Plusieurs groupes de pirates informatiques ont utilisé le même logiciel malveillant pour Chrome en l'espace d'une semaine : qu'est-ce que cela signifie ?

Des experts ont averti que quatre groupes de pirates informatiques, dont certains liés au gouvernement chinois, ont été vus utilisant exactement le même kit d'exploitation en l'espace d'une semaine, ce qui suggère une sorte de « peur de manquer quelque chose » (FOMO) parmi les criminels.

Des chercheurs en sécurité de Proofpoint ont révélé des détails sur BlueMoon, un package d'exploitation qui tire parti de trois vulnérabilités de sécurité : deux dans Chromium et une dans les anciennes versions de Windows, notamment : Windows 10 (mise à jour d'octobre 2018), Windows Server 2019, Windows 10 2004, Windows Server 2022 et la version initiale de Windows 11.

Ce package d'exploitation a été observé pour la première fois le 28 août 2026. Il était utilisé par un groupe de cybercriminels connu sous le nom de TA412, un groupe parrainé par l'État chinois qui avait déjà ciblé des entreprises utilisant Microsoft SharePoint. TA412, également connu sous le nom de Violet Typhoon, a utilisé BlueMoon « pour cibler à plusieurs reprises un petit nombre d'organisations non gouvernementales (ONG) américaines, de sociétés minières et de sociétés de négoce de matières premières physiques ».

Peu après, trois autres groupes ont été identifiés : UNK_LateNight, un autre groupe d’espionnage soutenu par la Chine qui ciblait plusieurs entreprises aérospatiales américaines ; UNK_DoubleCheck, un groupe qui ciblait une entité manufacturière au Vietnam ; et UNK_QuietRacket, un acteur de la menace ciblant des organisations à Singapour et en Indonésie.

Ce que tous ces groupes ont en commun, c'est qu'ils n'ont guère cherché à dissimuler leurs activités. C'est inhabituel, car une approche clandestine permet généralement d'exploiter une vulnérabilité plus longtemps.

La course à l'exploitation des vulnérabilités de Chromium

Le logiciel malveillant BlueMoon exploite trois failles de sécurité : deux dans Chromium et une dans d'anciennes versions de Windows. Les failles de Chromium ont été découvertes dans V8, le moteur JavaScript utilisé par les navigateurs pour assurer le bon fonctionnement des applications. La première, une erreur de type « chevauchement d'espèces », référencée CVE-2026-85046, présente un niveau de gravité de 8.8/10 (élevé). La seconde, une vulnérabilité permettant de s'échapper de l'environnement d'isolation, n'a pas encore reçu de référence CVE ni de score de gravité attribué par Google.

La vulnérabilité Windows, référencée CVE-2026-85880, présente un niveau de gravité de 7.8/10 (élevé). Il s'agit d'un dépassement de tampon basé sur le tas dans l'appel de procédure locale avancée (ALPC) de Windows. Ce type de vulnérabilité permet à un attaquant capable d'exécuter du code au sein d'un conteneur d'application à privilèges limités de s'échapper de l'environnement d'isolation et d'élever ses privilèges au niveau SYSTEM, sans intervention supplémentaire de l'utilisateur.

Proofpoint avance une théorie expliquant pourquoi les criminels préfèrent opérer ouvertement plutôt que clandestinement. Il semble exister un laps de temps très court entre le moment où Google corrige une vulnérabilité dans Chromium et le déploiement de cette mise à jour dans un navigateur comme Edge ou Brave. Ce laps de temps permet également aux criminels d'étudier la méthode de correction de Google, de la décompiler et de diffuser un exploit avant même la publication du correctif dans le navigateur. Autrement dit, il n'est pas possible de rester caché.

Pas le temps de se cacher

Proofpoint a déclaré que « les deux vulnérabilités V8 étaient des exploits zero-day qui exploitaient une faille de sécurité au moment de l'activité observée ». Ils ont ajouté : « Autrement dit, bien que ces vulnérabilités fussent déjà connues et corrigées dans le code source public de Chromium, elles restaient présentes dans les dernières versions stables de Chrome et des navigateurs basés sur Chromium disponibles publiquement. Il est probable que le développeur du kit d'exploitation ait utilisé ces mises à jour publiques de Chromium pour exploiter la chaîne de vulnérabilités du navigateur. »

Un autre facteur important est l'IA. Celle-ci semble avoir considérablement accéléré le processus de découverte des vulnérabilités, abaissant ainsi les barrières à l'entrée et obligeant les acteurs malveillants à agir avec plus de précision.

Proofpoint a confirmé qu’« une chaîne d’exploitation Chrome complète a toujours constitué une capacité rare et extrêmement précieuse. BlueMoon a été rapidement développé, déployé et partagé entre plusieurs acteurs malveillants en quelques jours seulement, ce qui a généré des signaux de détection élevés. Cela pourrait refléter une baisse des coûts et des barrières à l’entrée pour ce type de capacité, l’intelligence artificielle facilitant de plus en plus le développement d’exploits par les acteurs malveillants. »

Ces trois vulnérabilités ont depuis été corrigées, assurez-vous donc d'utiliser la dernière version du système d'exploitation et du navigateur Chromium.

via Ars Technica