if ( !emtpy($headline_subheadline ) ) : ?>
L’attaque « BlueMoon » enchaîne trois failles Chrome et Windows de haute gravité, suscitant des inquiétudes quant au fait que l’exploitation sophistiquée devient plus rapide et plus réutilisable.
endif; ?>
Un nouveau kit d’exploit révèle les dangers de la mentalité du « patch plus tard ».
Selon l’équipe Proofpoint Threat Research, les auteurs de menaces motivés par l’espionnage utilisent une nouvelle boîte à outils malveillante pour relier quatre vulnérabilités distinctes du navigateur Chrome et de Microsoft Windows afin de leur permettre de lancer des campagnes ciblées de spear phishing.
Proofpoint, qui a étudié la nouvelle méthode d’attaque en collaboration avec le Threat Intelligence Group de Google, le Threat Intelligence Center de Microsoft et la société de cybersécurité Volexity, l’a surnommée BlueMoon.
« BlueMoon a été développé, déployé rapidement et partagé entre plusieurs acteurs de la menace en quelques jours, d’une manière qui présentait des signaux de détection élevés », a noté Proofpoint. Il offre un faible coût et une faible barrière à l’entrée pour les attaquants qui utilisent de plus en plus d’agents d’IA pour améliorer leur savoir-faire.
La chaîne d’attaque BlueMoon
BlueMoon regroupe trois failles différentes dans les navigateurs Chrome et basés sur Chromium : une vulnérabilité de confusion de types (CVE-2026-85046) dans le moteur JavaScript open source V8 de Chromium ; un échappement sandbox V8 (CVE-2026-87491) en raison d’un défaut WebAssembly ; et un Zero Day du noyau Windows Local Privilege Escalation (LPE) trouvé dans les anciennes versions de Windows (CVE-2026-85880). Les trois vulnérabilités sont classées comme étant de gravité élevée.
Le chaînage des CVE-2026-85046 et CVE-2026-87491 permet essentiellement aux attaquants d’exécuter du code arbitraire dans Chrome via un clic sur un lien de phishing, a expliqué Seva Ioussoufovitch, analyste de recherche senior chez Info-Tech Research Group. L’ajout de CVE-2026-85880 « aggrave de façon exponentielle l’impact » en exploitant un exploit du noyau Windows pour élever les privilèges sur les anciennes instances Windows (Windows 10 22H2, Windows 11 21H2).
« Fondamentalement, BlueMoon permet aux auteurs de menaces d’obtenir tous les privilèges d’administrateur Windows en un clic et d’installer les logiciels malveillants de leur choix sur un point final », a déclaré Ioussoufovitch.
Les deux vulnérabilités V8 sont des vulnérabilités zéro jour « patch-gap » ; ils étaient connus et corrigés dans le code source public en amont, mais sont restés non corrigés dans les versions stables ultérieures des navigateurs Chrome et Chromium, a expliqué Proofpoint.
CVE-2026-85046 a été signalé pour la première fois au projet Chromium par un chercheur en sécurité le 4 août. Un correctif a été ajouté à la base de code open source Chromium, qui sert essentiellement de base à Google Chrome et aux navigateurs basés sur Chromium. Mais comme le correctif n’avait pas encore atteint les versions plus récentes de Google Chrome, il y avait une « lacune inhabituelle entre les correctifs », ont indiqué les chercheurs.
Au cours de cette période, les auteurs de menaces, dont la capacité à créer des kits d’exploits a été « considérablement accélérée » par l’IA, ont probablement eu le temps de procéder à l’ingénierie inverse des exploits à partir de la base de code open source et de tirer parti de ce qui semblait autrefois être une lacune raisonnable en matière de correctifs, a expliqué Ioussoufovitch.
« Les attaquants agissent plus rapidement, ce qui signifie que chaque jour où un patch est retardé comporte plus de risques qu’auparavant », a-t-il déclaré.
En effet, au niveau de la source Chromium, il s’agissait d’une vulnérabilité de N jours (elle était connue et disposait d’un correctif disponible), mais dans Google Chrome, il s’agissait en fait d’une faille de type zéro jour (auparavant inconnue), a souligné l’équipe de menace de Proofpoint, notant : « une chaîne d’exploitation Chrome entièrement militarisée a toujours été une capacité rare et de grande valeur ».
Établir des relations avec les victimes du spear phishing
Par exemple, un acteur menaçant soutenu par l’État et aligné sur la Chine a utilisé le kit BlueMoon pour cibler un petit nombre d’organisations non gouvernementales (ONG), de sociétés minières et de sociétés de négoce de matières premières aux États-Unis.
Ils ont lancé des campagnes de spear phishing en utilisant toute une gamme de leurres : se faisant passer pour des étudiants universitaires intéressés par des stages au sein de l’organisation ; sensibilisation concernant les conférences à venir ; et même des « échanges visant à établir des relations spécifiques à une cible » qui ont incité certains utilisateurs à cliquer sur un lien de phishing. S’ils le faisaient, ils étaient dirigés vers un domaine contrôlé par un acteur, une page de chargement s’affichait pendant plusieurs secondes alors que l’acteur malveillant tentait l’exploit, puis étaient dirigés vers des sites Web légitimes (comme GitHub).
Cette campagne particulière a débuté le 28 août et, a expliqué Proofpoint, « en quelques jours, plusieurs autres clusters motivés par l’espionnage ont commencé à utiliser BlueMoon, dont la majorité ont un lien présumé avec la Chine ».
Proofpoint prédit que BlueMoon « va probablement proliférer davantage et être adopté par des acteurs menaçants motivés par l’espionnage et par l’argent ».
Le fait que BlueMoon ait été utilisé dans quatre clusters d’attaques distincts le fait ressembler « moins à une arme spécialisée qu’à une infrastructure réutilisable », a convenu Nick Tausek, architecte principal de l’automatisation de la sécurité chez Swimlane.
Il a souligné qu’une plus grande ampleur ne signifie pas nécessairement que les attaquants se mettent à rude épreuve. « Un kit d’exploitation modulaire permet à différents groupes de poursuivre différents objectifs sans reconstruire la chaîne d’attaque à partir de zéro », a-t-il noté. En outre, une même voie d’exploitation peut apparaître dans des secteurs présentant des profils de risque complètement différents.
« BlueMoon peut ratisser large, mais les défenseurs doivent toujours savoir où cela peut faire le plus de mal (aux victimes) », a déclaré Tausek.
Pour cette attaque spécifique, le correctif est simple, a noté Ioussoufovitch : corrigez immédiatement Chrome et Windows, appliquez les règles de détection fournies par Proofpoint et assurez-vous de réanalyser l’infrastructure pour détecter tout artefact lié au kit, car tout ce qui est installé par BlueMoon, comme les extensions Chrome, les tâches planifiées ou les clés de registre, ne sera pas supprimé par les correctifs.
« Plus largement, l’industrie doit rester en état d’alerte », a-t-il déclaré. Les fournisseurs mettent à jour leurs correctifs plus rapidement et les organisations doivent augmenter leur cadence de mise à jour en conséquence.
Étant donné que bon nombre de ces attaques sont encore exploitées par le biais de l’ingénierie sociale, la sensibilisation est également importante, a déclaré Ioussoufovitch. Cependant, il a reconnu : « En réalité, le rythme des progrès de l’IA fait de la sensibilisation des utilisateurs une bataille perdue d’avance. »
