Un singolo click può trasformarsi in una compromissione completa del sistema. È quanto emerge dalle recenti campagne di cyber spionaggio che hanno impiegato BlueMoon, un exploit kit capace di concatenare vulnerabilità di Google Chrome e Microsoft Windows per passare dal browser al sistema operativo e ottenere privilegi elevati.
La catena combina una vulnerabilità di tipo type confusion nel motore V8 di Chrome, identificata come CVE-2026-85046, una seconda falla di evasione della sandbox di V8 non ancora associata a un identificativo CVE e una vulnerabilità di heap-based buffer overflow nel meccanismo Windows Advanced Local Procedure Call (ALPC), tracciata come CVE-2026-85880.
Il risultato è una sequenza di exploit che consente all’attaccante di passare dal browser al sistema operativo con un numero limitato di passaggi. Dopo la compromissione di Chrome e il superamento della sandbox, l’exploit Windows permette di elevare i privilegi locali e avviare codice aggiuntivo, trasformando un semplice click in una compromissione completa.
Gli attacchi possono iniziare con campagne di phishing o spear phishing, attraverso un link che indirizza la vittima verso una pagina controllata dagli attaccanti. Una volta aperta, la pagina verifica l’ambiente e avvia gli exploit di Chrome. Dopo l’evasione della sandbox entra in gioco la vulnerabilità di Windows, che consente di elevare i privilegi, eseguire shellcode e scaricare ulteriori payload.
Particolarmente significativo è il patch gap che ha interessato le vulnerabilità V8: le correzioni erano già presenti nel codice pubblico di Chromium, ma non erano ancora state distribuite nelle versioni stabili di Chrome. Gli attaccanti possono quindi analizzare le modifiche introdotte dalle patch e sviluppare rapidamente exploit funzionanti prima che gli aggiornamenti raggiungano gli utenti.
Le varianti di BlueMoon osservate includono offuscamento, landing page dedicate, controlli del sistema operativo e telemetria, mentre tra le tecniche utilizzate dopo la compromissione figurano DLL sideloading, infrastrutture Cloudflare e persistenza tramite Scheduled Task.
L’aggiornamento di Chrome è quindi essenziale per chiudere il vettore iniziale, ma non è sufficiente se la compromissione è già avvenuta. I team di sicurezza devono verificare anche la presenza di estensioni malevole, attività pianificate, file temporanei e modifiche sospette al registro, oltre a monitorare la process tree alla ricerca di comportamenti anomali.
