Cuatro grupos de espionaje utilizaron el mismo kit de exploits para Chrome y Windows en el plazo de una semana

Va­rios gru­pos de ac­to­res ma­li­cio­sos vin­cu­la­dos al es­pio­na­je han co­men­za­do a uti­li­zar un kit de ex­plo­ta­ción hasta ahora des­co­no­ci­do lla­ma­do Blue­Moon, el cual com­bi­na fa­llas de se­gu­ri­dad en el na­ve­ga­dor Goo­gle Chro­me y en sis­te­mas Mi­cro­soft Win­dows. El pri­mer uso de­tec­ta­do de este con­jun­to de he­rra­mien­tas pro­vino de un grupo vin­cu­la­do a China, al que le si­guie­ron en pocos días otros co­lec­ti­vos con po­si­bles víncu­los si­mi­la­res y al­gu­nos casos sin atri­bu­ción clara. El kit apro­ve­cha vul­ne­ra­bi­li­da­des en el motor V8 de Chro­me, un fallo de es­ca­pe de su en­torno ais­la­do (sand­box) y un des­bor­da­mien­to de búfer en el com­po­nen­te ALPC de Win­dows.

Los ata­ques ini­cia­les sue­len co­men­zar me­dian­te co­rreos elec­tró­ni­cos de tipo "spear-phishing" que in­du­cen a los usua­rios a vi­si­tar si­tios web ma­li­cio­sos para ac­ti­var las vul­ne­ra­bi­li­da­des del na­ve­ga­dor y lo­grar la eje­cu­ción de có­di­go. Pos­te­rior­men­te, me­dian­te la carga re­flec­ti­va de bi­blio­te­cas DLL, el sis­te­ma ana­li­za el host para apli­car la es­ca­la­da de pri­vi­le­gios en Win­dows, per­mi­tien­do in­yec­tar có­di­go para des­car­gar di­fe­ren­tes car­gas úti­les según cada grupo de ame­na­za. Entre los co­lec­ti­vos ob­ser­va­dos uti­li­zan­do este mé­to­do se en­cuen­tran APT31, UNK_La­te­Night, UNK_Dou­ble­Check y UNK_Quie­tRac­ket, los cua­les han di­ri­gi­do sus cam­pa­ñas con­tra di­ver­sas or­ga­ni­za­cio­nes no gu­ber­na­men­ta­les, em­pre­sas de sec­to­res ae­ro­es­pa­cial, mi­ne­ro, de ma­nu­fac­tu­ra, gu­ber­na­men­tal, fi­nan­cie­ro y de con­sul­to­ría en múl­ti­ples re­gio­nes.