El nuevo kit «BlueMoon» aprovechaba vulnerabilidades de día cero de Windows y Chrome

Di­ver­sos gru­pos de­di­ca­dos al es­pio­na­je ci­ber­né­ti­co han uti­li­za­do un con­jun­to de he­rra­mien­tas de ex­plo­ta­ción co­no­ci­do como "Blue­Moon", el cual apro­ve­cha vul­ne­ra­bi­li­da­des de día cero tanto en Goo­gle Chro­me como en Mi­cro­soft Win­dows. Este kit mo­du­lar y com­par­ti­do com­bi­na fa­llos en na­ve­ga­do­res ba­sa­dos en Chro­mium para lo­grar eje­cu­ción re­mo­ta de có­di­go y eva­sión del sand­box, ade­más de una vul­ne­ra­bi­li­dad de es­ca­la­da de pri­vi­le­gios lo­ca­les en el nú­cleo de Win­dows. Los de­sa­rro­lla­do­res de Blue­Moon apro­ve­chan el des­fa­se tem­po­ral entre las co­rrec­cio­nes pú­bli­cas de Chro­mium y los lan­za­mien­tos es­ta­bles de Chro­me para apli­car in­ge­nie­ría in­ver­sa a los cam­bios y ata­car a los usua­rios.

El kit en­ca­de­na tres fa­llos es­pe­cí­fi­cos: una con­fu­sión de tipos en el motor Ja­vaS­cript V8 de Chro­me, un es­ca­pe del sand­box de V8 me­dian­te la co­rrup­ción de me­ta­da­tos de We­bAs­sembly y un des­bor­da­mien­to de búfer en el com­po­nen­te ALPC de Win­dows para es­ca­lar pri­vi­le­gios. El fun­cio­na­mien­to del ex­ploit se eje­cu­ta den­tro de un Web Wor­ker con múl­ti­ples in­ten­tos, tras lo cual exa­mi­na el sis­te­ma, eleva los pri­vi­le­gios del ren­de­ri­za­dor de Chro­me, se in­fil­tra en el pro­ce­so prin­ci­pal del na­ve­ga­dor y eje­cu­ta un co­man­do pre­de­ter­mi­na­do me­dian­te curl para des­car­gar y abrir un ar­chi­vo eje­cu­ta­ble ma­li­cio­so.

Di­ver­sas em­pre­sas de ci­ber­se­gu­ri­dad de­tec­ta­ron esta ac­ti­vi­dad en ope­ra­cio­nes de spearphishing y cam­pa­ñas di­ri­gi­das a or­ga­ni­za­cio­nes no gu­ber­na­men­ta­les y otros sec­to­res. Los in­for­mes iden­ti­fi­can cua­tro agru­pa­cio­nes dis­tin­tas que em­plea­ron Blue­Moon, tres de ellas vin­cu­la­das a China. Entre los ac­to­res in­vo­lu­cra­dos se en­cuen­tran Jun­gle­Bam­boo, que uti­li­za una ex­ten­sión para robar cre­den­cia­les dis­fra­za­da de in­te­li­gen­cia ar­ti­fi­cial; el grupo UTA0560, que em­plea se­ñue­los de do­na­ción para ins­ta­lar una puer­ta tra­se­ra; el grupo UNK_La­te­Night, en­fo­ca­do en sec­to­res ae­ro­es­pa­cia­les y de de­fen­sa; y un cuar­to grupo de­no­mi­na­do UNK_Dou­ble­Check, di­ri­gi­do a em­pre­sas ma­nu­fac­tu­re­ras.