Por Canuto  

Un nuevo kit de exploits llamado BlueMoon combina dos fallos de navegadores basados en Chromium con una vulnerabilidad de Windows para atacar organizaciones en Estados Unidos y el Sudeste Asiático. Investigadores de Proofpoint vinculan su uso inicial con grupos de espionaje relacionados con China y advierten que la inteligencia artificial puede estar reduciendo el costo de desarrollar cadenas de ataque antes reservadas para operaciones de alto valor.
***

  • BlueMoon encadena dos vulnerabilidades de V8, un escape del sandbox y un fallo de escalada de privilegios en Windows.
  • Proofpoint observó ataques contra ONG, empresas mineras, firmas aeroespaciales, gobiernos y compañías financieras.
  • Los atacantes instalaron extensiones maliciosas, puertas traseras, herramientas para robar cookies y mecanismos de vigilancia del navegador.

 

Un nuevo kit de exploits denominado BlueMoon está siendo utilizado por al menos cuatro grupos de espionaje para atacar organizaciones de Estados Unidos y del Sudeste Asiático. La cadena combina dos vulnerabilidades en navegadores basados en Chromium con un fallo de Microsoft Windows, una mezcla que permite pasar de un enlace malicioso a la ejecución de cargas útiles dentro de una red comprometida.

Mark Kelly, investigador de amenazas de Proofpoint, dijo que los equipos de seguridad todavía no conocen con precisión a todas las víctimas ni el alcance final de los incidentes. Hasta ahora, la empresa identificó menos de 20 organizaciones atacadas en todo el mundo, aunque el investigador advirtió que la cifra real casi con certeza es mayor y que el daño observado parece limitado, informa The Register.

La actividad también expone un cambio relevante en el mercado clandestino de herramientas ofensivas. Según los investigadores, BlueMoon fue desarrollado, desplegado y compartido entre varios actores en cuestión de días, un ritmo que podría reflejar cómo los agentes de inteligencia artificial reducen las barreras técnicas y económicas para crear exploits contra software ampliamente utilizado.

Una cadena construida sobre la brecha de parches

Proofpoint observó el primer uso de BlueMoon el 28 de agosto, cuando el grupo TA412 atacó repetidamente a organizaciones no gubernamentales, empresas mineras y firmas dedicadas al comercio de materias primas físicas en Estados Unidos. Las autoridades estadounidenses relacionan a TA412, también conocido como Violet Typhoon y APT31, con el Ministerio de Seguridad del Estado de China, mientras que fiscales del país acusaron a siete presuntos integrantes por conspiración para cometer intrusiones informáticas y fraude electrónico.

La primera vulnerabilidad de la cadena, CVE-2026-85046, corresponde a un fallo de confusión de tipos en V8, el motor de JavaScript utilizado por los navegadores Chromium. El error permitía ejecutar código de forma remota y afectaba a Google Chrome, Microsoft Edge y otros navegadores basados en el mismo proyecto, por lo que una víctima podía quedar expuesta simplemente al abrir un enlace preparado por los atacantes.

El segundo componente era un escape del sandbox de V8 en Chrome y otros navegadores Chromium. Google no asigna identificadores CVE a este tipo de escapes, pero el fallo permitía superar una barrera de aislamiento diseñada para impedir que el código de una página accediera libremente al sistema operativo y a otros recursos del equipo.

El tercer eslabón, CVE-2026-85880, era una vulnerabilidad de escalada de privilegios en Windows Advanced Local Procedure Call. Microsoft corrigió el problema en su actualización de seguridad de septiembre y el fallo había sido explotado como un zero-day antes de la actualización, por lo que los clientes que instalaron el parche quedaron protegidos frente a ese componente de la cadena.

Los investigadores describieron las dos vulnerabilidades de V8 como fallos de tipo patch-gap durante el periodo observado. El código fuente upstream de Chromium ya incluía correcciones públicamente disponibles, incluida una modificación para CVE-2026-85046 confirmada el 7 de agosto, pero esas soluciones tardaron semanas en llegar a las versiones estables distribuidas a los usuarios.

Phishing, vigilancia y robo de información

Los ataques comenzaban con correos de phishing que dirigían a las víctimas hacia una URL controlada por los operadores. Al cargarla, los fallos de V8 permitían ejecutar código y escapar del sandbox, mientras que la vulnerabilidad de Windows facilitaba la descarga de múltiples cargas útiles, adaptadas al grupo que utilizaba el kit.

En la campaña de TA412, algunos mensajes simulaban proceder de estudiantes universitarios interesados en realizar prácticas profesionales en las organizaciones objetivo. Otros intercambios intentaban generar confianza mediante conversaciones específicas con cada persona antes de enviar el enlace malicioso, una estrategia que combinaba ingeniería social con una cadena técnica capaz de comprometer el navegador.

