BlueMoon, le kit d'espionnage qui enchaîne les zero-days de Chrome et Windows

Trois failles zero-day (des failles exploitables avant qu'aucun correctif n'existe), quatre groupes d'espionnage, une semaine. Voilà le bilan de BlueMoon, un kit d'attaque observé en action par les chercheurs de Proofpoint et de Volexity depuis le 28 août. Il enchaîne des vulnérabilités de Chrome et de Windows pour prendre le contrôle d'un PC, et il circule déjà entre plusieurs équipes différentes.

Le nom fait penser à une série, mais l'histoire est bien réelle, et elle concerne quiconque ouvre ses mails avec Chrome. On fait le point sur ce qu'on sait, et sur ce que tu as intérêt à vérifier aujourd'hui.

Une seule chaîne, trois failles

BlueMoon combine trois vulnérabilités en une seule visite de page web. La première (CVE-2026-85046) est un bug de confusion de types dans V8, le moteur JavaScript de Chrome : le moteur traite une donnée comme si elle était d'un autre type, et l'attaquant obtient une exécution de code dans l'onglet. La deuxième (CVE-2026-87491) fait sortir l'attaque de la sandbox, cette prison logicielle qui isole chaque onglet du reste du système. La troisième (CVE-2026-85880), située dans le noyau de Windows, la partie la plus protégée du système, élève les privilèges du navigateur et permet d'installer un programme sur la machine.

Le détail le plus intéressant se trouve ailleurs. Les deux failles de Chrome étaient déjà corrigées dans le code source open source de Chromium, le projet sur lequel Google construit son navigateur, mais pas encore dans la version stable distribuée au public. Les chercheurs appellent ça un patch gap, un trou de correction : il suffit de lire les correctifs publics pour fabriquer un exploit, un programme qui profite de la faille, contre les versions que tout le monde utilise. C'est exactement ce qu'a fait le développeur de BlueMoon.

Schéma de couverture : la chaîne d’exploitation BlueMoon, d’après Proofpoint.

Quatre groupes d'espionnage, le même point d'entrée

Tout commence par un mail de spearphishing, un hameçonnage ciblé qui vise des organisations précises. Le message invite à cliquer sur un lien, souvent relayé par un site légitime piraté, qui déclenche la chaîne dans Chrome. La victime ne voit s'afficher qu'un faux formulaire de don pendant que le kit télécharge et exécute son programme en arrière-plan.

Source : Proofpoint.

Quatre groupes ont utilisé BlueMoon en quelques jours, avec des cibles différentes mais le même outil :

• TA412 (aussi appelé APT31 ou JungleBamboo), groupe aligné sur la Chine, qui vise des ONG américaines et vole des identifiants avec une extension Chrome déguisée en Google Gemini.
• UTA0560, qui déploie GRIMWEDGE, une porte dérobée capable d'explorer la machine et d'exécuter des commandes à distance.
• UNK_LateNight, connu pour cibler le secteur aérospatial et de la défense américain avec la porte dérobée ShadowPad.
• UNK_DoubleCheck, qui a visé des entreprises manufacturières vietnamiennes avec un loader (un programme chargé d'installer la suite de l'attaque) écrit en Rust.

Un kit modulaire partagé entre plusieurs équipes, c'est rare à ce niveau : habituellement, chaque groupe garde ses exploits secrets. Tout se passe comme si un même fournisseur alimentait la demande. Et Proofpoint prévient : la partie navigation du kit pourrait bientôt être récupérée par des attaquants motivés par l'argent.

Des traces de développement assisté par IA

Détail qui a fait beaucoup parler : le code de BlueMoon contient des commentaires très bavards, un document de transfert de contexte du type de ceux que laissent les agents IA entre deux sessions, et des références au v8CTF, le challenge de sécurité de Google sur le moteur V8. Rien ne prouve formellement qu'une IA a écrit ces exploits, mais l'ensemble colle avec cette hypothèse. Surtout, le correctif public de Chromium a pu être lu, puis transformé en arme, bien plus vite qu'avant.

C'est la vraie leçon de l'affaire : le délai entre la publication d'un correctif dans un dépôt open source et son arrivée chez les utilisateurs devient une fenêtre de tir. Quelques semaines suffisent.

Mise à jour, tout de suite

Les trois failles sont aujourd'hui corrigées. Côté Google, les deux bugs de Chrome sont réparés dans les versions stables de septembre, dont Chrome 153 que l’on couvrait hier. Côté Microsoft, la faille d'élévation de privilèges est corrigée par le Patch Tuesday de septembre, et elle ne concernait de toute façon que des versions anciennes de Windows.

Concrètement : ouvre Chrome, menu, puis Aide, puis À propos de Google Chrome, laisse la mise à jour s'installer et redémarre le navigateur. Fais pareil avec Windows Update. Et garde le réflexe qui reste le plus fiable : ne clique pas sur les liens d'un mail que tu n'attendais pas, même signé d'une organisation connue. BlueMoon n'a pas besoin que tu fasses quelque chose de compliqué, juste que tu cliques. Le reste, ton navigateur le fait tout seul. Ou le faisait, avant la mise à jour.

Sources

Proofpoint publie l'analyse complète de la chaîne BlueMoon et des quatre groupes qui l'ont adoptée.

Volexity documente les campagnes contre les ONG américaines et les indicateurs techniques de la chaîne d'exploitation.

BleepingComputer corrobore les deux rapports et résume les indicateurs de compromission.

—

Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.