Um clique bastou: o kit BlueMoon encadeia falhas do Chrome e do Windows

Quatro grupos de espionagem digital passaram a usar, em pouco mais de duas semanas, o mesmo conjunto de exploits contra utilizadores do Chrome em Windows. A Proofpoint publicou uma análise detalhada de um kit de exploração para Chrome e Windows que designa por BlueMoon, adotado por quatro atores estatais no espaço de cerca de duas semanas após a primeira utilização observada, com contributos do Google Threat Intelligence Group, do MSTIC da Microsoft e da Volexity para a investigação. A cadeia parte de um simples link enviado por email e termina com código a correr fora da sandbox do navegador — sem descarregar anexos nem pedir credenciais à vítima.

O que é o BlueMoon e como funciona a cadeia

A Proofpoint identificou quatro atores motivados por espionagem a utilizar o novo kit BlueMoon em ataques dirigidos, numa cadeia que explora duas falhas do navegador Chrome a par de uma vulnerabilidade de elevação de privilégios no Windows. O vetor de entrada foi consistente: emails de spearphishing com links que, uma vez abertos, comprometiam o navegador sem qualquer aviso ao utilizador.

A cadeia tem três andares. O primeiro é uma falha de confusão de tipos no motor JavaScript V8 do Chromium, identificada como CVE-2026-85046, que permite execução remota de código dentro do processo renderer do navegador ao abusar de um erro de otimização no compilador JIT do V8. Segue-se uma fuga da sandbox do V8: a Volexity identificou essa segunda falha como CVE-2026-87491, antes de a cadeia recorrer à falha de elevação de privilégios do Windows CVE-2026-85880. Esta última recorre a mecanismos de Advanced Local Procedure Call e Windows Notification Facility para obter leitura e escrita ao nível do kernel e elevar privilégios a partir do processo do navegador.

Depois de conseguir a elevação, o kit não se esconde particularmente bem. Uma DLL reflexiva recolhe a versão e o build do Windows, o nível de integridade do token e detalhes da kernelbase.dll antes de decidir acionar o exploit do kernel; depois da elevação, injeta um stub de CreateProcess no processo broker do Chrome e, na configuração por omissão, descarrega um executável para o diretório temporário da vítima com curl e executa-o. Esse comportamento ruidoso cria várias oportunidades de deteção para produtos de endpoint, o que sugere que a rapidez de utilização terá tido prioridade sobre a discrição operacional.

As três vulnerabilidades e as versões corrigidas

A falha CVE-2026-85046 é um erro de confusão de tipos de gravidade elevada no V8, com CVSS 8.8, reportada pelo investigador Salvatore Gulizia a 4 de agosto de 2026 e recompensada com 1000 dólares; a Google confirmou a existência de um exploit ativo, mas reteve os detalhes técnicos. A correção seguiu nas versões 152.0.7977.82/.83 para Windows e macOS e 152.0.7977.82 para Linux, com distribuição faseada nos dias seguintes. Quanto à segunda falha do V8, a descrição na NVD indica escrita fora de limites em versões anteriores à 153.0.8010.36, permitindo execução de código dentro da sandbox através de uma página HTML manipulada; foi reportada a 6 de agosto de 2026 por Jihyeon Jeong, do Compsec Lab da Universidade Nacional de Seul, com uma recompensa de 2500 dólares.

Do lado da Microsoft, a CVE-2026-85880 combina um heap-based buffer overflow com a utilização de um recurso não inicializado, permitindo a quem já executa código dentro de um AppContainer escapar da sandbox e obter privilégios SYSTEM; tem CVSS 7.8 e afeta um leque alargado de versões do Windows. A vulnerabilidade foi creditada a investigadores da Volexity e da Proofpoint. Segundo a investigação, a fase de elevação de privilégios incide sobre versões mais antigas, incluindo builds 17763 e 19041–19045 do Windows 10, Windows Server 2019 e 2022 e Windows 11 21H2.

Cronologia: nove dias entre o primeiro ataque e a adoção generalizada

A atividade foi observada pela primeira vez a 28 de agosto de 2026 e pelo menos quatro clusters adotaram o kit, a maioria com suspeita de ligação à China; o utilizador inicial foi o TA412 — também conhecido por JungleBamboo, Violet Typhoon, APT31 e TIDE CASTLE — e, em poucos dias, os clusters UNK_LateNight, UNK_DoubleCheck e UNK_QuietRacket começaram a usar a mesma cadeia. A Volexity detetou atividade maliciosa através do seu serviço de monitorização de segurança de rede a 1 de setembro de 2026, numa campanha de spearphishing de um ator chinês que segue como UTA0560 contra clientes em várias organizações não governamentais.

Alvos e cargas maliciosas: da falsa extensão Gemini ao ShadowPad

O TA412 usou iscos que se faziam passar por estagiários universitários e convites para conferências académicas, dirigidos a ONG norte-americanas, empresas mineiras e traders de matérias-primas, acabando por instalar uma extensão maliciosa disfarçada de «Google Gemini» que a Proofpoint segue como GemStone e que funciona como backdoor de vigilância do navegador, com registo de teclas, roubo de cookies, capturas de ecrã e pedidos HTTP arbitrários. Para instalar a extensão, os atacantes contornaram as proteções Secure Preferences do Chromium, calculando somas de verificação criptográficas válidas com base no identificador de segurança do utilizador, de modo a que o navegador carregasse a extensão sem apresentar avisos.

