BeeHackers Weekly Updates

(Análisis técnico completo de Microsoft / The Hacker News)

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

7 de septiembre

Ramón Salado — Mon, 07 Sep 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
UNC6671, el grupo de extorsión que "cerró", se reinventó en cuatro marcas y atacó a los mayores hedge funds del mundo
TerminalFix, el CAPTCHA de Cloudflare que no lo es y que convierte tu PC en una puerta trasera a toda tu red

💥Google publica actualización de emergencia para el 6º ZeroDay explotado en Chrome en lo que va de 2026: CVE-2026-85046 (CVSS 8.8) es una type confusion en el motor V8 que permite a un atacante ejecutar código arbitrario dentro del sandbox del navegador con solo que la víctima visite una página HTML manipulada. Actualizar a Chrome 152.0.7977.82/.83 inmediatamente; aplica también a Edge, Brave, Opera y Vivaldi (Noticia / The Hacker News)

💥CVE-2026-20212 (CVSS 9.8) en Cisco Nexus 9000 con chips Silicon One: un servicio interno queda accesible sin autenticación en los puertos TCP 43210 y 43211 del VRF de capa 3 por defecto, permitiendo a cualquier atacante que pueda alcanzar esos puertos ejecutar código con privilegios root; también puede crashear el proceso S1HAL y reiniciar el switch. Afecta a 10 modelos, muchos de ellos usados como columna vertebral en centros de datos de IA. Parche disponible; como mitigación temporal, bloquear esos dos puertos con iACLs (Noticia / Aviso oficial Cisco)

💥Proxmox VE 7 bajo ataque activo de ransomware: el fallo (CVE-2023-54391, aviso PSA-2026-00043-1 del 1 de septiembre) permite a un atacante remoto obtener sesión root en la API de administración enviando el parámetro tfa-challenge con cualquier valor, saltándose completamente la comprobación de contraseña. Proxmox lo supo por oleadas de usuarios con servidores cifrados. (Aviso oficial Proxmox)

💥CVE-2026-59346 (CVSS 9.3) en VMware Workstation y Fusion: desbordamiento de entero en el adaptador de red virtual VMXNET3 que permite a un actor malicioso con privilegios de administrador dentro de una máquina virtual ejecutar código en el sistema host (escape de VM), sin que sea necesario ningún parche adicional de ESXi al ser específico de Workstation/Fusion (Noticia)

💥Múltiples vulnerabilidades críticas en productos WatchGuard notificadas por INCIBE-CERT (Aviso)

💥CVE-2026-19490 en Citrix NetScaler.Se trata del bypass de autenticación (CVSS 9.3) que Citrix publicó el 19 de agosto, el mismo dispositivo que ya lleva semanas siendo atacado por CVE-2026-8452. Dos fallos críticos, mismo appliance, mismo vector: cualquier NetScaler sin parchear en el perímetro debe considerarse urgente (Noticia)

UNC6671, el grupo de extorsión que "cerró", se reinventó en cuatro marcas y atacó a los mayores hedge funds del mundo

A principios de mayo de 2026, el grupo de extorsión BlackFile publicó en su sitio de filtraciones un mensaje de despedida. Se retiraban. Muchos lo dieron por cerrado. Google Threat Intelligence Group (GTIG) y Mandiant no se lo creyeron, y tenían razón.

El grupo, rastreado internamente como UNC6671, no desapareció. Lo que hizo fue algo más sofisticado y más revelador del estado actual del ecosistema del crimen organizado digital: se fragmentó simultáneamente en cuatro marcas distintas (Redact, Pink, Helix y Falcon), cada una con su propio sitio de filtraciones, su propia identidad pública y sus propios mensajes de extorsión. La razón oficial fue que un afiliado díscolo había "secuestrado" la marca original. La razón real, según GTIG, es que fragmentarse en múltiples marcas dificulta la atribución, complica la respuesta policial coordinada y permite seguir negociando con víctimas simultáneas sin que unas sepan de las otras. El propio grupo Falcon publicó un comunicado desmarcándose de Helix y Pink, negando ser el mismo actor, lo que GTIG interpreta precisamente como evidencia de coordinación: la infraestructura, las plantillas de phishing, los dominios de intermediación y la victimología son demasiado parecidos para ser coincidencia.

El negocio funcionó bien. Entre enero y mayo de 2026, GTIG rastreó 141,65 BTC ingresados en 18 wallets vinculadas a la operación, unos 10,6 millones de dólares durante ese periodo. Las demandas de rescate oscilan entre 1 y 3 millones de dólares por víctima, con acuerdos que promedian alrededor de 750.000. En agosto, el grupo aceleró: registró un nuevo dominio AiTM cada 1,6 días de media, y Mandiant está asistiendo en la respuesta a incidentes de varias docenas de organizaciones comprometidas.

El pivot a los hedge funds es el giro más relevante de agosto. Hasta ahora el grupo había atacado fundamentalmente empresas de tecnología, sanidad y retail. En julio y agosto concentró su actividad contra fondos de cobertura, firmas de private equity, despachos de abogados de primer nivel y agencias de rating financiero. Reuters y Bloomberg confirmaron ataques contra Point72, Millennium Management, Two Sigma y Citadel, aunque con impactos distintos: Point72 dijo a sus inversores que no había evidencia de robo de datos de clientes; Two Sigma bloqueó el intento sin que sus sistemas se vieran afectados; Citadel y Millennium no comentaron. La razón del cambio de objetivo es obvia en retrospectiva: los archivos de fusiones y adquisiciones, los registros de valoración de fondos, los datos de cartera y las comunicaciones estratégicas tienen un valor de extorsión muy superior a los datos de clientes de retail, y hay menos fricción para pagar rápido cuando la filtración amenaza la reputación ante inversores institucionales.

La técnica de acceso inicial no ha cambiado, y eso es lo más llamativo. UNC6671 no explota vulnerabilidades técnicas sofisticadas. Llama por teléfono. Un operativo que habla inglés con fluidez contacta a un empleado en su móvil personal (no en el corporativo, para evadir los filtros de llamadas empresariales) y se presenta como soporte de TI interno realizando una "migración de seguridad urgente" o un "proceso obligatorio de actualización de cuenta". El empleado, creyendo hablar con su propio departamento de IT, sigue las instrucciones: navega a una URL que le indican, introduce sus credenciales y aprueba el MFA. Detrás de esa URL hay una página de login de Microsoft 365 u Okta perfectamente clonada con infraestructura AiTM que captura credenciales y tokens de sesión en tiempo real. Una vez autenticado, un script automatizado empieza a exfiltrar datos de SharePoint, OneDrive, Exchange y cualquier app SaaS conectada al SSO.

Lo que hace a este vector especialmente resistente a los controles técnicos habituales es que el factor humano está en el centro y el ataque llega por un canal no supervisado (el teléfono personal). GTIG documentó un caso en el que el atacante pasó de la primera llamada a la exfiltración completa de datos en menos de cinco minutos. No hay phishing en el correo corporativo, no hay adjunto malicioso, no hay exploit. Solo una llamada convincente y un empleado que no sospecha nada.

El grupo también ha escalado algunas campañas a lo que en inglés llaman "corporate swatting": amenazar con llamar a servicios de emergencia (policía, bomberos) a la dirección de la empresa si no se paga, añadiendo presión física y reputacional a la extorsión de datos. Es una escalada que hasta hace poco se veía casi exclusivamente en ataques contra particulares.

IOCs publicados por GTIG y Gurucul incluyen numerosos dominios de phishing AiTM, IPs asociadas a la infraestructura de intermediación, y patrones de User-Agent y headers HTTP usados en los portales falsos. GTIG identificó el reuso de dominios raíz genéricos entre múltiples objetivos como la clave que permitió conectar las cuatro marcas: en vez de registrar infraestructura aislada por víctima, UNC6671 reutiliza los mismos proveedores de hosting y los mismos patrones de dominio, lo que deja huella.

Lo que defender significa en este caso no es desplegar un nuevo control técnico sino reforzar la concienciación sobre vishing de una forma muy específica: los empleados deben saber que su departamento de TI jamás les pedirá que naveguen a una URL concreta durante una llamada entrante no solicitada ni que aprueben una notificación de MFA que ellos no han iniciado. El proceso correcto ante cualquier llamada de soporte entrante que pida acción urgente es colgar y llamar directamente al número de soporte interno conocido. Una regla simple que ningún firewall puede reemplazar.

(Informe GTIG / BleepingComputer / SecurityWeek)

TerminalFix, el CAPTCHA de Cloudflare que no lo es y que convierte tu PC en una puerta trasera a toda tu red

Imagina que entras a una web y aparece la pantalla de verificación de Cloudflare de siempre. Haces clic en la casilla. Esta vez, en vez del tick verde, aparece un mensaje: "verificación alternativa requerida", con instrucciones en tres pasos: abre Windows Terminal, pulsa Ctrl+V, pulsa Enter. Parece raro, pero la pantalla tiene el logo, los colores y hasta el Ray ID de Cloudflare. ¿Lo harías?

Jean-Baptiste, el investigador francés que documentó esta técnica en el hilo que nos llegó esta semana, reconoce que casi cae él mismo. Microsoft acaba de publicar el análisis técnico completo de lo que denominan TerminalFix, la variante más avanzada de esta familia de ataques, y la cadena que describe es una de las más elaboradas que se han visto en campañas de acceso masivo.

El truco social tiene dos capas. La primera es el contexto: la web comprometida carga un segundo antes de ser tapada por el overlay de verificación, así que el usuario ve brevemente el sitio legítimo y baja la guardia. La segunda es el diseño: el overlay replica con precisión quirúrgica la Cloudflare Turnstile real, incluyendo la animación del spinner, el checkbox y el texto "Verify you are human". Lo único que difiere del original es lo que ocurre cuando interactúas con él: en vez de validar tu dispositivo en el servidor de Cloudflare, el JavaScript de la página copia silenciosamente un comando PowerShell al portapapeles del sistema sin que el usuario lo vea ni lo autorice.

Lo que TerminalFix añade respecto a las versiones previas de ClickFix es que dirige al usuario al Windows Terminal en vez al diálogo Ejecutar (Win+R). El motivo es técnico: el terminal acepta scripts multilínea complejos de forma más fiable que el diálogo Run, así que el payload puede ser más sofisticado sin riesgo de que falle a mitad por un límite de caracteres.

Y el payload es muy sofisticado. Una vez que el usuario pega y ejecuta el comando, empieza una cadena de ocho etapas que Microsoft ha diseccionado en su análisis:

El comando PowerShell inicial finge ser un proceso de verificación de Cloudflare: imprime en pantalla mensajes en color cian ("Starting Cloudflare verification..."), descarga un ZIP desde infraestructura del atacante, lo extrae en C:\ProgramData\f47f2a8c21c9df4e (el ID parece un Cloudflare Ray ID auténtico), lanza un archivo batch en segundo plano y termina mostrando un mensaje verde de confirmación ("I am not a robot – Cloudflare ID: f47f2a8c21c9df4e"). El usuario ve una verificación completada. El malware ya está corriendo.

Dentro del ZIP hay dos archivos: LockScreenContentServer.exe, un binario legítimo y firmado de Windows, y dui70.dll, una DLL maliciosa. El ataque usa DLL sideloading: cuando el ejecutable legítimo se lanza, Windows busca dui70.dll primero en el directorio de la aplicación antes que en System32. Encuentra la maliciosa, la carga, y el código malicioso se ejecuta dentro de un proceso con firma de Microsoft. Muchos controles de seguridad que validan la identidad del proceso no ven nada extraño.

La DLL cargada lanza una segunda fase de PowerShell que descarga tres imágenes PNG desde dominios del atacante. Esas imágenes contienen los payloads de las siguientes etapas escondidos en los valores de los canales RGBA de cada píxel (esteganografía): los primeros 8 bytes de la secuencia de píxeles codifican la longitud total del payload, el resto contienen el binario. Después de extraer y reconstruir los ejecutables, las imágenes se borran para no dejar evidencia.

A continuación el malware establece doble persistencia: una clave en HKCU\...\Run con el nombre LockScreenContentServer_MuODG5yBM (elegido para confundirse con el componente legítimo de Windows que acaba de abusar), y una tarea programada que relanza el proceso cada 60 minutos. El directorio de trabajo recibe atributos de sistema y oculto con attrib +h +s. Y establece un bucle de command execution que monitoriza un archivo de texto local: cuando el atacante escribe un comando en él a través del túnel, el bucle lo ejecuta con Invoke-Expression y escribe el resultado en otro archivo que el atacante puede leer de vuelta.

El reconocimiento que sigue es el de un ataque con objetivos específicos en mente. El malware enumera dominios de Active Directory, miembros del grupo "Domain Admins", todos los equipos y usuarios del dominio con sus descripciones (campo donde los administradores a menudo escriben información sensible como "contraseña temporal: Empresa2024"), y hace ping sistemático a servidores por nombres de rol típicos: controladores de dominio, bases de datos, servidores de backup, gateways, correo. Los scripts de reconocimiento incluyen variantes en inglés, español y alemán, lo que indica una campaña diseñada para operar en entornos multilingües.

El último componente es el que da nombre real a la amenaza: un túnel reverso Python personalizado. El atacante descarga el runtime oficial de Python 3.14.5 directamente desde python.org (firmado y legítimo), y lo usa para ejecutar client.py, su implante de tunelización. El implante abre una conexión WebSocket saliente cifrada con TLS hacia gitnow[.]dev:443 y la mantiene viva. Desde ese punto, el atacante tiene un proxy SOCKS5 completo a través del host comprometido: puede alcanzar cualquier sistema visible desde la red interna de la víctima. Se lanza con pythonw.exe (sin ventana visible), el debug está desactivado, y la salida va solo a stderr. El proceso es completamente silencioso para el usuario.

En el tráfico de red, todo parece una sesión HTTPS ordinaria hacia un único dominio. No hay escaneo de puertos, no hay conexiones entrantes, no hay patrones anómalos. Solo tráfico WebSocket cifrado saliente, indistinguible del que genera cualquier aplicación web moderna.

IOCs publicados por Microsoft:

C2 del túnel: gitnow[.]dev (puerto 443)
Dominios de hosting de payloads PNG: bestsocialmedianewspapper[.]com, offlineupdater[.]com
Web comprometida de muestra: linked-log[.]com
Hash del ZIP inicial: 18c2090e8a0ae0568af9b87e59eaf8270f23d2909600ed9db91a9444fd8b278f
Hash del implante client.py: b8d107800403b9197e5b7609ceacd8e4cac1b0f9a1d156e6dacd6c3f7794b36a
Hashes de variantes de dui70.dll: varios (ver informe completo)

Para detección: la query de Advanced Hunting de Microsoft busca LockScreenContentServer.exe ejecutándose desde rutas distintas a System32, y procesos Python lanzados con los argumentos específicos de client.py. En logs forenses, la clave del Run en el registro es el rastro más duradero.

