A BlueMoon , uma empresa partilhada Chrome e Windows O kit de exploração demonstra porque é que "corrigir depois" está a tornar-se uma aposta perigosa.
É fácil adiar as atualizações de segurança. O browser ainda abre, Windows Ainda funciona, e optar por reiniciar o browser ou o computador mais tarde pode parecer inofensivo.
Mas um kit de exploração recentemente documentado chamado “BlueMoon” mostra como os atrasos na correção de vulnerabilidades podem tornar-se rapidamente perigosos. Investigadores da Proofpoint descobriram quatro grupos de espionagem a utilizar a mesma cadeia de exploração contra Chrome navegadores em execução em Windows com poucos dias de diferença.
A campanha serve como um lembrete oportuno de que, uma vez que uma falha de segurança, ou mesmo a sua correção, se torna pública, os atacantes podem agir mais rapidamente do que muitos utilizadores esperam.
Os ataques começaram com e-mails de phishing. Uma vítima que clicasse num link malicioso poderia ser redirecionada para uma página web concebida para explorar duas vulnerabilidades no sistema. Chrome o motor JavaScript V8 da 's, seguido de um Windows Vulnerabilidade que permite contornar as proteções do browser e obter privilégios mais elevados no computador.
O Chrome As vulnerabilidades exploradas pelo BlueMoon foram corrigidas no canal Estável a 3 e 8 de setembro de 2026. A primeira já estava a ser explorada ativamente quando a Google lançou a sua atualização. A Microsoft abordou a questão. Windows vulnerabilidade foi explorada nas atualizações de segurança de setembro (Patch Tuesday) , altura em que também já estava a ser analisada.
Desde então, a CISA adicionou as três falhas ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV, na sigla em inglês) , que lista vulnerabilidades que se sabe terem sido exploradas em ataques reais.
O mais notável não é apenas o facto de a BlueMoon ter explorado as falhas, mas a rapidez com que esta capacidade parece ter-se disseminado. As correções upstream publicamente visíveis podem fornecer pistas aos atacantes antes que as atualizações downstream do browser cheguem aos utilizadores, permitindo que uma cadeia de ataques seja desenvolvida e adotada por vários grupos muito rapidamente.
Isso significa que as atualizações já não podem ser testadas antes de serem lançadas ao público? Não, mas talvez seja necessário repensar a forma como são testadas e implementadas, pois parece que alguns cibercriminosos estão, na prática, a testar as atualizações em versão beta.
Os investigadores encontraram também indícios, mas nenhuma prova conclusiva, de que o kit de exploração foi desenvolvido com o auxílio de IA. A preocupação mais ampla é plausível: as ferramentas de IA podem ajudar os atacantes a interpretar alterações no código-fonte, escrever e modificar código, documentar resultados de testes e aprender com tentativas falhadas.
Na prática, a diferença entre "uma falha corrigida na origem" e "a maioria das pessoas está protegida" pode ser cada vez mais valiosa para os atacantes. Devemos tentar minimizar esta diferença.
Como se manter seguro
Nem todas as atualizações de segurança precisam de ser instaladas assim que são lançadas. Principalmente nas organizações, as atualizações podem necessitar de testes, implementação gradual e planos de contingência. Mas as vulnerabilidades que comprovadamente são exploradas ativamente merecem maior prioridade. É exatamente por isso que o catálogo KEV da CISA é tão importante: ajuda as organizações a identificar as vulnerabilidades que devem ser corrigidas em primeiro lugar.
Para utilizadores domésticos:
- Instale as atualizações do navegador e do sistema operativo imediatamente. Aproveite os poucos minutos que demoram a beber um copo, em vez de a adiar repetidamente.
- Não clique em links em e-mails não solicitados.
- Utilize proteção antimalware atualizada e em tempo real para ajudar a detetar o malware que os kits de exploração tentam distribuir.
Impedir as ameaças antes que causem qualquer dano.
Browser Guard Malwarebytes Browser Guard automaticamente páginas de phishing e sites maliciosos. É gratuito e instala-se com um clique. Adicione-o ao seu navegador →
