Exploit-Kit

🔍 Contexte Publié le 21 septembre 2026 par PolySwarm (The Hivemind), cet article s’appuie sur des recherches de Proofpoint pour documenter l’émergence et la diffusion rapide de BlueMoon, un nouvel exploit kit d’espionnage observé pour la première fois fin août 2026. 🧰 Description de BlueMoon BlueMoon est un exploit kit chaînant trois vulnérabilités pour compromettre des systèmes Windows via le navigateur : CVE-2026-85046 : type-confusion dans le moteur V8 de Chromium (exploitation navigateur) CVE-2026-87491 : out-of-bounds write dans V8 (sandbox escape) CVE-2026-85880 : élévation de privilèges locale dans le noyau Windows (LPE) Les deux vulnérabilités V8 étaient des patch-gap zero-days : les correctifs existaient dans le code source Chromium upstream mais n’avaient pas encore été intégrés aux versions stables. CVE-2026-85046 a créé une fenêtre d’exploitation de près de quatre semaines. ...

🌐 Contexte Publié le 10 septembre 2026 sur SecurityAffairs, cet article relaie une analyse détaillée de Proofpoint, avec contributions de Google Threat Intelligence Group, Microsoft MSTIC et Volexity, portant sur un kit d’exploitation baptisé BlueMoon utilisé par quatre acteurs étatiques distincts en moins de deux semaines. 🔧 Description technique du kit BlueMoon BlueMoon chaîne trois vulnérabilités : CVE-2026-85046 : bug de type-confusion dans le moteur JavaScript V8 de Chrome (compilateur JIT TurboFan), permettant lecture/écriture arbitraire dans le tas V8 Échappement du sandbox V8 (sans CVE) : écrasement de corps de fonctions WebAssembly compilées avec du shellcode attaquant CVE-2026-85880 : élévation de privilèges locale dans le noyau Windows via ALPC et Windows Notification Facility, permettant l’injection de code dans le processus parent de Chrome Les deux vulnérabilités V8 étaient des zero-days de type « patch-gap » : corrigées dans le code source Chromium upstream (commit du 7 août 2026) mais non encore intégrées dans les versions stables de Chrome avant le 3 septembre 2026. Le payload par défaut utilise curl pour télécharger un exécutable dans %TEMP% et l’exécuter. ...

🔍 Contexte Publié le 8 septembre 2026 par l’équipe Threat Research de Proofpoint, en collaboration avec Google GTIG, Microsoft MSTIC et Volexity, ce rapport documente la découverte et l’adoption rapide du kit d’exploitation BlueMoon par plusieurs acteurs de menace alignés sur des États, principalement la Chine, entre fin août et début septembre 2026. 🧩 Description de BlueMoon BlueMoon est un exploit kit chaînant trois vulnérabilités : CVE-2026-85046 : confusion de type dans le moteur V8 de Chromium (RCE dans le renderer) CVE-2026-87491 : échappement du sandbox V8 via corruption de métadonnées WebAssembly CVE-2026-85880 : élévation de privilèges locale (LPE) dans le noyau Windows via ALPC/WNF, ciblant des builds Windows anciens (10 1809, 20H2, 21H2, 22H2, Server 2019/2022, Windows 11 21H2) Les deux vulnérabilités V8 étaient des patch-gap zero-days : corrigées dans le code source Chromium upstream mais non encore déployées dans les versions stables publiques. Le LPE Windows présente un timestamp de compilation datant de 2025, suggérant une réutilisation d’une capacité existante. ...

🔍 Contexte Publié le 1 avril 2026 par BleepingComputer, cet article couvre la réponse d’Apple à l’exploitation active du kit d’exploit DarkSword, ciblant les iPhones sous iOS 18.4 à 18.7. La mise à jour iOS 18.7.7 a été étendue à un plus grand nombre d’appareils le 1er avril 2026. 🎯 Le kit d’exploit DarkSword Dévoilé en mars 2026 par des chercheurs de Lookout, iVerify et Google Threat Intelligence (GTIG), DarkSword exploite six vulnérabilités : ...

🔍 Contexte Source : TechCrunch, publié le 23 mars 2026. Des chercheurs en cybersécurité ont signalé la publication publique sur GitHub d’un kit d’exploit baptisé “DarkSword”, ciblant les utilisateurs d’iPhone fonctionnant sous des versions obsolètes d’iOS. 💣 Nature de la menace Le kit d’exploit DarkSword a été rendu publiquement accessible, ce qui signifie que des hackers et cybercriminels peuvent désormais l’utiliser librement pour compromettre des appareils Apple vulnérables. L’objectif déclaré est le déploiement de spywares sur les appareils ciblés. ...

🔍 Contexte Publié le 19 mars 2026 par Security Affairs, cet article relaie un rapport de Lookout Threat Labs, en collaboration avec iVerify et Google GTIG, portant sur la découverte d’un nouveau kit d’exploitation iOS baptisé DarkSword, actif depuis fin 2025. 🛠️ Description du toolkit DarkSword est un kit d’exploitation iOS permettant une compromission complète de l’appareil via une chaîne de six vulnérabilités, dont trois zero-days : CVE-2025-31277 – Corruption mémoire JavaScriptCore (CVSS 8.8) CVE-2026-20700 – Contournement PAC via dyld (CVSS 8.6) (zero-day) CVE-2025-43529 – Corruption mémoire JavaScriptCore (CVSS 8.8) (zero-day) CVE-2025-14174 – Corruption mémoire ANGLE (CVSS 8.8) (zero-day) CVE-2025-43510 – Problème mémoire noyau iOS (CVSS 8.6) CVE-2025-43520 – Corruption mémoire noyau iOS (CVSS 8.6) Le kit cible les iPhones sous iOS 18.4 à 18.7 et nécessite une interaction utilisateur minimale (near zero-click). ...

Source et contexte — nadsec.online (par NadSec) publie en mars 2026 une rétro‑ingénierie de 28 modules JavaScript du kit d’exploits iOS « Coruna », complémentaire aux rapports de Google Threat Intelligence Group et iVerify (03/03/2026). L’étude (6 630 lignes) reconstitue, depuis le JavaScript obfusqué, une chaîne complète visant iOS 16.0–17.2, détaillant 8 vulnérabilités (WebKit RCE, PAC bypass, JIT cage escape, sandbox escape), jusqu’au binaire kernel récupéré dans la nature. Principaux résultats techniques ...

Source : Google Cloud Blog (Google Threat Intelligence Group), 3 mars 2026. GTIG documente “Coruna”, un kit d’exploits iOS d’un haut niveau technique, comprenant 5 chaînes complètes et 23 exploits couvrant iOS 13.0 à 17.2.1. Observé en 2025, il a d’abord été employé par un client d’un vendeur de surveillance, puis par UNC6353 (groupe d’espionnage présumé russe) dans des attaques par watering hole visant des utilisateurs ukrainiens, avant d’être récupéré et déployé massivement par UNC6691 (acteur financier basé en Chine) via de faux sites crypto. Le kit n’est pas efficace contre la dernière version d’iOS, et GTIG a ajouté les domaines malveillants à Safe Browsing. ...