Múltiplos clusters de atividades maliciosas com motivação de espionagem foram identificados implantando um kit de exploits até então desconhecido, chamado BlueMoon, que encadeia várias vulnerabilidades no Microsoft Windows e no Google Chrome.
O primeiro uso em ambiente real do BlueMoon foi atribuído ao grupo patrocinado por Estado e alinhado à China, rastreado como APT31 (também conhecido pelos apelidos Bronze Vinewood, Judgement Panda, JungleBamboo, PerplexedGoblin, RedBravo, TA412, Tide Castle e Violet Typhoon), em 28 de agosto de 2026.
"Em poucos dias, diversos outros clusters com motivação de espionagem começaram a usar o BlueMoon, a maioria dos quais apresenta suspeita de vínculo com a China", afirmou a Proofpoint em um relatório publicado nesta quinta-feira. "Contudo, o BlueMoon pode não ser exclusivo de atores alinhados à China, já que parte do uso permanece sem atribuição e há possivelmente mais atores utilizando o kit de exploits".
A cadeia de exploits emprega três vulnerabilidades:
- CVE-2026-85046, uma confusão de tipo no motor V8 do Google Chrome;
- CVE-2026-87491, uma falha de leitura fora dos limites no V8 do Google Chrome, que pode permitir escape da sandbox (ambiente isolado de execução);
- CVE-2026-85880, uma vulnerabilidade de estouro de buffer baseado em heap (região de memória dinâmica) no Windows Advanced Local Procedure Call (ALPC - Chamada de Procedimento Local Avançada).
Enquanto a CVE-2026-85046 foi corrigida pelo Google na semana passada, a CVE-2026-85880 foi solucionada pela Microsoft como parte das atualizações do Patch Tuesday de setembro de 2026. A Proofpoint informou ao The Hacker News que o Google, apesar de atualmente não emitir CVEs (Identificadores Públicos de Vulnerabilidades) para escapes de sandbox no V8, atribuiu um identificador a essa falha específica, sob a denominação CVE-2026-87491. A correção para o defeito de segurança foi disponibilizada pelo Google em 8 de setembro de 2026.
Curiosamente, ambas as vulnerabilidades do V8 no Chrome são consideradas zero-days de "intervalo de correção" no momento em que foram exploradas de forma maliciosa. A empresa de segurança corporativa explicou que as falhas já haviam sido corrigidas no código-fonte público do Chromium, mas ainda não tinham sido propagadas para as versões estáveis mais recentes do Chrome e dos navegadores baseados em Chromium disponíveis.
Suspeita-se que o desenvolvedor do kit de exploits pode ter acompanhado de perto os patches públicos do Chromium para montar a cadeia de exploits para o navegador.
As cadeias de ataque que fazem uso do BlueMoon foram identificadas como dependentes de e-mails de phishing (mensagens fraudulentas) como ponto de partida, para induzir os alvos a访问arem uma URL controlada pelos atores, o que aciona as duas falhas do V8 em sucessão para obter execução de código e escapar da sandbox do navegador. Em seguida, é explorada a falha de escalonamento local de privilégios (LPE) do Windows para injetar um shellcode (pequeno código malicioso) que faz o download de múltiplos payloads, dependendo do cluster de ameaça envolvido.
"Após os exploits do Chrome, o kit utiliza uma DLL (Biblioteca de Vínculo Dinâmico) carregada de forma reflexiva para coletar informações do host Windows, e o JavaScript do kit de exploits usa esses dados para decidir se tenta ou não o exploit de LPE", disseram os pesquisadores da Proofpoint Mark Kelly, Greg Lesnewich, Konstantin Klinger, Saher Naumaan, Julia Paluch, David Galazin e Stuart Del Caliz.
"Uma segunda DLL carregada de forma reflexiva executa o exploit de LPE para elevar os privilégios do processo de renderização. Com esses privilégios adicionais, um shellcode injetor separado injeta um stub de CreateProcess no processo broker (intermediário) pai do Chrome, executando um comando especificado pelo operador. O comando padrão faz o download de um executável hospedado remotamente por meio do utilitário curl e o executa."
Múltiplas variantes do kit de exploits foram detectadas com pequenas alterações que removeram comentários ou ofuscaram seus componentes, enquanto outras incorporaram páginas de destino e redirecionamentos específicos de campanha, verificações de sistema operacional no lado do navegador ou telemetria adicional. Apesar dessas modificações, a cadeia de exploits subjacente permanece a mesma.
Uma breve descrição das cadeias de ataque observadas é a seguinte:
- APT31 (a partir de 28 de agosto de 2026), que utilizou iscas de spear-phishing (phishing direcionado) para atingir organizações não governamentais (ONGs), empresas de mineração e firmas de negociação de commodities físicas nos Estados Unidos, induzindo as vítimas a clicarem em um link malicioso que servia o BlueMoon. O kit então baixava e executava um loader (carregador) responsável por instalar um complemento de navegador malicioso disfarçado de Google Gemini, usando uma técnica de contorno de integridade de extensões do Chrome chamada GhostChrome-X. A extensão é um backdoor (acesso remoto não autorizado) de vigilância do navegador e roubo de credenciais, denominado GemStone, que permite ao agente de ameaça emitir comandos por meio de um canal de comando e controle (C2).