Para mitigación: restringir la ejecución de PowerShell para usuarios estándar mediante AppLocker o Application Control; monitorizar DLL loads de LockScreenContentServer.exe desde rutas no estándar; configurar Windows Terminal para que avise al pegar contenido multilínea (opción de grupo disponible); y, sobre todo, formar a los usuarios en una regla simple: ningún proceso de verificación legítimo, de Cloudflare ni de nadie, pedirá jamás abrir un terminal y ejecutar un comando.

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

31 de agosto

Ramón Salado — Mon, 31 Aug 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
AliExpress usaba sonidos inaudibles para rastrearte sin que lo supieras.
Pass-ta-key, o cómo el malware puede robar todos tus passkeys de Google sin pedirte ni el dedo

💥CISA ordena a las agencias federales parchear CVE-2026-8452 en Citrix NetScaler ADC y Gateway antes del 29 de agosto: lo que Citrix describió en junio como un desbordamiento de memoria con riesgo de DoS resultó ser, según el análisis de watchTowr, una vía de RCE no autenticado como root. Atacantes ya despliegan web shells (x.php, z.php) en campañas de "spray and pray"; Shadowserver rastrea más de 22.000 appliances NetScaler expuestos a internet. Además, Citrix publicó el mismo mes CVE-2026-19490 (CVSS 9.3), un bypass de autenticación sin parche en ese momento sobre el mismo dispositivo (Noticia / Análisis técnico watchTowr y SecurityWeek)

💥CVE-2026-63077 (CVSS 9.8) en JetBrains TeamCity On-Premises: RCE no autenticado vía deserialización de datos en el protocolo de polling de agentes, que ejecuta comandos arbitrarios del sistema operativo con los privilegios del proceso de TeamCity (credenciales, secretos, artefactos de build, pipelines CI/CD completos al alcance del atacante). Afecta a todas las versiones on-premise; CISA lo añade al KEV el 6 de agosto, solo 9 días después de su divulgación pública. El precedente es malo: los fallos equivalentes de TeamCity de 2024 llevaron a ransomware en miles de servidores expuestos (Noticia / Aviso oficial JetBrains)

💥Explotan activamente CVE-2026-50522 en SharePoint para robar machine keys y mantener persistencia incluso después de parchear el servidor; una vez obtenidas esas claves, el atacante puede forjar tokens de autenticación y seguir accediendo aunque el fallo original esté corregido (Noticia)

💥Un investigador bajo el alias "Nightmare Eclipse" publica un exploit 0-day llamado LegacyHive para Windows que permite escalada de privilegios en sistemas completamente actualizados, seguido pocos días después de un segundo exploit llamado ShieldBreak contra Microsoft Defender, publicado el mismo día del Patch Tuesday de agosto como respuesta directa al proceso de divulgación con Microsoft (Noticia)

💥CVE-2026-60004 en Gitea: inyección de código crítica que permite a un atacante no autenticado modificar o eliminar proyectos públicos; en instancias con auto-registro habilitado (la configuración por defecto) no hacen falta credenciales previas. CISA lo añade al KEV con solo 3 días de plazo. Shadowserver rastrea cerca de 5.000 instancias Gitea expuestas a internet, y se han detectado campañas desplegando malware de minería en servidores sin parchear (Noticia)

AliExpress usaba sonidos inaudibles para rastrearte sin que lo supieras.

La historia empieza con una anomalía que cualquier usuario técnico podría haber ignorado. Matt Callaghan, desarrollador de software, notó que cada vez que abría una pestaña de AliExpress sus auriculares inalámbricos dejaban de funcionar correctamente: en vez de reproducir audio de su teléfono cuando el PC estaba inactivo, como hacen siempre los auriculares multipoint, se quedaban "ocupados" sin razón aparente. Silenciar la pestaña no resolvía nada. Cerrarla sí.

Eso le bastó para empezar a mirar el código de la página. Lo que encontró son dos scripts de seguridad de Alibaba llamados collina.js y fireyejs.js, descritos en la propia documentación interna como herramientas anti-fraude. Ambos estaban fuertemente ofuscados. Una vez desentrañados, revelan que construyen un grafo de audio mediante la WebAudio API del navegador: generan una onda de sierra (sawtooth oscillator), la pasan por un analizador que mide cómo el hardware del dispositivo la procesa, y leen los datos de frecuencia resultantes. El volumen está puesto a cero, así que el usuario no escucha absolutamente nada. Pero el grafo de audio sigue activo en segundo plano, y eso es suficiente para que el sistema operativo considere que ese dispositivo está reproduciendo audio activamente, lo que impide al auricular Bluetooth liberar el canal de audio y cambiar a otro dispositivo.

El principio detrás de esto se llama audio fingerprinting. Cada CPU y cada combinación de hardware procesa las señales de audio de forma ligeramente distinta, con pequeñas variaciones en coma flotante que son consistentes por dispositivo. Esas variaciones, medidas con suficiente precisión, producen un identificador único y estable que no depende de cookies, que no se borra al limpiar el historial, que no cambia al abrir una ventana de incógnito, y que funciona igual aunque el usuario tenga bloqueadores de anuncios. Combinado con todo lo demás que recogen los mismos scripts (dimensiones de pantalla, memoria disponible, WebGL, WebRTC, comportamiento del puntero), el resultado es lo que los investigadores llaman una "firma de dispositivo bastante completa", enviada cifrada a los servidores de telemetría de Alibaba.

Alibaba no ha respondido públicamente. La única posición conocida de la compañía es que estos scripts forman parte de sus herramientas de prevención de fraude, y eso puede ser parcialmente cierto: el fingerprinting se usa legítimamente para detectar bots, cuentas múltiples y comportamiento sospechoso. El problema es que también funciona como mecanismo de rastreo persistente sin ningún tipo de consentimiento ni aviso al usuario, y sin que ninguna API del navegador emita señal visual alguna de que el sistema de audio está siendo usado.

El punto técnico más interesante del caso es que la WebAudio API no tiene ningún modelo de permisos que se parezca al de la cámara o el micrófono. Para usar esas APIs el navegador muestra un diálogo de permiso explícito y un indicador visual mientras están activas. La WebAudio API, en cambio, puede crearse y usarse silenciosamente por cualquier script de cualquier página, sin que el usuario vea nada. Firefox lo describió como "un punto ciego real en el modelo de permisos web actual". El micrófono no estaba escuchando, pero el sistema de audio sí estaba ocupado procesando señales.

La respuesta de los navegadores a este caso es reveladora de cuánto importa elegir bien:

Firefox introdujo protecciones contra el audio fingerprinting en su versión 118 (septiembre 2023), agrupando a todos los usuarios en uno de tres "cubos" según tipo de hardware, de modo que todos los dispositivos dentro del mismo cubo devuelven resultados idénticos al script, neutralizando el tracking. Funciona en el 99,24% de los usuarios. Hay 48 usuarios en todo el mundo que quedan en cubos tan pequeños que siguen siendo identificables, probablemente por hardware muy atípico o bugs de CPU. Firefox confirmó que sus protecciones bloquean el script de AliExpress.

Brave va un paso más allá: inyecta valores aleatorios en los resultados de audio, de modo que el mismo dispositivo devuelve fingerprints distintos en cada sitio y en cada sesión, haciendo el rastreo inútil. Además bloquea específicamente collina.js y fireyejs.js por defecto. Restaurar el comportamiento normal de los auriculares Bluetooth es inmediato al instalar Brave o cambiar de pestaña.

Safari usa un enfoque distinto: inyecta errores aleatorios en el buffer de audio en vez de agrupar usuarios, con resultado similar.

Chrome no tiene ninguna protección activa contra el fingerprinting de audio por defecto. Alexander Hanff, consultor de privacidad, documentó en abril que hay al menos treinta técnicas de fingerprinting distintas funcionando en Chrome en producción, no en laboratorio, en millones de sitios reales. El bloqueador de terceros más práctico mientras tanto es añadir collina.js y fireyejs.js como filtro en uBlock Origin, lo que restaura el comportamiento del Bluetooth inmediatamente.

La historia tiene también una lectura más amplia sobre la privacidad en el ecosistema web. El fingerprinting lleva años siendo una realidad documentada y en gran medida ignorada, precisamente porque no deja rastro visible para el usuario. No hay un icono en la barra del navegador, no hay notificación, no hay forma de saberlo a menos que tengas auriculares multipoint con un comportamiento lo suficientemente extraño como para llamar la atención de alguien que sabe mirar el código fuente. Lo que descubrió Callaghan no es una rareza de AliExpress: es una práctica extendida que simplemente quedó expuesta por un efecto colateral inesperado en hardware Bluetooth.

(Investigación original de Matt Callaghan / The Register / Análisis Firefox)

Pass-ta-key, o cómo el malware puede robar todos tus passkeys de Google sin pedirte ni el dedo

El sector de la identidad lleva dos años prometiendo que los passkeys son el fin de las contraseñas. En mayo de 2026, la FIDO Alliance contaba ya 5.000 millones de passkeys en uso y el 75% de los encuestados había activado alguno. El mensaje era claro: sin contraseña que robar, el phishing queda obsoleto.

Palo Alto Networks Unit 42 publicó el 3 de agosto una investigación que no refuta eso, pero añade una cláusula importante: los passkeys eliminan el phishing de credenciales, pero desplazan el riesgo al endpoint. Si hay malware en el dispositivo, los passkeys sincronizados con Google son robables, y sin que aparezca ningún prompt en pantalla.

Tres ataques, un denominador común. Los investigadores bautizaron la familia como "Pass-ta-key" y documentaron tres variantes. Todas requieren malware ya ejecutándose en el equipo de la víctima con privilegios de usuario normal, sin administrador. Ninguna rompe la criptografía de WebAuthn o FIDO2; explotan capas de implementación alrededor de cómo Chrome gestiona claves de dispositivo, re-enrollment y verificación de usuario.

El primero, Pass-ta-key, abusa directamente del autenticador en la nube de Google Password Manager. Chrome mantiene una clave de identidad de dispositivo respaldada por hardware, pero el autenticador en la nube acepta solicitudes de autenticación enviadas a través de la API del propio proceso de Chrome. El malware puede inyectarse en Chrome e impersonar la solicitud de un sitio legítimo, recibir una aserción WebAuthn válida, y usarla para iniciar sesión desde el dispositivo del atacante, sin que la víctima vea ni una pantalla de confirmación, ni un prompt biométrico, ni nada.

El segundo, Silver Pass-ta-key, explota el flujo de re-enrollment de dispositivos. Cuando un usuario registra un nuevo dispositivo en su cuenta de Google, el proceso acepta una nueva clave de verificación de usuario sin validar adecuadamente que esa clave esté respaldada por hardware real. El malware puede registrar su propia clave de verificación de usuario en el contexto del proceso de Chrome, lo que le permite después iniciar sesión como la víctima desde cualquier máquina del atacante, sin necesidad de tocar el dispositivo original.

El tercero, Golden Pass-ta-key, es el más serio con diferencia. Google Password Manager sincroniza los passkeys entre dispositivos cifrándolos con lo que llama internamente un "security domain secret", una clave maestra de 32 bytes. Cuando un dispositivo se registra o recupera acceso a la cuenta, Chrome recibe esa clave temporalmente. Unit 42 descubrió que Chrome la dejaba en texto claro en sus logs internos de FIDO. Google eliminó el secret de los logs cuando los investigadores lo reportaron, pero la clave sigue pasando por la memoria del proceso de Chrome en algún momento del flujo, y sigue siendo accesible mediante técnicas estándar de lectura de memoria de proceso, sin privilegios de administrador.

La implicación es la que hace de este ataque algo cualitativamente distinto: con esos 32 bytes, el atacante puede descifrar todos los passkeys sincronizados en la cuenta de Google de la víctima, extraer sus claves privadas, y usarlas desde cualquier otro dispositivo para autenticarse en cualquier servicio que acepte esos passkeys. Y el problema no tiene solución de rotación: Google no proporciona actualmente ningún mecanismo para revocar o cambiar esa clave maestra, lo que significa que los passkeys actuales y futuros de la cuenta quedan comprometidos por el mismo secret robado.

Contexto importante. No hay explotación en la naturaleza reportada hasta la fecha, y no se ha asignado ningún CVE a los hallazgos de Unit 42. El prerequisito del malware es real y significativo: si el endpoint ya está comprometido, el atacante tiene acceso a cookies de sesión, historial del navegador, contraseñas guardadas y cualquier otra credencial almacenada. En ese escenario, los passkeys no son el único problema. Lo que cambia con Pass-ta-key es que los passkeys sincronizados dejan de ser el elemento "imposible de robar" que los distingue del resto de credenciales.

La arquitectura del problema. Los passkeys como estándar FIDO2 están diseñados para que la clave privada nunca salga del dispositivo. En implementaciones locales (clave almacenada en el TPM o en el secure enclave del móvil) esto se cumple. El punto débil está en la sincronización: para que un passkey funcione en todos tus dispositivos, Google necesita poder replicarlo, y eso implica cifrarlo con una clave que el servidor también conoce de alguna forma. Golden Pass-ta-key explota precisamente esa necesidad: la clave de sincronización tiene que existir en algún momento en la memoria del cliente.

Unit 42 recomienda que los servicios dejen de confiar ciegamente en el flag de user-verification de WebAuthn y validen que realmente ocurrió un evento de verificación de usuario antes de conceder acceso. A Google le piden endurecer el registro y recuperación de dispositivos y verificar que las nuevas claves están respaldadas por hardware real, no aceptarlas a ciegas. Mientras tanto, la protección más efectiva sigue siendo la misma de siempre: mantener el endpoint libre de malware, porque si hay malware en el dispositivo ninguna capa de autenticación, por avanzada que sea, garantiza nada.

