Una vulnerabilità sconosciuta di Google Chrome è stata sfruttata da almeno quattro gruppi di spionaggio informatico legati alla Cina per colpire contractor della difesa statunitense, ONG e agenzie governative nel Sud-Est asiatico. L'exploit, denominato BlueMoon, rivela una preoccupante condivisione di strumenti tra gruppi distinti.
La corsa contro il tempo per sfruttare una vulnerabilità zero day di Google Chrome ha visto almeno quattro gruppi di cyber-spionaggio legati alla Cina utilizzare lo stesso kit di exploit, BlueMoon, per infiltrarsi nei sistemi di contractor della difesa USA, ONG e governi del Sud-Est asiatico. La scoperta, resa pubblica da Proofpoint, mette in luce una dinamica inquietante: gruppi apparentemente indipendenti hanno avuto accesso simultaneo a uno strumento d'attacco identico, con codice e variabili perfettamente sovrapponibili.
Non si tratta di sviluppo parallelo o coincidenze. Mark Kelly, threat researcher di Proofpoint, lo afferma senza mezzi termini: "Il codice è praticamente identico - persino i nomi delle variabili e i commenti. È lo stesso kit. Al cento per cento."
Un exploit condiviso tra gruppi rivali
BlueMoon sfrutta due falle del browser unite a una vulnerabilità di Windows, consentendo il pieno controllo del computer della vittima. Il kit, una volta aperta la breccia, scarica malware scelto dal gruppo attaccante tramite un semplice comando curl, lasciando tracce che i software di sicurezza possono intercettare. Questa apparente ingenuità, secondo Kelly, riflette la pressione di agire prima che la patch raggiungesse gli utenti Chrome: "La dinamica del patch gap ha spinto verso la rapidità, non verso la raffinatezza."
La vulnerabilità era già stata corretta nel progetto open source Chromium a inizio agosto, ma il fix ha impiegato quattro settimane per arrivare sulla versione stabile di Chrome. Questo intervallo, il cosiddetto patch gap, ha offerto agli attaccanti una finestra preziosa per analizzare il codice pubblico, individuare la correzione e costruire un exploit funzionante prima che la maggioranza degli utenti fosse protetta.
Obiettivi e tecniche dei gruppi coinvolti
Il primo gruppo identificato, TA412 (noto anche come APT31, Violet Typhoon e RedBravo), ha iniziato a usare BlueMoon già a fine agosto, prendendo di mira ONG statunitensi, aziende minerarie e trader di materie prime con email di finti stage e conferenze accademiche. Il malware installato si camuffava da estensione Gemini di Google, agendo come backdoor per il furto di credenziali e la sorveglianza del browser.
Il secondo gruppo, UNK_LateNight, ha puntato su aziende aerospaziali e della difesa USA con false richieste di procurement, installando il backdoor ShadowPad, già noto per l'uso da parte di hacker statali cinesi. In parallelo, UNK_DoubleCheck ha colpito un produttore vietnamita sfruttando un account email governativo compromesso e un finto appuntamento vaccinale. Proofpoint non attribuisce formalmente questo gruppo a una nazione, ma non esclude un allineamento con la Cina. Infine, UNK_QuietRacket ha preso di mira enti governativi, consulenti e istituzioni finanziarie in Indonesia e Singapore con inviti a conferenze fasulle.
AI e mercato nero degli exploit
Proofpoint ha rilevato tracce di intelligenza artificiale nello sviluppo di BlueMoon: commenti di debug simili a interazioni con strumenti AI e riferimenti a documenti di contesto suggeriscono che l'AI abbia accelerato la trasformazione delle patch pubbliche in exploit funzionanti. Kelly sottolinea che "persone su Twitter stanno già facendo reverse engineering delle patch Chromium usando AI - e ci riescono bene, perché il codice è open source."
Il codice di BlueMoon cita anche la V8 bug-bounty challenge di Google, lasciando intendere che gli sviluppatori abbiano presentato il lavoro a un sistema AI come se fosse ricerca di sicurezza legittima.
Origine e distribuzione dell'exploit
Resta un mistero come gruppi distinti abbiano ottenuto BlueMoon quasi in contemporanea. Una spiegazione plausibile è il modello ShadowPad: uno sviluppatore privato crea l'exploit e lo vende a più clienti statali. Proofpoint non è riuscita a stabilire se BlueMoon provenga da un contractor comune, sia stato distribuito direttamente dallo Stato o circoli su un mercato nero più ampio. "È una rete talmente intricata che è quasi impossibile districarla," ammette Kelly.
La condivisione di exploit tra gruppi cinesi non è una novità. Anche in altri casi, come quanto già documentato su attacchi zero day a piattaforme critiche, la rapidità di sfruttamento delle falle appena corrette ha messo in crisi i modelli di difesa tradizionali.
Conseguenze e prospettive per la sicurezza
La decisione di Google di accelerare il ciclo di rilascio delle patch Chrome a due settimane è una risposta diretta a questa nuova realtà, dove la finestra di vulnerabilità si riduce ma non scompare. La vera minaccia, però, è la crescente professionalizzazione del mercato degli exploit: la capacità di gruppi diversi di accedere agli stessi strumenti avanzati in tempi record, spesso grazie all'AI, rende obsolete molte strategie di difesa.
La lezione è chiara: la sicurezza non può più affidarsi a patch distribuite con ritmi tradizionali né a una netta separazione tra gruppi di attacco. La convergenza tra intelligenza artificiale, mercati grigi e vulnerabilità open source sta riscrivendo le regole del gioco. Chi difende infrastrutture critiche deve prepararsi a una minaccia che si muove più velocemente delle patch e più silenziosamente delle indagini ufficiali.
