Kit exploit BlueMoon usato da gruppi hacker in Cina

Un kit di attacco quasi identico, capace di colpire in sequenza Chrome, i browser basati su Chromium e alcune vecchie versioni di Windows, è finito nelle mani di almeno quattro gruppi hacker, alcuni dei quali legati al governo cinese. Il kit exploit BlueMoon, così battezzato dai ricercatori di Proofpoint, ha permesso agli attaccanti di installare malware a piacimento sfruttando tre falle di sicurezza incatenate tra loro, tutte corrette solo nelle ultime ore.

Punti chiave

• Il kit exploit BlueMoon è stato usato da almeno quattro gruppi hacker, alcuni allineati alla Cina, a partire dal 28 agosto
• La catena sfrutta tre vulnerabilità: due nel motore V8 di Chromium e una nel kernel di Windows, tracciate come CVE-2026-85046 e CVE-2026-85880
• Tutte le falle hanno ricevuto una patch nelle ultime 24 ore
• I bersagli includono ONG statunitensi, aziende minerarie e aerospaziali, un produttore vietnamita e realtà a Singapore e Indonesia
• Proofpoint ritiene che l’intelligenza artificiale abbia accelerato la scoperta e la trasformazione delle falle in armi digitali

Uso attivo del kit exploit BlueMoon da parte di diversi gruppi hacker

Il dato più allarmante non è la scoperta delle vulnerabilità in sé, ma la velocità con cui uno stesso set di exploit è circolato tra attori diversi. Secondo Proofpoint, il primo attacco documentato risale al 28 agosto, mentre gli altri tre gruppi hanno iniziato a muoversi nelle settimane successive, segno che il kit si è diffuso rapidamente all’interno di circuiti di spionaggio informatico paralleli.

Gruppi allineati alla Cina tra gli aggressori

Tra i responsabili identificati c’è TA412, un gruppo sponsorizzato dallo Stato cinese già colpito da un’incriminazione del governo statunitense nel 2024 per conto dei servizi di intelligence civile di Pechino. Un secondo gruppo, UNK_LateNight, di matrice cinese, ha invece indirizzato i propri attacchi verso più aziende aerospaziali americane.

Obiettivi coprono USA, Sud-est asiatico e settori industriali

Gli altri due attori individuati sono UNK_DoubleCheck, che ha colpito un’azienda manifatturiera in Vietnam, e UNK_QuietRacket, attivo contro obiettivi a Singapore e Indonesia. Proofpoint stessa ha ammesso di non sapere se altri attori, oltre ai quattro identificati, siano riusciti a mettere le mani sullo stesso arsenale.

Composizione tecnica e vulnerabilità sfruttate da BlueMoon

BlueMoon non è un singolo bug ma una catena di tre falle pensate per funzionare in sequenza: due colpiscono il motore JavaScript di Chromium, la terza il kernel di Windows. Insieme permettono di eseguire codice da remoto e poi di elevarne i privilegi fino al pieno controllo del sistema.

Catena di vulnerabilità tra Chromium V8 e kernel Windows

La prima falla, identificata come CVE-2026-85046, è un bug di type confusion nel motore V8 di Google che consente di accedere liberamente alla memoria all’interno della sandbox del browser. La seconda è una vera e propria fuga dalla sandbox di V8 che corrompe i metadati WebAssembly per eseguire shellcode incorporato, per la quale Google non assegna un identificativo CVE. A questo punto entra in gioco la terza falla, CVE-2026-85880, un’escalation dei privilegi locale nel kernel di Windows che consente l’esecuzione del codice malevolo con diritti di sistema. Le versioni di Windows coinvolte comprendono Windows 10 (aggiornamento di ottobre 2018), Windows 10 versione 2004, Windows Server 2019, Windows Server 2022 e la release iniziale di Windows 11.

