El nuevo kit «BlueMoon» aprovechaba vulnerabilidades de día cero de Windows y Chrome

Diversos grupos dedicados al espionaje cibernético han utilizado un conjunto de herramientas de explotación conocido como "BlueMoon", el cual aprovecha vulnerabilidades de día cero tanto en Google Chrome como en Microsoft Windows. Este kit modular y compartido combina fallos en navegadores basados en Chromium para lograr ejecución remota de código y evasión del sandbox, además de una vulnerabilidad de escalada de privilegios locales en el núcleo de Windows. Los desarrolladores de BlueMoon aprovechan el desfase temporal entre las correcciones públicas de Chromium y los lanzamientos estables de Chrome para aplicar ingeniería inversa a los cambios y atacar a los usuarios.

El kit encadena tres fallos específicos: una confusión de tipos en el motor JavaScript V8 de Chrome, un escape del sandbox de V8 mediante la corrupción de metadatos de WebAssembly y un desbordamiento de búfer en el componente ALPC de Windows para escalar privilegios. El funcionamiento del exploit se ejecuta dentro de un Web Worker con múltiples intentos, tras lo cual examina el sistema, eleva los privilegios del renderizador de Chrome, se infiltra en el proceso principal del navegador y ejecuta un comando predeterminado mediante curl para descargar y abrir un archivo ejecutable malicioso.

Diversas empresas de ciberseguridad detectaron esta actividad en operaciones de spearphishing y campañas dirigidas a organizaciones no gubernamentales y otros sectores. Los informes identifican cuatro agrupaciones distintas que emplearon BlueMoon, tres de ellas vinculadas a China. Entre los actores involucrados se encuentran JungleBamboo, que utiliza una extensión para robar credenciales disfrazada de inteligencia artificial; el grupo UTA0560, que emplea señuelos de donación para instalar una puerta trasera; el grupo UNK_LateNight, enfocado en sectores aeroespaciales y de defensa; y un cuarto grupo denominado UNK_DoubleCheck, dirigido a empresas manufactureras.