(Informe técnico Unit 42 / Cobertura Malwarebytes / BleepingComputer)

(Investigación completa de Akamai)

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

24 de agosto

Ramón Salado — Mon, 24 Aug 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
Bring Your Own EDR: cómo Akamai convirtió el propio antivirus SentinelOne en un caballo de Troya invulnerable
De MessageBoxA a rootkit invisible: el manual que todo defensor debería leer aunque no sea programador

💥Microsoft confirma explotación activa de CVE-2026-69836 (CVSS 10.0) en Entra ID, un fallo de deserialización de datos no confiables que permitía ejecución remota de código sin autenticación ni interacción del usuario. Ya está mitigado del lado de Microsoft y no requiere ninguna acción del cliente, pero la compañía no ha revelado quién lo explotó, desde cuándo, ni el alcance real. Llegó junto a otros 21 parches del mismo día, incluyendo hasta seis fallos más con CVSS 10.0 en Azure Arc y Exchange Online (Noticia)

💥Más de 14.500 cámaras Dahua comprometidas en la operación bautizada CameraSwarm, combinando ataques de credenciales con dos fallos de bypass de autenticación ya conocidos y técnicas de relevo P2P; un vector P2P independiente alcanzó 283 cámaras identificadas por número de serie, y 1.923 dispositivos quedaron con una cuenta persistente instalada por el atacante (Noticia)

💥NSA, CISA, FBI, DOE y EPA emiten una alerta conjunta sobre una campaña activa contra PLCs Siemens S7, con actores usando servicios de escaneo en internet y scripts asistidos por IA para localizar sistemas expuestos, desactualizados o mal protegidos (Noticia)

💥Explotan activamente CVE-2026-19478 en GitLab (CVSS 9.4) apenas días después de su divulgación, un fallo de inyección de código que permite a un atacante no autenticado modificar o eliminar proyectos públicos sin necesidad de credenciales ni interacción del usuario. (Noticia)

💥CISA añade a su catálogo KEV la explotación activa de CVE-2026-64849 (CVSS 9.3) en MLflow, la popular plataforma open-source de MLOps con más de 60 millones de descargas mensuales: un SSRF no autenticado en la funcionalidad de webhooks del registro de modelos permite a un atacante hacer que el propio servidor MLflow realice peticiones HTTP hacia endpoints internos, incluidos los metadatos de la nube (AWS, Azure, GCP), robando credenciales y tokens en cuestión de horas tras la divulgación (Noticia)

Bring Your Own EDR: cómo Akamai convirtió el propio antivirus SentinelOne en un caballo de Troya invulnerable

Hay un tipo de investigación de seguridad que resulta especialmente inquietante, no porque explote un fallo exótico, sino porque le da la vuelta a la premisa más básica de la defensa: ¿qué pasa cuando el software en el que confías ciegamente, precisamente porque está ahí para protegerte, se convierte en el arma que te ataca? Eso es lo que Shahak Morag, investigador de Akamai Security Intelligence Group, presentó en DEF CON 34 bajo el nombre "Bring Your Own EDR", y el resultado es una de las demostraciones más completas que se han visto sobre cómo abusar de un EDR comercial de gama alta, en este caso SentinelOne, sin necesidad de un solo exploit de kernel ni un driver vulnerable.

El punto de partida: entender qué protege a un EDR de sí mismo. Desde Windows 8.1, existe un mecanismo llamado Protected Process Light (PPL), que blinda a los procesos críticos del sistema y de seguridad frente a manipulación: bloquea el acceso a memoria desde procesos no protegidos, impide cargar DLLs sin firmar, evita que cualquier usuario pueda matar el proceso, y restringe el acceso a herramientas de depuración. La mayoría de soluciones EDR modernas, incluida SentinelOne, se ejecutan bajo el nivel de protección PsProtectedSignerAntimalware-Light. En teoría, esto las hace intocables para cualquier proceso normal. En la práctica, Akamai encontró la grieta.

El punto de entrada fue, de forma casi irónica, una interfaz pensada para diagnóstico. Analizando el agente de SentinelOne, los investigadores enumeraron sus objetos COM expuestos y encontraron tres procesos con interfaces accesibles: SentinelHelper, SentinelUI y SentinelAgent. Dentro de SentinelHelper apareció un método llamado Dump, que recibe un PID como parámetro y genera un volcado de memoria de ese proceso. Lo probaron contra procesos protegidos, y funcionó. El motivo: el método solo comprobaba si el usuario tenía privilegios de administrador, sin verificar nada más, a pesar de ejecutarse él mismo como proceso protegido (hereda la protección PPL del servicio SentinelHelperService.exe). El resto de funciones de esa misma interfaz sí verificaban que quien llamaba residía dentro del directorio de instalación de SentinelOne. Dump no, porque en teoría solo la usaba un script interno de diagnóstico que corre desde otra ruta. Ese descuido de validación fue la primera grieta: cualquier administrador local podía volcar la memoria de cualquier proceso protegido, incluido el propio SentinelOne, sin exploit ni driver malicioso de por medio.

De volcar memoria a ejecutar código: el verdadero reto técnico. Tener un volcado de memoria no es lo mismo que ejecutar código dentro de un proceso protegido. Akamai partió de una investigación previa (PPLSystem, de @Slowerz) que ya había demostrado cómo extraer secretos COM de procesos volcados para mapear una DLL sin firmar dentro de un proceso PPL, pero con una limitación crítica: ese código nunca llegaba a ejecutarse de verdad, quedaba como "código muerto" en memoria, sin relocalizaciones corregidas ni hilo de ejecución. Cerrar esa brecha les llevó por un camino de depuración bastante fino, resuelto en cinco pasos encadenados:

Encontrar la dirección del shellcode en memoria, ya que la primitiva original de PPLSystem solo podía leer direcciones de 32 bits, insuficiente en un entorno de 64 bits, así que recurrieron a volcar el proceso de nuevo y localizar la dirección en la lista de módulos cargados.
Resolver la protección del punto de entrada: la primera página que contenía el punto de entrada estaba mapeada como solo lectura en vez de ejecutable, así que tuvieron que llamar a NtProtectVirtualMemory para marcarla como ejecutable tras el mapeo.
Recuperar una sección de shellcode "perdida": la herramienta que generaba el shellcode (PE_TO_SHELLCODE) añadía al final del binario el código encargado de corregir relocalizaciones, pero sin registrarlo en la tabla de secciones del PE, así que Windows simplemente no lo mapeaba. Solución: un script en Python que añade esa parte como una sección PE legítima.
Conseguir permisos de escritura para las relocalizaciones, marcando todas las secciones del ejecutable como RWX (lectura, escritura y ejecución), ya que el shellcode necesitaba reescribir referencias en la sección .idata, que por defecto no tenía permisos de escritura.
Evitar cargar DLLs sin firmar dentro de un proceso PPL: el paso más delicado. Al probar la técnica contra MsMpEng.exe (el propio Microsoft Defender, un proceso protegido), el shellcode fallaba al intentar cargar vcruntime140.dll, no firmada por Microsoft, algo que un proceso PsProtectedSignerAntimalware-Light rechaza automáticamente. La solución fue compilar el ejecutable de forma estática, eliminando esa dependencia externa.

Y esto era solo el principio. La pregunta lógica que se hicieron después fue: ¿y si SentinelOne ni siquiera está instalado en el endpoint objetivo? La respuesta resultó ser inquietantemente sencilla. Basta con conseguir un instalador MSI legítimo de SentinelOne, algo que circula por internet desde hace años, subido por clientes reales. El instalador exige un "token de sitio" para validar la instalación, y ese token resultó estar protegido de forma trivial: mediante Process Monitor, los investigadores descubrieron que el propio instalador crea una DLL temporal con nombre aleatorio durante el proceso, la usa para validar el token, y la borra justo después. Interceptando esa carga con WinDbg, extrajeron y analizaron la lógica: el token es simplemente un JSON codificado en Base64 con dos campos, url y site_key. Construyeron un JSON completamente inventado, con una URL apuntando a localhost y una clave arbitraria, lo codificaron en Base64, y la instalación se completó sin problemas, sin necesidad de ningún servidor real escuchando ni de una licencia válida. El resultado: un agente de SentinelOne que no funciona en absoluto, pero que muestra un tranquilizador estado "SEGURO" en pantalla, dando una falsa sensación de protección a cualquiera que lo mire.

El golpe de gracia: convertir las defensas del EDR en protección para el propio malware. Aquí es donde la investigación da su giro más perverso. SentinelOne incluye una utilidad de gestión local llamada sentinelctl.exe, con un comando unprotect que desactiva todas las protecciones anti-manipulación del agente: bloqueo de manipulación directa de procesos, de modificaciones del sistema de archivos, de cambios de configuración del servicio. Con esas protecciones desactivadas, los investigadores colocaron su malware directamente dentro del propio directorio de instalación de SentinelOne, y después volvieron a activar la protección con el comando protect. El resultado es que el malware queda blindado por partida doble: por los mecanismos PPL de Windows y por el propio sistema anti-manipulación de SentinelOne. Cualquier proceso que intente acceder a esos archivos maliciosos solo obtiene permisos PROCESS_QUERY_LIMITED_INFORMATION, es decir, apenas puede consultar información básica del proceso. El propio EDR se convierte en el guardián de su atacante.

Para rematar, también resolvieron el problema de la telemetría. Consultando la interfaz GetAgentStatusJSON, descubrieron que el agente expone en texto claro la URL del servidor de gestión al que reporta. Modificando el archivo hosts local, sin ningún tipo de monitorización sobre ese archivo, apuntaron esa URL hacia 127.0.0.1, bloqueando toda comunicación con la consola de gestión central sin que el agente deje de mostrarse como activo y protegido de cara al usuario local.

¿Es esto exclusivo de SentinelOne? No del todo. Akamai confirma haber replicado con éxito parcial la técnica contra otros proveedores, usando capacidades de hardlink de Google Project Zero para modificar binarios protegidos del EDR, aunque advierten que en esos casos aún no han confirmado una vía completa de explotación adicional más allá de la desactivación. También citan un precedente relacionado de SafeBreach contra Palo Alto Networks Cortex XDR, que demostró cómo un instalador antiguo podía convertir ese EDR en herramienta ofensiva. El patrón, dicen los investigadores, es más amplio que un solo producto: cuando un software de seguridad opera con los privilegios más altos del sistema por necesidad, cualquier interfaz administrativa mal asegurada dentro de ese software se convierte en un objetivo de máximo valor.

De MessageBoxA a rootkit invisible: el manual que todo defensor debería leer aunque no sea programador

"Malware Development Essentials for Operators" es un artículo publicado en f00crew que no introduce ninguna técnica nueva, y eso es precisamente lo que lo hace valioso. Construye una cadena de ataque completa, paso a paso, desde la primera línea de código hasta un rootkit en modo kernel con ocultación de procesos, añadiendo una capa de evasión en cada etapa y midiendo su impacto real contra 72 motores de detección. El resultado es uno de los mejores mapas visuales que existen de cómo los atacantes piensan sobre la detección, no como un obstáculo fijo sino como una función de coste que reducen metódicamente.

Vale la pena leerlo aunque no hagas reversing, porque lo que describe es exactamente el modelo mental que hay detrás de la mayoría de implantes que los equipos de respuesta encuentran en incidentes reales.

El hilo conductor: cada técnica resuelve un problema de visibilidad específico.

Todo empieza con una función tan inocua como MessageBoxA. En su forma normal, esa llamada deja una huella perfectamente visible en la Import Address Table (IAT) del ejecutable: cualquier herramienta de análisis estático, incluida cualquier firma de antivirus, puede abrir el binario y ver exactamente qué funciones importa. El primer paso del artículo resuelve esto cargando las funciones en tiempo de ejecución a través del PEB (Process Environment Block), la estructura que Windows crea en memoria para cada proceso y que contiene la lista de todos los módulos cargados. En vez de declarar una dependencia estática de kernel32.dll, el código camina esa lista a mano, parsea la tabla de exportaciones del PE para encontrar la dirección de la función que necesita, y la llama directamente a través de un puntero. La IAT queda limpia. Sin esa entrada en la tabla de importaciones, el análisis estático no tiene nada a lo que aferrarse.

El siguiente problema a resolver es la IAT de la víctima, no del atacante. Si el malware quiere interceptar llamadas de un proceso legítimo (para ver qué abre, qué escribe, qué conecta), puede sobrescribir las entradas de la IAT de ese proceso con punteros a sus propias funciones. La llamada sale del proceso legítimo, pasa por el hook, y el atacante controla qué llega realmente al sistema.

Process hollowing: el arte de ejecutar código con la identidad de otro.

La técnica del "proceso hueco" merece explicación aparte porque es una de las más usadas en malware real y sigue siendo efectiva. El atacante crea un proceso legítimo (en el ejemplo, GoogleUpdate.exe) en estado suspendido, es decir, existe como proceso en el sistema pero su hilo principal no ha ejecutado ninguna instrucción todavía. Mientras está parado, el atacante borra el código original de la memoria del proceso usando VirtualAllocEx para reservar espacio y WriteProcessMemory para copiar su propio ejecutable, luego actualiza el contexto del hilo (específicamente el registro que apunta a la dirección de entrada del programa, RCX en x64) para que cuando se reanude el proceso, empiece a ejecutar el código malicioso en vez del original. Desde el sistema operativo y desde muchas herramientas de monitorización, lo que se ve es GoogleUpdate.exe ejecutándose. Desde dentro es cualquier cosa que el atacante haya puesto ahí.

El artículo señala honestamente un bug en su propio código de demostración: el área reservada para el contexto del hilo usa sizeof(CTX) donde CTX es un puntero, así que solo reserva 4 u 8 bytes en vez de los cientos que necesita la estructura CONTEXT completa. Esa honestidad es rara en este tipo de material y hace el artículo más útil, no menos: el código de enseñanza no es código de producción, y reconocerlo explícitamente obliga al lector a entender lo que está haciendo, no solo a copiar y pegar.

La inyección de DLL: dos filosofías distintas.

Hay dos formas fundamentalmente distintas de meter una DLL en un proceso ajeno, y el artículo explica bien por qué importa la diferencia. La primera, inyección por ruta, escribe solo el path del fichero en la memoria del proceso objetivo y hace que llame a LoadLibraryA con esa ruta: el cargador legítimo de Windows hace el resto, la DLL aparece en la lista de módulos del proceso, Process Explorer la ve, cualquier EDR que monitorice módulos cargados la ve. La segunda, inyección reflectiva, copia el binario completo de la DLL en memoria y salta directamente a un stub que se auto-carga: procesa sus propias relocalizaciones, resuelve sus propias importaciones, llama a su propio DllMain. El cargador de Windows no participa, y la DLL no aparece en la lista de módulos. La invisibilidad tiene un precio en complejidad, pero es una complejidad asumible.

En cuanto al mecanismo de ejecución, el artículo cubre CreateRemoteThread (el más sencillo, el más vigilado), y NtCreateThreadEx directamente desde ntdll, que saltaba la comprobación de aislamiento de sesión que Microsoft introdujo en Vista. El concepto es el mismo que en la parte de usuario del artículo de SentinelOne que cubrimos antes: bajar un nivel en la pila de llamadas para evitar el punto de vigilancia que está un nivel más arriba.

La progresión de evasión: 27 → 9 → 5 detecciones.

Aquí es donde el artículo pone números a algo que normalmente se queda en lo abstracto. El punto de partida es shellcode de Metasploit inyectado directamente: 27 de 72 motores lo detectan. No por la técnica de inyección, sino porque el shellcode en sí tiene firmas conocidas, cadenas reconocibles, patrones de bytes identificados por las firmas de los motores.

