Proofpoint vincula el exploit kit BlueMoon con cuatro grupos de ciberespionaje estatal. Encadenaron un día cero de Chrome y una elevación de privilegios de Windows en menos de doce días, con soporte técnico de Google TAG, Microsoft MSTIC y Volexity. El primer uso confirmado se atribuye a TA412, un actor alineado con China, el 28 de agosto de 2026.
La publicación de Proofpoint, fechada en septiembre, documenta cómo un solo kit fue adoptado por múltiples clústeres en menos de dos semanas. No es la primera vez que veo un exploit kit que cambia de manos, pero sí la rapidez con la que las agencias estatales lo integraron. La atribución técnica no admite dudas en el primer uso; lo que sigue sin estar claro es si el kit fue un desarrollo asistido por inteligencia artificial o un encargo clásico con documentación inusualmente pulcra.
Cómo un parche público se convirtió en un arma en 27 días
BlueMoon encadena tres vulnerabilidades. CVE-2026-85046 es un fallo de confusión de tipos en el motor JavaScript V8 de Chrome, abusado a través del compilador JIT TurboFan. La técnica consiste en mutar una matriz durante su ordenación para leer direcciones de memoria de objetos y forjar punteros falsos, lo que deriva en lectura y escritura arbitrarias dentro del heap de V8. Después, un escape del sandbox de V8 (sin CVE asignado, porque Chrome no emite CVE para estos escapes) sobrescribe cuerpos de funciones compiladas en WebAssembly con shellcode. CVE-2026-85880, una elevación de privilegios local en el kernel de Windows mediante protocolos ALPC y el mecanismo Windows Notification Facility, completa la cadena y ejecuta comandos arbitrarios.
El detalle que ha acelerado la explotación es el patch gap. Las dos vulnerabilidades de V8 estaban corregidas en el código fuente de Chromium, pero no en las versiones estables de Chrome. El parche de CVE-2026-85046 entró en el árbol de Chromium el 7 de agosto de 2026. La versión estable de Chrome no lo recibió hasta el 3 de septiembre: casi cuatro semanas de ventana. Un parche público es un documento, y un documento que explica qué estaba mal. Los desarrolladores del kit lo usaron como guía de arranque.
Los indicios de desarrollo asistido por IA no pasan desapercibidos. El kit incluye un registro de diagnóstico exhaustivo, comentarios que documentan iteraciones de depuración y referencias a un documento de entrega en markdown. El código pide a los probadores que ‘envíen el registro completo’ y cita el programa de recompensas V8CTF de Google. Para mí, esto no confirma una IA generativa escribiendo el exploit; confirma una cadena de producción pensada para que un agente pueda retomar el trabajo donde otro lo dejó. La configuración por defecto es aún más reveladora: tras la explotación, un simple curl descarga un ejecutable en %TEMP% y lo lanza. Los autores priorizaron salir antes del parche de septiembre, no pasar desapercibidos.
El primer actor que lo puso en producción fue TA412, también conocido como APT31, Violet Typhoon o JungleBamboo. Este grupo, vinculado al Ministerio de Seguridad del Estado chino, ya fue imputado por espionaje económico en Estados Unidos. Desde el 28 de agosto apuntó a ONG estadounidenses, mineras, y empresas de comercio de materias primas con correos que simulaban ser de estudiantes universitarios en busca de prácticas o actividades de una conferencia académica. El enlace cargaba BlueMoon en segundo plano y redirigía a una web legítima. El payload posterior era GemStone, una extensión de navegador que se disfraza de asistente de Google Gemini y captura teclas, cookies, capturas de pantalla e historial.
Encadenar un día cero de Chrome y una elevación de privilegios de Windows ya es un recurso compartido por cuatro actores en doce días.
De las ONG a la defensa: el rastro de cuatro actores
El segundo clúster, UNK_LateNight, entró en escena el 2 de septiembre contra empresas aeroespaciales y de defensa de Estados Unidos. Los correos fraudulentos pedían presupuestos y consultas de compras, y el payload era ShadowPad, el backdoor modular habitual de los grupos chinos. La persistencia se lograba con una tarea programada llamada EdgeCore_AutoUpdate y una cadena de DLL sideloading que desenganchaba veinte funciones de monitorización de red para reducir visibilidad. En paralelo, UNK_DoubleCheck atacó a una empresa manufacturera vietnamita desde una cuenta gubernamental del sudeste asiático comprometida, usando un señuelo de cita de vacunación.
