BlueMoon : 4 groupes APT chaînent Chrome et Windows

Un kit adopté par quatre États en une semaine

Le 28 août 2026, les chercheurs de Proofpoint ont observé pour la première fois l'exploitation d'un nouveau chaînage de vulnérabilités baptisé BlueMoon. Le groupe à l'origine de l'attaque initiale est TA412, mieux connu sous le nom APT31 ou Violet Typhoon, un acteur aligné sur les intérêts stratégiques de la République populaire de Chine. Ce qui aurait pu rester un incident isolé s'est révélé être le signal précurseur d'une adoption massive : en moins de sept jours, trois autres clusters étatiques distincts avaient déployé le même exploit kit, une vitesse de propagation inédite dans l'histoire de la threat intelligence.

BlueMoon enchaîne trois vulnérabilités en séquence. La première, CVE-2026-85046, est une faille de type confusion dans le moteur JavaScript V8 de Chromium. Elle tire parti d'un bug dans le compilateur JIT de V8 lors des passes d'optimisation, permettant une exécution de code arbitraire à l'intérieur du processus de rendu du navigateur. La victime n'a besoin que de visiter une page web piégée pour que l'exploit s'exécute. Une seconde vulnérabilité Chrome, CVE-2026-85979, étend les capacités du sandbox escape, permettant de sortir du processus de rendu isolé. Enfin, CVE-2026-85880 est une élévation de privilèges dans le kernel Windows exploitant les mécanismes ALPC (Advanced Local Procedure Call) et WNF (Windows Notification Facility) pour obtenir un accès lecture/écriture au kernel et élever les privilèges au niveau SYSTEM.

L'aspect le plus préoccupant de cette chaîne d'exploitation réside dans la nature « patch-gap » des vulnérabilités Chrome. Les correctifs existaient déjà dans le code source public de Chromium depuis plusieurs semaines, mais n'avaient pas encore été intégrés dans les versions stables distribuées aux utilisateurs finaux. Les auteurs de BlueMoon ont donc eu une fenêtre d'exploitation d'environ quatre semaines pour analyser les diffs publics, développer un exploit fonctionnel et le déployer avant que les navigateurs grand public ne soient patchés. C'est une technique de plus en plus prisée par les acteurs sophistiqués qui suivent de près le développement open-source de Chromium.

La chaîne d'infection d'APT31 repose sur des emails de spear-phishing ciblant des ONG américaines, des entreprises minières et des négociants en matières premières physiques. Les leurres utilisent des documents thématiques liés à des appels d'offres gouvernementaux et à des conférences sectorielles. Une fois la page de phishing chargée, BlueMoon s'exécute silencieusement dans le navigateur, pivote hors du sandbox Chrome, puis exploite la faille Windows pour installer un implant persistant. Les variantes observées déposent soit TABCTENG, un backdoor propriétaire attribué à APT31, soit un outil de surveillance plus générique.

Les trois autres clusters identifiés par Proofpoint présentent des caractéristiques d'infrastructure et de victimologie distinctes. L'un présente des TTPs cohérents avec un acteur aligné sur la Russie, ciblant des entités de défense en Europe de l'Est. Un second cluster vise des opérateurs de télécommunications en Asie du Sud-Est avec des marqueurs d'attribution pointant vers la Corée du Nord. Le troisième reste non attribué mais cible des instituts de recherche biomédicale. Le fait que quatre acteurs distincts aient pu accéder à BlueMoon en quelques jours suggère soit une fuite du kit depuis le premier utilisateur, soit l'existence d'un courtier en exploits ayant vendu la même chaîne à plusieurs clients étatiques.

