Une nouvelle trousse exploits nommés BlueMoon nous met en alerte : au moins quatre groupes de cyberespionnage l'utilisent déjà pour compromettre des ordinateurs à travers trois vulnérabilités enchaînées dans le moteur V8 des navigateurs Chromium et dans le noyau Windows. La chaîne est passée en quelques jours du statut de capacité exclusive d’un seul acteur étatique à un outil partagé entre plusieurs groupes.
Proofpoint a documenté l'escalade de cette menace depuis fin août 2026. Le dénominateur commun des quatre campagnes détectées n'est pas le secteur attaqué, mais la chaîne technique : le même kit, avec de petites variantes, qui profite du décalage entre la publication du patch en open source et son arrivée dans nos équipes.
TA412 mène des attaques sur Windows et Chrome
TA412, également connu sous le nom APT31 ou typhon violet et lié par la justice américaine au ministère chinois de la Sécurité d'État, a déployé BlueMoon pour la première fois le 28 août 2026. Il l'a fait au moyen d'e-mails de spear phishing déguisés en demandes de stage pour étudiants universitaires.
Une fois l'ordinateur infecté, il a installé GemStone, une extension malveillante qui imitait Google Gemini pour voler des cookies, capturer des écrans, injecter un keylogger et surveiller des mots-clés. entre les 2 et 3 septembre Trois autres groupes se sont joints à nous : UNK_LateNight a attaqué des entreprises aérospatiales américaines avec des e-mails imitant des citations du secteur de la défense et a livré la porte dérobée ShadowPad, active parmi les groupes chinois depuis 2019. UNK_DoubleCheck a utilisé un compte de messagerie compromis du gouvernement d'Asie du Sud-Est pour envoyer à une entreprise manufacturière vietnamienne un binaire Rust avec une DLL chargée. UNK_QuietRacket s'en est pris aux agences gouvernementales, aux sociétés de conseil et aux institutions financières en Indonésie et à Singapour avec des appâts concernant des conférences comme l'Indo Startup Expo et le WCCE 2026, et a déployé la persistance avec des tâches planifiées et une charge utile .NET en mémoire. Les chercheurs soulignent que le kit n'est plus exclusif aux acteurs chinois et que la portée réelle dépasse la vingt organisations observé.
Trois vulnérabilités : de Chrome au noyau Windows
Le kit empile trois failles pour transformer un simple clic en un ordinateur compromis : une vulnérabilité dans le moteur V8 de Chrome, une évasion de son bac à sable et une élévation de privilèges dans le noyau Windows. Nous expliquons chaque maillon de la chaîne.
CVE-2026-85046 Il s'agit d'une confusion de types dans la V8 qui permet l'exécution de code à distance dans Chrome, Edge et le reste des navigateurs Chromium, déjà corrigés par Google. Ceci est suivi d'une sortie du bac à sable V8, sans CVE propre attribué, nécessaire pour quitter l'isolement du navigateur lors de l'exécution initiale. Le troisième lien, CVE-2026-85880est un débordement de tampon dans le composant Windows Advanced Local Procedure Call (ALPC) qui élève les privilèges ; Microsoft l'a corrigé lors du Patch Tuesday de septembre 2026 et a confirmé qu'il était déjà exploité en tant que zero-day. Les versions concernées incluent Windows 10 (mise à jour d'octobre 2018), Windows 10 version 2004, Windows Server 2019, Windows Server 2022 et la version initiale de Windows 11.
CISA ajouté CVE-2026-85046 à son catalogue de vulnérabilités exploitées connues le 4 septembre et a donné aux agences fédérales américaines jusqu'au 18 septembre pour appliquer le correctif. Chromé 153publié cette semaine, corrige 230 vulnérabilités et ajoute, avec CVE-2026-87491 en V8, sept zero-day exploités dans Chrome au cours de l'année 2026.
Le patch gap : près d’un mois de marge pour les attaquants
La fenêtre qui sépare la correction d'un bug dans le référentiel Chromium en amont de son arrivée dans les binaires stables est connue sous le nom de patch gap. Avec CVE-2026-85046, cette fenêtre a duré près d’un mois, et c’est là que réside la clé de tout ce que nous avons vu jusqu’à présent.
Le correctif était dans le référentiel depuis le 7 août, mais le correctif stable n'est arrivé que le 3 septembre. Cette marge a donné aux attaquants le temps de lire le correctif, de l'annuler et de construire l'exploit avant la plupart des utilisateurs. Installations Chrome et Edge aurait été mis à jour. Proofpoint émet l'hypothèse que les agents d'intelligence artificielle auraient rendu le développement d'exploits pour les logiciels open source moins cher et plus rapide : les chercheurs ont trouvé des journaux complets et des commentaires inhabituellement verbeux dans les artefacts du kit, ce qui est inhabituel dans les opérations d'espionnage.
Le code contient des références répétées à v8CTFle programme de primes et capture le drapeau que Google maintient pour la V8, bien qu'il ne soit pas confirmé si les exploits ont été développés sur ce framework ou ont été uniquement utilisés pour contourner les filtres du modèle de langage.
FAQ sur le kit d’exploitation BlueMoon Il s'agit d'une chaîne de trois vulnérabilités qui combine des failles dans le moteur V8 des navigateurs Chromium et une vulnérabilité dans le noyau Windows pour compromettre les ordinateurs.
Les versions concernées incluent Windows 10 (mise à jour d'octobre 2018 et version 2004), Windows Server 2019, Windows Server 2022 et la version initiale de Windows 11.
Ils lisent le correctif publié dans le référentiel Chromium en amont avant qu'il n'atteigne le binaire stable, ce qui leur laisse le temps d'annuler le correctif et de créer l'exploit.
TA412 a installé GemStone, une extension malveillante déguisée en Google Gemini qui volait des cookies, capturait des écrans, injectait un enregistreur de frappe et surveillait des mots-clés spécifiques.
Qu'est-ce que le kit d'exploitation BlueMoon ?
Quelles versions de Windows sont concernées par BlueMoon ?
Comment les attaquants profitent-ils de la fenêtre open source ?
Quel malware TA412 a-t-il installé après avoir exploité BlueMoon ?