# BlueMoon : le kit d'exploitation Chrome et Windows partagé par quatre groupes d'espionnage

> Le chercheur en sécurité Proofpoint a mis au jour une chaîne d'exploitation combinant deux failles Chrome et une faille Windows, reprise par quatre groupes d'espionnage distincts en l'espace de quelques jours.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/bluemoon-kit-chrome-windows-quatre-groupes-espionnage
- Auteur : Kelvyn
- Publié le : 11 septembre 2026 (2026-09-11T03:38:00.000Z)
- Mis à jour le : 11 septembre 2026 (2026-09-11T04:51:03.322Z)
- Rubrique : Cybersécurité
- Sujets : Cybersécurité, Windows, Zero-day, Espionnage, Chrome, Proofpoint
- Langue : français

Une chaîne d'exploitation complète pour Chrome, capable de sortir un attaquant du bac à sable du navigateur, est habituellement une ressource rare : elle coûte cher à développer, et le groupe qui la détient a tout intérêt à la garder pour lui le plus longtemps possible. C'est justement ce qui rend le cas repéré par la société de sécurité **Proofpoint** troublant. Baptisée **BlueMoon**, la chaîne d'exploitation a été utilisée par un premier groupe fin août, puis reprise par trois autres, sans lien apparent entre eux, en l'espace de quelques jours seulement.

## Trois failles pour une prise de contrôle complète

BlueMoon enchaîne trois vulnérabilités distinctes. Deux concernent le moteur JavaScript V8 de Chrome : une confusion de type (CVE-2026-85046) qui permet d'exécuter du code dans l'onglet visité, puis une faille de dépassement de tampon (CVE-2026-87491) qui sert à s'échapper du bac à sable du navigateur. La troisième faille touche Windows lui-même : un dépassement de tampon dans le mécanisme d'appel de procédure locale avancé (ALPC), qui permet de passer d'un simple accès dans le navigateur à un contrôle complet de la machine. Concrètement, la seule consultation d'une page piégée suffit à déclencher la chaîne, sans qu'aucun téléchargement ni clic supplémentaire ne soit nécessaire.

## Quatre groupes, quelques jours d'écart

Proofpoint attribue le premier déploiement de BlueMoon, dès le 28 août, au groupe **APT31**, une officine considérée comme liée à la Chine. Dans les jours qui suivent, trois autres groupes s'en emparent à leur tour : UNK_LateNight et UNK_QuietRacket, deux clusters également rattachés à des intérêts chinois selon la nomenclature de Proofpoint, ainsi que UNK_DoubleCheck, dont l'origine reste non déterminée. Une telle vitesse de diffusion entre des groupes qui n'ont a priori aucun lien organisationnel direct est inhabituelle : elle suggère soit un partage délibéré de l'outil, soit une fuite depuis le développeur d'origine, soit l'intervention d'un courtier qui revend l'accès à la chaîne. Aucune de ces hypothèses n'est confirmée à ce stade par Proofpoint.

> « Une chaîne d'exploitation Chrome pleinement armée a toujours été, historiquement, une capacité rare et de grande valeur. »

— [The Hacker News](https://thehackernews.com/2026/09/four-spy-groups-used-same-chrome-and.html), citant les chercheurs de Proofpoint

## Où en sont les correctifs

Google a publié un correctif pour la faille d'échappement de bac à sable (CVE-2026-87491) le 8 septembre. Les publications consultées ne précisent en revanche pas de date de correction ferme pour les deux autres failles de la chaîne, ce qui justifie une prudence particulière : il ne suffit pas d'avoir mis à jour Chrome pour être certain d'être protégé contre l'ensemble de BlueMoon. La CISA américaine a par ailleurs fixé des échéances de correction, entre le 18 et le 23 septembre, pour les agences fédérales concernées par des failles Cisco, Citrix et Fortinet exploitées en parallèle — un signal du niveau de pression actuel sur les équipes de sécurité, plus qu'une preuve que BlueMoon lui-même y est directement rattaché.

> À faire maintenant : vérifiez que Chrome est à jour (chrome://settings/help) et que les derniers correctifs Windows sont installés. Cette chaîne ne demande aucune erreur de la part de l'utilisateur au-delà de l'ouverture d'une page web.

## Source

Article source : [The Hacker News, "Four Spy Groups Used the Same Chrome and Windows Exploit Kit Within a Week"](https://thehackernews.com/2026/09/four-spy-groups-used-same-chrome-and.html). Également couvert par Ars Technica et Bleeping Computer.

## À retenir

- BlueMoon enchaîne deux failles Chrome (V8) et une faille Windows (ALPC) pour compromettre un appareil à la seule visite d'une page piégée.
- Découverte par Proofpoint, la chaîne a été utilisée par APT31 dès le 28 août, puis par trois autres groupes distincts début septembre.
- Une diffusion aussi rapide entre groupes non liés reste inexpliquée : partage, fuite ou revente sont évoqués sans certitude.
- Google a corrigé la faille d'échappement de bac à sable le 8 septembre ; le statut des deux autres failles n'est pas confirmé publiquement.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/bluemoon-kit-chrome-windows-quatre-groupes-espionnage