Quattro gruppi di cyberspionaggio hanno iniziato a usare, quasi in contemporanea, lo stesso kit di exploit per attività di cyber spionaggio sui computer delle proprie vittime, sparse fra Stati Uniti, Vietnam, Singapore e Indonesia. A fare luce su quanto accaduto è una pubblicazione di Proofpoint, che ha analizzato i dati insieme ai team di intelligence di Google, Microsoft e Volexity.

Lo strumento comune è stato battezzato BlueMoon e consiste in un kit di exploit pronto all'uso che sfrutta in sequenza più falle di sicurezza per prendere il controllo completo di un computer partendo da una pagina web. Le falle riguardano Microsoft Windows, il browser Google Chrome, più quelli basati sullo stesso motore: Microsoft Edge, Brave e Vivaldi. A scatenare l’attacco è il clic su un link ricevuto via email, senza bisogno che la vittima scarichi o apra un allegato.

Il primo utilizzo osservato risale al 28 agosto 2026 ed è opera di un gruppo di cyber spionaggio noto come TA412 allineato con la Cina. In capo a pochi giorni lo stesso kit è stato usato da altri tre gruppi, due dei quali con probabili legami con Pechino e uno di origine ancora ignota. Una diffusione così rapida tra gruppi differenti fa pensare a un fornitore comune, oppure a una distribuzione centralizzata da parte di un'organizzazione legata a uno Stato.

La catena di exploit di BlueMoon

La catena di attacco

Stando a quanto appurato da Proofpoint, l’attacco si sviluppa in quattro passaggi. Si parte da una vulnerabilità nel motore JavaScript di Chrome riconducibile al modo in cui il browser compila ed esegue il codice delle pagine web. Il bug, monitorato con la sigla CVE-2026-85046, è quello che i tecnici chiamano type confusion, ossia un trucco che spinge il browser a scambiare un dato innocuo (per esempio un numero), per un indirizzo di memoria. Quello che si ottiene è il bypass dei controlli e la possibilità di leggere e scrivere nella memoria del browser in modo arbitrario.

Da notare che la correzione per questo bug era già disponibile online dal 7 agosto 2026, ma è stata disponibile nella versione pubblica del browser solo il 3 settembre, quasi un mese dopo. È il cosiddetto patch-gap, la finestra all’interno della quale chiunque monitora i repository pubblici può risalire alla falla e costruirci sopra un attacco prima che la maggior parte degli utenti riceva di fatto l'aggiornamento.

Da sola questa falla resterebbe confinata nella sandbox del browser, ma BlueMoon aggira l’ostacolo sfruttando una seconda vulnerabilità che corrompe una componente di WebAssembly che gli permette di eseguire istruzioni al di fuori delle sandbox. A questo punto il kit colleziona alcune informazioni sul sistema della vittima per decidere se proseguire con il terzo passaggio.

Il terzo passaggio sfrutta la vulnerabilità CVE-2026-85880 nel kernel di Windows che consente di elevare i privilegi da semplice processo del browser ad amministratore di sistema. La particolarità è che questa falla colpisce solo versioni piuttosto vecchie di Windows (Windows 10 fino all'aggiornamento 22H2, la prima versione di Windows 11, Windows Server 2019 e 2022), il che restringe i bersagli ai computer datati e riduce le probabilità di successo di un attacco su vasta scala. Secondo gli esperti, questo dettaglio smaschera un’implementazione frettolosa, avallata anche dal fatto che le infrastrutture usate per veicolare l'exploit sono state create lo stesso giorno o pochi giorni prima delle rispettive campagne.

L'ultimo stadio inietta un piccolo programma nel processo del browser che avvia un comando curl, che è lo strumento standard per scaricare file da Internet. È un metodo semplice ed efficace per fare il download del programma scelto dall’attaccante. Fortunatamente per chi difende, questa strada lascia tracce facilmente individuabili da un buon antivirus o da un sistema di monitoraggio degli endpoint.

