La sofisticación de los ciberataques patrocinados por estados ha alcanzado un nuevo nivel. Un grupo de amenaza vinculado a China ha sido identificado como responsable de una campaña de spear-phishing que explota una cadena de vulnerabilidades zero-day en Google Chrome y Microsoft Windows para desplegar un backdoor de JavaScript llamado GRIMWEDGE.
El ataque, documentado por la firma de seguridad Volexity, tuvo como objetivo a múltiples organizaciones no gubernamentales (ONGs) el 1 de septiembre de 2026, y revela una coordinación y una capacidad técnica que deberían poner en alerta a cualquier organización que maneje información sensible.
El grupo, rastreado como UTA0560, envió correos electrónicos que instaban a los destinatarios a hacer clic en un enlace que llevaba al sitio web de una universidad estadounidense.
Ese enlace, aparentemente inofensivo, abusaba de una vulnerabilidad de cross-site scripting (XSS) reflejado en el sitio legítimo para redirigir a las víctimas a infraestructura controlada por los atacantes, donde se alojaba una cadena de exploits de múltiples etapas. Es una técnica que combina la confianza en instituciones legítimas con la explotación de fallos técnicos, y que demuestra la paciencia y la meticulosidad de los atacantes.
La cadena BlueMoon: tres fallos, una sola puerta
El corazón del ataque es una cadena de exploits que Volexity ha bautizado como BlueMoon, y que combina tres vulnerabilidades distintas para lograr la ejecución de código arbitrario en el sistema de la víctima. La primera, CVE-2026-85046, permite obtener lectura y escritura arbitrarias dentro del sandbox de V8, el motor de JavaScript de Chrome. La segunda, CVE-2026-87491, permite escapar del sandbox del navegador.
Y la tercera, CVE-2026-85880, una vulnerabilidad en la Advanced Local Procedure Call (ALPC) de Windows, permite inyectar código en el proceso de Chrome y lograr la ejecución.
La cadena está diseñada para filtrar sistemas que no utilizan Chrome sobre Windows, lo que indica un conocimiento profundo del objetivo y una voluntad de minimizar la exposición. La página final del exploit incrusta tres cargas útiles binarias codificadas en Base64 dentro de JavaScript: la primera realiza reconocimiento del host y fingerprinting, la segunda facilita la escalada de privilegios en el kernel de Windows, y la tercera realiza la inyección en el proceso del navegador y la descarga de la carga útil final.
GRIMWEDGE: el backdoor que espera órdenes
Una vez que la cadena de exploits ha hecho su trabajo, el siguiente paso es el despliegue de GRIMWEDGE. El malware se instala a través de un ejecutable llamado “msgbox.exe”, que actúa como cargador y extrae de sí mismo un binario legítimo de Windows y una DLL maliciosa (“wsc.dll”) para iniciar una cadena de sideloading de DLL. Esa DLL contacta con el servidor de los atacantes para descargar un archivo de texto cuyo nombre se basa en el hostname del dispositivo obtenido durante el reconocimiento.
Ese archivo de texto es en realidad un instalador MSI diseñado para ejecutar un backdoor de JavaScript ofuscado contenido en las acciones personalizadas del MSI. Una vez lanzado, GRIMWEDGE entra en un bucle de comandos persistente que consulta a un servidor de comando y control (“ocr.opusaccel[.]top”) para recibir instrucciones que luego ejecuta en memoria mediante el comando eval(). El backdoor es capaz de ejecutar un conjunto de comandos que incluyen:
- Info: realizar reconocimiento del sistema.
- Dir: obtener un listado de directorios.
- Mkdir: crear un directorio.
- Del: eliminar un archivo.
- Tasklist: enumerar procesos en ejecución.
- Taskkill: matar un proceso por PID.
- Type: leer un archivo de hasta 5 MB.
- Run: ejecutar un comando en una ventana oculta.
- Upload (chunk): obtener un fragmento codificado en Base64 del servidor C2 y añadirlo a un búfer en memoria.
- Upload (commit): guardar el búfer acumulado en disco como archivo final.
Los investigadores señalan que el código no tiene persistencia incorporada, ni movimiento lateral, ni mecanismos de exfiltración más allá de los comandos de lectura y carga de archivos. Sin embargo, eso es suficiente para que UTA0560 establezca un punto de apoyo inicial, reconozca el host, recupere archivos de interés y despliegue herramientas adicionales.