Rilevamento e patch recenti delle vulnerabilità

Tutte e tre le vulnerabilità sfruttate dal kit exploit BlueMoon hanno ricevuto una correzione ufficiale nelle ultime 24 ore. Va sottolineato che la campagna era tutt’altro che silenziosa: a differenza di molte operazioni di spionaggio, che tendono a sfruttare vulnerabilità appena scoperte con parsimonia per allungarne la vita utile, questa catena di exploit ha lasciato segnali di rilevamento evidenti, spia di un utilizzo intenso e poco cauto.

Diffusione rapida favorita dal gap di patch Chromium e dall’AI

Perché un’arma informatica così sofisticata è stata condivisa così apertamente tra più gruppi in pochi giorni? Proofpoint individua due fattori concorrenti: un varco temporale nel ciclo di aggiornamento di Chromium e il possibile contributo dell’intelligenza artificiale nella scoperta delle falle.

Sfruttamento dei ritardi nelle patch del browser

Il cosiddetto patch gap è l’intervallo che separa la disponibilità pubblica di una correzione nel codice sorgente open source di Chromium dal momento in cui quella stessa patch viene effettivamente integrata in browser come Chrome ed Edge. Le due falle V8 erano, di fatto, zero-day legati proprio a questo gap: già risolte nel codice sorgente pubblico di Chromium, ma ancora presenti nelle versioni stabili dei browser distribuite al pubblico. Gli sviluppatori del kit exploit BlueMoon hanno probabilmente usato queste patch pubbliche come base per decifrare la falla e trasformarla rapidamente in un’arma funzionante.

L’AI facilita lo sviluppo degli exploit

Proofpoint osserva che una catena di exploit Chrome completamente armata è storicamente una capacità rara e di alto valore, difficile da sviluppare e ancora più difficile da condividere. Eppure BlueMoon è stato messo a punto, distribuito e condiviso tra più attori nel giro di pochi giorni, con segnali di rilevamento elevati. Questo, secondo i ricercatori, potrebbe riflettere una riduzione dei costi e delle barriere d’ingresso per questo tipo di capacità offensiva, man mano che gli agenti basati sull’intelligenza artificiale rendono più accessibile lo sviluppo di exploit, soprattutto su codebase open source come Chromium dove le patch upstream sono pubblicamente accessibili prima che i consumatori a valle le applichino. Proprio questa finestra temporale crea lo spazio per il reverse engineering rapido delle patch e per l’anticipazione delle release stabili a valle.

Nonostante tutte le vulnerabilità siano ormai corrette, i ricercatori di Proofpoint avvertono che il kit exploit BlueMoon potrebbe continuare a diffondersi. Data la sua facilità di adozione, è plausibile che venga ripreso da altri attori motivati sia dallo spionaggio che dal guadagno economico, mentre le versioni patchate vengono progressivamente distribuite su tutti i browser basati su Chromium.

FAQ

Che cos’è il kit exploit BlueMoon?

BlueMoon è un kit di attacco che incatena tre vulnerabilità nei browser basati su Chromium e in alcune vecchie versioni di Windows per installare malware sui sistemi colpiti.

Quali vulnerabilità sfrutta BlueMoon?

Sfrutta due falle nel motore V8 di Chromium, tra cui un bug di type confusion (CVE-2026-85046) e una fuga dalla sandbox, oltre a un’escalation di privilegi locale nel kernel di Windows (CVE-2026-85880).

Chi sono i gruppi noti che usano BlueMoon?

Almeno quattro gruppi hacker, tra cui attori sponsorizzati dallo Stato cinese come TA412 e UNK_LateNight, oltre a UNK_DoubleCheck e UNK_QuietRacket, hanno utilizzato il kit exploit BlueMoon.

Esistono patch per proteggersi da BlueMoon?

Sì, tutte e tre le vulnerabilità sfruttate dal kit sono state corrette nelle ultime 24 ore, ma l’adozione delle patch da parte dei singoli browser è ancora in corso.

Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.