- BlueMoon encadena tres vulnerabilidades en Chrome y Windows para comprometer equipos.
- Cuatro grupos de espionaje, la mayoría vinculados a China, ya lo utilizan en campañas activas.
- El 'patch gap' en Chromium permite a los atacantes explotar fallos antes de que se actualicen los navegadores.
- Se sospecha que la IA ha acelerado el desarrollo de este exploit kit.
En el mundo de la ciberseguridad, pocas veces se ve una amenaza que se propague tan rápido. BlueMoon, un kit de exploits que combina fallos en Chrome y Windows, ha pasado de ser una herramienta exclusiva de un actor estatal a ser utilizada por al menos cuatro grupos de ciberespionaje en cuestión de días. Los investigadores de Proofpoint han documentado esta escalada, que comenzó a finales de agosto de 2026.
El kit aprovecha tres vulnerabilidades: una en el motor V8 de Chrome, un escape del sandbox y una escalada de privilegios en el kernel de Windows. Lo más preocupante es que los atacantes han sabido explotar la ventana entre la publicación del parche en el código abierto y su llegada a los navegadores estables, un fenómeno conocido como ‘patch gap’.
La cadena de vulnerabilidades de BlueMoon
El kit encadena tres fallos para lograr la ejecución remota de código y el control total del sistema. El primero es una confusión de tipos en el motor V8 (CVE-2026-85046), que permite la ejecución remota de código en todos los navegadores basados en Chromium, incluidos Chrome y Edge. Google lo parchó el 3 de septiembre, pero el commit con la solución estaba disponible desde el 7 de agosto, lo que dejó una ventana de casi un mes para que los atacantes desarrollaran el exploit.
El segundo es un escape del sandbox de V8, que no tiene CVE asignado porque Google no los emite para este tipo de fallos. Este exploit corrompe la metadata de WebAssembly para ejecutar shellcode. El tercero es una vulnerabilidad de escalada de privilegios en Windows (CVE-2026-85880), un desbordamiento de búfer en el componente ALPC que Microsoft parchó en el Patch Tuesday de septiembre. Proofpoint señala que el DLL del LPE tiene una marca de tiempo de 2025, lo que sugiere que se reutilizó una capacidad existente.
Los cuatro grupos que ya usan BlueMoon
Proofpoint ha identificado cuatro campañas distintas en menos de una semana. El primer grupo, TA412 (también conocido como APT31 o Violet Typhoon), vinculado al Ministerio de Seguridad del Estado chino, comenzó el 28 de agosto. Atacó a ONG, empresas mineras y firmas de trading en EE.UU. con señuelos de estudiantes universitarios. Tras la infección, instalaba una extensión maliciosa llamada GemStone, que se hacía pasar por Google Gemini y robaba cookies, capturaba pantallas y registraba pulsaciones de teclas.
El 2 de septiembre se sumaron UNK_LateNight, que atacó a empresas aeroespaciales estadounidenses con correos de solicitud de cotización y entregó el backdoor ShadowPad; y UNK_DoubleCheck, que usó una cuenta de correo gubernamental comprometida para atacar a una empresa vietnamita con un cargador en Rust. Al día siguiente, UNK_QuietRacket comenzó a atacar a organizaciones gubernamentales y financieras en Indonesia y Singapur con cebos sobre conferencias locales. Proofpoint advierte que el kit no es exclusivo de actores chinos y que el alcance real supera las 20 organizaciones observadas.
El ‘patch gap’ y el papel de la IA
La clave del éxito de BlueMoon reside en el patch gap: el tiempo entre la corrección en el repositorio upstream de Chromium y su llegada a los binarios estables. Con CVE-2026-85046, esa ventana fue de casi un mes, tiempo suficiente para que los atacantes revirtieran el parche y construyeran el exploit. Proofpoint cree que los agentes de IA han abaratado y acelerado el desarrollo de exploits para código abierto, como lo demuestran los comentarios verbosos y los registros de depuración encontrados en el kit.
El kit incluye referencias al v8CTF, el programa de bug bounty de Google para V8, lo que sugiere que los desarrolladores podrían haber usado ese marco para evitar los filtros de los modelos de lenguaje. Aunque no hay una confirmación definitiva, la evidencia apunta a que la IA ha reducido la barrera de entrada para este tipo de capacidades, que antes eran exclusivas de actores estatales sofisticados.
Para las empresas europeas, la lección es clara: la actualización de navegadores y sistemas operativos debe ser inmediata. Chrome 153 y Edge 152.0.4191.62 ya corrigen las fallas de V8, y el Patch Tuesday de septiembre cubre la vulnerabilidad de Windows. Además, es fundamental reforzar la higiene de phishing, ya que el vector de entrada sigue siendo un correo con un enlace malicioso. BlueMoon no es una anécdota aislada, sino el primer ejemplo de un nuevo régimen donde la IA y el código abierto hacen que los exploits de élite sean accesibles para más actores. La prevención y la respuesta rápida son ahora más críticas que nunca.