A 2 de setembro, o UNK_LateNight visou empresas norte-americanas de aeroespacial e defesa com falsos pedidos de cotação, entregando o backdoor modular ShadowPad através de uma cadeia de DLL sideloading que cria uma tarefa agendada chamada «EdgeCore_AutoUpdate» para persistência; no mesmo dia, o UNK_DoubleCheck atacou uma empresa industrial vietnamita a partir de um endereço de correio governamental comprometido no Sudeste Asiático. A partir de 3 de setembro, o UNK_QuietRacket, alinhado com a China, dirigiu iscos a organizações governamentais, de consultoria e do setor financeiro na Indonésia e em Singapura, com uma versão modificada do kit que descarrega um par de ficheiros para DLL sideloading; a DLL maliciosa comunica com domínios Cloudflare Workers para obter e executar em memória um assembly .NET. A Proofpoint não atribuiu o UNK_DoubleCheck a nenhum país, avaliando apenas que se trata muito provavelmente de atividade motivada por espionagem.

«Patch gap»: exploits construídos a partir de correções públicas

O detalhe mais relevante para quem gere parques informáticos não é a sofisticação, é a origem dos exploits. As duas falhas do V8 terão sido zero-days de «patch gap»: já estavam corrigidas no código-fonte público do Chromium, mas ainda não tinham chegado às versões estáveis do Chrome e dos navegadores baseados em Chromium, e suspeita-se que o autor do kit acompanhasse de perto os commits públicos para montar a cadeia. Na prática, isso terá dado ao criador do exploit cerca de quatro semanas para fazer engenharia inversa da correção antes de os utilizadores finais a receberem.

É também isso que explica a velocidade de propagação entre grupos distintos. A adoção rápida por vários atores sugere um fornecedor centralizado ou um «digital quartermaster» partilhado. A Proofpoint sublinha que uma cadeia de exploração totalmente operacional para o Chrome era historicamente uma capacidade rara e de elevado valor, e admite que isto possa refletir uma redução de custo e de barreira à entrada para este tipo de capacidade, à medida que agentes de IA facilitam o desenvolvimento de exploits por parte dos atacantes.

Indicadores e sinais de deteção a procurar

• Processos do navegador a invocar curl e a escrever executáveis no diretório temporário do utilizador.
• Tarefa agendada com o nome EdgeCore_AutoUpdate, associada à cadeia de DLL sideloading do ShadowPad.
• Extensões de Chrome não aprovadas que imitem assistentes de IA, em particular a extensão seguida como GemStone.
• Tráfego de command and control para domínios Cloudflare Workers e utilização anómala de DNS-over-HTTPS a partir de endpoints.
• Alterações inesperadas ao ficheiro de Secure Preferences do Chromium.

O que fazer agora

• Forçar a atualização do Chrome e reiniciar o navegador, confirmando a versão em execução: o canal estável deve reportar 152.0.7977.82 ou posterior, e idealmente já a linha 153 que corrige a fuga da sandbox.
• Mapear os restantes navegadores baseados em Chromium para as versões dos respetivos fabricantes que incorporam a mesma correção do V8.
• Aplicar as atualizações Microsoft de setembro de 2026, com prioridade para os builds mais antigos de Windows 10 e Windows Server.
• Rever o inventário de extensões de navegador e restringir instalações por política.
• Fazer caça retrospetiva a atividade suspeita em máquinas que estiveram por atualizar entre finais de agosto e início de setembro.

Porque é que isto importa em Portugal

Nenhuma vítima portuguesa foi identificada publicamente, mas o modelo de ataque é diretamente transponível. Os alvos observados — ONG, indústria, consultoras, setor financeiro e cadeia de fornecimento de defesa — correspondem a perfis existentes no tecido empresarial nacional, e o vetor é um simples link num email. Para entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), casos como este tocam obrigações concretas: gestão de vulnerabilidades e de atualizações, deteção e resposta a incidentes e notificação ao CNCS através da equipa nacional de resposta, o CERT.PT, dentro dos prazos legais aplicáveis.

Há ainda uma dimensão de proteção de dados. Uma extensão maliciosa que capture teclas, cookies, sessões e histórico de navegação implica, na prática, acesso a dados pessoais de colaboradores, clientes e parceiros — cenário que, ocorrendo em Portugal, obriga à avaliação de uma violação de dados pessoais ao abrigo do RGPD e, se houver risco para os titulares, à notificação da CNPD. Para PME sem equipa de segurança dedicada, a lição operacional é modesta mas eficaz: atualizações automáticas do navegador realmente aplicadas (com reinício), sistemas operativos suportados e controlo das extensões instaladas eliminam a maior parte da superfície explorada por esta campanha.

Perguntas frequentes

Basta atualizar o Chrome para ficar protegido?

Atualizar o navegador quebra o início da cadeia, mas a proteção só é completa com as atualizações do Windows de setembro de 2026, que corrigem a falha de elevação de privilégios no ALPC. É essencial reiniciar o Chrome para que o processo atualizado passe efetivamente a correr.

Quem está a ser atacado com o BlueMoon?

Foram observadas campanhas contra organizações não governamentais, empresas mineiras e de negociação de matérias-primas nos Estados Unidos, empresas aeroespaciais e de defesa, indústria no Vietname e entidades governamentais, de consultoria e financeiras na Indonésia e em Singapura.

O que é um zero-day de «patch gap»?

É uma falha já corrigida no código-fonte público de um projeto aberto, como o Chromium, mas ainda não distribuída nas versões estáveis instaladas pelos utilizadores. Esse intervalo permite a quem acompanha as alterações de código construir um exploit antes de a correção chegar aos utilizadores.

O Firefox e o Safari também estão afetados?

As falhas do V8 afetam o Chrome e outros navegadores baseados em Chromium, como Edge, Brave, Opera e Vivaldi, até cada fabricante distribuir a sua própria atualização. O Firefox e o Safari usam motores JavaScript diferentes e não são afetados por estas falhas específicas.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Proofpoint, pela Volexity, pela Google e pela Microsoft.