Google Chrome à jour. Windows à jour. Et pourtant, un simple clic sur un lien malveillant suffit à ce qu’un malware soit installé sur votre ordinateur. Cet exploit a un nom : BlueMoon et il a été utilisé par au moins quatre groupes de cybercriminels spécialisés dans l’espionnage. Voici ce que l’on sait.
Vous vous souvenez peut-être de la faille zero-day CVE-2026-85046 que Google a patchée le 3 septembre 2026 dans Chrome 152, puis de la CVE-2026-87491 corrigée dans Chrome 153 cinq jours plus tard. À l’époque, Google se contentait d’indiquer qu’un exploit circulait dans la nature, sans plus de détails. Désormais, nous en savons davantage suite à la mise en ligne de deux rapports distincts publiés par Proofpoint et Volexity.
Ces deux vulnérabilités sont le parfait exemple de ce qu’est le patch gap. En effet, elles étaient déjà corrigées dans le dépôt open source de Chromium, sur lequel reposent plusieurs navigateurs Web. Google Chrome, bien entendu, mais aussi Microsoft Edge, Brave ou encore Vivaldi. Le problème, c’est le délai entre la publication du correctif dans le code source et son arrivée dans les versions stables de Chrome distribuées auprès du grand public. Pendant cet intervalle de temps, les attaquants ont eu le temps de lire le correctif, de comprendre la vulnérabilité et de concevoir un exploit. Pendant ce temps, les utilisateurs ignoraient l’existence de ces vulnérabilités, et surtout, ils ne pouvaient pas se protéger.
Pour la CVE-2026-85046, Proofpoint situe la publication du correctif au 7 août 2026 et son intégration dans une version stable de Chrome au 3 septembre. “Cela a ouvert une fenêtre de près de quatre semaines pendant laquelle le diff était publiquement disponible sans qu’un correctif soit déployé”, précise Proofpoint.
Trois failles exploitées ensemble : de Chrome à Windows
L’attaque BlueMoon (nom donné par Proofpoint) enchaîne l’exploitation de trois vulnérabilités pour passer d’une simple page web à l’exécution d’un malware sur une machine Windows. Voici les trois vulnérabilités impliquées :
C’est intéressant, car nous pouvons faire un lien entre plusieurs failles zero-day patchées récemment dans Google Chrome et Windows.
Dans le contexte des attaques, BlueMoon est présenté comme un kit d’exploitation où tout part d’un e-mail avec un lien malveillant. Si l’utilisateur clique sur le lien, il déclenche l’installation d’un malware sur son PC, et tout se passe via le navigateur Web avant l’exécution sur Windows.
Source : Proofpoint
Un détail important limite la portée de l’attaque et je l’avais évoqué dans un précédent article : la CVE-2026-85880 n’affecte pas tous les systèmes d’exploitation de Microsoft. En effet, comme le précise Proofpoint, l’exploit ne cible que d’anciennes builds de Windows, à savoir Windows 10 (de la 1809 à la 22H2), Windows Server 2019 et 2022, ainsi que la toute première version de Windows 11 (21H2). D’ailleurs, c’est intéressant de voir la mention d’une build de Windows 11 : Microsoft ne l’avait pas mentionnée de son côté.
Au moins quatre groupes de cyberespions
À qui profite le kit d’exploitation BlueMoon ? Les rapports de Proofpoint et Volexity apportent de premiers éléments de réponse.
Proofpoint a observé le premier usage de BlueMoon le 28 août 2026 par TA412, un groupe lié à la Chine aussi connu sous les noms APT31, JungleBamboo ou Violet Typhoon. En quelques jours, trois autres groupes d’espionnage l’ont adopté, avec des e-mails de phishing très ciblés. Parmi les cibles : des ONG, des sociétés minières et de négoce de matières premières, des entreprises aérospatiales, des administrations et des industriels aux États-Unis et en Asie du Sud-Est. De son côté, Volexity a détecté l’exploitation le 1er septembre par un autre acteur chinois, UTA0560, avec le même code d’exploitation.
La différence se situe surtout au niveau de la charge malveillante déployée en fin de chaîne :
TA412 a installé une extension Chromium malveillante déguisée en assistant Google Gemini, que Proofpoint nomme GemStone et Volexity LONGTALE. Elle enregistre les frappes clavier, vole les cookies et le stockage du navigateur, prend des captures d’écran et reçoit des commandes de ses opérateurs.
UNK_LateNight a déployé la porte dérobée ShadowPad contre des entreprises aérospatiales américaines, via des domaines usurpant leurs noms.
UNK_DoubleCheck et UNK_QuietRacket ont livré des chaînes d’infection sur mesure, dont un loader en Rust et un autre loader qui résout l’adresse de ses serveurs de contrôle via des requêtes DNS-over-HTTPS chez Google.
On peut tout de même se demander comment le même kit d’exploitation a pu arriver dans les mains de plusieurs groupes en si peu de temps. À croire qu’il a été mis en vente à un moment donné.
Un kit développé avec l’aide d’une IA ?
Le kit d’exploitation contient des artefacts inhabituels : journalisation verbeuse, commentaires détaillant les itérations de débogage, référence à un document au format Markdown et à v8CTF, le programme de bug bounty de Google pour V8. “Ces artefacts de développement sont globalement cohérents avec un développement assisté par IA, même si aucun artefact ne le confirme à lui seul”, écrit Proofpoint. D’ailleurs, Proofpoint va encore plus loin dans sa réflexion en s’interrogeant même sur la possibilité que le prétexte du CTF ait servi à contourner les garde-fous de l’IA.
Cette affaire rappelle l’importance d’installer les mises à jour de sécurité des logiciels et des OS, même si dans le cas présent, il y a eu un intervalle de temps où “tout le monde” était vulnérable. J’en profite pour mettre en avant mon tutoriel sur le durcissement de Chrome, Edge et Firefox par GPO.
Cofondateur d’IT-Connect et Microsoft MVP “Cloud and Datacenter Management”. Mon obsession depuis près de 15 ans ? Rendre l’administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu’un métier, l’IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.