.webp){kind=small}
Um kit de exploração quase idêntico, que visa vulnerabilidades críticas tanto em navegadores baseados no Chromium quanto em versões mais antigas do Windows, está sendo usado ativamente por pelo menos quatro grupos de hackers, alguns dos quais têm ligações com o governo chinês.
Pesquisadores da empresa de segurança Proofpoint afirmaram na quarta-feira que o BlueMoon, nome dado ao kit de ferramentas, encadeia três vulnerabilidades, permitindo que os atacantes instalem malware de sua escolha. O BlueMoon explora duas vulnerabilidades do Chromium e uma no kernel do Windows 10 (atualização de outubro de 2018), Windows Server 2019, Windows 10 2004, Windows Server 2022 e a versão inicial do Windows 11. Todas as três vulnerabilidades foram corrigidas nas últimas 24 horas.
Implantado rapidamente, amplamente compartilhado
Os ataques não possuíam a furtividade encontrada em muitas campanhas. Com frequência, os hackers preferem explorar vulnerabilidades recém-descobertas com parcimônia para prolongar sua vida útil. A Proofpoint levantou a hipótese de que uma das razões para a ampla utilização e visibilidade da cadeia de exploração era tirar proveito de uma "lacuna de patch" na cadeia de suprimentos do Chromium, que abrange o período entre a disponibilização de um patch pelos desenvolvedores e sua incorporação em navegadores como Chrome e Edge. Outro fator que provavelmente contribuiu foi o uso de IA, que muitas vezes consegue detectar vulnerabilidades mais rapidamente do que a descoberta realizada exclusivamente por humanos.
É provável que ambos os fatores tenham levado os atacantes a agir rapidamente antes que a janela de oportunidade se fechasse. Uma cadeia de exploração do Chrome totalmente funcional tem sido historicamente uma capacidade rara e de alto valor. O BlueMoon foi desenvolvido, implementado rapidamente e compartilhado entre vários agentes de ameaças em questão de dias, de uma forma que gerou altos sinais de detecção. Isso pode refletir um custo reduzido e uma barreira de entrada menor para esse tipo de capacidade, à medida que os agentes de IA permitem cada vez mais o desenvolvimento de exploits por parte dos agentes de ameaças. Isso é particularmente relevante para bases de código aberto, como o Chromium, em que as correções upstream são publicamente acessíveis antes que os usuários downstream da base de código as apliquem.
Isso cria uma janela para que os agentes de ameaças tentem realizar engenharia reversa das correções rapidamente e desenvolver exploits antes dos lançamentos estáveis downstream.
Os quatro grupos tinham como alvo uma ampla gama de organizações e empresas.