Desde el 3 de septiembre, UNK_QuietRacket ha apuntado a organismos gubernamentales, consultoras y entidades financieras de Indonesia y Singapur con pretextos de conferencias. Su mando y control oculta la resolución de dominios a través del servicio DNS-over-HTTPS de Google, con registros TXT descifrados mediante ChaCha20 antes de llegar a Cloudflare Workers. El tráfico se mezcla con el DNS cifrado normal, lo que dificulta la detección. La diversidad de objetivos y de payloads sugiere que el kit era la puerta de entrada, no la operación final.
La elevación de privilegios de Windows merece un capítulo aparte. CVE-2026-85880 es la misma vulnerabilidad que Microsoft parcheó como zero-day explotado activamente en el Patch Tuesday de septiembre. Afecta a builds antiguas: Windows 10 hasta 22H2, Windows Server 2019 y 2022, y Windows 11 21H2. La marca de compilación es de 2025, lo que indica una capacidad preexistente empaquetada en BlueMoon, no un desarrollo específico para esta campaña. Quien no haya aplicado los parches de septiembre y ejecute esas versiones debe tratarlo como urgencia, sea o no objetivo directo.
La conclusión de Proofpoint es incómoda para la comunidad de inteligencia. Una cadena de explotación completa de Chrome ha sido históricamente una capacidad rara y de alto valor. Ahora se desarrolla, se despliega y se comparte entre actores en días, con señales de detección altas y coste reducido. La ventana entre el parche de código abierto y la versión estable se ha convertido en un campo de pruebas para la ingeniería inversa asistida. Lo escribí en El quinto elemento: el próximo 11S empezará con un clic.
Dossier Moncloa: Ojos en la Sombra
Si usted sigue el ciberespionaje estatal, este caso reúne tres elementos que rara vez coinciden. Primero, un kit de explotación reutilizable. Segundo, cuatro actores distintos en menos de quince días. Tercero, documentación técnica de calidad. El vector de amenaza es un ciberataque de cadena completa: navegador, sandbox y kernel. La defensa recae sobre Proofpoint, Google TAG, Microsoft MSTIC y Volexity, pero las víctimas no se limitan a un solo país: ONG, mineras, contratistas de defensa, gobiernos del sudeste asiático. El CNI y el CCN-CERT, en mi lectura, están en modo monitorización, no en modo incidente, salvo que haya organismos españoles con versiones antiguas de Windows en la franja expuesta.
El nivel de clasificación del material técnico, a juzgar por su difusión en un informe corporativo, es Sin Clasificar pero Sensible. Las agencias atacantes pertenecen al perímetro del MSS chino, con TA412 como punta de lanza. Los terceros interesados son los aliados Five Eyes, que llevan meses vigilando la aceleración de los ciclos de explotación. No atribuyo el kit en exclusiva a Pekín: la propia Proofpoint admite que parte del uso sigue sin atribuir y que no hay evidencia suficiente para cerrar el perímetro. Ese matiz me parece tan relevante como el ataque.
El precedente histórico más cercano no es Stuxnet, que llevaba un objetivo físico, sino SolarWinds, donde una sola capacidad de acceso se convirtió en la llave maestra de una decena de operaciones. Aquí el patrón se repite con la velocidad de la IA. En el oficio se dice que un exploit pierde la mitad de su valor el día que se parchea.
BlueMoon ha demostrado que la otra mitad puede estar ya en manos de un adversario antes de que usted instale la actualización.
Mi posición es matizada. El desarrollo asistido por IA es plausible, pero los indicios también son compatibles con un equipo humano que documenta bien su trabajo. La referencia al programa V8CTF de Google puede ser una cortina de humo o una pista auténtica. La mayoría de los casos tiene una explicación más sencilla que la conspiración, pero aquí la velocidad de compartición se sale del manual. El próximo informe de Google TAG o de Mandiant sobre la cadena de suministro de exploits aclarará si estamos ante un proveedor con un cliente preferente o ante una fábrica nueva.
El calendario que vigilo, a partir de hoy, es el próximo informe trimestral de Proofpoint o de Microsoft Threat Intelligence, la posible actualización técnica de Volexity y cualquier aviso del INCIBE o del CCN-CERT sobre las versiones afectadas de Windows 10, Server y Windows 11 21H2. Si administra sistemas con esas builds, no espere al próximo informe: aplique los parches de septiembre. Le adelanto que la ventana del patch gap volverá a abrirse con cada actualización de Chromium. Es la nueva geografía del oficio.
