El kit de explotación BlueMoon encadena vulnerabilidades recientes de tipo «zero-day» en Chrome y Windows

Diversos grupos de espionaje han puesto en marcha de manera apresurada y aparentemente oportunista un nuevo kit de explotación nombrado BlueMoon, de acuerdo con información de la compañía de ciberseguridad Proofpoint. El primer grupo en utilizarlo fue el actor avanzado persistente vinculado a China conocido como Violet Typhoon, al cual le siguieron rápidamente otros grupos de esa misma procedencia, aunque la firma señala que este comportamiento podría extenderse a más actores maliciosos.

La rápida adopción de esta herramienta se debe a que combina tres vulnerabilidades que se encontraban sin parche cuando apareció por primera vez, abarcando fallas tanto en Chrome como en el sistema operativo Windows. El funcionamiento de BlueMoon consiste en aprovechar los defectos del motor V8 para escapar del entorno aislado, examinar el dispositivo y aplicar código de escalada de privilegios, para posteriormente inyectar un componente que descarga y ejecuta un archivo ejecutable mediante un comando.

Los analistas identificaron distintas variantes en la presentación del kit que comparten la misma cadena de explotación y mecanismos de carga, encontrando indicios en los artefactos de desarrollo que sugieren la posible utilización de inteligencia artificial en su creación. Los ataques iniciales afectaron a organizaciones no gubernamentales en Estados Unidos, firmas de minería y comercio de materias primas por parte del primer grupo detectado, mientras que otras agrupaciones atacaron sectores aeroespaciales en Estados Unidos, manufactura en Vietnam, y entidades gubernamentales, de consultoría y financieras en Indonesia y Singapur.