Un kit di sfruttamento chiamato BlueMoon è stato impiegato in campagne di cyber-spionaggio che hanno combinato falle in Google Chrome e Microsoft Windows per arrivare al controllo esteso del sistema compromesso. Secondo le analisi di Proofpoint e Volexity, non si tratta di un singolo impianto operativo riconducibile a un solo attore: la stessa catena tecnica sarebbe comparsa in attività di più gruppi, in larga parte descritti come cinesi o allineati agli interessi di Pechino.
L’elemento più rilevante è la composizione della catena. Un attaccante non si limita a eseguire codice nel browser dopo aver convinto un bersaglio ad aprire un contenuto malevolo: BlueMoon abbina vulnerabilità del motore JavaScript V8 e dell’isolamento del browser a un difetto del kernel Windows. Il risultato è un passaggio dal browser a privilegi più alti sul computer, utile per avviare strumenti scelti dagli operatori e rendere l’intrusione assai più incisiva.
Le prime osservazioni risalgono al 28 agosto, quando Proofpoint ha rilevato l’uso del kit in campagne di spearphishing attribuite a JungleBamboo. Volexity ha poi individuato, il 1° settembre, attività analoghe attribuite a un cluster distinto, UTA0560, contro clienti di diverse organizzazioni non governative. Le evidenze raccolte dalle due società portano a quattro gruppi di attività separati che hanno usato BlueMoon; tre sono descritti come cinesi o China-aligned.
Tre vulnerabilità, un percorso fino ai privilegi elevati
Il funzionamento documentato dagli analisti si basa su tre CVE. CVE-2026-85046 riguarda una type confusion in V8, il motore JavaScript di Chrome: la falla consente di ottenere accesso arbitrario alla memoria all’interno della sandbox di V8. CVE-2026-87491 permette invece di uscire da quella sandbox attraverso la corruzione di metadati WebAssembly, creando le condizioni per eseguire shellcode incorporato.
Il terzo passaggio è CVE-2026-85880, un heap-based buffer overflow nel meccanismo ALPC di Windows, usato per l’elevazione locale dei privilegi. È questo difetto a spostare la posta in gioco: il codice che ha compromesso il browser può arrivare a operare con autorizzazioni superiori sul sistema operativo. Per una vittima, significa che la protezione offerta dalla separazione tra processi del browser non basta più a contenere l’attacco.
BlueMoon esegue l’exploit in un Web Worker e può riprovarlo fino a cinque volte. Prima raccoglie informazioni sull’ambiente, poi sfrutta la vulnerabilità di Windows per elevare il renderer di Chrome e inietta codice nel processo principale del browser. A quel punto viene eseguito un comando definito dall’operatore. Nella configurazione osservata da Proofpoint, il comando predefinito utilizza curl per salvare nella cartella temporanea un eseguibile — in genere un loader malware — e avviarlo.
Questa architettura chiarisce perché la vicenda non riguarda soltanto la sicurezza di un’applicazione. Chrome diventa il punto di ingresso, Windows il mezzo per ottenere privilegi maggiori, mentre il payload finale resta intercambiabile. Il kit può quindi adattarsi a finalità diverse, dalla ricognizione al furto di dati, dall’installazione di una backdoor alla preparazione di ulteriori movimenti nella rete della vittima.
Un kit che sembra pensato per essere riutilizzato
Proofpoint descrive BlueMoon come uno strumento modulare e condiviso, in grado di accogliere nuovi exploit. La presenza dello stesso impianto tecnico in operazioni differenti è un indizio importante, ma non equivale di per sé a dimostrare un’unica regia. Nel mondo delle intrusioni mirate, codice, componenti e capacità di exploit possono essere distribuiti tra gruppi diversi, riutilizzati da fornitori specializzati oppure adottati da team che operano con obiettivi separati.
