Publicado en

Hackers vinculados a China explotan cadena de ‘Zero-Days’ en Chrome y Windows para desplegar malware

•Publicado enAmenazas y Malware

Sofisticada campaña de ciberespionaje aprovecha el ‘Patch Gap’ para comprometer organizaciones

Recientes investigaciones de ciberseguridad han revelado una sofisticada campaña de spear-phishing atribuida a actores de amenazas vinculados a China, específicamente identificados como UTA0560 y JungleBamboo (APT31). Estos grupos están utilizando una cadena de vulnerabilidades de día cero (zero-day) que afecta tanto a Google Chrome como a Microsoft Windows para desplegar backdoors avanzados conocidos como GRIMWEDGE y LONGTALE.

La cadena de explotación ‘BlueMoon’

El ataque, detectado inicialmente contra organizaciones no gubernamentales (ONG), utiliza un método de infección altamente técnico denominado BlueMoon. Esta cadena combina tres vulnerabilidades críticas:

  • CVE-2026-85046 y CVE-2026-87491: Fallos en el motor V8 de Chrome que permiten la lectura/escritura arbitraria y el escape del ‘sandbox’ del navegador.
  • CVE-2026-85880: Una vulnerabilidad en el Advanced Local Procedure Call (ALPC) de Windows que permite la escalada de privilegios y la ejecución de código arbitrario en el sistema operativo.

El proceso comienza con un correo electrónico de phishing que redirige a la víctima a un sitio web legítimo (pero vulnerado mediante XSS), el cual sirve como trampolín para ejecutar el exploit solo si el usuario utiliza Chrome sobre Windows.

GRIMWEDGE y LONGTALE: Herramientas de control total

Una vez que la cadena de explotación tiene éxito, se despliega el malware. GRIMWEDGE es un backdoor basado en JavaScript que permite a los atacantes realizar reconocimiento del host, gestionar archivos y procesos, y ejecutar comandos remotos. Por otro lado, LONGTALE (también llamado GemStone) es una extensión maliciosa para Chrome que se hace pasar por una herramienta de Google Gemini para robar credenciales, cookies de sesión y realizar capturas de pantalla.

El riesgo del ‘Patch Gap’ o brecha de parcheo

Un aspecto crítico de esta noticia para los responsables de seguridad empresarial es el concepto de ‘Patch Gap’. En este caso, aunque las correcciones para los fallos de Chrome ya se habían aplicado en el código fuente de código abierto (Chromium), estas aún no se habían incorporado en la versión estable distribuida a los usuarios finales. Los atacantes aprovecharon esta ventana de tiempo —donde la vulnerabilidad es conocida pero el parche oficial no ha llegado al usuario— para maximizar el impacto de sus ataques.

Recomendaciones para el entorno empresarial

Desde la perspectiva de la continuidad de negocio y la protección de activos, este incidente subraya la necesidad de:

  • Acelerar los ciclos de actualización: Implementar políticas de actualización inmediata para navegadores y sistemas operativos en cuanto los parches estables estén disponibles.
  • Reforzar la concienciación: El vector inicial sigue siendo el correo electrónico. La formación en detección de phishing es la primera línea de defensa.
  • Monitoreo de extensiones: Supervisar las extensiones de navegador instaladas en los equipos corporativos para detectar software no autorizado o sospechoso.

En Intedya, recordamos que la ciberseguridad no es solo una cuestión de software, sino de procesos robustos y vigilancia constante ante amenazas que evolucionan más rápido que las soluciones estándar.

Fuentes