Proofpoint ha identificato almeno quattro gruppi di minacce che hanno usato BlueMoon tra il 28 agosto e il 3 settembre 2026. Il kit combina due vulnerabilità di Chromium/V8 con una falla del kernel di Windows: la catena parte da un messaggio di spear-phishing, supera le protezioni del browser e può arrivare all’esecuzione di payload sul sistema operativo. Non è quindi un problema confinato a Chrome, anche se il browser è il punto d’ingresso.
Il nome BlueMoon indica il kit di exploit assegnato da Proofpoint a questa catena. L’attività osservata è stata valutata in maggioranza come riconducibile ad attori allineati alla Cina, ma non tutti i gruppi sono stati associati a un Paese specifico. Anche l’ipotesi di uno sviluppo assistito dall’IA resta basata su indizi, non su una prova conclusiva.
Come funziona la catena BlueMoon
Il primo passaggio è il più familiare: un messaggio mirato conduce la vittima a un URL controllato dagli aggressori. Da lì, BlueMoon sfrutta CVE-2026-85046, una vulnerabilità di type confusion nel motore V8 che consente l’esecuzione di codice nel renderer. La seconda fase è descritta come un’evasione dal sandbox di V8, cioè il superamento dell’isolamento che dovrebbe impedire al codice della pagina di interagire liberamente con il resto del sistema.
La catena prosegue con CVE-2026-85880, una vulnerabilità di escalation locale dei privilegi nel kernel di Windows basata su ALPC e WNF. In pratica, l’attacco cerca di passare dal processo del browser a un livello con maggiori privilegi. Il payload può poi essere scaricato ed eseguito; il comportamento osservato include anche uno stadio di injection che esegue un comando scelto dall’operatore.
Il quadro vale per Chrome e per altri browser basati su Chromium, incluso Microsoft Edge. Per completare l’intera catena, però, devono coesistere un ambiente browser vulnerabile e una build di Windows interessata dalla componente kernel. Le build osservate nel rapporto comprendono Windows 10 1809 fino a 22H2, Windows Server 2019, Windows Server 2022 e la prima versione di Windows 11, build 22000.
Il diagramma di flusso documenta la sequenza riportata: e-mail, URL controllato dagli aggressori, esecuzione nel motore V8, evasione dal sandbox, escalation in Windows, shellcode e consegna del payload. Non mostra una sessione live di Chrome né un computer infetto: serve a spiegare i passaggi tecnici della catena.
La finestra di patch di 27 giorni
Per CVE-2026-85046, Proofpoint colloca la correzione nel progetto Chromium il 7 agosto 2026, mentre il rilascio nella versione stabile di Chromium è datato 3 settembre 2026. Tra i due eventi passano 27 giorni.
Questa differenza è importante perché una correzione disponibile upstream può offrire agli aggressori materiale utile per analizzare la vulnerabilità prima che la patch raggiunga tutti gli utenti delle versioni stabili. Il punto non è che ogni utente sia rimasto esposto per lo stesso periodo: browser, canali di rilascio e tempi di aggiornamento possono variare. La finestra descritta da Proofpoint riguarda precisamente CVE-2026-85046 e quelle due date.
L’attività osservata è iniziata il 28 agosto, prima del rilascio stabile del 3 settembre. I gruppi successivi sono comparsi nel giro di pochi giorni. È questa velocità di riutilizzo, più ancora della semplice esistenza della catena, a rendere BlueMoon un caso significativo.
Quattro gruppi, bersagli diversi
Le campagne documentate mostrano come la stessa catena sia stata adattata a obiettivi differenti. I payload non sono identici e nemmeno il livello di attribuzione è uniforme.
