En apenas unos días, cuatro grupos de hackers convirtieron parches recientes de navegadores en ciberarmas

Cuatro grupos de hackers, en el transcurso de unos días, empezaron a emplear un mismo conjunto de exploits contra Chrome y Edge. El arma fueron vulnerabilidades que los desarrolladores de Chromium ya corrigieron en el código fuente, pero que aún no habían sido cerradas en las versiones estables de los navegadores.

Los especialistas de Microsoft Edge describieron ataques que aprovechan la brecha de parche, el intervalo entre la publicación de la corrección y la llegada de una versión protegida a los usuarios. Los atacantes comparan el código antiguo y el nuevo de Chromium, reconstruyen el mecanismo del error y preparan el exploit mientras los usuarios no se actualizan. El parche público indica dónde buscar la vulnerabilidad.

Según las observaciones de Proofpoint, el conjunto BlueMoon fue usado por primera vez el 28 de agosto por el grupo vinculado a China TA412, también conocido como APT31. El 2 de septiembre se sumaron a los ataques UNK_LateNight y UNK_DoubleCheck, y el 3 de septiembre se detectó actividad de UNK_QuietRacket. No se sabe cómo los grupos obtuvieron el conjunto común. No todas las campañas están relacionadas con China.

BlueMoon combinaba varias etapas de intrusión. La vulnerabilidad CVE-2026-85046 en el motor JavaScript V8 permitía ejecutar código en el navegador. Luego los atacantes escapaban del sandbox interno de V8, permaneciendo dentro del proceso del navegador. Para salir definitivamente del aislamiento y elevar privilegios, en una de las cadenas se explotó la CVE-2026-85880 en compilaciones antiguas de Windows. Un solo fallo del navegador no fue suficiente para tomar control del sistema.

Diferentes grupos emplearon la misma tecnología para distintos fines. TA412 distribuía una extensión maliciosa GemStone haciéndose pasar por un asistente de Google Gemini, que robaba datos del navegador. UNK_LateNight atacó empresas aeroespaciales estadounidenses e instaló la puerta trasera ShadowPad. Otros grupos atacaron una planta en Vietnam y organizaciones en Singapur e Indonesia.

Microsoft detectó la explotación activa del fallo de V8 el 1 de septiembre y aceleró la publicación de correcciones. El 2 de septiembre la compañía empezó a distribuir Edge 152.0.4191.62. El 3 de septiembre se supo que también era necesario cerrar la salida del sandbox. La versión Edge 152.0.4191.66 empezó a desplegarse el 4 de septiembre, y la corrección correspondiente para la versión estable de Chrome llegó el 8 de septiembre.

Microsoft admite que las herramientas de IA pueden ayudar a analizar correcciones más rápido y a crear exploits. Semanas de trabajo podrían reducirse potencialmente a horas. Sin embargo, la compañía no presentó pruebas directas de que los creadores de BlueMoon emplearan IA. Pero el parche público efectivamente aparece antes que las versiones protegidas.

Microsoft planea acelerar la entrega de correcciones de Edge, incluyendo actualizaciones urgentes antes de la publicación de detalles del CVE y el modo Instant updates. Se recomienda a los usuarios no esperar los boletines de seguridad, comprobar las actualizaciones en edge://settings/help y reiniciar el navegador tras la instalación. Mientras la versión antigua siga en uso, incluso un parche publicado no garantiza la protección.