Esempi di email di phishing da cui parte l’attacco

Lo zampino dell'AI

Alcuni dettagli descritti sopra hanno portato gli esperti a ipotizzare che lo sviluppo di BlueMoon sia stato assistito almeno in parte da un'AI: la scarsa cura nel fuorviare la detection, commenti dettagliati che documentano tentativi falliti e correzioni successive, richieste esplicite come rimanda l'intero log copiandolo dalla pagina e il riferimento a un documento di passaggio in formato markdown. Il codice cita anche più volte v8CTF, il programma di bug bounty che Google dedica proprio al motore V8, anche se non ne è chiaro l’impiego. Nessuno di questi elementi da solo dimostra l'uso di un'AI, ma la loro somma indica un processo di sviluppo più sbrigativo rispetto al passato.

Detto questo, il kit di exploit funziona come un prodotto indipendente, che poi viene personalizzato in funzione dell’obiettivo, dato che ciascuno dei quattro gruppi lo ha abbinato a un malware finale e usato per colpire bersagli differenti. Per la precisione, TA412 ha attaccato organizzazioni non profit, aziende minerarie e società di commercio di materie prime fisiche negli Stati Uniti.

Per non destare sospetti, l'installer ha sfruttato un difetto noto nel meccanismo con cui Chrome verifica l'integrità delle proprie impostazioni: ricalcola da solo la firma di sicurezza che il browser usa per accorgersi di modifiche non autorizzate, usando gli stessi dati con cui la calcolerebbe Chrome. Il risultato è un'estensione che il browser considera legittima a tutti gli effetti.

Il secondo gruppo, a cui Proofpoint ha assegnato provvisoriamente il nome di UNK_LateNight, ha preso di mira diverse aziende statunitensi del settore aerospaziale con email a tema commerciale, i cui link portavano a siti che imitavano quelli reali delle aziende target. L'exploit installava ShadowPad, una backdoor che circola da anni tra i gruppi di spionaggio cinesi. Una volta installata, ShadowPad disattiva una ventina di funzioni di monitoraggio della rete per restare invisibile e ruba i dati salvati nei profili Firefox, oltre a mantenere la persistenza tramite un'attività pianificata che si riattiva periodicamente. È la stessa famiglia di backdoor vista nelle attività di spionaggio incrociato tra Cina e India.

Contemporaneamente, un terzo gruppo ribattezzato UNK_DoubleCheck ha colpito un'azienda manifatturiera vietnamita e un quarto gruppo (UNK_QuietRacket) ha attaccato organizzazioni governative, di consulenza e finanziarie in Indonesia e Singapore.

Il denominatore comune delle quattro campagne è sempre lo stesso: una email con un link che rimanda a una pagina controllata dall'attaccante, camuffata da tema plausibile per la vittima, come un'offerta di stage, una richiesta di preventivo o l'invito a una conferenza. Basta cliccare quel link perché il browser carichi la pagina e avvii senza alcuna interazione ulteriore la catena di exploit descritta sopra. Da quel momento in poi le strade si dividono e ciascun gruppo aggancia al kit un payload diverso, coerente con i propri obiettivi. Nei casi esaminati, si va dalla falsa estensione Gemini di TA412 alla backdoor ShadowPad di UNK_LateNight, fino al loader scritto in Rust di UNK_DoubleCheck e al malware ancora non identificato di UNK_QuietRacket. Il risultato è uno schema modulare in cui BlueMoon funge da chiave d'accesso universale, mentre il "cosa fare una volta dentro" resta scelta e responsabilità di chi lo utilizza.

Proofpoint ricorda che scenari di più gruppi cinesi che sfruttano in parallelo la stessa finestra di vulnerabilità appena prima che venga chiusa si erano già visti con Microsoft Exchange e con SharePoint. Questa struttura modulare, personalizzabile e versatile lascia intendere che difficilmente BlueMoon scomparirà presto dalla circolazione. Anzi, non è da escludere che con il tempo questo kit finisca in mano a gruppi più competenti e motivati che perfezioneranno il codice per limare i difetti e trasformarlo in uno strumento avanzato difficile da contrastare.

Sulla pagina di Proofpoint di riferimento sono pubblicate le regole Yara, le regole ET e gli Indicatori di Compromissione.