BlueMoon: exploit kit 0-day rapidamente adottato in campagne di spionaggio

Tra la fine di agosto e l’inizio di settembre 2026 è stato osservato BlueMoon, un nuovo exploit kit impiegato da gruppi orientati allo spionaggio in campagne di spear phishing mirate. Il primo utilizzo noto risale al 28 agosto, quando il gruppo state-sponsored cinese APT31 lo ha utilizzato contro un numero limitato di ONG, aziende minerarie e società statunitensi attive nel commercio di materie prime.

Nei giorni successivi BlueMoon è stato adottato anche da UTA0560, UNK_LateNight, UNK_DoubleCheck e UNK_QuietRacket. La maggior parte dei gruppi osservati presenta un sospetto collegamento con la Cina, ma alcuni utilizzi rimangono non attribuiti e potrebbero esistere ulteriori avversari che impiegano lo stesso exploit kit. BlueMoon concatena tre vulnerabilità. La prima, CVE-2026-85046 (CVSS 8.8), è una Type Confusion nel motore JavaScript V8 di Chromium che consente l’esecuzione di codice nel renderer. La seconda, CVE-2026-87491 (CVSS 8.8), è una vulnerabilità di sandbox escape in V8 classificata come Out-of-bounds Write e, infine, la terza, CVE-2026-85880 (CVSS 7.8), è una vulnerabilità di Privilege Escalation nel kernel Windows presente in build meno recenti e utilizzata per uscire dal processo renderer e ottenere privilegi elevati. Completata la catena, BlueMoon consente l’esecuzione di un comando scelto dall’attaccante e il successivo caricamento del payload sul sistema compromesso.

Le due vulnerabilità V8 erano 0-day di tipo patch-gap: le correzioni erano già disponibili pubblicamente nel codice sorgente upstream di Chromium, ma non erano ancora state distribuite nelle versioni stabili di Chrome e degli altri browser basati su Chromium. Si ritiene probabile che lo sviluppatore di BlueMoon abbia utilizzato queste patch pubbliche per trasformare rapidamente le vulnerabilità in un’exploit chain funzionante. Le campagne hanno distribuito payload differenti. Almeno dal 28 agosto scorso, APT31 ha colpito un numero limitato di ONG, aziende minerarie e società statunitensi attive nel commercio di materie prime.

L’APT di Pechino, tramite un loader chiamato SUPERSTOMP, ha installato GemStone (LONGTALE), un’estensione malevola per browser Chromium camuffata da Google Gemini e progettata per raccogliere cookie, dati dello storage, sequenze di tasti, informazioni sulla navigazione e screenshot. A partire dal 1° settembre 2026, UTA0560 è stato osservato in operazioni contro diverse ONG nelle quali distribuiva una catena di loader culminante in GRIMWEDGE, una backdoor JScript eseguita in memoria con funzionalità di ricognizione, gestione di file e processi, esecuzione di comandi e caricamento di ulteriori payload.

Dal 2 settembre, UNK_LateNight ha preso di mira aziende aerospaziali statunitensi con esche B2B e richieste di preventivo legate alla base industriale della difesa, distribuendo ShadowPad. Nello stesso periodo, UNK_DoubleCheck ha colpito un’azienda manifatturiera vietnamita tramite un account governativo del Sudest asiatico compromesso, mentre dal 3 settembre UNK_QuietRacket, sospettato di essere allineato alla Cina, ha preso di mira organizzazioni governative, finanziarie e di consulenza in Indonesia e Singapore.

Non è noto come i diversi gruppi abbiano ottenuto accesso a BlueMoon. Considerata la facilità con cui è stato adottato, si ritiene probabile una sua ulteriore diffusione tra avversari orientati sia allo spionaggio sia al profitto, mentre le versioni corrette vengono progressivamente distribuite sui browser basati su Chromium. Google ha corretto CVE-2026-85046 e CVE-2026-87491 rispettivamente il 3 e l’8 settembre, mentre Microsoft ha sanato CVE-2026-85880 l’8 settembre.

APT: notizie inedite riguardanti Corea del Nord, Pakistan, Cina e Turchia

Due organizzazioni sudcoreane dei settori automotive e media sono state target di una campagna orientata alla sorveglianza e allo spionaggio di lungo periodo che ha sfruttato un toolkit Linux composto principalmente da una backdoor chiamata Ted, da un RAT basato su curl denominato curlRAT, da uno stager e da un keylogger SSH, oltre a versioni trojanizzate di crond, agetty, atd, sshd e polkitd. Parte dell’infrastruttura C2 risulta già associata a ScarCruft, ma le evidenze disponibili non consentono di attribuire con certezza la campagna a uno specifico gruppo nordcoreano. Sempre ScarCruft ha condotto la campagna Operation GitPower, rivolta a personale di banche, assicurazioni e aziende in Corea del Sud, progettata per garantirsi l’accesso persistente ai computer delle vittime.

