Cuatro grupos de espionaje utilizaron el mismo kit de exploits para Chrome y Windows en el plazo de una semana

Varios grupos de actores maliciosos vinculados al espionaje han comenzado a utilizar un kit de explotación hasta ahora desconocido llamado BlueMoon, el cual combina fallas de seguridad en el navegador Google Chrome y en sistemas Microsoft Windows. El primer uso detectado de este conjunto de herramientas provino de un grupo vinculado a China, al que le siguieron en pocos días otros colectivos con posibles vínculos similares y algunos casos sin atribución clara. El kit aprovecha vulnerabilidades en el motor V8 de Chrome, un fallo de escape de su entorno aislado (sandbox) y un desbordamiento de búfer en el componente ALPC de Windows.

Los ataques iniciales suelen comenzar mediante correos electrónicos de tipo "spear-phishing" que inducen a los usuarios a visitar sitios web maliciosos para activar las vulnerabilidades del navegador y lograr la ejecución de código. Posteriormente, mediante la carga reflectiva de bibliotecas DLL, el sistema analiza el host para aplicar la escalada de privilegios en Windows, permitiendo inyectar código para descargar diferentes cargas útiles según cada grupo de amenaza. Entre los colectivos observados utilizando este método se encuentran APT31, UNK_LateNight, UNK_DoubleCheck y UNK_QuietRacket, los cuales han dirigido sus campañas contra diversas organizaciones no gubernamentales, empresas de sectores aeroespacial, minero, de manufactura, gubernamental, financiero y de consultoría en múltiples regiones.