La operación terminó instalando una extensión maliciosa disfrazada de Google Gemini, identificada por los investigadores como GemStone. El complemento permitía recibir comandos mediante un canal de mando y control, robar cookies y otros datos sensibles, tomar capturas de pantalla e inyectar un registrador de teclas dentro de una pestaña del navegador.

GemStone también incluía un monitor de palabras clave que insertaba una lista definida por el atacante en el marco superior de cada página. Después examinaba el código HTML para encontrar esos términos y activaba una captura de pantalla cuando detectaba una coincidencia, una función que podía ayudar a localizar información concreta sin registrar continuamente toda la actividad de la víctima.

La segunda campaña identificada comenzó el 2 de septiembre y fue atribuida provisionalmente al grupo UNK_LateNight, que atacó varias empresas aeroespaciales estadounidenses. Sus correos empleaban solicitudes de cotización relacionadas con la industria de defensa y dirigían a dominios que imitaban a compañías aeroespaciales, desde los cuales se entregaba BlueMoon y, posteriormente, la puerta trasera ShadowPad.

ShadowPad ha sido compartida desde 2019 entre múltiples grupos alineados con China, de acuerdo con los investigadores. La presencia de esta herramienta no demuestra por sí sola que todas las operaciones tengan un único responsable, pero sí muestra cómo ciertas capacidades de espionaje pueden circular entre equipos distintos cuando los componentes ya están disponibles para su reutilización.

Expansión hacia el Sudeste Asiático

También el 2 de septiembre, el grupo identificado como UNK_DoubleCheck utilizó BlueMoon contra una empresa manufacturera vietnamita. Los mensajes se enviaron desde una dirección gubernamental del Sudeste Asiático que había sido comprometida, lo que permitió a los atacantes aprovechar la confianza asociada con una cuenta institucional legítima.

La cuarta campaña comenzó un día después y tuvo como objetivos organizaciones gubernamentales, consultoras y empresas financieras de Indonesia y Singapur. Proofpoint vinculó esta actividad con UNK_QuietRacket, un presunto grupo de espionaje relacionado con China que utilizó señuelos sobre conferencias indonesias, incluida la Indo Startup Expo and Forum 2026 y la World Conference on Creative Economy 2026.

La distribución geográfica y sectorial de los casos muestra que BlueMoon no se limitó a un solo tipo de víctima. ONG, minería, comercio de materias primas, aeroespacio, manufactura, gobiernos, consultoría y finanzas aparecen en los incidentes descritos, aunque los investigadores no publicaron una lista completa de organizaciones afectadas ni atribuyeron toda la actividad a un solo actor.

La velocidad de adopción constituye uno de los elementos más preocupantes del caso. Después de que Proofpoint documentara la primera campaña de finales de agosto, varios grupos motivados por el espionaje comenzaron a usar el kit en cuestión de días, mientras que los investigadores dejaron abierta la posibilidad de que actores sin vínculos con China también estén aprovechándolo.

El riesgo que plantea la inteligencia artificial

La relevancia de BlueMoon no depende únicamente de las vulnerabilidades que utiliza, sino de la facilidad con la que una cadena de ataque sofisticada puede llegar a distintos operadores. Kelly explicó que los agentes de inteligencia artificial podrían facilitar el desarrollo de exploits, especialmente cuando los cambios de seguridad del código abierto permiten estudiar una corrección antes de que aparezca en todas las versiones estables.

Ese intervalo, conocido como brecha de parches, ofrece a los atacantes una ventana para comparar el código corregido con versiones todavía vulnerables. En el caso de Chromium, la disponibilidad pública de los parches probablemente ayudó al desarrollador de BlueMoon a reconstruir la lógica necesaria para armar la cadena antes de que los usuarios recibieran las actualizaciones correspondientes.

El episodio no significa que cada parche público sea un riesgo ni que la inteligencia artificial haya reemplazado el trabajo especializado de los investigadores ofensivos. Sí evidencia, sin embargo, que la defensa depende de reducir el tiempo entre la corrección upstream, la publicación estable del navegador y la instalación efectiva en los dispositivos de las organizaciones.

Google no añadió comentarios más allá de la información recogida por Proofpoint, mientras que Microsoft indicó que los clientes que instalaron la actualización para CVE-2026-85880 están protegidos frente a esa vulnerabilidad. Para los equipos de seguridad, el caso refuerza la necesidad de actualizar navegadores y sistemas operativos, revisar extensiones instaladas y tratar con cautela los enlaces enviados desde cuentas aparentemente legítimas.

Los investigadores esperan que BlueMoon sea utilizado tanto por grupos de ciberespionaje como por atacantes motivados financieramente. La dinámica descrita, basada en explotar rápidamente correcciones públicas de proyectos abiertos, podría repetirse con otros kits y convertir fallos de alto valor en herramientas más accesibles para una gama mucho mayor de operadores.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.
Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados