibler « à plusieurs reprises » des organisations non gouvernementales (ONG), des sociétés minières et des sociétés de négoce de matières premières physiques aux États-Unis.

TA412 est un groupe de cyberespionnage lié par les autorités américaines au ministère chinois de la Sécurité d’État (MSS). Les procureurs américains ont déjà inculpé sept membres présumés de complot en vue de commettre des intrusions informatiques et des fraudes électroniques, alléguant qu’ils s’étaient introduits dans des réseaux informatiques, des comptes de messagerie et des stockages cloud appartenant à de nombreuses organisations d’infrastructures critiques, entreprises et particuliers.

Quelques jours seulement après que Proofpoint ait documenté l’activité de fin août, « plusieurs autres clusters motivés par l’espionnage ont commencé à utiliser BlueMoon, dont la majorité ont un lien présumé avec la Chine », ont déclaré mercredi Kelly et ses collègues chercheurs Greg Lesnewich, Konstantin Klinger, Saher Naumaan, Julia Paluch, David Galazin et Stuart Del Caliz, notant qu’il pourrait y avoir d’autres attaquants non liés à la Chine utilisant également le kit d’exploit.

« BlueMoon a été développé et déployé rapidement, et partagé entre plusieurs acteurs de la menace en quelques jours », a déclaré Kelly. Le registre. « Cela peut refléter une réduction des coûts et une barrière à l’entrée pour cette classe de fonctionnalités, qui a toujours été rare et de grande valeur, car les agents d’IA permettent de plus en plus le développement d’exploits par les acteurs malveillants. Cela est particulièrement vrai pour les bases de code open source telles que Chromium, où les correctifs en amont accessibles au public créent une fenêtre de « patch-gap » pour une ingénierie inverse rapide et le développement d’exploits avant les versions stables en aval. « 

Un porte-parole de Google a refusé de commenter au-delà de ce qu’a écrit Proofpoint. Microsoft a corrigé le bug Windows (CVE-2026-85880) mardi et un porte-parole a réitéré que les clients qui ont appliqué ce correctif sont protégés.

Chaîne d’attaque BlueMoon

Le kit enchaîne trois vulnérabilités.

La première est une faille de confusion de type V8 (CVE-2026-85046) qui permet l’exécution de code à distance et affecte tous les navigateurs basés sur Chromium, notamment Google Chrome et Microsoft Edge. Google a corrigé ce bug dans Chrome le 3 septembre et avait alors averti qu’il « était conscient qu’un exploit pour CVE-2026-85046 existait dans la nature ». Microsoft a publié un avis de sécurité indiquant avoir corrigé la faille dans Edge Stable version 152.0.4191.62 le 2 septembre.

La seconde est une évasion de bac à sable Chrome V8. Celui-ci a également affecté tous les navigateurs basés sur Chromium. Il n’a pas de CVE car Google ne les émet pas pour les évasions de bac à sable.

Enfin, le troisième bug est une vulnérabilité d’élévation de privilèges dans l’appel de procédure locale avancée de Windows (CVE-2026-85880) que Microsoft a corrigé mardi, comme indiqué ci-dessus. Redmond a également prévenu que cette faille avait été exploitée comme un jour zéro avant la mise à jour de sécurité.

Les chercheurs de Proofpoint notent également que les deux vulnérabilités V8 sont ce qu’on appelle des « patch-gap » zero-day au moment de l’activité observée. Cela signifie qu’ils étaient connus et corrigés dans le code source de Chromium en amont – une modification contenant le correctif pour CVE-2026-85046 a été validée le 7 août. Mais ils sont restés non corrigés dans les dernières versions stables de Chrome et des navigateurs basés sur Chromium disponibles au public pendant des semaines.

« Il est probable que le développeur du kit d’exploitation ait utilisé ces correctifs Chromium accessibles au public pour militariser la chaîne d’exploitation du navigateur », notent les chercheurs.

Du phishing à la surveillance du navigateur

Les attaques commencent par un e-mail de phishing qui incite les victimes à cliquer sur une URL contrôlée par un acteur. Cela déclenche les deux bugs V8 pour permettre l’exécution de code à distance et échapper au bac à sable du navigateur. La chaîne d’attaque exploite ensuite le bogue Windows pour télécharger plusieurs charges utiles, notamment des logiciels malveillants de surveillance du navigateur, des portes dérobées de vol d’informations d’identification, etc., en fonction du groupe utilisant le kit d’exploitation.

La première campagne du TA412, qui a débuté le 28 août, a utilisé une gamme de leurres. Certains des e-mails étaient censés provenir d’étudiants universitaires intéressés par des stages dans les organisations ciblées, et d’autres étaient des échanges plus spécifiques à une cible, destinés à établir la confiance avec l’individu avant d’envoyer un lien malveillant par e-mail.

Dans ces cas, la chaîne d’exploitation « a finalement téléchargé et exécuté un exécutable de chargement sur l’hôte infecté, qui a ensuite installé une extension de navigateur malveillante déguisée en Google Gemini sur le navigateur basé sur Chromium de la victime », a écrit l’équipe.

Cette extension de navigateur, que Proofpoint suit sous le nom de GemStone, a permis aux espions de Pékin d’émettre des commandes via un canal de commande et de contrôle (C&C), de voler des cookies et d’autres données sensibles, de prendre des captures d’écran et d’injecter un enregistreur de frappe dans un onglet du navigateur. Le malware contient également un moniteur de mots-clés, qui injecte une liste de mots-clés spécifiés par l’attaquant dans le cadre supérieur de chaque page, analyse le corps HTML à la recherche de ces mots-clés et déclenche une capture d’écran s’il en trouve.

Quelques jours plus tard, à partir du 2 septembre, une deuxième équipe d’espionnage alignée sur la Chine et suivie par Proofpoint sous la désignation de groupe temporaire UNK_LateNight a utilisé BlueMoon pour cibler plusieurs sociétés aérospatiales américaines.

Les courriels de phishing utilisaient des leurres de demande de devis spécifiques aux organisations de l’industrie de la défense et incluaient des liens vers des domaines contrôlés par des attaquants usurpant diverses sociétés aérospatiales américaines. Ces sites Web ont également servi le kit d’exploitation BlueMoon et ont finalement chargé une porte dérobée appelée ShadowPad, qui a été partagée entre plusieurs groupes alignés sur la Chine depuis 2019.

À peu près à la même époque, le 2 septembre, un autre groupe d’espionnage présumé, suivi par Proofpoint sous le nom d’UNK_DoubleCheck, a ciblé une entreprise manufacturière vietnamienne avec des messages envoyés à partir d’une adresse e-mail compromise du gouvernement d’Asie du Sud-Est.

La quatrième campagne a débuté un jour plus tard et impliquait l’équipe d’espionnage présumée liée à la Chine, UNK_QuietRacket, utilisant BlueMoon pour cibler des organisations gouvernementales, de conseil et du secteur financier en Indonésie et à Singapour. Ces e-mails de phishing utilisaient des leurres liés à des conférences indonésiennes, telles que l’Indo Startup Expo and Forum 2026 et la Conférence mondiale sur l’économie créative (WCCE 2026).

Proofpoint prévient que BlueMoon sera probablement utilisé à la fois par des cyberespions et par des attaquants motivés par des raisons financières.

« La dynamique plus large révélée par cette activité – le développement rapide d’exploits qui exploitent le patch-gap open source – est susceptible de se reproduire au-delà de BlueMoon à mesure que ce modèle de développement devient accessible », a écrit l’équipe. ®