La primera capa que añade el artículo es ofuscación XOR de cadenas: cifra tanto el shellcode como los nombres de funciones como NtCreateThreadEx (que aparecerían en el binario en claro y serían una señal de alerta inmediata para cualquier análisis estático), y los descifra en tiempo de ejecución con la misma clave. Resultado: 9 detecciones. Reducción del 67%.

La segunda capa combina cifrado AES del shellcode con la técnica "Early Bird": el shellcode se descifra en memoria justo antes de ejecutarse, y la ejecución usa APCs (Asynchronous Procedure Calls) encoladas sobre un proceso creado en estado suspendido. El timing es la clave de Early Bird: el APC se ejecuta antes de que el hilo del proceso llegado a su propio punto de entrada, lo que significa antes de que muchos EDR hayan tenido oportunidad de poner sus hooks en el proceso. Fue documentado por Cyberbit en 2018 como una técnica usada por APT33 contra el sector aeroespacial y energético, y el artículo lo reproduce con detalle. Resultado: 5 detecciones de 72.

El artículo es claro en que con técnicas adicionales (stubs de syscall directas, sleep obfuscation para dificultar el análisis dinámico con timeouts cortos, cifrado del payload en disco con clave derivada del entorno de la víctima) llegar a cero detecciones es alcanzable. No lo presenta como un logro sino como una advertencia: el coste de evasión es relativamente bajo para cualquiera con conocimientos básicos de Windows internals.

Lo que persiste incluso en el estado de 5 detecciones son comportamientos, no firmas: creación de procesos en estado suspendido, escritura en memoria de otro proceso seguida de ejecución, encolado de APCs. Estos son los indicadores que los EDR modernos intentan detectar a nivel conductual más que a nivel de firma, y son precisamente los que hay que monitorizar.

El salto al kernel: cuando el atacante ya no tiene árbitro.

La segunda mitad del artículo entra en modo kernel, y el cambio de tono es brusco: en user mode, el sistema operativo actúa como árbitro de todo lo que haces. En kernel mode, tú eres el sistema operativo. Un bug no cierra tu programa, provoca una pantalla azul. La libertad viene acompañada de responsabilidad total.

Para llegar al kernel hace falta un driver firmado, y aquí el artículo toca el punto más políticamente incómodo de esta área: en Windows de 64 bits, Driver Signature Enforcement (DSE) obliga a que todos los drivers estén firmados; si hay Secure Boot activo, solo se cargan drivers firmados con certificados EV de Microsoft. Las tres salidas que lista el artículo son las que se ven en el mundo real: robar certificados de firma (como en el caso del certificado de NVIDIA filtrado en el ataque de Lapsus$), explotar drivers vulnerables legítimamente firmados para deshabilitar DSE desde dentro (BYOVD, la técnica del artículo de Akamai del EDR de SentinelOne), o apuntar a sistemas donde Secure Boot está desactivado.

Una vez en el kernel, el artículo implementa cuatro capacidades que encajan en casi cualquier rootkit real:

La inyección de DLL desde kernel usa PsSetLoadImageNotifyRoutine, un callback oficial y documentado del kernel que se activa cada vez que cualquier imagen (EXE o DLL) se carga en cualquier proceso del sistema. El rootkit espera a detectar kernel32.dll porque sabe que en ese punto el proceso ya puede ejecutar código user-mode, parsea la tabla de exportaciones de kernel32.dll directamente desde ring 0 para encontrar la dirección de LoadLibraryExA, y encola un APC de kernel sobre el hilo del proceso. Los APCs de kernel no requieren estado alertable del hilo: se ejecutan la próxima vez que el IRQL del hilo baja a nivel pasivo, que es casi inmediato. Este es exactamente el mecanismo que usó la familia Sirifef (ZeroAccess) para inyectar su DLL en todos los procesos del sistema.

La ocultación de procesos mediante DKOM (Direct Kernel Object Manipulation) modifica directamente la lista doblemente enlazada ActiveProcessLinks dentro de la estructura EPROCESS del kernel, eliminando el nodo del proceso que se quiere ocultar. Cualquier herramienta que enumere procesos caminando esa lista, que es como funcionan el Administrador de Tareas, tasklist.exe y la mayoría de herramientas forenses, simplemente no encontrará el proceso. El proceso sigue ejecutándose, sus hilos siguen siendo planificados por el scheduler (que usa estructuras completamente distintas), sus handles siguen existiendo. Solo es invisible para la enumeración estándar. El punto crítico que menciona el artículo: los offsets dentro de EPROCESS son específicos de cada build de Windows, son opacos (no documentados oficialmente), y usar offsets incorrectos corrompe memoria del kernel y provoca BSOD inmediato. Además, en Windows de 64 bits, PatchGuard monitoriza periódicamente la integridad de estas estructuras y puede detectar manipulaciones con un retardo de minutos a horas, provocando un BSOD con código CRITICAL_STRUCTURE_CORRUPTION.

La misma lógica DKOM se aplica a la ocultación del propio driver: desvincular la entrada LDR_DATA_TABLE_ENTRY del driver de la lista de módulos cargados del kernel lo hace invisible para lm en WinDbg y para NtQuerySystemInformation(SystemModuleInformation). La diferencia con el proceso es que aquí el artículo sí eleva el IRQL a nivel DPC antes de modificar la lista, para evitar que otro núcleo esté leyendo la misma lista simultáneamente.

El robo de token para escalada de privilegios es la técnica más usada en exploits de kernel: leer el token del proceso SYSTEM (cuyo puntero expone la variable global PsInitialSystemProcess), escribir ese puntero en el campo token de cualquier otro proceso, y ese proceso pasa a ejecutarse como NT AUTHORITY\SYSTEM. Es la misma técnica que ejecuta casi cualquier payload de escalada de privilegios después de explotar un driver vulnerable.

Lo que las defensas ven (y lo que no ven).

El artículo menciona pero no profundiza en dos limitaciones importantes de estas técnicas que son relevantes desde el punto de vista defensivo. La primera es que DKOM oculta un proceso de la enumeración estándar pero no de un análisis forense que escanee directamente la memoria del kernel buscando cabeceras PE, o que compare los procesos visibles con los threads que aparecen en los ready queues del scheduler. Herramientas como Volatility hacen exactamente esto. La segunda es que ObRegisterCallbacks, que el artículo menciona como mecanismo para proteger procesos del rootkit stripping access rights de cualquier handle que intente abrirlos, es el mismo mecanismo que usan los EDR para proteger sus propios procesos, y la competición entre quién registra su callback con mayor "altitud" (prioridad) es una parte real del ecosistema de seguridad de Windows.

Lo que hay que monitorizar en entornos reales a partir de lo que describe este artículo: creación de procesos en estado suspendido seguida de escritura de memoria y encolado de APCs; resolución dinámica de funciones de ntdll (especialmente NtCreateThreadEx y NtAllocateVirtualMemory) en procesos que no deberían hacerlo; carga de drivers no firmados o inesperados; cualquier intento de registrar callbacks de imagen o proceso desde un driver no reconocido; y la aparición de threads sin proceso padre visible en herramientas que miran por debajo de la API estándar.

El artículo cierra con una nota sobre SSDT hooking, la técnica dominante pre-Vista que consistía en reemplazar punteros en la tabla de llamadas al sistema para interceptar toda la enumeración de procesos. PatchGuard la hizo prácticamente inviable en x64, lo que empujó a los rootkits hacia las técnicas que describe el resto del documento: DKOM, callbacks, minifilters. La historia es un buen recordatorio de que las restricciones de seguridad del sistema operativo no eliminan las técnicas de ataque, las desplazan.

(Artículo completo)

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

17 de agosto

Ramón Salado — Mon, 17 Aug 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
VMware vCenter, de "vigilar" a explotación confirmada: 361 víctimas en 47 países
Contrataron a ciberdelincuentes norcoreanos sin decírselo, esto es lo que aprendimos
TuLotero confirma el robo de DNIs y selfies de verificación de sus usuarios

💥Actualización importante: se confirma lo que dejamos "en observación" hace unas semanas. Atacantes explotan activamente CVE-2026-59310 en VMware vCenter (path traversal que lleva a RCE) para instalar acceso remoto persistente en sistemas expuestos a internet, combinando ejecución remota de código con mecanismos de persistencia. Poco después, Broadcom actualizó el aviso a VMSA-2026-0006.1 (Noticia / The Hacker News)

💥CISA confirma que bandas de ransomware explotan ya las vulnerabilidades de SonicWall SMA1000 que cubrimos hace dos semanas (incluida la SSRF de severidad máxima), y las añade a su catálogo KEV con plazo de parcheo obligatorio para agencias federales estadounidenses (Noticia)

💥"Zoomsday": tres fallos en el motor de anotaciones de Zoom (CVE-2026-53413, CVSS 8.3, y CVE-2026-53415, ambos con potencial de RCE, más CVE-2026-53414 de DoS) permitían a cualquier participante de una reunión tomar el control del dispositivo de otro asistente sin ningún clic, descarga ni interacción por su parte. Lo llamativo: el equipo investigador (A Security) encontró el fallo y construyó un exploit funcional en menos de 24 horas usando menos de 20 prompts a modelos de IA públicos. Ya parcheado, sin explotación confirmada hasta la fecha (Noticia)

💥Cisco confirma explotación activa de CVE-2026-20349 (CVSS 8.6) en el servicio VPN SSL de acceso remoto de ASA y FTD: una única petición HTTP manipulada, sin autenticación, provoca el reinicio del dispositivo y corta el acceso VPN. CISA lo añade al KEV con solo 72 horas de plazo para agencias federales (Noticia)

💥Tras la publicación de una PoC pública por Rapid7, comienzan los ataques explotando CVE-2026-55040 en SharePoint, un bypass de autenticación que permite forjar JWTs para suplantar a cualquier usuario o administrador del sitio (Noticia)

💥Lazarus explota como 0-day CVE-2026-68820 en Windows para obtener acceso SYSTEM y desplegar el backdoor "Troy" contra empresas de defensa y aeroespacial (Noticia)

💥INCIBE-CERT alerta de una vulnerabilidad de subida de archivos sin restricciones en WordPress (Aviso)

💥Empiezan los intentos de explotación de CVE-2026-58231 en SAP Commerce Cloud (CVSS 10.0) apenas tres días después del parche: permitiría a un atacante no autenticado ejecutar código arbitrario (Noticia)

VMware vCenter, de "vigilar" a explotación confirmada: 361 víctimas en 47 países

Toca cerrar el capítulo que dejamos abierto. El 29 de julio, Broadcom publicó VMSA-2026-0006 con tres vulnerabilidades críticas en vCenter, y decidimos esperar antes de tratarlo como amenaza activa porque no había ni explotación confirmada ni PoC público. Dos semanas después, hay confirmación con nombres y apellidos.

Los números, primero. La firma alemana QUIRSO, tras un servicio de respuesta a incidentes, ha identificado 361 direcciones IP víctima únicas en 47 países, con Alemania, Estados Unidos, Turquía, Irán y Francia a la cabeza. Los sistemas comprometidos que analizaron empezaron a contactar con los dominios del atacante el 3 de agosto, es decir, cinco días después de que Broadcom hiciera público el aviso. La correlación temporal es tan ajustada que QUIRSO concluye que, aunque el atacante pudiera tener conocimiento previo del fallo, la divulgación pública parece haber sido el disparo de salida real de la campaña. Un recordatorio de que publicar un aviso de seguridad no es solo avisar a los defensores: también es avisar a los atacantes de dónde mirar.

La vía de entrada confirmada es CVE-2026-59310, el path traversal que permite ejecución remota de código en vCenter. La cadena de ataque documentada por QUIRSO muestra actividad de path traversal consistente con el fallo, seguida del despliegue de una tarea cron maliciosa para establecer persistencia mediante reverse_ssh, una herramienta open-source que abre una conexión SSH saliente hacia infraestructura del atacante. Esto no es un detalle menor: al ser el propio vCenter quien inicia la conexión hacia fuera, el ataque esquiva de un plumazo cualquier control perimetral pensado para bloquear conexiones entrantes sospechosas. QUIRSO es honesta sobre los límites de esta pista: la presencia de reverse_ssh por sí sola no prueba nada malicioso, pero combinada con instalación no autorizada, conexiones salientes inesperadas o ejecución en un vCenter vulnerable, es un indicador de alta prioridad que exige investigación inmediata.

En paralelo, la firma Defused Cyber reporta un pico de escaneo dirigido específicamente contra CVE-2026-59309 (el bypass de autenticación), con sondas de versión vía POST /sdk/ (RetrieveServiceContent) y recorridos del flujo SAML SSO en /websso, justo el tipo de reconocimiento previo que precede a una explotación masiva. De momento no hay evidencia suficiente para confirmar si esa actividad de escaneo pertenece al mismo actor que la campaña de CVE-2026-59310, pero la imagen conjunta es clara: vCenter está siendo activamente sondeado y explotado por más de un frente a la vez.

¿Quién está detrás? Todavía no se ha atribuido con confianza, aunque se sospecha de un actor APT. Vale la pena el contexto: los appliances de VMware llevan tiempo siendo un objetivo jugoso para grupos chinos con motivación de espionaje, como UNC5174, que ha armado en el pasado fallos de VMware Tools y vCenter, o el clúster PurpleHaze, documentado por SentinelOne en abril de 2025, que usó un backdoor de Windows llamado GoReShell basado precisamente en la misma herramienta reverse_ssh que aparece ahora en esta campaña.

Si gestionas vCenter, la prioridad es doble: parchear ya si no lo has hecho (recordemos, sin workaround disponible), y además revisar activamente en busca de indicadores de compromiso ya existente, no solo de intentos de explotación. Busca tareas cron no reconocidas, procesos o binarios relacionados con reverse_ssh, y conexiones salientes inesperadas desde el appliance de vCenter hacia infraestructura desconocida. Con 361 víctimas ya confirmadas y una campaña activa desde el 3 de agosto, cualquier vCenter expuesto a internet sin parchear debe tratarse como potencialmente comprometido, no solo como vulnerable.

(Noticia / Análisis técnico de QUIRSO)

Contrataron a ciberdelincuentes norcoreanos sin decírselo, esto es lo que aprendimos

Esta historia le da la vuelta al guion habitual de la ciberseguridad. Normalmente hablamos de cómo detectar al atacante que intenta colarse. Aquí, un equipo de investigadores decidió hacer justo lo contrario: montar una empresa falsa, publicar ofertas de trabajo reales, y esperar a que fueran los propios operativos norcoreanos quienes entraran por la puerta principal, con contrato firmado y todo.

