Vários grupos de hackers usaram o mesmo malware para Chrome em um intervalo de uma semana: o que isso significa?

Especialistas alertaram que quatro grupos de hackers, alguns com ligações ao governo chinês, foram vistos usando exatamente o mesmo kit de exploração em uma única semana, sugerindo uma espécie de "medo de ficar de fora" (FOMO, na sigla em inglês) entre os criminosos.

Pesquisadores de segurança da Proofpoint revelaram detalhes do BlueMoon, um pacote de exploração que se aproveita de três vulnerabilidades de segurança : duas no Chromium e uma em versões antigas do Windows, incluindo: Windows 10 (Atualização de outubro de 2018), Windows Server 2019, Windows 10 2004, Windows Server 2022 e a versão inicial do Windows 11.

Este pacote de exploração foi observado pela primeira vez em 28 de agosto de 2026, usado por um agente de ameaças conhecido como TA412, um grupo patrocinado pelo Estado chinês que já havia atacado empresas que utilizam o Microsoft SharePoint. O TA412, também conhecido como Violet Typhoon, usou o BlueMoon "para atacar repetidamente um pequeno número de organizações não governamentais (ONGs), empresas de mineração e empresas de comércio de commodities físicas dos EUA".

Pouco tempo depois, foram identificados mais três grupos: UNK_LateNight, outro grupo de espionagem apoiado pela China que tinha como alvo várias empresas aeroespaciais dos EUA; UNK_DoubleCheck, um grupo que tinha como alvo uma empresa de manufatura no Vietnã; e UNK_QuietRacket, um agente de ameaças que tinha como alvo organizações em Singapura e na Indonésia.

O que todos esses grupos têm em comum é que fizeram pouco esforço para ocultar suas atividades. Isso é incomum, já que uma abordagem secreta normalmente garante que uma vulnerabilidade possa ser explorada por um período mais longo.

A corrida para explorar as vulnerabilidades do Chromium

O malware BlueMoon explora três vulnerabilidades de segurança: duas no Chromium e uma em versões antigas do Windows. As vulnerabilidades do Chromium foram descobertas no V8, o mecanismo JavaScript usado pelos navegadores para permitir que os aplicativos funcionem de forma eficiente. A primeira vulnerabilidade é um erro de "sobreposição de espécies", designada CVE-2026-85046, e recebeu uma pontuação de gravidade de 8.8/10 (alta). A segunda é uma vulnerabilidade de "escape do ambiente de isolamento", para a qual o Google não atribuiu um CVE ou uma pontuação de gravidade.

A vulnerabilidade do Windows, identificada como CVE-2026-85880, tem uma classificação de gravidade de 7.8/10 (alta). Essa vulnerabilidade é descrita como um "estouro de buffer baseado em heap" na Chamada de Procedimento Local Avançada do Windows, permitindo que invasores que já conseguem executar código dentro de um AppContainer com privilégios baixos escapem do ambiente de isolamento e elevem seus privilégios para o nível SYSTEM. Isso não requer nenhuma interação adicional do usuário.

A Proofpoint tem uma teoria sobre por que criminosos optam por operar abertamente em vez de secretamente. Parece haver uma janela de oportunidade muito curta entre o momento em que o Google corrige uma vulnerabilidade no Chromium e o lançamento dessa atualização em navegadores como o Edge ou o Brave. Essa janela também permite que criminosos aprendam como o Google corrige a vulnerabilidade, façam engenharia reversa e lancem um exploit antes que a correção seja disponibilizada para o navegador. Isso significa que não há tempo para permanecer oculto.

Não há tempo para se esconder.

A Proofpoint afirmou que “ambas as vulnerabilidades do V8 eram exploits de dia zero que exploraram uma ‘lacuna de correção’ no momento da atividade observada”. Eles acrescentaram: “Em outras palavras, embora essas vulnerabilidades já fossem conhecidas e corrigidas no código-fonte público do Chromium, elas permaneceram sem correção nas versões estáveis ​​mais recentes do Chrome e em navegadores baseados no Chromium disponíveis publicamente. É provável que o desenvolvedor do kit de exploração tenha usado essas atualizações públicas do Chromium para explorar a cadeia de exploits do navegador”.

Outro fator importante é a IA. A IA parece ter acelerado bastante o processo de descoberta de vulnerabilidades, reduzindo as barreiras de entrada e fazendo com que os agentes de ameaças atuem com mais clareza.

A Proofpoint confirmou que “uma cadeia de exploração do Chrome totalmente armada tem sido historicamente uma capacidade rara e extremamente valiosa. O BlueMoon foi desenvolvido, implementado e compartilhado rapidamente entre vários agentes de ameaças em questão de dias, de uma forma que demonstrou altos níveis de detecção. Isso pode refletir uma diminuição no custo e na barreira de entrada para esse tipo de capacidade, à medida que os fatores de IA permitem cada vez mais o desenvolvimento de exploits por parte dos agentes de ameaças.”

Todas as três vulnerabilidades já foram corrigidas, portanto, certifique-se de estar usando a versão mais recente do sistema operacional e do navegador Chromium.

via Ars Technica