Proofpoint a identifié au moins quatre groupes d’espionnage utilisant BlueMoon entre le 28 août et septembre 2026. Cette chaîne d’exploitation part d’un lien d’hameçonnage, compromet le moteur V8 d’un navigateur Chromium, sort du bac à sable du navigateur puis exploite une faille du noyau Windows pour installer une charge utile. Sa particularité la plus préoccupante est sa réutilisation rapide par plusieurs groupes, dans une fenêtre où un correctif Chromium existait déjà en amont sans être encore arrivé dans la version stable.
La chaîne BlueMoon, du navigateur à Windows
BlueMoon est le nom donné par Proofpoint à une chaîne qui combine trois vulnérabilités : deux dans Chromium/V8 et une dans le noyau Windows. La première, CVE-2026-85046, est une confusion de types dans V8 qui permet une exécution de code côté moteur de rendu. La chaîne enchaîne ensuite une évasion du bac à sable V8, puis CVE-2026-85880, une élévation de privilèges locale du noyau Windows reposant sur ALPC et WNF.
En clair, le lien piégé n’est que la première marche. L’attaque cherche d’abord à exécuter du code dans le navigateur, puis à franchir la séparation censée contenir ce code. La dernière étape permet d’obtenir davantage de privilèges sur certaines anciennes versions de Windows avant de lancer du shellcode et de télécharger une charge utile.
Le volet navigateur ne concerne pas uniquement Google Chrome : il touche les navigateurs fondés sur Chromium, notamment Microsoft Edge. Pour que la chaîne complète fonctionne, l’environnement doit aussi correspondre aux versions de Windows visées par le composant d’élévation de privilèges : Windows 10 1809 à 22H2, Windows Server 2019, Windows Server 2022 et la première version de Windows 11, build 22000. Les builds concernés mentionnés dans l’analyse sont 17763, 19041 à 19045, 20348 et 22000.
Le schéma montre aussi les branches menant vers GemStone, ShadowPad, un chargeur Rust et une charge utile .NET. Il décrit la chaîne rapportée ; il ne montre ni une session d’exploitation en direct ni un poste effectivement infecté.
La fenêtre de 27 jours
Le calendrier explique pourquoi BlueMoon a pu circuler si vite. Pour CVE-2026-85046, le correctif a été intégré au Chromium amont le 7 août 2026, mais son déploiement dans Chromium stable est daté du 3 septembre 2026. L’écart entre ces deux dates est de 27 jours.
Ce décalage ne signifie pas que tous les utilisateurs étaient vulnérables de la même manière pendant toute cette période. Il montre plutôt le risque créé lorsqu’une correction devient publique dans le projet amont avant d’être disponible dans une version stable largement distribuée : des attaquants peuvent tenter d’analyser le changement et de préparer une exploitation avant le déploiement en aval.
Proofpoint résume l’enjeu ainsi, en traduction : une chaîne Chrome entièrement militarisée était historiquement une capacité rare et recherchée, tandis que BlueMoon a été développée, déployée et partagée entre plusieurs acteurs en quelques jours. C’est cette vitesse de circulation, plus encore que le simple nombre de vulnérabilités, qui donne à l’affaire sa portée.
Quatre groupes et quatre usages
Les campagnes observées ne visaient pas toutes les mêmes secteurs et n’ont pas livré les mêmes charges utiles. Les dates ci-dessous correspondent au début observé pour chaque activité, pas à la date de publication de l’analyse.
