BlueMoon, il kit exploit condiviso che accelera la corsa alle vulnerabilità di

Almeno quattro distinti gruppi di spionaggio cibernetico, la maggior parte collegati all'intelligence cinese, hanno utilizzato dal 28 agosto 2026 il medesimo kit exploit denominato BlueMoon per colpire la stessa vulnerabilità zero-day di Chrome. La scoperta, pubblicata oggi da Proofpoint, documenta per la prima volta la condivisione di una catena di exploit per browser tra attori di minaccia distinti in una finestra temporale di pochi giorni, con ripercussioni sulla risposta alle vulnerabilità dei sistemi Chromium.

La catena BlueMoon: da V8 al kernel Windows

BlueMoon concatena tre componenti per ottenere la compromissione completa del sistema. La prima tappa sfrutta CVE-2026-85046, una confusione di tipo nel compilatore JIT di V8, il motore JavaScript di Chrome. Secondo l'advisory di Google, la vulnerabilità ha ricevuto punteggio CVSS 8.8 HIGH con vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H.

Dopo l'esecuzione iniziale nel browser, la catena prosegue con un escape dalla sandbox V8 — per cui Google non assegna CVE dedicate secondo quanto riportato da Ars Technica — e culmina in CVE-2026-85880, escalation di privilegi nel kernel di Windows. Quest'ultima vulnerabilità colpisce versioni precedenti di Windows 10, Windows 22 e il rilascio iniziale di Windows 11, con punteggio CVSS 7.8 HIGH.

La correzione di CVE-2026-85046 è stata pubblicata nel repository sorgente di Chromium all'inizio di agosto 2026, ma ha raggiunto la versione stabile di Chrome solo il 4 settembre con il rilascio delle versioni 152.0.7977.82 e 152.0.7977.83 per Windows e macOS, e 152.0.7977.82 per Linux. Questo intervallo di circa quattro settimane ha costituito la finestra di exploit documentata da Proofpoint.

"There's no way that this is parallel development...The code is practically identical—even the variable naming, the commentary. It's the same kit. One hundred percent." — Mark Kelly, ricercatore Proofpoint, via Recorded Future News

Quattro attori, stesso kit, obiettivi diversi

Il primo impiego osservato di BlueMoon risale al 28 agosto 2026 da parte di TA412, gruppo associato ad APT31 e designato da Microsoft come Violet Typhoon. TA412 ha bersagliato organizzazioni non governative statunitensi, società minerarie e commercianti di materie prime con esche di stage fittizi e conferenze, installando l'estensione malevola GemStone nel browser.

Nei giorni successivi, altri tre gruppi hanno adottato lo stesso kit con infrastrutture e malware distinti. UNK_LateNight ha colpito il settore aerospaziale e della difesa statunitense con esche di procurement, distribuendo il backdoor ShadowPad. UNK_DoubleCheck ha compromesso un produttore vietnamita attraverso un indirizzo email governativo del Sud-est asiatico, impiegando un loader in Rust. UNK_QuietRacket ha bersagliato enti governativi di Indonesia e Singapore, società di consulenza e organizzazioni finanziarie con inviti a conferenze, con valutazione di probabile allineamento cinese.

La discrepanza nell'attribuzione è significativa: mentre TA412 è identificato come attore di stato cinese e UNK_QuietRacket è valutato come "sospettato" cinese, UNK_DoubleCheck rimane senza attribuzione confermata. Proofpoint non ha documentato sovrapposizioni infrastrutturali che colleghino quest'ultimo gruppo a operatori cinesi noti allo stato attuale.

AI nel ciclo di sviluppo: indizi e limiti

I ricercatori di Proofpoint hanno rilevato artefatti che suggeriscono l'impiego di strumenti di intelligenza artificiale nella stesura del codice exploit. Tra questi: commenti di debug particolarmente verbosi, un documento markdown di "handover" finalizzato al trasferimento di contesto tra sessioni di lavoro AI, e riferimenti al framework v8CTF del programma bug bounty di Google.

Mark Kelly ha commentato pubblicamente che "persone su Twitter stanno facendo reverse-engineering di queste patch di Chromium per sviluppare exploit funzionanti usando AI...È piuttosto brava, perché è codice open-source". La fonte non documenta tuttavia la natura precisa dei riferimenti a v8CTF: non è stabilito se rappresentino ricerca genuina nel programma bounty o una tecnica di aggiramento delle barriere di sicurezza degli strumenti AI.

I ricercatori di Proofpoint hanno sottolineato che l'indicazione di assistenza AI è circostanziale, non definitiva. Il brief non specifica se l'intelligenza artificiale abbia generato componenti critici della catena di exploit o abbia solo accelerato fasi di sviluppo accessorie.