Gli analisti segnalano anche una strategia mirata alla finestra che si apre tra la pubblicazione delle correzioni nel progetto Chromium e la loro disponibilità nelle versioni stabili di Chrome. In quella fase, chi mantiene il kit può analizzare i cambiamenti pubblici al codice, ricostruire il problema corretto e sviluppare un exploit contro gli utenti che non hanno ancora ricevuto l’aggiornamento stabile. È una dinamica che riduce il tempo necessario a trasformare una correzione pubblica in un’arma contro sistemi ancora esposti.
Per CVE-2026-85880, Proofpoint parla invece di uno zero-day sfruttato secondo modalità più tradizionali e ritiene possibile che fosse già utilizzato dal 2025 prima di essere integrato in BlueMoon. Il timestamp di compilazione della DLL usata per l’elevazione dei privilegi risalirebbe al 2025 e non mostrerebbe segni di manipolazione. Inoltre, il codice prende di mira build di Windows meno recenti: elementi che, nella lettura dei ricercatori, fanno pensare al riadattamento di una capacità già esistente, non necessariamente sviluppata insieme alle due componenti browser.
ONG, obiettivi individuali e industria della difesa
I bersagli attribuiti ai vari cluster mostrano un profilo compatibile con lo spionaggio. JungleBamboo è noto per campagne contro ONG negli Stati Uniti, aziende minerarie e persone considerate di alto interesse. In precedenza è stato associato anche a Longtale/GemStone, un’estensione per il furto di credenziali mascherata da Google Gemini.
UTA0560 avrebbe invece preso di mira ONG facendo leva su messaggi legati a donazioni. In questa catena l’infezione portava a Grimwedge, una backdoor JScript eseguita in memoria e orientata a ricognizione, gestione di file e processi, esecuzione di comandi e caricamento di ulteriori payload. Il ricorso a esche legate a donazioni è significativo perché sfrutta contesti amministrativi e relazionali ordinari, nei quali una comunicazione apparentemente plausibile può superare più facilmente l’attenzione dell’utente.
Un terzo cluster, identificato come UNK_LateNight, è noto per aver installato la backdoor ShadowPad su sistemi di aziende statunitensi dell’aerospazio e della base industriale della difesa. Le fonti disponibili non dettagliano nel materiale raccolto l’identità e il perimetro del quarto gruppo. È dunque opportuno non estendere le attribuzioni oltre quanto documentato: ciò che emerge con chiarezza è l’impiego di BlueMoon in più contesti operativi e contro bersagli di rilievo, non una mappa completa di tutti i responsabili.
Patch e tempi di esposizione
Per amministratori, responsabili IT e utenti, il caso ribadisce una priorità concreta: gli aggiornamenti del browser e del sistema operativo vanno distribuiti rapidamente, senza trattarli come manutenzione differibile. In questa circostanza la catena dipende proprio dall’unione di componenti situate a livelli diversi dello stack. Aggiornare soltanto Chrome o soltanto Windows può non essere sufficiente se l’altra parte del percorso resta vulnerabile.
Le organizzazioni più esposte a spearphishing, in particolare ONG, realtà che lavorano su dossier sensibili e imprese in settori strategici, dovrebbero verificare l’applicazione delle correzioni disponibili e indagare eventuali segnali coerenti con l’attività descritta: esecuzioni anomale di curl che scaricano eseguibili nella directory temporanea, avvii inattesi da %TEMP% e comportamenti insoliti nei processi di Chrome. Questi indizi non bastano, da soli, ad attribuire un incidente a BlueMoon, ma possono essere punti di partenza per il triage.
Resta da capire se il kit continuerà a evolvere con nuove vulnerabilità e se altri gruppi ne adotteranno i componenti. La sua natura modulare, insieme alla capacità di sfruttare i ritardi nella distribuzione delle patch, suggerisce che il rischio non si esaurisce con l’analisi della singola campagna. Per i difensori, la lezione è anche operativa: ridurre il tempo fra rilascio e installazione degli aggiornamenti è diventato parte della risposta alle campagne di spionaggio, non soltanto una misura di igiene digitale.