In alcuni PDF di phishing i campi Creator e Producer recano la scritta opencode riconducibile all’omonimo agente AI. Infine, una recente analisi delle capacità cyber della Corea del Nord conferma un apparato articolato, parte integrante della strategia statale e impiegato per attività di intelligence, elusione delle sanzioni e generazione di entrate e fornisce elementi inediti. Spostandoci in Pakistan, Barmanou ha condotto una campagna contro target indiani del settore governativo, della Difesa e diplomatico, volta a ottenere controllo persistente e sottrazione di dati tramite il dispiegamento del RAT Crimson e di un RAT custom.

Passando in Cina, il gruppo di spionaggio UNC3569 ha sfruttato CVE-2026-51990 in Sogou Input Method per distribuire una backdoor in C++ chiamata GRAYRABBIT attraverso una catena di compromissione one-click. La catena sfrutta inoltre CVE-2021-38003 nel motore Chromium integrato per ottenere esecuzione di codice e caricare in memoria il payload finale.

L’exploit consente l’esecuzione di uno shellcode che scarica un 7z.exe legittimo, una DLL trojanizzata e un payload cifrato contenente GRAYRABBIT, il payload finale della catena. Da ultimo, Apple ha inviato notifiche agli iPhone di almeno tre ministri turchi avvertendoli che potrebbero essere stati presi di mira da spyware mercenario. Secondo quanto riferito a media locali da un funzionario turco, le autorità di Ankara ritengono falliti i tentativi di compromissione, ma la Presidenza della Cybersicurezza, di recente istituzione in Turchia, ha esaminato i telefoni, li ha sostituiti e ha introdotto ulteriori misure di sicurezza. Non è chiaro quale strumento sia stato usato. Nel 2021 alti funzionari turchi erano già stati oggetto di presunti attacchi con lo spyware Pegasus dell’israeliana NSO Group.

Cybercrime: campagne cyber globali, oltre ad attività di phishing e ransomware con target Italia

Un gruppo finanziariamente motivato chiamato Toy Ghouls (Bearlyfy, Laboo.boo, Feral Wolf) ha colpito organizzazioni russe tramite un ransomware proprietario nominato GenieLocker e, dall’inizio di luglio 2026, impiegando una backdoor custom tracciata in due diverse varianti (HiveMQ e Element).

Un avversario noto come BREEZE COMET (alias UNC5669) è stato osservato colpire dal 2024 organizzazioni brasiliane di servizi finanziari, retail ed e-commerce tramite backdoor custom, tool di remote management e malware di tunneling, al fine di manipolare software bancari e sistemi di pagamento per eseguire bonifici illeciti a nome di enti già abilitati a operare sulla Rede Nacional do Setor Financeiro.

Nell’aprile 2026, ricercatori di sicurezza hanno osservato un attaccante presumibilmente russo chiamato UAT-10820 condurre un’operazione mirata al furto di credenziali e dati di criptovaluta tramite il rilascio di Amatera Stealer.

Spostandoci in Italia, sono state tracciate campagne di phishing con campagne con le seguenti caratteristiche: SMS utilizzano come pretesto una presunta consegna non riuscita di BRT e invitano il destinatario ad accedere a un link presente nel testo per riprogrammare la spedizione, al fine di raccogliere dati personali e informazioni di pagamento; un’e-mail a tema Registro Imprese invita a effettuare un aggiornamento dei dati anagrafici e societari tramite un link presente nel testo che indirizza verso un sito volto a esfiltrare informazioni personali e coordinate bancarie. Sul campo ransomware, The Gentlemen ha rivendicato la compromissione di Abaco Viaggi S.r.l., tour operator operativo in Friuli Venezia Giulia e Veneto; mentre SAFEPAY di Gruppo Assiprime (Assiprime 2020 S.r.l.), società di servizi assicurativi e finanziari con sede principale a Piacenza, specializzata in polizze su misura e consulenza per imprese e privati.

Weekly Threats Report è l’aggiornamento settimanale di Telsy con le principali novità sugli attacchi cyber e sui threat actor a livello globale, realizzato dal nostro team di Threat Intelligence & Response.

Il team è composto da analisti e ricercatori di sicurezza con competenze tecniche e investigative e un’esperienza riconosciuta in ambito internazionale.

Attraverso il monitoraggio costante di minacce cibernetiche ed eventi geopolitici, produce e fornisce alle organizzazioni informazioni utili per anticipare gli attacchi e comprenderne la portata, potendo contare su un partner affidabile in caso di incidente informatico.

Scopri di più sulla nostra soluzione di Cyber Threat Intelligence