Google dimezza il ciclo di rilascio di Chrome

In risposta alla dinamica documentata, Google ha annunciato l'8 settembre 2026 la transizione a un ciclo di rilascio di Chrome ogni due settimane, dimezzando il precedente intervallo di circa quattro settimane. CVE-2026-85046 è il sesto zero-day di Chrome corretto nel 2026, seguendo CVE-2026-11645, CVE-2026-2441, CVE-2026-3909, CVE-2026-3910 e CVE-2026-5281.

La scelta di accelerare i rilasci risponde a un cambiamento quantitativo nel rischio: la finestra di patch-gap, già sfruttata in passato, appare ora comprimibile a velocità macchina attraverso l'analisi automatica del codice sorgente. Kelly ha notato che "a causa della dinamica del patch-gap, dove c'era una patch in arrivo, sembra che questo abbia spinto molto di più verso la necessità di distribuire il più rapidamente possibile".

L'elemento che ha sorpreso i ricercatori è la crudità delle fasi post-exploitation. BlueMoon utilizza il comando curl da riga di comando per scaricare payload successivi — una scelta che genera segnali di rilevamento elevati e che contraddistingue il kit da catene di exploit storiche più sofisticate, che impiegano meccanismi di download stealth integrati.

Cosa fare adesso

• Aggiornare immediatamente Chrome, Edge e ogni browser Chromium-based alla versione 152.0.7977.82 o successiva, verificando il numero esatto nella pagina chrome://help
• Rivedere i log di rete alla ricerca di connessioni curl anomale originanti da processi browser, che Proofpoint identifica come segnale di compromissione BlueMoon
• Verificare la presenza di estensioni browser non autorizzate, con particolare attenzione a quelle con nome simile a "Gemini" o "GemStone", nel gestore delle estensioni di Chrome
• Riallineare i cicli di patching dei sistemi Windows legacy, prioritizzando la correzione di CVE-2026-85880 su Windows 10 e versioni iniziali di Windows 11

Perché il modello di patching Chromium è sotto pressione

La condivisione di BlueMoon tra quattro gruppi in pochi giorni altera l'assunto secondo cui le catene di exploit per browser rappresentano capacità costose e difficili da replicare. Proofpoint ha descritto il kit come "fully weaponized" ma distribuito con "high detection signals" — una combinazione che tradizionalmente non si sarebbe trovata su più attori simultaneamente.

Il meccanismo del patch-gap non è nuovo, ma la sua compressione attraverso strumenti automatizzati di analisi del codice sorgente ne cambia la frequenza d'uso. La decisione di Google di accelerare i rilasci riconosce che il precedente intervallo di circa quattro settimane ha smesso di essere difensibile contro attori che possono operare alla velocità della pubblicazione dei commit open-source. Quello che resta da chiarire è il canale di distribuzione del kit: il brief non specifica se BlueMoon provenga da un contraente condiviso, da una piattaforma commerciale o da distribuzione statale diretta.

Fonti

• https://therecord.media/china-hackers-chrome-browser-zero-day-multiple-groups
• https://thehackernews.com/search/label/zero-day
• https://www.bleepingcomputer.com/news/security/google-warns-of-new-chrome-zero-day-flaw-exploited-in-attacks/
• https://arstechnica.com/information-technology/2026/09/4-groups-caught-using-the-same-chrome-and-windows-exploit-kit/
• https://cybersecuritynews.com/bluemoon-exploit-chain/
• https://securityaffairs.com/198495/breaking-news/security-affairs-newsletter-round-593-by-pierluigi-paganini-international-edition.html
• https://thehackernews.com/
• https://thehackernews.com/p/upcoming-hacker-news-webinars.html
• https://thehackernews.com/search/label/Threat%20Intelligence
• https://thehackernews.com/search/label/Vulnerability

Domande frequenti

Posso essere sicuro di non essere a rischio se Chrome si aggiorna automaticamente?

Gli aggiornamenti automatici riducono il rischio ma non lo eliminano. Se il sistema ha eseguito Chrome durante la finestra di patch-gap (inizio agosto - 4 settembre 2026), la compromissione potrebbe essere avvenuta prima dell'installazione della patch. La verifica dei log di rete per connessioni curl anomale è raccomandata.

Perché Google non corregge simultaneamente Chromium e Chrome?

Chromium è open-source e il suo repository pubblico riceve commit visibili immediatamente. Chrome stabile richiede test aggiuntivi, integrazione con componenti proprietari e distribuzione tramite canali di update. Il brief documenta che questo intervallo era di circa quattro settimane, ridotto a due dal 8 settembre 2026.

Cosa distingue BlueMoon da altri exploit kit per browser?

La condivisione documentata tra quattro gruppi APT distinti in pochi giorni, con identica base di codice ma diverse infrastrutture di comando e controllo e payload finali. Secondo Proofpoint, questo pattern è inusuale per catene di exploit browser, storicamente considerate capacità ad alto costo e bassa diffusione.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti