Mesmo kit de espionagem é usado por 4 grupos de hackers diferentes
Pesquisadores identificaram quatro grupos de espionagem digital usando o mesmo kit para invadir Chrome e Windows em menos de uma semana. IA teria ajudado a acelerar a criação do ataque.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
A empresa de segurança digital Proofpoint, especializada em rastrear campanhas de espionagem cibernética, identificou quatro grupos de hackers distintos usando exatamente o mesmo kit de ataque contra o navegador Chrome e o Windows. O kit, batizado de BlueMoon, combina duas falhas no motor V8 do Chrome (usado também por navegadores baseados em Chromium) com uma vulnerabilidade no Windows que dá controle total do computador da vítima.
O primeiro uso confirmado veio do grupo TA412 (também chamado de Violet Typhoon ou APT31), ligado à inteligência chinesa, em 28 de agosto. Em poucos dias, outros três grupos — identificados como UNK_LateNight, UNK_DoubleCheck e UNK_QuietRacket — passaram a usar o mesmo kit, mesmo sem aparente ligação entre eles.
O ataque começa com um e-mail de phishing que leva a vítima a clicar em um link malicioso. Isso aciona duas falhas no Chrome que permitem rodar código dentro do navegador e escapar da área isolada de segurança (sandbox). Em seguida, uma falha no Windows dá acesso privilegiado ao sistema, permitindo instalar malwares de espionagem e roubo de senhas.
O caso chamou atenção porque a falha do Chrome já havia sido corrigida no código-fonte aberto do Chromium em 7 de agosto, mas só chegou à versão estável do navegador em 3 de setembro — quase quatro semanas de espera conhecida como "patch gap". Pesquisadores da Proofpoint suspeitam que ferramentas de inteligência artificial tenham ajudado os criminosos a analisar a correção publicada e recriar a falha original antes que o reparo chegasse aos usuários comuns, um processo que antes exigia muito mais tempo e conhecimento técnico especializado.
Quem é afetado
Até agora, os alvos identificados são organizações específicas, não o público em geral: contratantes de defesa e ONGs nos Estados Unidos, além de agências de governo, empresas de mineração, comércio, financeiras e de manufatura no Sudeste Asiático, incluindo Indonésia, Singapura e Vietnã. Não há indício de que usuários domésticos tenham sido alvo direto até o momento.
Ainda assim, o episódio serve de alerta geral: qualquer pessoa que use Chrome ou Windows desatualizados fica exposta a variações futuras do mesmo tipo de ataque, já que o código do exploit pode circular ou inspirar outros grupos.
O que fazer agora
- Mantenha o Chrome e o Windows sempre atualizados, ativando atualizações automáticas em vez de adiar reinícios;
- Verifique manualmente a versão do Chrome em Configurações > Sobre o Chrome para confirmar que está na versão mais recente;
- Desconfie de e-mails com links inesperados, mesmo que pareçam vir de contatos ou empresas conhecidas — é assim que o ataque começa;
- Empresas e organizações devem monitorar tráfego de rede incomum e reforçar autenticação multifator, já que o kit também rouba credenciais;
- Se sua organização for contratante de governo, ONG ou atua em setores como defesa, mineração ou finanças no Sudeste Asiático, considere alertar a equipe de TI sobre essa campanha específica.