A Proofpoint identificou pelo menos quatro grupos de espionagem usando o BlueMoon, uma cadeia de exploração que combina duas vulnerabilidades do Chromium/V8 com uma falha de escalada de privilégios no kernel do Windows. O ataque começa com uma mensagem de spear-phishing e um link controlado pelos invasores; depois, pode escapar do sandbox do navegador, elevar privilégios no sistema e instalar um payload.
O caso chama atenção pela velocidade. A primeira atividade observada começou em 28 de agosto de 2026, e outros grupos reutilizaram a mesma cadeia nos dias seguintes. A atribuição predominante foi avaliada como alinhada à China, mas não abrange todos os envolvidos. Também há sinais compatíveis com desenvolvimento assistido por IA — não uma prova de que a IA tenha criado o kit.
Como funciona a cadeia BlueMoon
A Proofpoint usa o nome BlueMoon para a cadeia que reúne três falhas em sequência:
- CVE-2026-85046: uma vulnerabilidade de confusão de tipos no V8, capaz de permitir execução de código no processo de renderização;
- CVE-2026-87491: a etapa de escape do sandbox do V8, envolvendo metadados corrompidos do WebAssembly;
- CVE-2026-85880: uma falha de escalada local de privilégios no kernel do Windows, baseada em ALPC e WNF.
Na prática, o navegador é a porta de entrada. Um link direciona a vítima para uma página controlada pelos invasores, que explora o V8 e tenta sair do isolamento do processo. A terceira etapa busca obter privilégios mais altos no Windows. A partir daí, a cadeia pode executar um comando escolhido pelo operador; o comportamento padrão documentado baixa e executa um arquivo.
O escopo não se limita ao Chrome. A parte do navegador afeta navegadores baseados em Chromium, incluindo o Microsoft Edge. Já a cadeia completa depende também de uma versão vulnerável do Windows. A escalada foi observada nos builds 17763, 19041 a 19045, 20348 e 22000, correspondentes a versões mais antigas do Windows 10, do Windows Server e da primeira versão do Windows 11.
A sequência visualiza uma distinção importante: explorar o navegador não é o mesmo que obter controle amplo do sistema. O escape do sandbox e a escalada no Windows são etapas separadas, e o payload só aparece depois delas. O fluxograma representa a cadeia descrita pela Proofpoint, não uma tela de infecção ao vivo.
A janela de 27 dias do Chromium
O ponto mais revelador está no intervalo entre a correção disponibilizada no código-fonte e sua chegada ao navegador estável. Segundo a Proofpoint, a mudança upstream que corrigia a CVE-2026-85046 foi registrada em 7 de agosto de 2026. A distribuição da correção no Chromium estável ocorreu em 3 de setembro de 2026.
São 27 dias entre as duas datas. Esse intervalo não significa que todos os usuários tenham ficado expostos da mesma maneira, nem estabelece sozinho quantos ataques ocorreram. Ele mostra, porém, por que uma correção pública antes da atualização estável pode criar uma oportunidade para invasores estudarem a mudança e tentarem desenvolver uma exploração antes que ela chegue a todos os navegadores.
A Proofpoint descreveu o problema assim, em tradução: “Isso cria uma janela para que os invasores tentem fazer engenharia reversa rápida dos patches e desenvolver explorações antes das versões estáveis posteriores”. É uma dinâmica conhecida na segurança, mas a reutilização rápida por grupos diferentes torna o caso especialmente relevante.
Quatro grupos, alvos diferentes
A mesma cadeia apareceu em campanhas com alvos e cargas diferentes. A tabela compara apenas o que foi observado em cada grupo; ela não representa uma lista completa de vítimas.
