Proofpoint, empresa mundial de ciberseguridad centrada en las personas y los agentes, ha revelado la rápida adopción de BlueMoon, un nuevo kit de exploits que encadena vulnerabilidades de los navegadores Chrome y del sistema operativo Microsoft Windows, por parte de múltiples ciberdelincuentes motivados por el espionaje.

El primer caso de BlueMoon detectado venía de parte del grupo de ciberdelincuencia alineado con China TA412 a finales de agosto y, en cuestión de días, otros grupos de espionaje comenzaron a utilizar el mismo kit de exploits. Al menos, cuatro grupos, la mayoría de ellos vinculados con China, lanzaron este tipo de campañas dirigidas, aunque BlueMoon podría no ser exclusivo de ciberespías chinos, puesto que algunos usos siguen sin atribuirse.

En concreto, esta cadena de exploits combinaba tres vulnerabilidades: una vulnerabilidad de confusión de tipos en el motor JavaScript V8 de Chromium, una vulnerabilidad que permitía escapar del sandbox de V8 y una vulnerabilidad de día cero que permitía la elevación local de privilegios en el kernel de Windows, presente en versiones antiguas del sistema operativo.

“La aparición tan rápida de BlueMoon entre distintos atacantes podría indicar que la capacidad fue desplegada de manera oportunista, antes de la aplicación generalizada de parches. Tras la publicación de los parches de Chromium, se abrió una ventana que los ciberdelincuentes supieron aprovechar para realizar ingeniería inversa y desarrollar exploits antes de que las versiones estables posteriores incorporasen las correcciones”, explican desde Proofpoint.

En el caso de TA412, el grupo dirigió sus ataques contra organizaciones no gubernamentales, empresas mineras y otras dedicadas al comercio de materias primas en Estados Unidos, con señuelos relacionados con oportunidades de prácticas o próximos eventos en las empresas objetivo. Los atacantes solían establecer una relación de confianzaantes de mandar correos electrónicos que contenían enlaces de phishing.

Cuando la víctima hacía clic en uno de estos enlaces, era dirigida a un dominio controlado por el atacante que alojaba los exploits. Durante varios segundos, se mostraba una página de carga mientras se intentaba explotar el navegador, antes de que el usuario fuera redirigido a una web legítima.

La explotación acababa descargando y ejecutando un loader en el dispositivo comprometido. Posteriormente, el loader instalaba una extensión maliciosa del navegador que se hacía pasar por Google Gemini en navegadores basados en Chromium. Esta extensión funcionaba como una puerta trasera para la vigilancia del navegador y el robo de credenciales.

Proofpoint ha identificado además varios indicios compatibles con un posible desarrollo asistido por IA. Entre ellos se encuentran amplias capacidades de registro de diagnóstico, comentarios detallados que documentan sucesivas rondas de depuración y decisiones de implementación, así como una referencia a un documento de transferencia en formato Markdown. Aunque ningún artefacto confirma de forma concluyente el uso de IA durante el desarrollo, estos elementos son compatibles con flujos de trabajo en los que agentes de IA facilitan el desarrollo y la depuración de exploits.

Los investigadores de la compañía de ciberseguridad consideran probable que BlueMoon siga proliferando y sea adoptado tanto por ciberdelincuentes relacionados con el espionaje como por grupos con motivaciones financieras. “Este fenómeno pone de relieve también cómo la reducción de los costes y de las barreras de entrada en el desarrollo de exploits, especialmente en proyectos de código abierto como Chromium, facilita que las capacidades avanzadas de explotación lleguen rápidamente a un mayor número de actores de amenazas”, concluyen los investigadores.