BlueMoon: um kit compartilhado por quatro grupos de espionagem

BlueMoon é o nome dado a um kit de exploração usado em campanhas com motivação de espionagem. Segundo o relato citado, ele reúne vulnerabilidades do Google Chrome e do Microsoft Windows para sair de uma simples visita a uma página maliciosa e chegar à execução de código com privilégios elevados. O primeiro uso em ambiente real foi associado ao APT31, grupo alinhado à China, em 28 de agosto de 2026. Em poucos dias, outros grupos de espionagem já operavam o mesmo kit, o que sugere circulação rápida da ferramenta entre operadores distintos.

Do email de phishing à escalada de privilégios

A cadeia começa com phishing: a vítima recebe um email construído para convencer o clique em um link, que aponta para um endereço controlado pelo invasor. Ao abrir a página no Google Chrome, duas falhas ligadas ao motor V8 são acionadas em sequência — a CVE-2026-85046, de confusão de tipo, e uma segunda falha de escape da área isolada do navegador, cuja CVE não foi informada no texto de origem.

Com o navegador comprometido, o ataque avança para o sistema. A etapa seguinte explora a CVE-2026-85880 no Microsoft Windows, um estouro de memória no ALPC, para elevar privilégios e injetar shellcode. É esse encadeamento que torna o BlueMoon perigoso: nenhuma das etapas exige ação adicional do usuário além do clique inicial.

O que observar nos registros da sua empresa

Como o ponto de entrada é phishing, a atenção deve recair sobre links inesperados e navegação suspeita. Alguns exemplos práticos que valem investigação:

• Emails com urgência incomum pedindo acesso a links externos.
• Usuários relatando que o Google Chrome fechou, travou ou abriu páginas estranhas após clicar em email.
• Acessos a URLs pouco conhecidas logo antes de alertas no endpoint.
• Eventos de execução anormal após navegação web, especialmente em máquinas sem atualizações recentes.

Reduza a janela entre correção publicada e patch instalado

A prioridade é encurtar o tempo entre a publicação da correção e sua instalação no parque. O texto de origem informa que a CVE-2026-85046 já foi corrigida pelo Google e que a CVE-2026-85880 foi tratada pela Microsoft no Patch Tuesday de setembro de 2026.

Na prática, isso significa manter o Google Chrome e navegadores baseados em Chromium atualizados, aplicar as atualizações do Microsoft Windows e reforçar a orientação contra phishing junto aos usuários. Vale também revisar registros de proxy, email e endpoint em busca de cliques recentes em links suspeitos.

Checklist prático

1. Atualize o Google Chrome e confirme que a correção mais recente foi instalada nos computadores da empresa.
2. Aplique o Patch Tuesday de setembro de 2026 do Microsoft Windows, priorizando máquinas de usuários mais expostos.
3. Investigue emails com links externos recebidos no período e monitore acessos a domínios controlados por terceiros.
4. Oriente usuários a não abrir links inesperados, mesmo quando a mensagem parecer direcionada ao trabalho.
5. Combine autenticação forte, gestão de acesso e resposta rápida a alertas para limitar danos se uma conta for comprometida.

Perguntas frequentes

O BlueMoon afeta apenas grupos ligados à China?

Não dá para afirmar isso com base no material disponível. A primeira atividade foi atribuída ao APT31, e a maioria dos clusters teria possível ligação com a China, mas parte do uso segue sem atribuição definida.

Google Chrome e Microsoft Windows já receberam correções?

Sim. A CVE-2026-85046 foi corrigida pelo Google e a CVE-2026-85880 foi tratada pela Microsoft no Patch Tuesday de setembro de 2026.

O que é um “patch-gap” zero-day?

É a situação em que a correção já aparece no código público do projeto, mas ainda não chegou à versão estável usada pelas pessoas. Esse intervalo é justamente o que invasores atentos costumam explorar.

Conheca: Cofre Corporativo de MFA, Gestao de Acesso, Autenticacao Forte. mfa2go.com

Fontes:
https://thehackernews.com/2026/09/four-spy-groups-used-same-chrome-and.html