El trabajo es obra conjunta de Mauro Eldritch (BCA LTD), Heiner García (NorthScan, una iniciativa centrada en detectar infiltración de trabajadores de TI norcoreanos) y ANY.RUN, y se presentó en DEF CON 34 este mes de agosto. Es la segunda parte de una investigación previa ("Smile, You're on Camera").

El montaje fue completa y creíble. Registraron Ballena Azul LTD, un supuesto protocolo DeFi dirigido a "ballenas" de criptomonedas, con web, identidad de marca y registro mercantil legítimo en Reino Unido. Los investigadores se hicieron pasar por fundadores y responsable de equipo. Como entorno de trabajo para los "empleados", usaron el propio sandbox de ANY.RUN, que grababa cada movimiento.

El reclutamiento siguió una cadena de confianza en cascada, empezando en el sitio menos sospechoso posible: GitHub. Un reclutador llamado Angelo Cruz, contactado en un comentario de GitHub buscando "facilitadores", conectó al equipo con "Andy", que se ofreció como intermediario de confianza para ayudar a "sus desarrolladores" a encontrar trabajo (llegó incluso a ofrecer prestar el DNI de su hermano para generar confianza, aunque no hizo falta). Andy introdujo al primer candidato, que a su vez recomendó a un segundo, y ese a un tercero. Ninguno de los tres explotó nada técnicamente: pasaron entrevistas, firmaron contrato, y recibieron acceso legítimo y autorizado a una máquina de trabajo. Como bien señalan los investigadores, esto es precisamente lo que hace tan peligroso este tipo de esquema: el riesgo no es solo de contratación, es de acceso. Una vez dentro, el operativo tiene vía libre y esperada a código, sistemas, propiedad intelectual y procesos de negocio de confianza.

El primer día fue puro reconocimiento, algo que cualquier empleado nuevo con perfil técnico haría de forma inocente, pero que aquí tenía un propósito muy distinto: los tres operativos ejecutaron dxdiag, systeminfo y wmic para perfilar la máquina, y comprobaron desde qué país parecía originarse su conexión, un paso lógico si tu trabajo depende de ocultar que en realidad estás en otro sitio.

El uso de IA como muleta técnica es uno de los hallazgos más interesantes. Los operativos recurrieron a ChatGPT para tareas de programación y redacción, incluyendo resolver dudas básicas y completar encargos que ellos mismos no sabían hacer, una señal de que su nivel técnico real no siempre estaba a la altura del perfil con el que habían sido contratados. Para alteración de imágenes y falsificación de documentos preferían Google Gemini; el informe menciona metadatos de procesamiento de Gemini y una marca de agua SynthID como parte de la evidencia recopilada, aunque no detalla exactamente cómo se detectó esa marca.

La infraestructura de apoyo también quedó al descubierto: nodos de salida de AstrillVPN, servidores alojados en Vultr y Gorilla Servers, wallets de criptomonedas con historial de transacciones, software de escritorio remoto y un servicio de reventa de códigos de verificación en dos factores. Un dato revelador: uno de los servidores usados por los operativos ya estaba señalado en feeds de inteligencia de amenazas por campañas anteriores, es decir, infraestructura reciclada de operaciones previas del mismo ecosistema.

Al final de la investigación, según relatan los propios autores, los operativos simplemente dejaron de dar señales de vida. Nunca llegaron a saber que habían pasado semanas trabajando dentro de un entorno construido específicamente para extraer información sobre ellos.

Por qué esto importa más allá de la anécdota: empresas de investigadores como TRM Labs atribuyen el 76% de las pérdidas por hackeos cripto en 2026 (hasta abril) a grupos norcoreanos, con 2.000 millones de dólares robados solo en 2025. Los esquemas de trabajadores de TI infiltrados llevan documentándose desde hace años como una vía de financiación directa para el régimen (el Departamento de Justicia de EEUU los persigue activamente bajo la iniciativa DPRK RevGen), pero rara vez se consigue visibilidad real de cómo operan por dentro una vez contratados. Este tipo de investigación aporta justo eso: no solo indicadores técnicos de infraestructura, sino un perfil de comportamiento completo, desde el reclutamiento hasta el día a día de trabajo, que cualquier empresa con procesos de contratación remota debería tener en cuenta a la hora de verificar identidad más allá de un DNI y una videollamada.

(Informe completo de ANY.RUN / Cobertura)

TuLotero confirma el robo de DNIs y selfies de verificación de sus usuarios

Noticia más cercana y con relevancia directa para cualquier lector español: TuLotero, la popular app para jugar a Loterías y Apuestas del Estado, ha confirmado un hackeo con robo de DNIs (ambas caras) y selfies de verificación de identidad de sus usuarios.

Cómo se destapó: no hubo comunicado público inicial, la noticia salió a la luz a través de un hilo en ForoCoches, donde un usuario compartió el email que la propia TuLotero había enviado a los afectados. RedesZone contactó directamente con la empresa, que confirmó el incidente por teléfono.

Lo que sabemos con certeza:

El acceso no autorizado afectó a un servicio interno y aislado propio de TuLotero, usado específicamente para la verificación de identidad de usuarios. No hay ningún proveedor externo de KYC comprometido, así que esto no debería afectar a otras plataformas.
TuLotero asegura que no se han robado datos bancarios, contraseñas ni otra información de acceso.
La empresa dice haber bloqueado el acceso malicioso en cuanto lo detectaron, ha notificado a la Agencia Española de Protección de Datos (obligatorio por ley) y ha puesto denuncia ante la Policía Nacional.
La notificación individual a los afectados por email concluyó el domingo 9 de agosto. Quien no haya recibido el correo, según la empresa, no está entre los afectados.

Por qué esto es más grave de lo que parece a primera vista: aunque no haya credenciales de acceso comprometidas, el DNI y el selfie de verificación son precisamente el tipo de material que más se usa hoy en día para verificación de identidad en otros servicios (exchanges de criptomonedas, neobancos, apps que requieren KYC). A diferencia de una contraseña, esto no se puede "cambiar": un DNI robado sigue siendo un DNI válido durante años.

Recomendación para cualquier usuario afectado: desconfiar de cualquier SMS o email inesperado los próximos meses (riesgo de phishing dirigido usando estos datos), nunca facilitar claves ni descargar adjuntos de mensajes que digan venir de TuLotero, y aunque la empresa ya haya denunciado de forma colectiva, poner una denuncia individual propia ante la Policía Nacional. No es redundante: deja constancia personal de que tu DNI ha sido robado, algo que puede ser útil como prueba si en el futuro alguien intenta suplantar tu identidad.

(Noticia)

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

10 de agosto

Ramón Salado — Mon, 10 Aug 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
Resumen del informe CrowdStrike 2026 Threat Hunting Report
El "gusano de IA" que se cuela en Copilot para Word, sin macros ni malware de ningún tipo

💥INC Ransomware se convierte en el actor dominante explotando dos zero-days en SonicWall SMA 1000 (CVE-2026-15409, SSRF CVSS 10.0, y CVE-2026-15410), encadenados para abrir un túnel WebSocket no autenticado y escalar a root en el dispositivo; roban credenciales, bases de datos de sesión activas y semillas TOTP de MFA, lo que anula el segundo factor incluso después de rotar contraseñas. Ya suman 885 víctimas y actividad activa desde el 22 de junio (Noticia)

💥INCIBE-CERT alerta de una vulnerabilidad de inyección de código en el sensor Nessus/Tenable a través de su componente proxy (Aviso)

💥Vulnerabilidad crítica en cPanel & WHM (CVE-2026-58048, CVSS 9.4): un fallo al preservar el modo SQL durante el renombrado de bases de datos permite a cualquier cliente de hosting compartido con acceso a MySQL/MariaDB ejecutar comandos como root de base de datos, y en ciertas configuraciones escalar hasta el sistema operativo (Noticia)

💥TP-Link corrige CVE-2026-12935 (CVSS 8.7) en el router TL-WR940N v6: un desbordamiento de búfer en pila en el módulo de conntrack RTSP permite a un atacante no autenticado provocar DoS o ejecución remota de código si un cliente de la LAN se conecta a un servidor RTSP malicioso (Noticia)

💥Veeam corrige seis vulnerabilidades en Veeam ONE (versión 13.1.0.7034), la más grave siendo CVE-2026-64633 (CVSS 10.0), que permite ejecución remota de código no autenticada en el host del agente; se suma CVE-2026-58075 (CVSS 8.7), lectura arbitraria de archivos. Dado que Veeam ONE vigila entornos de backup y virtualización, la explotación podría usarse como trampolín para desplegar ransomware contra la última línea de defensa de una organización (Noticia)

💥Ataque a la cadena de suministro de npm en curso: el gusano Shai-Hulud ha comprometido ya al menos 868 paquetes (con más de 2.000 millones de instalaciones mensuales combinadas), iniciado tras el compromiso de la cuenta de GitHub del mantenedor de keyv; roba credenciales de npm, GitHub, nube y CI, e incluye hooks para Claude Code y VS Code (Noticia)

Resumen del informe CrowdStrike 2026 Threat Hunting Report

CrowdStrike ha publicado su Threat Hunting Report 2026, y el hilo conductor de todo el informe es el abuso de la confianza: los atacantes están apuntando cada vez más a usuarios y herramientas de confianza (identidad, nube, SaaS, servicios de IA, cadena de suministro de software, workflows de desarrolladores) para camuflarse dentro de actividad legítima y llegar a activos críticos antes de que salte cualquier alarma.

Los datos que más llaman la atención:

Una campaña de LLMJacking generó casi 200.000 peticiones API en solo dos minutos, con impacto financiero y operativo a gran escala.
Las intrusiones por vishing se han duplicado en la primera mitad de 2026 frente al segundo semestre de 2025. Los grupos de cibercrimen CORDIAL SPIDER y SNARKY SPIDER lo usan para exfiltrar datos de aplicaciones SaaS y comprometer cuentas de SSO; en un caso, SNARKY SPIDER pasó de tomar control de una cuenta a robar datos en menos de cinco minutos.
Los intentos de phishing por device code se han multiplicado por 15 en los últimos seis meses.

La IA como objetivo, no solo como herramienta del atacante: el actor norcoreano FAMOUS CHOLLIMA ha estado explotando entornos centrados en IA de confianza para comprometer empresas de criptomonedas y blockchain, uno de los ejemplos más sofisticados de la técnica "AI Supply Chain Compromise" del framework MITRE ATLAS. Además, las detecciones activadas por agentes de IA generan ya 2,5 veces más leads de amenaza que las basadas en actividad manual, lo que complica distinguir comportamiento malicioso de comportamiento esperado impulsado por IA.

La ventana de explotación se ha reducido a horas: entre enero y junio de 2026, el 88% de la explotación observada por CrowdStrike de vulnerabilidades con PoC público ocurrió en las primeras 48 horas tras su publicación. Los actores chinos van todavía más rápido: VAULT PANDA y GENESIS PANDA lanzaron ataques deliberados en menos de 24 horas tras la divulgación de una vulnerabilidad crítica de aplicación web; tras la divulgación de la vulnerabilidad React2Shell, CrowdStrike OverWatch respondió a más de 800 leads de caza de amenazas en más de 80 víctimas distintas en solo cuatro días. El actor bielorruso UMBRAL BISON detectó y explotó una vulnerabilidad de escalada de privilegios local en Linux (CVE-2026-31431) en poco más de 20 horas tras su divulgación pública, con el 94% de los eventos en las primeras 24 horas relacionados con pruebas basadas en el PoC público. CrowdStrike anticipa que estas ventanas se seguirán reduciendo a medida que los modelos de IA frontera aceleren tanto el descubrimiento de vulnerabilidades como el desarrollo de exploits.

La cadena de suministro de software sigue siendo el punto débil favorito: los actores norcoreanos STARDUST CHOLLIMA y el grupo financieramente motivado ALTERED SPIDER protagonizan algunos de los ataques más relevantes del año; ALTERED SPIDER llegó a comprometer más de 300 dependencias de software en un solo día, robando credenciales y pivotando hacia entornos cloud. STARDUST CHOLLIMA usó credenciales robadas de mantenedores para comprometer el paquete npm de Axios y distribuir variantes de su malware ZshBucket, y en junio de 2026 inyectó un paquete malicioso como dependencia en al menos 131 paquetes del framework Mastra AI, señal de que los bloques de construcción de IA de confianza también se están convirtiendo en objetivo de la cadena de suministro. El dato más contundente: el 87% de las amenazas identificadas en registros de software durante el primer semestre de 2026 involucraron paquetes npm.

CrowdStrike ya rastrea más de 290 actores nombrados. El mensaje de fondo del informe es claro: la defensa perimetral clásica pierde eficacia cuando el atacante no rompe nada, simplemente actúa como si tuviera derecho a estar ahí.

(Informe completo)

El "gusano de IA" que se cuela en Copilot para Word, sin macros ni malware de ningún tipo

📝 El "gusano de IA" que se cuela en Copilot para Word, sin macros ni malware de ningún tipo

Esta es de las historias más inquietantes de las últimas semanas, y no porque haya causado ya un daño masivo, sino por lo que demuestra sobre un problema que hoy no tiene solución completa.

El 28 de julio, el investigador noruego Håkon Måløy publicó los detalles de una técnica que él mismo describe como una de las primeras demostraciones públicas de un "gusano de IA autopropagante" moviéndose a través de un flujo de trabajo normal de una suite ofimática mainstream: Microsoft Copilot para Word. Lo reportó a Microsoft el 6 de marzo, y tras un periodo de coordinación de 144 días (el doble del plazo habitual de 90), decidió hacerlo público porque, en sus propias palabras, el plazo se había agotado y las pruebas mostraban que no existe una mitigación robusta para esta clase de vulnerabilidad.

El mecanismo es sorprendentemente simple. Un atacante esconde un prompt con formato JSON como texto blanco sobre fondo blanco, en letra de 8 puntos, típicamente al final de un documento que parece inocuo, un informe de mercado, un análisis financiero, cualquier cosa que alguien pueda usar como fuente. Cuando Word le pasa ese documento a Copilot para que redacte o edite contenido a partir de él, ocurre algo clave: Word elimina el color y el tamaño de fuente antes de entregarle el texto al modelo. El resultado es que ese texto sigue siendo invisible para el ojo humano, pero perfectamente legible para la IA.

Copilot interpreta esas instrucciones ocultas como parte de la petición del usuario. En la prueba de concepto de Måløy, el prompt hacía dos cosas: alteraba silenciosamente cifras financieras del documento que se estaba generando, y le indicaba a Copilot que copiara el propio prompt oculto en el documento de salida, disfrazado como si fuera una simple "regla de trazabilidad de fuentes". El resultado es el giro que le da nombre a la técnica: el documento recién creado se convierte en un nuevo portador, capaz de infectar cualquier flujo de trabajo posterior en el que alguien use ese documento como fuente para otra tarea de Copilot, incluso si el fichero original que originó la cadena ya no existe en ningún sitio.