Un segundo actor: JungleBamboo y la extensión que lo ve todo
La historia no termina con UTA0560. Volexity también observó a un segundo grupo de amenaza vinculado a China, conocido como JungleBamboo (también llamado APT31), utilizando la misma cadena de exploits en fechas cercanas para desplegar un cargador llamado SUPERSTOMP, que a su vez instala LONGTALE, una extensión de Chrome para robo de credenciales también conocida como GemStone.
Lo que hace especialmente peligrosa a LONGTALE es su capacidad de disfrazarse. Se presenta como una extensión de Google Gemini (ID: ckiknalbeplpcpofpnabcnhjcegckfei) para evadir la detección, mientras que en realidad soporta un conjunto de capacidades diseñadas para el espionaje masivo:
- Keylogging y captura de formularios.
- Robo de cookies y sesiones.
- Captura de pantallas monitorizando el contenido de las páginas en busca de palabras clave proporcionadas por el servidor C2.
- Exfiltración masiva de pulsaciones de teclas, cookies, datos de almacenamiento, historial de navegación y metadatos de sesión al servidor C2 en intervalos de aproximadamente 30 segundos.
- Control remoto.
Los investigadores señalan que LONGTALE carece incluso de un comando básico de ejecución remota de código, lo que sugiere que el actor consideró que sus capacidades de robo de información eran suficientes para cumplir sus objetivos de vigilancia y robo de credenciales.
El vacío de parcheo: cuando Chromium y Chrome van a velocidades distintas
Uno de los aspectos más fascinantes y preocupantes de esta campaña es la ventana de explotación que los atacantes aprovecharon. Los parches para las dos vulnerabilidades de Chrome ya se habían incorporado al código abierto de Chromium, pero aún no habían llegado a una versión estable de Google Chrome. En otras palabras, los parches upstream crearon un caso inusual de dos vulnerabilidades N-day que fueron corregidas en Chromium pero no en Chrome, lo que las convertía en zero-days efectivos contra el navegador de Google.
Dado que Chrome solía tener un ciclo de lanzamiento de cuatro semanas para las versiones principales (ahora es de dos semanas), es posible que los atacantes buscaran moverse rápidamente antes de que la ventana de explotación se cerrara y los parches oficiales llegaran a los usuarios. Es una carrera contrarreloj en la que los atacantes llevan la delantera, y en la que los usuarios son los últimos en enterarse de que estaban en riesgo.
La hipótesis de la venta de exploits
El uso casi simultáneo de la misma cadena de exploits por parte de dos actores diferentes vinculados a China ha llevado a Volexity a plantear una hipótesis inquietante: es posible que la cadena haya sido vendida o puesta a disposición de ambos grupos por el desarrollador del exploit, después de que este hubiera logrado revertir los cambios en el código fuente de Chromium.
Si esa hipótesis es correcta, estaríamos ante un mercado de exploits zero-day que opera con una eficiencia y una velocidad que los defensores no pueden igualar. Los atacantes no solo tienen acceso a vulnerabilidades no parcheadas, sino que pueden compartirlas o venderlas a otros actores, amplificando el impacto de un solo descubrimiento.
¿Qué significa esto para las organizaciones?
El caso de GRIMWEDGE y LONGTALE es un recordatorio de que las amenazas patrocinadas por estados no son una preocupación exclusiva de gobiernos y grandes corporaciones. Las ONGs, las universidades y cualquier organización que maneje información sensible son objetivos potenciales.
La combinación de spear-phishing, explotación de vulnerabilidades zero-day y malware diseñado para el espionaje silencioso crea una amenaza que requiere defensas en múltiples capas.
Las recomendaciones son las habituales, pero no por ello menos urgentes: mantener el software actualizado, implementar soluciones de detección y respuesta en endpoints, formar a los empleados para reconocer intentos de phishing, y limitar los privilegios de los usuarios. Pero también hay una lección más profunda: la seguridad no es un estado que se alcanza, sino un proceso que nunca termina. Los atacantes están innovando constantemente, y los defensores deben hacer lo mismo.
La cadena BlueMoon, GRIMWEDGE y LONGTALE son nombres que probablemente no aparecerán en los titulares de los medios generalistas. Pero representan una realidad que las organizaciones de todo el mundo deben enfrentar: en la era de la ciberguerra, la información es el campo de batalla, y los ataques son cada vez más silenciosos, más sofisticados y más difíciles de detectar. La pregunta no es si tu organización será atacada, sino cuándo, y si estarás preparado para responder.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
