- BlueMoon encadena tres vulnerabilidades en Chrome y Windows para comprometer equipos.
- Cuatro grupos de ciberespionaje, la mayoría vinculados a China, han usado este kit en pocos días.
- La ventana de parcheo entre el código fuente de Chromium y las versiones estables fue clave para los atacantes.
- Se recomienda aplicar los parches de seguridad cuanto antes.
Un kit de exploits llamado BlueMoon ha puesto en alerta a la comunidad de seguridad. Según un informe de Proofpoint, al menos cuatro grupos de ciberespionaje han utilizado esta herramienta para comprometer equipos mediante tres vulnerabilidades encadenadas: dos en el motor JavaScript V8 de los navegadores Chromium y una en el kernel de Windows. La primera víctima conocida fue una organización estadounidense atacada el 28 de agosto de 2026, y desde entonces se han sucedido campañas contra objetivos en Estados Unidos, Vietnam, Indonesia y Singapur.
Lo más destacable es la velocidad de adopción: en menos de dos semanas, un solo kit ha sido empleado por cuatro grupos distintos, la mayoría con presuntos vínculos con el aparato de inteligencia chino. Los investigadores subrayan que esta rápida difusión podría indicar que el desarrollo de exploits de navegador está dejando de ser una capacidad exclusiva de unos pocos actores estatales para convertirse en un recurso más accesible, posiblemente gracias a la asistencia de la inteligencia artificial.
Así funciona BlueMoon: tres vulnerabilidades encadenadas
La cadena de ataque comienza con un correo de phishing. Si la víctima hace clic en un enlace malicioso, es redirigida a una página web que aprovecha la primera vulnerabilidad, CVE-2026-85046, un fallo de confusión de tipos en el compilador JIT TurboFan de V8. Esta falla permite leer y escribir direcciones de memoria dentro del heap de V8, lo que sienta las bases para el siguiente paso.
A continuación, el kit utiliza un escape del sandbox de V8 (sin CVE asignado) que corrompe metadatos de módulos WebAssembly para inyectar shellcode. Con esto, el atacante ya puede ejecutar código fuera del navegador, pero aún carece de privilegios elevados en el sistema. Para lograrlo, se apoya en la tercera vulnerabilidad, CVE-2026-85880, una elevación de privilegios local en el kernel de Windows a través de los protocolos ALPC y WNF. Microsoft parcheó esta falla en su actualización de septiembre de 2026, cuando ya estaba siendo explotada como zero-day.
Las versiones afectadas incluyen Windows 10 1809, 2004, 20H2, 21H1, 21H2, 22H2, Windows Server 2019, Windows Server 2022 y el lanzamiento inicial de Windows 11. Según Proofpoint, el kit también incluye un componente de reconocimiento que detecta la versión exacta del sistema antes de intentar el exploit.
Los cuatro grupos de ciberespionaje detrás de BlueMoon
El primer grupo en utilizar BlueMoon fue TA412, también conocido como APT31 o Violet Typhoon, vinculado por la justicia estadounidense al Ministerio de Seguridad del Estado chino. Desde el 28 de agosto, este actor ha atacado a ONG, empresas mineras y firmas de comercio de materias primas en EE.UU., empleando señuelos de solicitudes de prácticas universitarias. Tras la explotación, instalaba una extensión maliciosa llamada GemStone que suplanta a Google Gemini para robar cookies, capturas de pantalla y teclas pulsadas.
El segundo grupo, UNK_LateNight, comenzó sus operaciones el 2 de septiembre contra empresas aeroespaciales estadounidenses, utilizando correos con falsas solicitudes de presupuesto. En este caso, el payload era el backdoor ShadowPad, conocido por su uso en grupos chinos desde hace años. Ese mismo día, UNK_DoubleCheck atacó a una empresa manufacturera vietnamita desde una cuenta de correo gubernamental comprometida, empleando un cargador en Rust. Por último, UNK_QuietRacket comenzó el 3 de septiembre a apuntar a organizaciones gubernamentales, consultoras y entidades financieras de Indonesia y Singapur, con pretextos de conferencias locales.
Proofpoint destaca que el kit no parece ser exclusivo de actores chinos, ya que parte de su uso sigue sin atribuir. La firma también señala la presencia de indicios que apuntan a un desarrollo asistido por IA, como registros de diagnóstico exhaustivos y comentarios que documentan iteraciones de depuración, lo que podría explicar la rapidez con la que se construyó el exploit, similar a la optimización vista en el análisis completo del portátil empresarial con IA.
El ‘patch gap’: la ventana que aprovechan los atacantes
La clave del éxito de BlueMoon reside en lo que los investigadores llaman ‘patch gap’. Chromium es un proyecto de código abierto, por lo que los parches de seguridad se publican en el repositorio público antes de llegar a las versiones estables de Chrome o Edge. En el caso de CVE-2026-85046, la corrección se subió al árbol de Chromium el 7 de agosto de 2026, pero no se incluyó en la versión estable de Chrome hasta el 3 de septiembre. Esa ventana de casi cuatro semanas permitió a los atacantes analizar el parche, revertirlo y construir un exploit funcional antes de que la mayoría de los usuarios estuvieran protegidos.
Este fenómeno no es nuevo, pero BlueMoon demuestra que ya no hace falta ser un equipo de élite para explotarlo. La combinación de parches públicos y herramientas de IA para la ingeniería inversa está reduciendo drásticamente el coste y el tiempo necesarios para desarrollar este tipo de cadenas de ataque. De hecho, Proofpoint advierte que es probable que BlueMoon siga proliferando, tanto entre grupos de espionaje como entre delincuentes financieros, hasta que todas las versiones de los navegadores estén actualizadas.
Para los usuarios, la recomendación es clara: instalar las actualizaciones de seguridad en cuanto estén disponibles, especialmente las que afectan a navegadores y sistemas operativos. Las vulnerabilidades explotadas por BlueMoon ya están corregidas, pero muchos equipos aún no han aplicado los parches. Además, conviene usar protección antimalware actualizada y extremar la precaución con los enlaces de correos electrónicos no solicitados, ya que el phishing sigue siendo el vector de entrada más común.
BlueMoon representa un antes y un después en el mundo de los exploits. Lo que antes era una hazaña técnica reservada a unos pocos, ahora se ha convertido en un kit reutilizable que cualquier grupo con recursos puede adquirir o replicar. La ventana entre la publicación de un parche de código abierto y su adopción masiva se ha convertido en un campo de batalla, y los ciberdelincuentes ya saben cómo explotarlo. La única defensa eficaz es la higiene digital: actualiza cuanto antes, desconfía de lo inesperado y mantén tus sistemas al día. La próxima amenaza podría estar esperando en un simple clic.