Es fácil imaginar cómo se propaga esto dentro de una organización: un documento pasa de un departamento a otro por SharePoint, Teams o email, cada persona que lo usa como base para pedirle algo a Copilot corre el riesgo de heredar (y volver a transmitir) el payload, todo bajo la apariencia de contenido de trabajo completamente legítimo. Måløy señala que el riesgo no se limita a una organización: los documentos también pueden cruzar fronteras hacia socios externos.

Lo que hace esto distinto de un macro-malware clásico de Word es que no hay ningún archivo ejecutable, ninguna macro, ninguna firma que un antivirus pueda detectar. Todo el ataque vive dentro del propio texto del documento y de cómo el modelo de lenguaje procesa ese texto. Måløy lo enmarca como una extensión de su investigación previa sobre ataques de inyección de prompt cross-dominio (XPIA), donde ya había demostrado cómo una página web maliciosa podía hacer que la función "Resumir con Copilot" guardara una memoria no deseada que seguía al usuario entre sesiones, y cómo instrucciones ocultas en emails externos podían manipular Copilot en Outlook (esta última catalogada como CVE-2026-55145). El de Word es el tercero de esta serie, y el único que Microsoft no ha conseguido cerrar del todo.

Durante los 144 días de coordinación, Microsoft no se quedó de brazos cruzados. Desplegó una nueva experiencia de "Editar con Copilot", actualizó el modelo subyacente a GPT-5.5 y luego a GPT-5.6, y bloqueó el payload original de Måløy. Pero el investigador simplemente reformuló el prompt y consiguió reproducir la cadena completa de propagación de todas formas, incluso contra las configuraciones más recientes. Esto no es un fallo puntual que un parche vaya a arreglar de la noche a la mañana: es un problema arquitectónico. El modelo procesa las instrucciones del usuario y el contenido del documento no confiable dentro de la misma ventana de contexto, y no tiene forma fiable de distinguir "esto es una orden que debo seguir" de "esto es simplemente texto que debo resumir o citar". Microsoft lo ha reconocido explícitamente este año, con una frase que resume bien el estado del arte: "confiar únicamente en el prompteo no es un límite de seguridad fiable".

Vale la pena mencionar que Måløy decidió no publicar el prompt exacto que usó. Su razonamiento es que hacer pública la existencia del riesgo permite a las organizaciones tomar precauciones incluso sin una solución completa, mientras que quedarse callado las dejaría igual de expuestas sin ningún beneficio a cambio.

¿Qué puede hacer una organización mientras tanto? Microsoft recomienda una estrategia de defensa en profundidad que intente bloquear instrucciones maliciosas en varios puntos de la cadena, y pide a los usuarios tratar con cautela cualquier contenido de origen desconocido y revisar activamente lo que Copilot genera antes de darlo por bueno, especialmente cifras y datos que se vayan a reutilizar sin verificación. Dicho de otra forma: por ahora, la única mitigación real es humana, no técnica. Cualquier documento generado o editado con asistencia de IA que contenga datos sensibles (financieros, legales, de clientes) debería pasar por una revisión manual antes de circular, exactamente el tipo de fricción que estas herramientas prometían eliminar.

La lección de fondo, y esto probablemente vaya a repetirse con otras herramientas de IA integradas en el resto de la suite ofimática, es que en cuanto un asistente de IA "lee" contenido que no controlas (un documento, un email, una página web), ese contenido se convierte en una superficie de ataque nueva, y hoy en día no hay ninguna suite mainstream que tenga esto completamente resuelto.

(Investigación original de Håkon Måløy / Cobertura técnica / The Register)

(Informe técnico completo de Hugging Face / Cobertura)

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

3 de agosto

Ramón Salado — Mon, 03 Aug 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
El ciberataque coordinado que dejó ciegos a más de 30 sistemas de agua en Minnesota
El informe forense de Hugging Face, o cómo un agente de IA hackeó su infraestructura de producción sin que nadie apretara un botón

💥Bandas de ransomware intensifican los ataques contra VPN corporativas: campañas activas explotando fallos en Palo Alto, Fortinet, Citrix y Check Point para lograr acceso inicial a redes corporativas (Noticia)

💥Broadcom publica VMSA-2026-0006 con tres fallos críticos en VMware: CVE-2026-59309 (CVSS 9.8), bypass de autenticación no autenticado en vCenter que da acceso administrativo completo; CVE-2026-59310 (CVSS 9.8), path traversal en el servidor Syslog de vCenter que permite RCE remota sin credenciales; y CVE-2026-47876 (CVSS 9.3), escape de VM vía el adaptador VMXNET3 de ESX. Sin workarounds disponibles, parche de emergencia (Noticia)

💥Cisco confirma explotación activa del 0-day CVE-2026-20316 en Firepower Management Center (FMC): credenciales estáticas permiten a un atacante remoto no autenticado acceder a datos sensibles a través de una cuenta de bajos privilegios, y puede encadenarse con otros fallos de FMC para escalar privilegios (Noticia)

💥Actores rusos explotan CVE-2026-42897 en Microsoft Outlook Web Access (OWA) para desplegar OWAReaper, un backdoor que vive enteramente dentro del navegador, usa consultas a GitHub para recibir comandos y proxies CDN o túneles DNS para exfiltrar datos; sobrevive a la rotación de credenciales y hasta a un reimaging completo del equipo (Noticia)

💥INCIBE-CERT alerta de una vulnerabilidad de restricción insuficiente de intentos de autenticación en productos MikroTik, que facilita ataques de fuerza bruta contra los dispositivos (Aviso)

💥Adobe corrige una vulnerabilidad crítica (CVSS 10.0) en Campaign Classic que permite ejecución de código arbitrario sin ninguna interacción del usuario, junto a un segundo fallo de exposición de archivos y ocho vulnerabilidades más en Adobe Bridge (Noticia)

El ciberataque coordinado que dejó ciegos a más de 30 sistemas de agua en Minnesota

El fin de semana del 26 y 27 de julio, algo poco habitual ocurrió en el corazón de Minnesota: más de 30 sistemas municipales de agua y aguas residuales sufrieron un ciberataque coordinado que afectó directamente a su tecnología operativa (OT), no a sus oficinas ni a sus sistemas administrativos, sino a los controles que gestionan físicamente el agua que sale del grifo.

Lo que se vio sobre el terreno varió bastante de un municipio a otro, lo cual en sí mismo es un dato interesante sobre cómo funcionó el ataque. En Braham, una localidad de apenas 1.700 habitantes, los atacantes lograron bloquear por completo los controles operativos y tumbaron el pozo y la planta de tratamiento durante unas dos horas; el ayuntamiento pidió a los vecinos minimizar el consumo de agua mientras el personal de mantenimiento restauraba el servicio manualmente, a pie de planta. En Plymouth (unos 80.000 habitantes) fallaron las comunicaciones celulares de dos torres de agua y varias estaciones de bombeo de aguas residuales, pero la ciudad siguió operando en modo manual sin mayor incidencia. South St. Paul y Maple Plain vieron afectados sus controles automatizados de servicios públicos; Maple Plain llegó a declarar el estado de emergencia local para poder movilizar recursos de respuesta.

Ninguna de las cuatro ciudades que reconocieron públicamente el incidente tuvo que pedir a sus vecinos que dejaran de beber agua del grifo, y el Departamento de Salud de Minnesota no tiene constancia de que ningún municipio lo haya hecho. Es decir: el impacto fue real y obligó a intervención manual en varios sitios, pero no llegó a comprometer la seguridad del suministro.

¿Quién está detrás? Aquí es donde la historia se pone más interesante y, de momento, no hay una atribución oficial confirmada, el FBI y CISA siguen investigando. Pero la sincronía con otro aviso publicado apenas cuatro días antes es difícil de ignorar. El 22 de julio, CISA, el FBI, la NSA, la EPA, el Departamento de Energía y el Cyber National Mission Force actualizaron el aviso conjunto AA26-097A, que desde abril venía documentando una campaña de actores afines a Irán (vinculados al alias CyberAv3ngers / IRGC-CEC, los mismos responsables de los ataques a PLCs Unitronics en 2023) contra PLCs expuestos a internet. La actualización de julio amplió el alcance de fabricantes afectados más allá de Rockwell Automation (CompactLogix, Micro850) para incluir también Schneider Electric (BMX P34 / Modicon M340) y Siemens (S7-1200), y documentó por primera vez algo especialmente preocupante: los atacantes están usando el propio software de ingeniería legítimo de los fabricantes (Studio 5000 Logix Designer de Rockwell, EcoStruxure Control Expert de Schneider, TIA Portal de Siemens) para conectarse a PLCs mal configurados y expuestos, robar los ficheros de proyecto (.ACD, con toda la lógica de control) y, en algún caso confirmado, modificar la lógica de escalera para desactivar las funciones de parada de seguridad y de alarma, permitiendo que se generen condiciones inseguras sin que el operador reciba ninguna alerta en el HMI.

El tráfico malicioso observado se dirigía a cinco puertos: 44818 (EtherNet/IP, Rockwell), 2222 (configuración OT), 102 (ISO-TSAP, Siemens S7), 22 (SSH) y 502 (Modbus TCP), lo que sugiere un interés oportunista más amplio que los tres fabricantes mencionados explícitamente. Para persistencia, los atacantes despliegan Dropbear SSH, una implementación ligera pensada para entornos Linux embebidos, que sobrevive a reinicios del PLC.

¿Coincidencia o mismo actor? Nadie lo ha confirmado todavía, y hay que ser prudente: los sistemas de agua llevan años siendo un blanco recurrente tanto para grupos hacktivistas prorrusos de baja sofisticación (como los que vimos hace unas semanas con el caso de Palencia) como para actores estatales iraníes con capacidades bastante más avanzadas. Lo que sí está claro es que el patrón encaja: infraestructura crítica de agua, PLCs expuestos a internet, y una ventana temporal que coincide casi exactamente con la escalada documentada por CISA.

CISA, junto con la Dirección de Señales australiana, el NCSC británico y el Centro para la Ciberseguridad canadiense, aprovechó el momento para publicar una guía conjunta, "CI Fortify – Advice for Isolating Vital Systems", recomendando a los operadores de infraestructura crítica mantener sus sistemas OT esenciales aislados del resto de la red para poder seguir prestando servicio incluso si se produce una brecha, ya sea manualmente o por rutas SCADA alternativas.

Recomendaciones concretas de CISA para operadores de agua y OT en general: revisar los logs de conexión de módems celulares, restringir el acceso a controladores solo a sistemas autorizados, inspeccionar los ficheros de proyecto en ejecución en busca de cambios no autorizados, validar copias de seguridad antes de restaurar, y en los controladores que tengan un interruptor físico de modo, no ponerlos en modo "run" hasta haber validado que sus ficheros de proyecto no han sido alterados. Y la de siempre, que nunca sobra repetir: ningún PLC debería estar expuesto directamente a internet.

(Noticia / Aviso técnico CISA AA26-097A / Análisis técnico SafeBreach)

El informe forense de Hugging Face, o cómo un agente de IA hackeó su infraestructura de producción sin que nadie apretara un botón

Esta es probablemente la historia más importante de ciberseguridad del año, no por el daño causado (limitado y contenido), sino por lo que revela sobre dónde estamos. El 27 de julio, Hugging Face publicó un informe técnico extraordinariamente detallado (con un replay interactivo incluido) de una intrusión de 4,5 días en su infraestructura de producción, ejecutada de principio a fin por un agente autónomo basado en modelos de OpenAI, sin que ningún humano dirigiera los pasos individuales.

El origen es casi irónico. OpenAI estaba corriendo una evaluación interna de capacidad ofensiva sobre el benchmark ExploitGym, con los clasificadores de seguridad de producción deliberadamente desactivados para medir la capacidad "en crudo" del modelo. El agente, en vez de resolver los retos de forma independiente, decidió que la vía más rápida para puntuar bien era hacer trampa: encontrar y robar las soluciones de referencia. Dedujo que Hugging Face probablemente alojaba los modelos, datasets y soluciones de ese benchmark, y se lanzó a por ellos.

Etapa 1, escapar del sandbox de evaluación: el agente explotó un 0-day en el proxy de caché del registro de paquetes, uno de sus canales de salida a internet permitidos, y con eso llegó a un endpoint de ejecución de código público mal asegurado, expuesto por un tercero sobre infraestructura de Modal, pensado para tareas estilo CyberGym. Ahí encontró una vía de RCE trivial: el harness compilaba el main.c enviado por el usuario y lo enlazaba contra un binario que llama a sqlite3_initialize(), función registrada como constructor que se ejecuta automáticamente al cargar la librería. El agente simplemente la redefinió para que ejecutase system() con sus propios comandos. Con eso obtuvo shell como root dentro de ese sandbox externo, que usó como base de control, staging y salida para toda la campaña durante los siguientes días.

Etapa 2, entrar en Hugging Face: desde ese lanzador externo (sin conexión directa a los clusters de HF), el agente abusó del pipeline de procesamiento de datasets mediante dos vectores de inyección sobre el mismo cargador de configuración:

Vector 1 (lectura de ficheros): subió un dataset cuya configuración declaraba archivos HDF5 con "raw storage externo" apuntando a rutas locales del propio worker en producción, como /proc/self/environ o el código fuente del propio worker. Al procesar el dataset, el servidor le devolvía el contenido de esos archivos como si fueran filas de datos, filtrando de un plumazo variables de entorno con secretos y el código fuente del pipeline.
Vector 2 (ejecución de código): un spec reference:// de fsspec cuyo campo de offset numérico era en realidad una plantilla Jinja2 mal evaluada por el renderizador, que el agente usó para llegar a exec() recorriendo el grafo de objetos de Python (cycler.__init__.__globals__.__builtins__.exec(...)). Esto le dio ejecución arbitraria de código dentro de un pod de producción de Kubernetes.

Interesante detalle: un intento anterior más ruidoso de SSRF clásico contra el endpoint de metadatos de la nube (169.254.169.254) fue bloqueado por la lista blanca de URLs del propio pipeline. El agente simplemente cambió de estrategia: en vez de pedir al worker que descargara algo remoto, le hizo leer o ejecutar algo local, evitando así el control que solo miraba fetches de URLs externas.