| Grupo | Início e alvo observado | Payload ou persistência observada |
| TA412 | 28 de agosto de 2026; organizações não governamentais dos Estados Unidos, empresas de mineração e organizações de comércio de commodities físicas | GemStone, uma extensão maliciosa do Chromium que se passava pelo Google Gemini |
| UNK_LateNight | 2 de setembro de 2026; várias empresas aeroespaciais dos Estados Unidos | ShadowPad entregue por carregamento lateral de DLL; tarefa agendada EdgeCore_AutoUpdate |
| UNK_DoubleCheck | 2 de setembro de 2026; uma entidade industrial do Vietnã | Um carregador em Rust e uma segunda cadeia de carregamento lateral de DLL |
| UNK_QuietRacket | 3 de setembro de 2026; organizações governamentais, de consultoria e financeiras na Indonésia e em Singapura | Payload .NET carregado em memória; persistência por tarefa agendada GeForceService |
A maior parte da atividade observada foi avaliada como alinhada à China. TA412 também é associado, no relatório, a nomes como APT31 e Violet Typhoon. UNK_LateNight recebeu a mesma avaliação de alinhamento, enquanto UNK_QuietRacket foi classificado como suspeito de alinhamento. UNK_DoubleCheck não foi atribuído a um país específico. Portanto, “China” descreve uma avaliação sobre a maioria da atividade observada, não uma atribuição universal do BlueMoon.
China e IA exigem cautela
A atribuição geopolítica ainda precisa ser lida com a modalidade correta: trata-se de uma avaliação de inteligência sobre os grupos observados, não de uma conclusão que transforme todos os usuários do kit em um único ator.
O mesmo vale para a IA. A Proofpoint encontrou comentários extensos no código, registros detalhados e uma referência de transferência em Markdown compatíveis com desenvolvimento assistido por IA. Isso sugere uma hipótese plausível, mas não prova que um sistema de IA tenha criado o BlueMoon, muito menos que tenha operado a cadeia de forma autônoma.
A demonstração atribuída ao CyberKimi, discutida em comunidades de segurança, também não estabelece essa ligação. O material não foi relacionado de forma independente às vulnerabilidades do BlueMoon. O dado realmente sólido é mais sóbrio — e talvez mais importante: ferramentas de IA podem reduzir o custo ou acelerar partes do trabalho, enquanto a autoria específica do kit continua sem comprovação conclusiva.
Atualizar não é o mesmo que limpar
Atualizar o navegador fecha a rota de entrada pelo navegador, mas não remove automaticamente o que já tiver sido instalado em um computador Windows. Entre os vestígios documentados estão extensões, arquivos, tarefas agendadas, persistência no Registro e outros artefatos.
Para uma equipe de defesa, a resposta precisa combinar atualização com busca no endpoint. A cadeia de processos considerada suspeita inclui:
chrome.exe → cmd.exe → curl.exe → msgbox.exe
Também merecem investigação, sempre dentro do contexto do ambiente, tarefas ou arquivos com nomes como EdgeCore_AutoUpdate, MicrosoftEdgeUpdatesTaskMachine, GeForceService, ChromeUpdate.exe e msgbox.exe. Esses nomes são indicadores das campanhas observadas, não uma prova de atividade maliciosa em qualquer computador onde apareçam.
A Proofpoint ainda documentou seis assinaturas de detecção, numeradas de 2071919 a 2071924, voltadas ao carregador JavaScript e ao comportamento de beacon de comando e controle. Para organizações afetadas por uma campanha direcionada, o ponto prático é simples: navegador e Windows precisam ser tratados como partes da mesma investigação, e não como dois problemas independentes.
A distribuição continua sem resposta
A velocidade de adoção é o aspecto que muda a leitura do caso. O BlueMoon não apareceu apenas como uma exploração isolada: pelo menos quatro grupos empregaram a mesma cadeia em alvos diferentes, com payloads e mecanismos de persistência próprios, em um intervalo de poucos dias.
Ainda não está claro como grupos distintos obtiveram acesso ao kit. Essa incógnita importa porque define se o caso foi uma colaboração restrita, uma redistribuição do código ou um modelo de oferta mais amplo — possibilidades diferentes, com consequências diferentes para a próxima onda de ataques.
Para quem administra ambientes Windows com navegadores Chromium, a consequência imediata é concreta: manter navegador e sistema atualizados bloqueia a porta de entrada conhecida, mas a proteção não termina no botão “reiniciar para atualizar”. Se houve uma tentativa de exploração, é preciso procurar o que pode ter permanecido no computador depois dela.
