A partire dalla fine di agosto e tutto il mese di settembre 2026, Proofpoint, azienda specializzata in cybersecurity e protezione delle comunicazioni aziendali, con particolare focus su email security, phishing e minacce informatiche, ha identificato diversi attori di minaccia con finalità di spionaggio che hanno adottato rapidamente il kit exploit BlueMoon in campagne mirate di spearphishing. Numerose caratteristiche di questa attività sono coerenti con una capacità adottata e distribuita in modo opportunistico prima di una patch prevista. Sebbene la catena sfruttasse vulnerabilità presenti nelle ultime versioni stabili di Chrome e dei browser basati su Chromium (come Microsoft Edge), è stata abbinata a una vulnerabilità LPE (Local Privilege Escalation) di Windows presente solo nelle build più datate del sistema operativo. Questo abbinamento restringe in modo sostanziale il bacino di obiettivi potenziali e riduce la probabilità complessiva di successo della catena. Se si considera anche la rapida adozione della capacità da parte di diversi attori di minacce nell’arco di un breve periodo, ciò indica probabilmente una distribuzione affrettata invece di un’operazione matura e pianificata da tempo. Inoltre, in tutti i casi osservati, l’infrastruttura utilizzata per la consegna degli exploit è stata creata lo stesso giorno delle campagne associate o nei giorni immediatamente precedenti.
Sebbene nessun singolo artefatto confermi in modo conclusivo uno sviluppo di BlueMoon assistito dall’AI, Proofpoint ha identificato diversi indicatori coerenti con questa ipotesi, tra cui estese funzionalità di logging, un documento di passaggio consegne in formato markdown citato nel codice e commenti dettagliati che provano successive iterazioni di debugging e decisioni di implementazione. Inoltre, la configurazione predefinita della catena di exploit riflette uno scostamento dal livello di sicurezza operativa e di competenza tecnica tipicamente associato alle catene di exploit per browser. Ad esempio, per impostazione predefinita, un attacco riuscito comporta semplicemente un comando curl che scarica un eseguibile fornito dall’attore sul disco e lo esegue
L’exploit kit BlueMoon prende di mira il browser Chrome e Microsoft Windows
L’exploit kit BlueMoon concatena due vulnerabilità che colpiscono Chrome e i browser basati su Chromium – nello specifico una vulnerabilità di esecuzione di codice da remoto (RCE) nel motore V8 (CVE-2026-85046) e un’elusione dalla sandbox di V8 – con una vulnerabilità LPE del kernel di Windows. A seguito degli exploit di Chrome, il kit utilizza una DLL caricata in modo riflessivo per effettuare il fingerprinting dell’host Windows, informazioni che il JavaScript dell’exploit kit utilizza per decidere se tentare l’exploit LPE. Una seconda DLL caricata in modo riflessivo esegue l’exploit LPE per elevare il processo renderer. Con tali privilegi aggiuntivi, uno shellcode iniettore separato inietta uno stub CreateProcess nel processo broker padre di Chrome, eseguendo un comando specificato dall’operatore. Il comando predefinito scarica un eseguibile ospitato da remoto tramite un comando curl e lo esegue.
Il significato e le possibili implicazioni future
Una catena di exploit per Chrome completamente weaponized è storicamente una capacità rara e di alto valore. BlueMoon è stato sviluppato, distribuito rapidamente e condiviso tra diversi attori di minaccia nel giro di pochi giorni, con modalità che presentavano elevati segnali di rilevamento. Ciò potrebbe riflettere una riduzione dei costi e delle barriere all’ingresso per questa classe di capacità, dato che gli agenti AI consentono sempre più agli attori di minaccia lo sviluppo di exploit. Questo è particolarmente rilevante per i codebase open source, come Chromium, dove le patch upstream sono accessibili pubblicamente prima che i consumatori downstream del codebase le applichino. Ciò crea una finestra temporale in cui gli attori di minaccia possono tentare di effettuare rapidamente il reverse engineering delle patch e sviluppare exploit prima dei rilasci stabili downstream.
Come osservato, la maggior parte dell’utilizzo di BlueMoon è parso legato a un’attività finalizzato allo spionaggio e allineata con la Cina, sebbene al momento non vi siano prove sufficienti per attribuirne l’uso esclusivamente ad attori di minaccia allineati a questo paese. Una comparabile e rapida proliferazione di capacità di exploit tra molteplici attori di minaccia allineati alla Cina nella fase precedente alle patch previste è stata osservata in diverse occasioni precedenti, comprese le attività che hanno preso di mira Microsoft Exchange e SharePoint.
Proofpoint valuta che BlueMoon probabilmente prolifererà ulteriormente e verrà adottato da attori spinti sia da motivazioni di spionaggio che finanziarie. La dinamica più ampia rivelata da questa attività – lo sviluppo rapido di exploit che sfrutta il “patch-gap” dell’open source – è destinata verosimilmente a ripresentarsi oltre BlueMoon, man mano che questo modello di sviluppo diventerà accessibile a una gamma più ampia di malintenzionati.