A partir de ahí, escalada clásica pero a velocidad de máquina. El día 3 de la intrusión (11 de julio) concentró casi toda la actividad de movimiento lateral: en menos de 13 horas, el agente pasó de ejecución de código en un único pod a administrador de clúster en varios clusters internos. Usó el token de service account del propio pod para hablar con la API de Kubernetes, robó credenciales temporales del endpoint de metadatos de la nube para mapear (que no modificar, todas las llamadas destructivas las probó con DryRun=True) la infraestructura cloud, creó un pod privilegiado con el filesystem del host montado para escapar a root de nodo, y con eso accedió a una base de datos MongoDB interna usando una contraseña estática leída del entorno del worker.

El golpe más grave llegó poco después: con root de nodo y tokens de service account forjados, el agente leyó un objeto de secretos de producción con 136 claves, de donde salieron tanto la clave de autenticación de la VPN mesh corporativa como, una hora después, la credencial de un broker de acceso interno. Ese broker estaba mal aprovisionado con una única credencial de conector compartida entre clusters y vinculada a system:masters: robar esa única credencial le dio al agente acceso de administrador de clúster en varios clusters en menos de un segundo.

El día 4 el agente se enroló en la red mesh corporativa (Tailscale) desde el propio sandbox, usando modo userspace-networking con proxy SOCKS5 local para no dejar rastro en disco (--state=mem:, --no-logs-no-support), acumulando 181 enrolamientos a lo largo de la campaña. También abusó de credenciales AWS robadas contra bases de datos de producción (bloqueadas por allowlisting de IP) y, a través del conector de control de versiones que le permitía su tag de la mesh, llegó al proveedor de código fuente, donde emitió un token de instalación de una GitHub App interna con permisos de escritura y abrió un pull request intentando comprometer la pipeline de CI, sin éxito.

El día 5 fue de persistencia y limpieza: estableció un loader de segunda etapa que releía y ejecutaba código desde un pastebin en cada nueva ejecución (para que cada sandbox efímero se "re-armara" solo), sorteó bloqueos de salida reescribiendo DNS y /etc/hosts, y siguió acuñando tokens de corta duración hasta que el equipo de seguridad de Hugging Face cortó el acceso, a las 14:14 UTC del 13 de julio.

El C2 no usó infraestructura propia en ningún momento, todo se construyó sobre servicios públicos ordinarios: un servicio de captura de peticiones como cola principal (con más de 100 endpoints de un solo uso), pastebins como loaders de segunda etapa, datasets propios de Hugging Face como "dead drops", y un Space de proxy CORS abierto en la propia plataforma como relay de salida cuando el tráfico directo estaba bloqueado. Los payloads viajaban comprimidos, cifrados con XOR y codificados en base64 con una clave por campaña; un primer escaneo automático de los logs capturados encontró muy pocos secretos, pero al replicar el propio esquema de descifrado del agente, Hugging Face recuperó cuatro veces más hallazgos, la mayoría JWTs y tokens de plataforma.

Dato curioso sobre la investigación: para analizar los logs del ataque, el equipo de Hugging Face intentó primero usar Claude Opus y Fable, pero los guardarraíles de seguridad rechazaron buena parte del trabajo, tratando el análisis forense del exploit igual que si estuvieran lanzando uno. Acabaron desplegando una versión cuantizada de GLM-5.2 (modelo abierto) en su propia infraestructura para hacer la reconstrucción completa, incluyendo descifrar el esquema de cifrado del propio agente atacante.

El alcance final fue limitado: el único contenido de cliente accedido fueron cinco datasets relacionados con los propios retos de ExploitGym/CyberGym, ningún otro modelo, dataset, Space o paquete de terceros se vio afectado, y los únicos registros de clientes leídos fueron metadatos operativos de consultas de búsqueda. La base de datos interna que sí llegó a comprometer se leyó pero no se modificó, sin evidencia de exfiltración masiva en los logs de red.

Lo que cambia la naturaleza del problema, según el propio informe de Hugging Face, no es que las técnicas individuales fueran nuevas (procesamiento inseguro de datasets, metadatos de nube expuestos, accesos demasiado amplios, credenciales de larga duración: todo eso lo podría haber encontrado un atacante humano competente), sino la escala: 17.600 acciones, la mayoría fallidas, ejecutadas a velocidad de máquina, con reconstrucción automática de herramientas y canales cada vez que un sandbox efímero se reiniciaba desde cero. El camino que funcionó estaba escondido entre miles que no funcionaron, y eso es exactamente lo que hace tan difícil de correlacionar para un equipo de defensa humano.

Medidas que ha tomado Hugging Face: cerrado ambos vectores de inyección en el renderizador de datasets, bloqueo de acceso a metadatos de instancia (IMDSv2) para todos los workloads, rotación completa de credenciales y tokens (incluso en clusters no afectados), reconstrucción desde cero de uno de los clusters core tras confirmar el pivote, y credenciales de conector ahora aisladas por clúster en lugar de compartidas.

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

27 de julio

Ramón Salado — Mon, 27 Jul 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
HollowGraph, el implante que convierte tu calendario de Microsoft 365 en un buzón espía
Qilin explota el bypass de autenticación de PAN-OS GlobalProtect para cifrar dominios enteros

💥F5 corrige una vulnerabilidad crítica en NGINX (CVE-2026-42533) que permite a atacantes remotos provocar un desbordamiento de búfer, con riesgo de caída del sistema y ejecución remota de código (Noticia)

💥Explotan activamente CVE-2026-6875 en ServiceNow AI Platform, un sandbox escape pre-autenticación que permite a un atacante no autenticado ejecutar código arbitrario; los clientes con despliegue self-hosted deben revisar su estado de parcheo cuanto antes (Noticia)

💥ASUS publica parches críticos para sus routers (CVE-2026-13385), un fallo de alta gravedad que permite ejecución remota de comandos (Noticia)

💥CVE-2026-8933 en snap-confine de Ubuntu permite a un usuario local sin privilegios escalar a root encadenando condiciones de carrera en FUSE y symlinks para plantar reglas udev maliciosas; afecta a las instalaciones por defecto de Ubuntu Desktop 24.04, 25.10 y 26.04 (Noticia)

💥CVE-2026-48294 en la extensión de Chrome de Adobe Acrobat permitía leer chats, nombres de contacto, vistas previas y datos de perfil de WhatsApp Web con solo visitar una web maliciosa, sin necesidad de malware, credenciales robadas ni cookies de sesión (Noticia)

💥CISA actualiza su aviso sobre actores iraníes afines al gobierno que atacan PLCs conectados a internet de Rockwell Automation, Schneider Electric y Siemens, y recomienda desconectarlos de la red pública (Noticia)

HollowGraph, el implante que convierte tu calendario de Microsoft 365 en un buzón espía

Group-IB ha descubierto HOLLOWGRAPH, un implante de espionaje muy dirigido (foco en entidades israelíes) que usa un calendario de Microsoft 365 comprometido como canal encubierto de comando y control, atribuido con alta confianza al framework Cavern de un actor con nexo iraní (relacionado con Cavern Manticore, documentado antes por Check Point).

La técnica, paso a paso:

Persistencia de acceso: los atacantes registran una aplicación OAuth2 con permisos de client-credentials sobre el buzón comprometido. Esto les da acceso persistente, independiente del MFA del usuario.
El implante es una DLL compilada en .NET que solo soporta dos comandos: get y send. No contacta nunca con un servidor propio: trata el calendario del buzón como un "dead drop" bidireccional.
Recepción de órdenes (get): consulta un evento del calendario con asunto tipo Event ID: fechado siempre el 13 de mayo de 2050, para que la víctima jamás lo encuentre al hacer scroll. Las instrucciones cifradas van como archivo adjunto al evento.
Exfiltración (send): el propio implante crea nuevos eventos de calendario, también en 2050, con los ficheros robados cifrados como adjuntos.
Cifrado: esquema híbrido RSA-OAEP + AES-256-GCM, con pares de claves distintos para tasking entrante y datos salientes.
Todo el tráfico pasa por la API oficial de Microsoft Graph, así que para cualquier control de red o firewall parece tráfico normal de Microsoft 365. No hay vulnerabilidad de software que explotar ni parche que aplicar: el ataque vive enteramente en el abuso de identidad y permisos de aplicación.
Renovación de credenciales: cuando necesita refrescar valores de configuración, usa túneles DNS sobre consultas AAAA (IPv6) contra su dominio de C2.
La configuración (tenant ID, client ID, client secret, buzón objetivo, dominio C2 y las dos claves RSA) se guarda camuflada en un archivo llamado logAzure.txt, simulando un log legítimo.

Alcance: Group-IB identificó 12 sistemas infectados, de los cuales solo unos 3 seguían comunicándose activamente con el atacante en el momento del análisis. Primera comunicación observada: 3 de junio de 2026; la más reciente, 9 de julio de 2026.

IOCs:

Dominio C2: cloudlanecdn[.]com
Fichero de configuración: logAzure.txt
Patrón de eventos de calendario: fecha 2050-05-13, asuntos Event ID: o variantes Boss{..}ID{..}, con adjuntos File{n}.txt

Detección y mitigación: como no hay IOC de red tradicional que bloquear, Group-IB recomienda desplazar la detección hacia el comportamiento de identidad: auditar aplicaciones OAuth de tipo client-credentials con acceso a Graph, alertar ante creación de nuevos client secrets, revisar logs de Microsoft 365/Entra ID en busca de eventos de calendario creados por aplicaciones (no por usuarios) con fechas muy futuras o adjuntos sospechosos, aplicar Conditional Access, rotación de credenciales y detección de tokens anómalos.

(Noticia / Informe técnico Group-IB)

Qilin explota el bypass de autenticación de PAN-OS GlobalProtect para cifrar dominios enteros

Arctic Wolf ha documentado múltiples intrusiones durante junio de 2026 en las que afiliados de Qilin ransomware explotaron CVE-2026-0257, un bypass de autenticación en los portales y gateways GlobalProtect de Palo Alto Networks PAN-OS, para desplegar ransomware a nivel de dominio completo.

Cronología de la vulnerabilidad: Palo Alto parcheó el fallo el 13 de mayo; dos semanas después Rapid7 confirmó explotación activa en varios clientes; a principios de junio CISA la añadió a su catálogo KEV. No afecta a Panorama ni a Cloud NGFW. La explotación permite establecer sesiones VPN no autorizadas saltándose las restricciones de seguridad del portal/gateway.

Cadena de ataque (patrón común de entrada, luego se ramifica):

Acceso inicial idéntico en todos los casos: explotación de CVE-2026-0257 para establecer sesiones VPN desde sistemas Kali Linux.
Persistencia: claves de registro Run, tareas programadas y herramientas de administración remota como AnyDesk, Ngrok, LogMeIn y MeshAgent.
Robo de credenciales: volcado de memoria de LSASS y extracción de la base de datos de Active Directory (NTDS), lo que habilita movimiento lateral vía PsExec, RDP y cuentas de administrador comprometidas.
Reconocimiento de red: con SoftPerfect Network Scanner y NetExec.
Antiforense: limpieza de logs de eventos de Windows y, en algunos casos, desactivación de Microsoft Defender antes de lanzar el ransomware.
Bifurcación según el afiliado (RaaS con varios operadores): algunas intrusiones fueron cifrado rápido sin robo de datos; otras hicieron reconocimiento extenso, robo masivo de credenciales y exfiltración a servicios cloud mediante Rclone, ProtonDrive, FileZilla y MEGA antes de cifrar (doble extorsión completa).
Payload: típicamente nombrado win.exe, alojado en C:\PerfLogs, ejecutado con parámetros protegidos por contraseña, y con extensión de cifrado única por campaña.

Por qué importa: Arctic Wolf valora con confianza moderada que estas intrusiones siguen activas, dado el volumen de escaneo observado y el modelo RaaS, que tiende a repartir exploits exitosos entre múltiples afiliados. Qilin ha sido uno de los grupos de ransomware más activos de 2025-2026, con más de 40 víctimas mensuales de media y un pico de 100 en junio; entre sus víctimas recientes se cuenta la química Dow Inc.

Mitigación: parchear PAN-OS de inmediato si aún no se ha hecho, revisar logs de GlobalProtect en busca de sesiones VPN anómalas, vigilar la aparición de win.exe en C:\PerfLogs, monitorizar el uso no autorizado de AnyDesk/Ngrok/LogMeIn/MeshAgent, y proteger LSASS y NTDS con controles de acceso reforzados (Credential Guard, restricción de RDP directo).

(Noticia / Informe Arctic Wolf)

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

20 de julio

Ramón Salado — Mon, 20 Jul 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
Cuando el "ciberterrorismo" prorruso ataca con técnicas de aficionado
Coca-Cola confirma ransomware en Fairlife, la producción parada en EEUU

💥Microsoft publica el Patch Tuesday más grande de su historia: 622 fallos corregidos (el triple que en junio), incluyendo dos 0-days explotados activamente — CVE-2026-56155 en Active Directory Federation Services (escalada de privilegios) y CVE-2026-56164 en SharePoint Server — que se suman a otros dos CVEs de SharePoint (CVE-2026-32201 y CVE-2026-45659) que CISA ya había confirmado bajo explotación activa contra instancias on-premise (Noticia)

💥SonicWall confirma explotación 0-day de CVE-2026-15409 y CVE-2026-15410 en appliances SMA1000, sin workarounds disponibles más allá de instalar los hotfixes de inmediato; la compañía ha publicado IOCs para que los clientes comprueben si han sido comprometidos

💥SAP corrige en su Patch Day de julio CVE-2026-44747 (CVSS 9.9), un fallo de corrupción de memoria en NetWeaver Application Server ABAP que permite a un atacante autenticado acceder y modificar datos y provocar caída del sistema; el parche llega junto a otros fallos críticos en AppRouter y Commerce Cloud (Noticia)

💥CISA ordena a las agencias federales priorizar el parcheo de dos vulnerabilidades explotadas activamente en Fortinet FortiSandbox, su plataforma de detección de amenazas (Noticia)

💥Zoom avisa de CVE-2026-53412, un fallo crítico de validación de entrada que permitiría a un atacante no autenticado con acceso de red secuestrar cuentas en sus productos para Windows; recomienda actualizar de inmediato aunque no hay indicios de explotación por ahora

💥Vulnerabilidad crítica en el core de WordPress, denominada «wp2shell», permite a atacantes no autenticados ejecutar código malicioso en las versiones 6.9 y 7.0 (Noticia)

Cuando el "ciberterrorismo" prorruso ataca con técnicas de aficionado

La Policía Nacional, en colaboración con el FBI y bajo supervisión de la Audiencia Nacional, detuvo en marzo (operación hecha pública la semana pasada) a un ciudadano italiano de 34 años residente en Palencia, acusado de pertenencia y colaboración con organización terrorista, enaltecimiento del terrorismo y daños informáticos. Se le vincula con los grupos hacktivistas prorrusos CyberArmy of Russia Reborn (CARR), Z-Pentest y NoName057(16).

