BlueMoon : le kit d'exploitation Chrome et Windows partagé par quatre groupes d'espionnage

Une chaîne d'exploitation complète pour Chrome, capable de sortir un attaquant du bac à sable du navigateur, est habituellement une ressource rare : elle coûte cher à développer, et le groupe qui la détient a tout intérêt à la garder pour lui le plus longtemps possible. C'est justement ce qui rend le cas repéré par la société de sécurité Proofpoint troublant. Baptisée BlueMoon, la chaîne d'exploitation a été utilisée par un premier groupe fin août, puis reprise par trois autres, sans lien apparent entre eux, en l'espace de quelques jours seulement.

Trois failles pour une prise de contrôle complète

BlueMoon enchaîne trois vulnérabilités distinctes. Deux concernent le moteur JavaScript V8 de Chrome : une confusion de type (CVE-2026-85046) qui permet d'exécuter du code dans l'onglet visité, puis une faille de dépassement de tampon (CVE-2026-87491) qui sert à s'échapper du bac à sable du navigateur. La troisième faille touche Windows lui-même : un dépassement de tampon dans le mécanisme d'appel de procédure locale avancé (ALPC), qui permet de passer d'un simple accès dans le navigateur à un contrôle complet de la machine. Concrètement, la seule consultation d'une page piégée suffit à déclencher la chaîne, sans qu'aucun téléchargement ni clic supplémentaire ne soit nécessaire.

Quatre groupes, quelques jours d'écart

Proofpoint attribue le premier déploiement de BlueMoon, dès le 28 août, au groupe APT31, une officine considérée comme liée à la Chine. Dans les jours qui suivent, trois autres groupes s'en emparent à leur tour : UNK_LateNight et UNK_QuietRacket, deux clusters également rattachés à des intérêts chinois selon la nomenclature de Proofpoint, ainsi que UNK_DoubleCheck, dont l'origine reste non déterminée. Une telle vitesse de diffusion entre des groupes qui n'ont a priori aucun lien organisationnel direct est inhabituelle : elle suggère soit un partage délibéré de l'outil, soit une fuite depuis le développeur d'origine, soit l'intervention d'un courtier qui revend l'accès à la chaîne. Aucune de ces hypothèses n'est confirmée à ce stade par Proofpoint.

« Une chaîne d'exploitation Chrome pleinement armée a toujours été, historiquement, une capacité rare et de grande valeur. »

— The Hacker News, citant les chercheurs de Proofpoint

Où en sont les correctifs

Google a publié un correctif pour la faille d'échappement de bac à sable (CVE-2026-87491) le 8 septembre. Les publications consultées ne précisent en revanche pas de date de correction ferme pour les deux autres failles de la chaîne, ce qui justifie une prudence particulière : il ne suffit pas d'avoir mis à jour Chrome pour être certain d'être protégé contre l'ensemble de BlueMoon. La CISA américaine a par ailleurs fixé des échéances de correction, entre le 18 et le 23 septembre, pour les agences fédérales concernées par des failles Cisco, Citrix et Fortinet exploitées en parallèle — un signal du niveau de pression actuel sur les équipes de sécurité, plus qu'une preuve que BlueMoon lui-même y est directement rattaché.

Source

Article source : The Hacker News, "Four Spy Groups Used the Same Chrome and Windows Exploit Kit Within a Week". Également couvert par Ars Technica et Bleeping Computer.