El kit de explotación BlueMoon encadena vulnerabilidades recientes de tipo «zero-day» en Chrome y Windows

Di­ver­sos gru­pos de es­pio­na­je han pues­to en mar­cha de ma­ne­ra apre­su­ra­da y apa­ren­te­men­te opor­tu­nis­ta un nuevo kit de ex­plo­ta­ción nom­bra­do Blue­Moon, de acuer­do con in­for­ma­ción de la com­pa­ñía de ci­ber­se­gu­ri­dad Proof­point. El pri­mer grupo en uti­li­zar­lo fue el actor avan­za­do per­sis­ten­te vin­cu­la­do a China co­no­ci­do como Vio­let Typhoon, al cual le si­guie­ron rá­pi­da­men­te otros gru­pos de esa misma pro­ce­den­cia, aun­que la firma se­ña­la que este com­por­ta­mien­to po­dría ex­ten­der­se a más ac­to­res ma­li­cio­sos.

La rá­pi­da adop­ción de esta he­rra­mien­ta se debe a que com­bi­na tres vul­ne­ra­bi­li­da­des que se en­con­tra­ban sin par­che cuan­do apa­re­ció por pri­me­ra vez, abar­can­do fa­llas tanto en Chro­me como en el sis­te­ma ope­ra­ti­vo Win­dows. El fun­cio­na­mien­to de Blue­Moon con­sis­te en apro­ve­char los de­fec­tos del motor V8 para es­ca­par del en­torno ais­la­do, exa­mi­nar el dis­po­si­ti­vo y apli­car có­di­go de es­ca­la­da de pri­vi­le­gios, para pos­te­rior­men­te in­yec­tar un com­po­nen­te que des­car­ga y eje­cu­ta un ar­chi­vo eje­cu­ta­ble me­dian­te un co­man­do.

Los ana­lis­tas iden­ti­fi­ca­ron dis­tin­tas va­rian­tes en la pre­sen­ta­ción del kit que com­par­ten la misma ca­de­na de ex­plo­ta­ción y me­ca­nis­mos de carga, en­con­tran­do in­di­cios en los ar­te­fac­tos de de­sa­rro­llo que su­gie­ren la po­si­ble uti­li­za­ción de in­te­li­gen­cia ar­ti­fi­cial en su crea­ción. Los ata­ques ini­cia­les afec­ta­ron a or­ga­ni­za­cio­nes no gu­ber­na­men­ta­les en Es­ta­dos Uni­dos, fir­mas de mi­ne­ría y co­mer­cio de ma­te­rias pri­mas por parte del pri­mer grupo de­tec­ta­do, mien­tras que otras agru­pa­cio­nes ata­ca­ron sec­to­res ae­ro­es­pa­cia­les en Es­ta­dos Uni­dos, ma­nu­fac­tu­ra en Viet­nam, y en­ti­da­des gu­ber­na­men­ta­les, de con­sul­to­ría y fi­nan­cie­ras en In­do­ne­sia y Sin­ga­pur.