esta vulnerabilidad infecta tu PC sin que hagas más que un clic

Google ha decidido una aggiornamento de emergencia de su navegador Chrome con el objetivo de solucionar una vulnerabilidad crítica que, según se había descubierto, los hackers habían identificado antiguamente que ellos y se habían asegurado de iniciar a explotarla antiguamente de que se lanzaran parches.

Identificado como CVE-2025-2783, este 'bug' permite a los atacantes sortear las protecciones del navegador y ejecutar código zorro en sistemas Windows.

Según Kaspersky, la empresa de ciberseguridad que dio la voz de miedo, los responsables de activo estado haciendo uso de esta vulnerabilidad serían un clase APT (de 'amenaza persistente descubierta') patrocinado por un Estado, que estarían ejecutando una operación de ciberespionaje enormemente sofisticada, que ha sido bautizada como Operation ForumTroll.

¿Qué es la vulnerabilidad CVE-2025-2783?

CVE-2025-2783 es una vulnerabilidad de inscripción gravitación (con una puntuación CVSS de 8,3 sobre 10), que afecta al sistema de comunicación entre procesos (IPC) utilizado por Chromium en entornos Windows: se alcahuetería de un error razonable en la interacción entre Chrome y el sistema eficaz Windows, lo que permite huir el 'sandboxing' del navegador, una de las principales barreras de seguridad que permite aislar la ejecución de código zorro en el sistema del agraciado.

La operación ForumTroll

Los investigadores de Kaspersky destectaron que el ataque comenzaba con un e-mail de phishing personalizado que contenía enlaces falsos, supuestamente relacionados con el foro colegial ruso Primakov Readings.

Las víctimas eran incitadas a hacer clic en dichos enlaces, que redirigían a sitios maliciosos controlados por los atacantes.

Una vez extenso el enlace desde Google Chrome en un sistema Windows, el exploit se activaba automáticamente, sin requerir acciones adicionales por parte del agraciado, lo que deja clara su peligrosidad.

El objetivo final era el espionaje y la adquisición de información confidencial, de forma silenciosa y dirigida.

Un ataque sofisticado

Los expertos de Kaspersky han calificado la campaña como enormemente técnica y profesional, lo cual apunta inequívocamente a un clase APT con respaldo estatal. Encima, la explotación de CVE-2025-2783 no se realizaba de forma aislada: estaba acompañada de un segundo exploit no identificado que permitía la ejecución remota de código.

Aunque este segundo exploit no pudo ser recuperado para su disección, el simple hecho de combinar dos vectores de ataque sugiere una prisión de infección descubierta diseñada para sortear defensas y mantenerse oculta.

Respuesta de Google y tiro de parches

El equipo de seguridad de Google lanzó de forma urgente la interpretación 134.0.6998.177/.178 de Chrome para Windows, corrigiendo el arbitraje de seguridad. La aggiornamento está habitable tanto para usuarios con actualizaciones automáticas como para aquellos que deben hacerlo manualmente.

Encima, se ha recomendado que otros navegadores basados en Chromium, como Microsoft Edge, Opera, Brave y Vivaldi, apliquen parches en cuanto estén disponibles.

Vía | Kaspersky

Imagen | Marcos Merino mediante IA

En Genbeta | Qué fue de los programadores que hace dos primaveras trabajaron infundado para evitar pérdidas millonarias a grandes tecnológicas