Proofpoint ha identificado BlueMoon, un nuevo kit de explotación empleado por al menos cuatro actores de espionaje para encadenar vulnerabilidades de Chrome y Windows. Las campañas detectadas parten de correos de phishing que dirigen a la víctima a enlaces controlados por los atacantes.
El primer uso observado corresponde a TA412 y se produjo el 28 de agosto de 2026. Otros grupos comenzaron a utilizar el mismo kit pocos días después. Proofpoint atribuye a China a la mayoría de estos actores, aunque esa valoración no se extiende de forma confirmada a todos ellos. Tampoco se sabe cómo obtuvieron acceso a BlueMoon ni si el kit está en manos de más grupos.
Tres vulnerabilidades en una misma cadena
BlueMoon combina CVE-2026-85046, un fallo de confusión de tipos en el motor JavaScript V8; CVE-2026-87491, que permite evadir su entorno aislado o sandbox; y CVE-2026-85880, una vulnerabilidad del kernel de Windows que permite elevar privilegios localmente.
Los dos errores de V8 eran vulnerabilidades de día cero por patch gap: sus correcciones ya eran públicas en el código de Chromium, pero todavía no habían llegado a las versiones estables afectadas. Ese intervalo pudo facilitar que los atacantes estudiaran los cambios y preparasen métodos para explotar los fallos antes de que el parche estuviese ampliamente disponible.
CVE-2026-85046 ya había motivado una actualización de Chrome por explotación activa. La vulnerabilidad de Windows, por su parte, solo afecta a compilaciones antiguas, lo que reduce el número de equipos en los que puede completarse toda la cadena.
Actualizar cierra los fallos, pero no revierte una intrusión
Proofpoint indica que las tres vulnerabilidades ya disponen de parches. Mantener actualizados Chrome y Windows reduce la exposición frente a BlueMoon. Microsoft también ha publicado recientemente correcciones para fallos de Windows explotados.
Las actualizaciones impiden aprovechar las vulnerabilidades corregidas, pero no eliminan una posible intrusión ocurrida antes de instalarlas. En una de las campañas analizadas, los atacantes desplegaron GemStone, una extensión maliciosa que se hacía pasar por un asistente de Google Gemini. Su función era vigilar la actividad del navegador y robar credenciales.
Proofpoint también encontró indicios técnicos que apuntan a un posible desarrollo de BlueMoon asistido por inteligencia artificial. La compañía presenta esta posibilidad como una hipótesis, no como una conclusión demostrada.
