Nelle ultime settimane la sicurezza informatica ha registrato un salto di qualità nelle campagne di cyber spionaggio grazie a un exploit kit chiamato BlueMoon, osservato in attacchi reali contro obiettivi selezionati. La caratteristica più rilevante è la capacità di concatenare vulnerabilità di Google Chrome e Microsoft Windows in un unico percorso di compromissione, riducendo i passaggi necessari per ottenere controllo e privilegi elevati sul sistema della vittima.
La catena di exploit BlueMoon combina una vulnerabilità di tipo type confusion nel motore V8 di Chrome identificata come CVE 2026 85046, una seconda falla di evasione della sandbox V8 non ancora associata a un identificatore CVE e una vulnerabilità di heap based buffer overflow in Windows Advanced Local Procedure Call (ALPC) tracciata come CVE 2026 85880. Dal punto di vista operativo questo significa che un attaccante può passare dal browser al sistema operativo e poi aumentare i privilegi locali, trasformando un semplice click in una compromissione completa.
Un aspetto critico per chi gestisce patch e aggiornamenti è che le vulnerabilità V8 risultavano zero day di tipo patch gap. In pratica le correzioni erano già presenti nel codice pubblico di Chromium ma non ancora distribuite nelle release stabili di Chrome e dei browser basati su Chromium. Questo crea una finestra temporale in cui gruppi avanzati possono analizzare le patch pubbliche, ricostruire la logica della correzione e sviluppare rapidamente exploit funzionanti prima che gli utenti ricevano l’aggiornamento.
La distribuzione inizia spesso con email di phishing o spear phishing che inducono la vittima a visitare un URL controllato dagli attaccanti. Una volta aperta la pagina, gli exploit di Chrome vengono eseguiti in sequenza per ottenere code execution e uscire dalla sandbox. A quel punto entra in gioco Windows con l’escalation dei privilegi e l’iniezione di shellcode che lancia comandi e scarica payload aggiuntivi. Sono state osservate varianti con offuscamento, rimozione di commenti, landing page dedicate, controlli del sistema operativo lato browser e telemetria extra, ma con la stessa catena di base.
Tra i payload segnalati emergono tecniche come DLL sideloading, utilizzo di infrastrutture Cloudflare e persistenza tramite attività pianificate. Importante anche il fatto che aggiornare Chrome chiude il vettore iniziale ma non rimuove eventuali componenti già installati, come estensioni malevole o scheduled task. Per la difesa contano quindi patch rapide, monitoraggio della process tree e verifica di file temporanei e chiavi di registro sospette.