Proofpoint ha detectado la rápida adopción de BlueMoon, un nuevo kit de exploits que encadena vulnerabilidades de Chrome y Windows y que ya está siendo utilizado por varios grupos vinculados principalmente a operaciones de ciberespionaje.
La compañía observó por primera vez BlueMoon a finales de agosto en una campaña atribuida a TA412, un grupo asociado a China. En apenas unos días, otros actores comenzaron a utilizar el mismo kit. Según los investigadores, al menos cuatro grupos han recurrido a esta cadena de exploits, la mayoría relacionados con China, aunque parte de la actividad detectada todavía no ha podido atribuirse.
BlueMoon combina tres vulnerabilidades: un fallo de confusión de tipos en el motor JavaScript V8 de Chromium, otro que permite escapar del sandbox de V8 y una vulnerabilidad de día cero que posibilita la elevación local de privilegios en el kernel de Windows y afecta a versiones antiguas del sistema operativo.
“La aparición tan rápida de BlueMoon entre distintos atacantes podría indicar que la capacidad fue desplegada de manera oportunista, antes de la aplicación generalizada de parches”, explican desde Proofpoint. La compañía apunta a que, tras la publicación de las correcciones de Chromium, se abrió un periodo en el que los atacantes pudieron realizar ingeniería inversa y desarrollar exploits antes de que los parches llegaran de forma generalizada a las versiones estables.
Ataques dirigidos y robo de credenciales
En el caso de TA412, las campañas se dirigieron contra organizaciones no gubernamentales, compañías mineras y empresas relacionadas con el comercio de materias primas en Estados Unidos. Para atraer a las víctimas, los atacantes utilizaron señuelos relacionados con oportunidades de prácticas o próximos eventos de las organizaciones objetivo.
Antes de enviar los enlaces de phishing, los atacantes trataban en algunos casos de establecer una relación de confianza con la víctima. Al hacer clic en uno de estos enlaces, el usuario era dirigido a un dominio controlado por los atacantes que alojaba los exploits. Mientras se intentaba comprometer el navegador, aparecía durante unos segundos una página de carga y, posteriormente, la víctima era redirigida a una web legítima.
Si la explotación tenía éxito, se descargaba y ejecutaba un loader en el dispositivo. Este instalaba posteriormente una extensión maliciosa que se hacía pasar por Google Gemini en navegadores basados en Chromium. La extensión actuaba como puerta trasera y permitía vigilar la actividad del navegador y robar credenciales.
Los investigadores creen que BlueMoon podría seguir extendiéndose y ser adoptado tanto por grupos dedicados al espionaje como por actores con motivaciones económicas. A su juicio, su rápida difusión también refleja cómo la reducción de los costes y de las barreras de entrada para desarrollar exploits, especialmente sobre proyectos de código abierto como Chromium, puede facilitar que este tipo de capacidades lleguen a un mayor número de atacantes.