| Groupe | Début observé | Cible | Charge utile ou persistance observée | Contexte d’attribution |
| TA412 | 28 août 2026 | ONG américaines, entreprises minières et organisations de négoce de matières premières | GemStone, une extension Chromium malveillante déguisée en compagnon de navigation Google Gemini | Activité évaluée comme alignée sur la Chine ; également connue sous les noms APT31, Violet Typhoon, JungleBamboo et TIDE CASTLE |
| UNK_LateNight | 2 septembre 2026 | Plusieurs entreprises américaines du secteur aérospatial | ShadowPad via chargement latéral de DLL ; tâche planifiée EdgeCore_AutoUpdate | Activité évaluée comme alignée sur la Chine |
| UNK_DoubleCheck | 2 septembre 2026 | Une entité industrielle vietnamienne | Chargeur Rust et seconde chaîne de chargement latéral de DLL | Groupe motivé par l’espionnage, sans attribution à un pays précis |
| UNK_QuietRacket | 3 septembre 2026 | Organisations gouvernementales, de conseil et financières en Indonésie et à Singapour | Charge utile .NET chargée en mémoire ; tâche planifiée GeForceService | Activité soupçonnée d’être alignée sur la Chine |
La majorité de l’activité observée a été évaluée comme liée à un réseau chinois, mais cette appréciation ne vaut pas attribution universelle. Le cas d’UNK_DoubleCheck reste notamment sans pays associé. Le mécanisme par lequel plusieurs acteurs distincts ont obtenu le même kit n’est pas établi.
Attribution chinoise et IA : ce qui reste nuancé
L’hypothèse d’un lien chinois concerne une évaluation de renseignement sur les menaces, pas une conclusion judiciaire applicable à chaque utilisateur de BlueMoon. Il faut donc distinguer les groupes, les campagnes et le niveau d’attribution au lieu de transformer une tendance majoritaire en certitude générale.
La question de l’intelligence artificielle appelle la même prudence. L’analyse relève des éléments compatibles avec un développement assisté par IA, notamment dans la structure et la documentation du code, mais aucun élément isolé ne prouve que l’IA a créé BlueMoon. Une démonstration distincte évoquée dans des discussions en ligne n’est pas reliée de manière établie à cette chaîne et ne change pas cette conclusion.
Le point important est ailleurs : même sans attribuer la création du kit à une IA, la réduction du temps nécessaire pour passer d’un correctif public à une exploitation opérationnelle pourrait accélérer la réutilisation de failles complexes. C’est une analyse du risque, pas une preuve sur l’origine de BlueMoon.
Corriger ne suffit pas à nettoyer un système
Mettre à jour Chrome ou un autre navigateur Chromium ferme la voie d’entrée liée au navigateur. Cela ne supprime pas, à lui seul, une charge utile ou une persistance déjà installée sur un poste Windows.
Pour une organisation potentiellement exposée, la mise à jour doit donc s’accompagner d’une recherche sur les éléments laissés par les campagnes observées : extensions de navigateur, tâches planifiées, fichiers déposés, persistance dans le registre et autres artefacts de compromission. Parmi les indices documentés figurent notamment :
- la chaîne de processus chrome.exe → cmd.exe → curl.exe → msgbox.exe ;
- les tâches planifiées EdgeCore_AutoUpdate, MicrosoftEdgeUpdatesTaskMachine et GeForceService ;
- les noms Avpcheckup, Dataupcheckinfo, ChromeUpdate.exe et msgbox.exe ;
- des fichiers déposés dans %TEMP% ;
- six signatures de détection numérotées de 2071919 à 2071924.
Ces éléments servent au threat hunting : la présence d’un nom ou d’un fichier pris isolément ne suffit pas à démontrer une infection. Leur intérêt vient du contexte, des relations entre processus et des autres traces présentes sur le poste.
Une diffusion encore inexpliquée
BlueMoon montre qu’une chaîne complexe peut passer rapidement d’une campagne à une autre : quatre groupes observés, des secteurs différents et des charges utiles distinctes, mais un même enchaînement navigateur–Windows.
L’inconnue la plus structurante reste l’accès au kit. Si plusieurs acteurs ont reçu exactement la même capacité, la question n’est pas seulement de savoir quelle faille corriger, mais aussi comment cette capacité circule entre opérateurs. Pour les défenseurs, la conséquence est concrète : corriger le navigateur et Windows est indispensable, mais il faut également rechercher ce qui aurait pu être installé avant la mise à jour. C’est là que BlueMoon cesse d’être une simple liste de CVE et devient un problème de réponse à incident.