Du côté des correctifs, Google a patché CVE-2026-85046 et CVE-2026-85979 dans Chrome 133.0.6943.98 publiée le 5 septembre 2026. Microsoft a intégré le correctif pour CVE-2026-85880 dans le Patch Tuesday du 9 septembre 2026. La CISA a inscrit les trois CVE dans son catalogue KEV avec une échéance de remédiation de 21 jours pour les agences fédérales américaines. Les équipes de sécurité des entreprises sont invitées à traiter ces trois failles avec une priorité maximale, indépendamment de leur niveau d'exposition aux groupes APT identifiés. Selon SecurityWeek, l'exploitation active de la chaîne BlueMoon avait été confirmée sur au moins 47 réseaux distincts avant la publication des correctifs.

Cette campagne illustre une tendance structurelle : les groupes d'espionnage étatiques partagent désormais des capacités offensives à une vitesse qui dépasse la capacité des équipes de threat intelligence à attribuer et caractériser les incidents. La différentiation tactique entre acteurs — autrefois un indicateur fiable d'attribution — s'érode lorsqu'un même kit est utilisé simultanément par des États aux intérêts parfois opposés. Cette réalité impose aux défenseurs d'adopter une posture de détection comportementale plutôt que de s'appuyer sur des indicateurs de compromission spécifiques à un acteur.

Pourquoi BlueMoon redéfinit la menace APT

L'adoption quasi-simultanée de BlueMoon par quatre groupes étatiques en une semaine constitue un événement remarquable dans l'écosystème de la menace avancée persistante. Historiquement, les exploit kits de cette sophistication — chaînant une RCE navigateur avec une élévation de privilèges kernel — étaient soit développés en interne par des acteurs disposant de ressources importantes, soit achetés à prix d'or auprès d'un nombre restreint de courtiers. Leur diffusion restait étroite et soigneusement contrôlée pour éviter la brûlure prématurée de la chaîne d'exploitation.

Le scénario BlueMoon rompt avec ce modèle. Selon les analyses de Proofpoint et de Malwarebytes, la multiplication rapide des utilisateurs évoque davantage un marché gris que les circuits habituels de transfert de capacités entre services de renseignement alliés. Une hypothèse émergente dans la communauté cyber est que le développeur initial — probablement APT31 — a vu son kit exfiltré ou revendu, une situation déjà observée avec les outils de la NSA publiés par Shadow Brokers en 2017, dont le résultat avait été WannaCry et NotPetya.

Pour les entreprises françaises, la présence d'un cluster non attribué ciblant la recherche biomédicale est particulièrement notable dans le contexte post-Covid où plusieurs laboratoires pharmaceutiques et instituts de recherche publics ont fait l'objet d'opérations d'espionnage documentées. La DGSI avait alerté en 2025 sur l'intensification des tentatives de vol de propriété intellectuelle dans les secteurs de la santé, de l'énergie et de la défense. BlueMoon, par son efficacité et sa diffusion rapide, s'inscrit dans cette menace systémique.

L'enjeu pour les équipes SOC est de détecter BlueMoon sans se fier aux IoC publiés, qui seront remplacés rapidement par les acteurs. Les indicateurs comportementaux à surveiller incluent : des processus Chrome enfants effectuant des appels inhabituels aux interfaces WNF, des tentatives d'accès en écriture au noyau depuis des processus non-privilégiés, et des connexions réseau sortantes vers des domaines récemment enregistrés depuis des processus de navigateur. Les règles Sigma et YARA publiées par Proofpoint le 19 septembre 2026 offrent un point de départ solide pour la détection comportementale.

Ce qu'il faut retenir

• Mettre à jour Chrome vers la version 133.0.6943.98 ou supérieure et appliquer le Patch Tuesday de septembre 2026 (CVE-2026-85880) est impératif sans délai.
• BlueMoon est le premier exploit kit documenté adopté par quatre groupes étatiques distincts en moins d'une semaine, signalant une possible commoditisation des chaînes d'exploitation haut de gamme.
• Les équipes SOC doivent pivoter vers une détection comportementale plutôt que sur des IoC statiques, qui seront obsolètes très rapidement face à des acteurs aussi agiles.