BlueMoon: actores maliciosos estatales adoptan una novedosa cadena de exploits utilizando vulnerabilidades de día cero en Chrome y Windows

Se han de­tec­ta­do va­rios gru­pos de ame­na­zas con fines de es­pio­na­je que uti­li­zan un kit de ex­ploits pre­via­men­te des­co­no­ci­do lla­ma­do Blue­Moon, el cual com­bi­na múl­ti­ples vul­ne­ra­bi­li­da­des en Mi­cro­soft Win­dows y Goo­gle Chro­me.

El pri­mer uso real de Blue­Moon se atri­bu­yó al grupo pa­tro­ci­na­do por el Es­ta­do chino, iden­ti­fi­ca­do como APT31 (tam­bién co­no­ci­do como Bron­ze Vi­ne­wood, Judg­ment Panda, Jun­gle­Bam­boo, Per­ple­xed­Go­blin, Red­Bra­vo, TA412, Tide Castle y Vio­let Typhoon), el 28 de agos­to de 2026.

"En cues­tión de días, otros gru­pos con fines de es­pio­na­je co­men­za­ron a usar Blue­Moon, la ma­yo­ría de los cua­les tie­nen una pre­sun­ta co­ne­xión con China", afir­mó Proof­point en un in­for­me pu­bli­ca­do hoy. "Sin em­bar­go, Blue­Moon po­dría no ser ex­clu­si­vo de ac­to­res vin­cu­la­dos a China, ya que al­gu­nos usos per­ma­ne­cen sin atri­buir y es po­si­ble que haya más ac­to­res uti­li­zan­do el kit de ex­ploits".

La ca­de­na de ex­ploits uti­li­za tres vul­ne­ra­bi­li­da­des…

Si bien Goo­gle co­rri­gió la vul­ne­ra­bi­li­dad CVE-2026-85046 la se­ma­na pa­sa­da, Mi­cro­soft so­lu­cio­nó la CVE-2026-85880 como parte de sus ac­tua­li­za­cio­nes de se­gu­ri­dad de sep­tiem­bre de 2026. Proof­point in­for­mó que Goo­gle, a pesar de no emi­tir ac­tual­men­te CVE para fugas del en­torno ais­la­do de V8, ha asig­na­do una para esta vul­ne­ra­bi­li­dad es­pe­cí­fi­ca bajo la iden­ti­fi­ca­ción  CVE-2026-87491  y pu­bli­có un par­che para co­rre­gir la vul­ne­ra­bi­li­dad de se­gu­ri­dad el 8 de sep­tiem­bre de 2026…