Cuatro grupos están utilizando el mismo kit de explotación para Chrome y Windows
Investigadores de la firma de seguridad Proofpoint han descubierto que al menos cuatro grupos de ciberatacantes están utilizando un kit de explotación casi idéntico para aprovechar vulnerabilidades críticas en navegadores basados en Chromium y versiones antiguas de Windows. Este kit, denominado BlueMoon, combina tres vulnerabilidades para permitir a los atacantes instalar malware a su antojo.
El kit BlueMoon explota dos vulnerabilidades en Chromium y una en el kernel de Windows 10 (actualización de octubre de 2018), Windows Server 2019, Windows 10 versión 2004, Windows Server 2022 y la versión inicial de Windows 11. Todas estas vulnerabilidades han sido parcheadas en las últimas 24 horas, lo cual indica una rápida reacción por parte de los fabricantes de software ante la amenaza detectada.
La rapidez con la que se desplegó este kit, junto con su difusión entre múltiples actores maliciosos, sugiere que factores como las brechas de tiempo entre la publicación de parches y la implementación de estos, así como el uso creciente de inteligencia artificial en la identificación de vulnerabilidades, están contribuyendo a una mayor accesibilidad de herramientas de ataque.
Según Proofpoint, la capacidad de desarrollar un exploit completo para Chrome ha sido históricamente un recurso valioso y escaso. Sin embargo, BlueMoon fue desarrollado, desplegado y compartido rápidamente entre varios grupos de amenazas en cuestión de días. Esto podría reflejar una disminución en los costos y barreras de entrada para este tipo de capacidades, impulsadas por agentes de IA que facilitan el desarrollo de exploits.
Este fenómeno es especialmente relevante en código fuente abierto, como Chromium, donde los parches son públicos antes de ser aplicados por los consumidores del código. Esta ventana de oportunidad permite a los atacantes realizar ingeniería inversa de los parches y desarrollar exploits antes de que los sistemas estables los reciban.
Los cuatro grupos identificados han atacado una amplia gama de organizaciones y empresas. Entre ellos se encuentra TA412, un grupo de ciberespionaje alineado con China, que fue procesado por el gobierno estadounidense en 2024 por sus actividades en nombre de la agencia china de inteligencia extranjera civil. Este grupo ha atacado principalmente organizaciones no gubernamentales, empresas mineras y compañías dedicadas al comercio de materias primas en Estados Unidos.
Otro grupo, UNK_LateNight, también vinculado a China, se enfocó en múltiples empresas aeroespaciales en Estados Unidos. Por su parte, UNK_DoubleCheck atacó una empresa manufacturera vietnamita, mientras que UNK_QuietRacket realizó actividades en Singapur e Indonesia.
El primer ataque fue atribuido a TA412 y comenzó el 28 de agosto. Los demás ataques se registraron a principios de este mes. Aunque no se sabe si otros grupos también accedieron al kit de explotación, la naturaleza compartida de BlueMoon indica que podría haberse propagado más allá de los grupos inicialmente identificados.
Las vulnerabilidades en Chrome afectan al motor JavaScript V8 de Google. Una de ellas es un error de confusión de tipos, mientras que la otra permite escapar del sandbox del navegador. Estas vulnerabilidades permiten a los atacantes ejecutar código remoto. Luego, se utiliza una vulnerabilidad de elevación de privilegios local en versiones antiguas de Windows para ejecutar el código malicioso con derechos de sistema.
La primera vulnerabilidad en V8 está catalogada como CVE-2026-85046, mientras que la vulnerabilidad en Windows se rastrea bajo CVE-2026-85880. Es importante destacar que Google no asigna números CVE a los escapes de sandbox en V8, lo que complica su identificación y mitigación.
Traducción y adaptación por Tecnología 365.
Fuente original: Ars Technica