| Gruppo | Inizio osservato | Bersagli | Payload o persistenza osservati | Qualificazione dell’attribuzione |
| TA412 | 28 agosto 2026 | ONG statunitensi, società minerarie e organizzazioni che commerciano materie prime | GemStone, un’estensione Chromium malevola camuffata da compagno di navigazione per Google Gemini | Valutato come allineato alla Cina; associato anche ai nomi APT31, Violet Typhoon, JungleBamboo e TIDE CASTLE |
| UNK_LateNight | 2 settembre 2026 | Diverse società aerospaziali statunitensi | ShadowPad tramite DLL sideloading e attività pianificata denominata EdgeCore_AutoUpdate | Valutato come allineato alla Cina |
| UNK_DoubleCheck | 2 settembre 2026 | Un’entità manifatturiera vietnamita | Loader Rust e una seconda catena basata sul DLL sideloading | Motivazione di cyberspionaggio osservata, senza attribuzione a uno specifico Paese |
| UNK_QuietRacket | 3 settembre 2026 | Organizzazioni governative, società di consulenza e realtà finanziarie in Indonesia e Singapore | Payload .NET caricato in memoria e persistenza tramite attività pianificata denominata GeForceService | Sospettato di essere allineato alla Cina |
Il quadro non equivale a un conteggio globale delle vittime. Sono documentati i gruppi, i bersagli e i payload osservati, non il numero complessivo di sistemi compromessi.
Cina e IA: le cautele necessarie
La maggior parte dell’attività osservata è stata valutata come riconducibile ad attori allineati alla Cina, ma questo non significa che tutti gli utilizzatori di BlueMoon abbiano quella provenienza. UNK_DoubleCheck, per esempio, non è stato attribuito a uno specifico Paese. L’attribuzione resta quindi una valutazione d’intelligence, non una conclusione universale.
Anche la pista dell’IA va tenuta nella giusta casella. Il codice presenta elementi compatibili con uno sviluppo assistito dall’intelligenza artificiale, tra cui commenti estesi e riferimenti al passaggio di consegne. Proofpoint, però, non indica alcun singolo elemento capace di dimostrare che l’IA abbia creato BlueMoon o lo abbia armato autonomamente.
La distinzione è sostanziale: gli indizi riguardano un possibile contributo allo sviluppo, mentre non dimostrano né l’autonomia del sistema né il legame con una specifica dimostrazione pubblica. Il fatto tecnico più solido resta la rapidità con cui una catena complessa è stata riutilizzata da gruppi diversi.
Aggiornare non basta a ripulire un sistema
Installare l’aggiornamento del browser chiude la via d’accesso basata sulla vulnerabilità del browser, ma non rimuove automaticamente payload o persistenza già presenti su un computer Windows. Le attività di risposta devono quindi considerare anche estensioni, attività pianificate, file, chiavi di registro e altri artefatti lasciati dopo l’intrusione.
Tra gli elementi di rilevamento documentati figurano una catena di processi sospetta:
chrome.exe → cmd.exe → curl.exe → msgbox.exe
Sono stati inoltre indicati nomi come EdgeCore_AutoUpdate, MicrosoftEdgeUpdatesTaskMachine, Avpcheckup, GeForceService, Dataupcheckinfo, ChromeUpdate.exe e msgbox.exe, oltre a file depositati nella cartella %TEMP%. Un singolo nome non dimostra da solo un’attività malevola: questi elementi acquistano significato quando vengono analizzati insieme al contesto, ai processi avviati e agli altri segnali dell’endpoint.
Per le organizzazioni, la conseguenza pratica è semplice ma spesso trascurata: aggiornamento e ricerca di compromissione sono due attività diverse. La prima riduce la possibilità di un nuovo ingresso attraverso il browser; la seconda serve a capire se il sistema conserva già un payload o una forma di persistenza.
Come si è diffuso BlueMoon?
La modalità con cui gruppi distinti hanno ottenuto l’accesso allo stesso kit resta sconosciuta. È una lacuna importante perché la velocità di diffusione suggerisce che BlueMoon fosse facilmente riutilizzabile, ma non identifica il canale attraverso cui gli operatori lo hanno condiviso o acquisito.
La lezione per chi usa Chrome, Edge o un altro browser Chromium è concreta: mantenere aggiornati browser e Windows resta il primo passo, ma un aggiornamento non va confuso con la bonifica di un sistema già compromesso. Per chi difende reti aziendali, il vero campanello d’allarme è il passaggio rapido dal link mirato al browser, dal browser al kernel e dal kernel al payload. È lì che BlueMoon cambia scala: non una singola falla, ma una catena pronta a essere riutilizzata prima che la correzione raggiunga tutti.