- UNK_LateNight (a partir de 2 de setembro de 2026), um cluster de ameaça alinhado à China, que utilizou iscas de spear-phishing para atingir várias empresas aeroespaciais dos EUA, levando as vítimas a links maliciosos que implantam o BlueMoon e o backdoor ShadowPad, com uso de DLL sideloading (técnica que aproveita a carga de bibliotecas legítimas para executar código malicioso).
- UNK_DoubleCheck (a partir de 2 de setembro de 2026), que utilizou iscas de spear-phishing para atingir uma entidade de manufatura do Vietnã, enviando as vítimas a um domínio controlado pelos atores, hospedado em Cloudflare Workers, que servia o BlueMoon. O kit era então utilizado para iniciar um ataque de DLL sideloading, a fim de soltar um binário escrito em Rust. O malware, por sua vez, contata um bucket do Cloudflare R2 para buscar e executar um segundo par de DLL sideloading.
- UNK_QuietRacket (a partir de 3 de setembro de 2026), um agente de ameaça alinhado à China, que utilizou iscas de spear-phishing para atingir organizações governamentais, de consultoria e do setor financeiro na Indonésia e em Singapura, conduzindo as vítimas a páginas de destino que implantam o BlueMoon. O kit de exploits, neste caso, foi modificado para baixar e executar um par de DLL sideloading. A DLL maliciosa se comunica com domínios do Cloudflare Workers para obter e executar um assembly .NET em memória. O payload em memória .NET é projetado para criar uma tarefa agendada, a fim de iniciar a sequência de DLL sideloading para garantir persistência.
Além disso, a presença de amplos recursos de registro em log e comentários verbosos nos artefatos de código-fonte sugere que o malware pode ter sido desenvolvido com o auxílio de ferramentas de inteligência artificial (IA). Essa hipótese é reforçada por referências repetidas ao desafio v8CTF, um programa de recompensa por vulnerabilidades (VRP) e competição do tipo capture-the-flag (CTF - capturar a bandeira) voltado para a exploração, executado pelo Google com foco no motor V8.
A Proofpoint afirmou que não se sabe se os exploits do V8 foram genuinamente desenvolvidos com base no framework de bug bounty do v8CTF, ou se essa abordagem foi utilizada pelos desenvolvedores dos exploits para contornar as barreiras de proteção de modelos de linguagem de grande porte (LLMs).
"Atualmente, é desconhecido como múltiplos agentes de ameaça distintos obtiveram acesso ao kit de exploits", disse a Proofpoint. "Dada a sua facilidade de adoção, é provável que se prolifere ainda mais e seja adotado por agentes de ameaça com motivação de espionagem e também com motivação financeira, à medida que as versões corrigidas sejam totalmente distribuídas em todos os navegadores baseados em Chromium."
"Uma cadeia de exploits para o Chrome totalmente weaponizada (pronta para uso ofensivo) tem sido historicamente uma capacidade de alto valor e rara. O BlueMoon foi desenvolvido, implantado rapidamente e compartilhado entre múltiplos agentes de ameaça em poucos dias, de uma forma com elevados sinais de detecção."
"Isso pode refletir uma redução no custo e na barreira de entrada para essa classe de capacidade, à medida que agentes de IA cada vez mais viabilizam o desenvolvimento de exploits por parte dos agentes de ameaça. Isso é particularmente relevante para bases de código abertas, como o Chromium, nas quais os patches upstream (de origem) são publicamente acessíveis antes que os consumidores downstream (a jusante) da base de código apliquem a correção. Isso cria uma janela para que os agentes de ameaça tentem fazer engenharia reversa dos patches rapidamente e desenvolvam exploits antes dos lançamentos estáveis a jusante."
A Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos (CISA) adicionou as vulnerabilidades CVE-2026-85046, CVE-2026-85880 e CVE-2026-87491 ao seu catálogo de Vulnerabilidades Conhecidas Exploradas (KEV - Known Exploited Vulnerabilities), concedendo às agências do Ramo Executivo Civil Federal (FCEB) dos EUA prazos até 18, 22 e 23 de setembro de 2026, respectivamente, para corrigi-las.
No entanto, atualizar o navegador fecha a porta de entrada, mas não remove nenhum artefato que já tenha sido instalado. A extensão GemStone e as tarefas agendadas criadas pelos outros grupos sobrevivem à aplicação do patch, tornando necessário que as organizações afetadas verifiquem:
- Árvore de processos: chrome.exe iniciando cmd.exe, em seguida curl.exe e depois msgbox.exe;
- Arquivo: ChromeUpdate.exe ou msgbox.exe na pasta %TEMP% do Windows;
- Pasta: C:\Users\Public\stomp_ext;
- Tarefa agendada: EdgeCore_AutoUpdate, MicrosoftEdgeUpdatesTaskMachine, Avpcheckup ou GeForceService;
- Mutex: Dataupcheckinfo;
- Chave de registro: HKCU\SOFTWARE\Classes\CLSID\{5D4CFCB7-222C-4CA3-96B6-1F8195FBBB4B}\InprocServer32.
A Proofpoint também publicou regras de detecção para o loader em JavaScript do kit e para o seu tráfego de C2, numeradas com os Signature IDs de 2071919 a 2071924.
(A matéria foi atualizada após a publicação para incluir a confirmação, por parte da Proofpoint, de que o escape de sandbox do V8 é rastreado sob a CVE-2026-87491.)
