Le kit BlueMoon a été utilisé par l’acteur TA412 le 28 août 2026.

REX Cyber · Veille du 2026-09-09. Faits attribués à Proofpoint.

Le kit BlueMoon a été utilisé par l'acteur TA412 le 28 août 2026.

Ce qui s’est passé

Les auteurs de Proofpoint rapportent les constatations suivantes :

• Le kit BlueMoon a été utilisé par l'acteur TA412 le 28 août 2026.
• Le kit BlueMoon exploite la vulnérabilité de type-confusion CVE-2026-85046 dans le moteur V8 de Chromium.
• Proofpoint a identifié en septembre 2026 plusieurs acteurs d’espionnage adoptant rapidement le kit d’exploitation BlueMoon.

Acteurs et cibles

Acteurs rapportés

Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.

Cibles rapportées

Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.

Relations explicites de renseignement

• Cibles associées : Air transport ; Finance ; Government and administrations ; Manufacturing ; Non-Governmental Organizations (NGOs)

Ces relations publiques sont liées au rapport. Elles peuvent décrire une activité plus large que l’événement résumé ci-dessus.

Repère temporel cité par la source : 28 August 2026.

Contexte temporel — extrait de Proofpoint : The first observed cluster using the BlueMoon exploit kit was the China-aligned threat actor TA412 (JungleBamboo, Violet Typhoon, APT31, TIDE CASTLE) on 28 August 2026. Within days, several other espionage-motivated clusters began using BlueMoon, the majority of which have a suspected China nexus. However, BlueMoon may not be exclusive to China-aligned actors, as some usage remains unattributed and there are also potentially more actors using the exploit kit.

Vulnérabilités associées dans les données

CVE-2026-85046, CVE-2026-85880

Ces associations de renseignement ne prouvent pas que chaque vulnérabilité a été exploitée dans cet incident. Le déroulé ci-dessus précise les faits rapportés par la source.

MITRE ATT&CK

Techniques directement associées au rapport

Aucune technique MITRE structurée directement associée à ce rapport dans les données disponibles.

Répertoire associé aux acteurs et aux malwares

Les techniques suivantes sont liées à une entité présente dans le rapport. Cette association décrit son répertoire connu ; elle ne prouve pas leur emploi dans cet incident.

ShadowPad – S0596

Les identifiants proviennent des objets de renseignement. Les champs absents sont signalés ; aucune technique n’est ajoutée par déduction du texte.

Les libellés, tactiques et statuts sont complétés par le catalogue officiel ATT&CK consulté le 2026-10-10T03:53:01Z. Un remplacement officiel conserve l’identifiant d’origine de la source et ne crée pas une nouvelle preuve d’incident.

Entités et contexte du rapport

• Vulnérabilité : CVE-2026-85046 ; confiance : 80/100
• Secteur : Non-Governmental Organizations (NGOs) ; alias : Charitable Organizations, Environmental, Human Rights, Humanitarian, NGO, Non-Profit ; confiance : 100/100
• Vulnérabilité : CVE-2026-85880 ; confiance : 80/100
• Malware : GemStone ; is_family : False ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
• Secteur : Finance ; alias : Financial, Financial Industry (FI), Financial Services, Financial-Services ; confiance : 100/100
• Secteur : Manufacturing ; alias : ICS, Industrial Control Systems, Utilities, industrial ; confiance : 100/100
• Secteur : Air transport ; alias : Aerospace, Airline, Aviation, Satellite, Satellite and communications ; confiance : 100/100
• Secteur : Civil society ; confiance : 100/100
• Secteur : Transport ; alias : Shipping, Transportation ; confiance : 100/100
• Malware : BlueMoon ; is_family : False ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
• Secteur : Government and administrations ; alias : Election, Government, Voting ; confiance : 100/100
• Malware : ShadowPad – S0596 ; is_family : False ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z

Cette liste présente les objets associés par la source. La présence d’un pays, d’un secteur, d’un outil ou d’une CVE ne suffit pas à établir son rôle dans le cas. Les acteurs et les cibles confirmés par le récit sont précisés plus haut.

Relations entre les entités nommées

IOC et observables pour la recherche

64 valeurs typées issues des objets publics du rapport. Les valeurs ci-dessous sont neutralisées pour éviter les liens actifs. L’export CSV conserve les valeurs exactes.

Statuts de validité calculés au 2026-10-10T03:52:55+00:00, à partir du snapshot collecté. Ils doivent être réévalués avant un usage opérationnel ultérieur.

La confiance est le score de la source sur 100 ; elle n’est pas une probabilité de compromission.

Affichage des 20 premières valeurs ; les exports contiennent la liste complète.

Télécharger les IOC en CSV · Lire les IOC neutralisés (TXT) · Télécharger les renseignements structurés (JSON)

Comment utiliser les exports

Le CSV sert à rechercher les valeurs dans les journaux DNS, proxy, réseau et EDR selon leur type. La présence d’un observable dans un rapport ne suffit pas à justifier son blocage. Les indicateurs révoqués ou expirés sont conservés pour la recherche historique, avec leur statut.

Couverture et provenance

Rapport publié le 2026-09-09T11:12:35.039Z ; 172 objets publics et 343 relations publiques explicitement associées. Pagination complète. Une entité mentionnée n’établit pas, à elle seule, une attribution ou un ciblage. 32 patterns non pris en charge ou valeurs invalides ont été exclus de l’export. La fiche est générée automatiquement depuis les données du rapport et ses références publiques ; elle ne décrit pas un incident observé chez Gringao.

Texte de la source publique lu : extrait de 11346 caractères retenu, dans la limite de 12000 caractères. Le récit est vérifié sur cet extrait.

• Titre source : Once in a BlueMoon: Multiple State-Aligned Threat Actors Rapidly Adopt Novel Exploit Chain Using Chrome and Windows Zero-Days
• Types de rapport : threat-report
• Labels : bluemoon, browser-extension, gemstone, shadowpad
• Confiance du rapport : 50/100
• Création déclarée par la source : 2026-09-09T11:12:35.039Z
• Modification déclarée par la source : 2026-09-26T02:56:29.497Z
• Import de l’objet de renseignement : 2026-09-26T02:56:14.381Z
• Mise à jour de l’objet de renseignement : 2026-09-26T02:56:29.497Z

Le JSON rassemble les métadonnées, les alias, les attributs structurés, les références, les relations, les techniques MITRE et tous les IOC retenus. Les dates d’import et de mise à jour sont distinctes de la date d’incident.

Source

Once in a BlueMoon: Multiple State-Aligned Threat Actors Rapidly Adopt Novel Exploit Chain Using Chrome and Windows Zero-Days — Proofpoint.