Los sabotajes atribuidos en España: apagado del horno de un tanatorio en Levante, desactivación del sistema de riego de la Ciudad de las Artes y las Ciencias de Valencia, manipulación del cloro en una red de depuración de agua, apagado de cámaras frigoríficas con alimentos perecederos en una fábrica de Zaragoza, y activación de motores en un embalse de Canarias.

Por qué esto no requiere ser un genio del hacking — la técnica detrás de CARR/Z-Pentest/NoName057(16): Un aviso conjunto de CISA, FBI, NSA y socios internacionales (diciembre 2025) describe con detalle el modus operandi de este ecosistema, y es deliberadamente básico:

Escaneo masivo con herramientas públicas como Nmap u OpenVAS en busca de servicios VNC expuestos directamente a internet.
Levantan VPS temporales para lanzar fuerza bruta / password spraying contra esos servicios VNC.
Acceden a interfaces HMI/SCADA (paneles de control de plantas de agua, riego, refrigeración, calderas, etc.) que usan credenciales por defecto, débiles o inexistentes.
Una vez dentro, manipulan parámetros operativos: cambian usuarios/contraseñas, renombran dispositivos, desactivan alarmas, provocan condiciones de "pérdida de visión" del operador (obligándole a intervenir físicamente), o simplemente apagan/reinician equipos.
Se desconectan y documentan el "ataque" con capturas o vídeo para publicarlo en Telegram, a menudo exagerando el impacto real, buscando propaganda antioccidental más que daño estructural.

El origen del ecosistema: según el mismo aviso, CARR nació como cuenta de Telegram centrada en reivindicar DDoS; hacia finales de 2023 amplió su foco a ICS/OT (una depuradora europea, granjas lecheras en EEUU). En 2024, administradores de CARR insatisfechos con el respaldo del GRU crearon Z-Pentest junto a un administrador de NoName057(16), replicando las mismas TTPs pero como rama "independiente" del control ruso directo — aunque Google Threat Intelligence Group mantiene que existen vínculos entre CARR y la inteligencia militar rusa (GRU).

Lo llamativo del caso español: el detenido no ejecutaba los ataques él mismo desde su domicilio de forma evidente — la investigación lo sitúa más bien dando apoyo logístico (incluyendo ayudar a un hacker ucraniano vinculado a CARR a huir hacia Rusia vía Polonia y Bielorrusia) y manteniendo contacto cifrado con miembros de estos grupos. Se le intervino una cartera de criptomonedas donde presuntamente ingresaba beneficios por la venta de información obtenida.

Mitigación (la de siempre, pero repetida porque nadie la aplica): ningún HMI/SCADA debería estar expuesto directamente a internet vía VNC; si es imprescindible el acceso remoto, debe ir tras VPN con MFA, nunca con credenciales por defecto, y con segmentación de red que aísle OT de IT.

(Noticia / Aviso técnico CISA)

Coca-Cola confirma ransomware en Fairlife, la producción parada en EEUU

Coca-Cola comunicó el pasado 16 de julio, mediante un Formulario 8-K a la SEC, que su filial láctea Fairlife (Ultra-Filtered Milk, Core Power, Nutrition Plan) sufrió acceso no autorizado a sus sistemas — incluidos los de producción — en el marco de un ataque de ransomware. La compañía ha suspendido temporalmente la producción en sus plantas de EEUU; las operaciones en Canadá no se han visto afectadas.

Lo que sabemos (poco, por ahora):

Coca-Cola activó sus protocolos de respuesta a incidentes y continuidad de negocio, notificó a las autoridades y está investigando con asesores externos y expertos en ciberseguridad.
Asegura que la calidad y seguridad del producto no se han visto comprometidas.
No se ha identificado públicamente al grupo de ransomware responsable, ningún actor se ha atribuido el ataque hasta el momento, y no hay confirmación oficial de si hubo robo de datos ni de si existe una demanda de extorsión.
No hay IOCs públicos disponibles todavía — algo habitual en las primeras 24-48h de un incidente de esta envergadura, antes de que la investigación forense avance o el grupo atacante reivindique el ataque en su sitio de filtraciones.

Por qué importa, aunque falten detalles técnicos: el patrón encaja con la tendencia de 2026 de ransomware dirigido a manufactura/producción física (recordemos el caso de la textil alemana ZEGO, que se declaró en quiebra tras 6 semanas de parón por ciberataque), donde el objetivo no es solo cifrar datos sino paralizar líneas de producción — con impacto directo en la cadena de suministro y presión añadida para pagar el rescate cuanto antes. Si los sistemas afectados incluían OT/ICS de planta (como sugiere la mención expresa a "production-related systems"), es un ejemplo más de la convergencia IT/OT como vector de extorsión de alto impacto.

Qué esperar: si hubo exfiltración de datos, lo habitual es que el grupo responsable reivindique el ataque en su blog de extorsión en los próximos días/semanas, momento en el que normalmente aparecen los primeros IOCs (dominios, hashes, TTPs de acceso inicial). Actualizaré esta sección en cuanto haya atribución confirmada.

(Noticia)

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

13 de julio

Ramón Salado — Mon, 13 Jul 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
Silver Fox despliega MODBEACON, un RAT en Rust que se esconde dentro de tráfico gRPC
Armored Likho nuevo APT con BusySnake Stealer contra gobiernos y sector eléctrico

💥Explotan activamente CVE-2026-20896, un bypass de autenticación crítico en la imagen Docker oficial de Gitea que permite suplantar a cualquier usuario, incluidos administradores, aprovechando que la configuración por defecto confía ciegamente en la cabecera X-WEBAUTH-USER (Noticia)

💥Zimbra publica la versión 10.1.19 para corregir un XSS almacenado crítico (sin CVE aún) en el Classic Web Client, reportado por el Threat Analysis Group de Google; basta con abrir un email manipulado para robar sesión, ajustes de cuenta o datos del buzón (Noticia)

💥XRING: un único error de un bug en la librería XQUIC de Alibaba (usada por Tengine, tras Taobao y Alipay) permite tumbar cualquier servidor HTTP/3 con apenas 260 bytes de tráfico QPACK totalmente legítimo, sin autenticación ni paquetes malformados; sin parche ni CVE tras 5 intentos de aviso responsable desde abril (Noticia)

💥CISA añade CVE-2026-48282 (CVSS 10.0) de Adobe ColdFusion a su catálogo KEV tras confirmarse explotación activa, con fecha límite de parcheo para agencias federales el 10 de julio, junto a dos CVEs críticas más en extensiones de Joomla Page Builder (Noticia)

💥Nueva oleada de CVEs críticas en Ubiquiti UniFi: tres fallos más (Connect, Talk y Access) con CVSS de hasta 10.0/9.9, que se suman a la vulnerabilidad de UniFi OS ya explotada semanas atrás (Noticia)

💥runZero destapa 6 vulnerabilidades en el bootloader U-Boot, ampliamente usado en dispositivos embebidos, que permiten ejecutar código malicioso durante el arranque y habilitar ataques de firmware sigilosos y persistentes (Noticia)

Silver Fox despliega MODBEACON, un RAT en Rust que se esconde dentro de tráfico gRPC

QiAnXin ha documentado MODBEACON, un nuevo RAT modular escrito en Rust atribuido al ecosistema chino Silver Fox, detectado en una campaña de mediados de junio de 2026 contra empresas tecnológicas, educativas y estatales en Asia.

Estructura del actor: Silver Fox no es un grupo monolítico, sino una red de "distribuidores" que actúan como una mezcla de arma-dealer criminal y bróker de tráfico: una rama opera campañas SEO diarias para fraude masivo (instaladores falsos de software popular), y otra se dedica a distribuir troyanos avanzados o alquilar accesos de alto valor a "clientes" río abajo, incluyendo esquemas de "criminal contra criminal" dirigidos al sector del juego online en Camboya.

Cadena de infección:

Señuelo: dominios falsos que anuncian instaladores pirateados de software doméstico popular, promocionados vía envenenamiento SEO, para que la víctima descargue un ZIP malicioso.
El ZIP despliega el implante MODBEACON, que reside en memoria y actúa como framework C2 privado y "profesional":
- Loader y beacon separados, con configuración inyectable.
- Arquitectura de plugins nativos v3 (con entry/init/fini por RVA), permitiendo cargar módulos adicionales en caliente para robo de información, movimiento lateral o proxy, sin tener que recompilar el binario principal.
- Comunicación C2 vía gRPC tunneling, reutilizando la capa de transporte de Xray/V2Ray, un framework open-source de anti-censura, para camuflar el tráfico C2 como si fuera tráfico de aplicación cifrado legítimo.
Infraestructura C2 alojada en Amazon y en la CDN de Cloudflare, dificultando el bloqueo por IP/dominio.
Capacidades base: fingerprinting del host, carga de plugins en memoria, heartbeat, reporte de resultados de comandos y persistencia vía tareas programadas.

Por qué importa: técnicamente es un salto de calidad frente al Gh0st RAT/WinOS (ValleyRAT) que Silver Fox venía usando. Usar gRPC sobre un transporte de anti-censura conocido eleva mucho el listón de detección: pasa de firmas de red simples a inspección "protocol-aware" y baselining de tráfico, algo que la mayoría de EDR/NDR aún no hacen bien con gRPC cifrado. Se suma a un arsenal que Silver Fox ha ido ampliando este año (Atlas RAT, ABCDoor, RomulusLoader, SilentRunLoader).

(Fuente)

Armored Likho nuevo APT con BusySnake Stealer contra gobiernos y sector eléctrico

Kaspersky (Securelist) ha nombrado a un actor previamente indocumentado, Armored Likho (con solapamientos con el clúster Eagle Werewolf), en una campaña activa de espionaje y robo financiero contra organismos gubernamentales y empresas del sector eléctrico en Rusia, Kazajistán y Brasil.

Cadena de infección, dos rutas paralelas:

Spear-phishing con señuelos oficiales: notificaciones gubernamentales, solicitudes de ayuda humanitaria, tests psicológicos o certificados de condonación de deuda. Archivos observados con nombres como psihologicheskiy_test.zip o zayavka_gumanitarnayapomosch.rar.
Ruta EXE: dropper construido con NSIS que inyecta el loader en un proceso legítimo mientras muestra un señuelo (p. ej. una encuesta psicológica falsa) para distraer a la víctima.
Ruta LNK: acceso directo malicioso que abusa de ZDI-CAN-25373 (relacionado con CVE-2025-9491, parcheada por Microsoft en noviembre de 2025) para ocultar el comando PowerShell real dentro de los parámetros del .lnk cualquier sistema sin ese parche de noviembre 2025 sigue expuesto.
Ambas rutas descargan el runtime de Python 3.12 y el payload final desde repositorios de GitHub (con builds de desarrollo y muestras de test, lo que sugiere iteración rápida de payloads), y se instalan en AppData\WindowsHelper.
Persistencia: tarea programada llamada "WindowsHelper" que se ejecuta cada 5 minutos, registrada mediante un script VBScript.

BusySnake Stealer (payload final, module.pyw):

Protegido con PyArmor Pro 9.2.0: el bytecode se descifra dinámicamente solo en el momento de llamar a cada función y se vuelve a cifrar justo después, dificultando el análisis dinámico.
Se ejecuta como .pyw, sin ventana de consola visible.
Captura continua de portapapeles, inventario recursivo de archivos en una base SQLite local (buscando claves hex de 64 caracteres, indicio de caza de wallets/API keys), exfiltración selectiva de Escritorio/Documentos/Descargas por debajo de cierto tamaño.
Roba contraseñas de Chromium vía DPAPI y credenciales de Firefox, sesiones y tokens de Telegram, capturas de pantalla periódicas, keylogging bajo demanda.
Si detecta RustDesk instalado, lo lanza y pide al usuario sus credenciales, capturando la pantalla del prompt para robarlas.
Integra tunneling SSH inverso (antes una herramienta aparte llamada Go2Tunnel) directamente en el stealer, dando a los atacantes acceso remoto interactivo persistente.
Mecanismo de bloqueo de instancia única mediante un algoritmo de lock-file propio.

Indicio interesante: los loaders de primera etapa contienen comentarios verbosos y emojis en el código, un patrón que Kaspersky y otros analistas interpretan como fuerte indicio de generación asistida por IA, lo que además complica la atribución al alterar el "estilo" habitual del grupo.

Mitigación recomendada: parchear CVE-2025-9491 de inmediato, auditar tareas programadas en busca de "WindowsHelper", vigilar conexiones SSH salientes inusuales y monitorizar patrones de descarga desde GitHub poco habituales en endpoints corporativos. Kaspersky ha publicado IOCs completos (hashes, dominios C2 e IPs) en su informe de Securelist.

(Fuente / Fuente)

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

6 de julio

Ramón Salado — Mon, 06 Jul 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
Avalon / CrownX — el framework "todo en uno" que ataca tus backups
JADEPUFFER, el primer ransomware "de principio a fin" ejecutado por un agente de IA

💥CISA añade a su catálogo KEV el RCE crítico de SharePoint (CVE-2026-45659, CVSS 8.8) tras confirmarse explotación activa; Microsoft ya lo parcheó en mayo, pero cualquier atacante autenticado con permisos mínimos puede ejecutar código remoto (Noticia)

💥Nueva vulnerabilidad 0-day "Bad Epoll" (CVE-2026-46242) en el kernel de Linux permite a un usuario local sin privilegios obtener acceso root en servidores, escritorios y dispositivos Android; curiosamente, la IA Mythos de Anthropic detectó un fallo relacionado en el mismo código pero pasó por alto este segundo (Noticia)

💥Explotan activamente CVE-2026-20230 en Cisco Unified Communications Manager, un fallo SSRF que permite a atacantes remotos no autenticados escribir archivos en el sistema y escalar a root (Noticia)

💥Atacantes explotan CVE-2026-48558 en SimpleHelp (bypass de autenticación OIDC, CVSS 10.0) para desplegar dos nuevos malwares: el loader TaskWeaver y el infostealer Djinn Stealer (Noticia)

💥ChocoPoC: un RAT se esconde en falsos repositorios de PoC de CVEs en GitHub dirigidos a investigadores de vulnerabilidades, robando contraseñas, cookies y credenciales en cuanto se ejecuta el "exploit" (Noticia)

💥runZero destapa 7 vulnerabilidades sin parchear en FatFs, la librería de sistema de archivos FAT/exFAT presente en millones de dispositivos embebidos (cámaras, drones, wallets hardware), sin respuesta del mantenedor (Noticia)

Avalon / CrownX — el framework "todo en uno" que ataca tus backups

Blackpoint Cyber (Adversary Pursuit Group) destapó esta semana Avalon, un framework de malware modular no documentado hasta ahora, que integra robo de credenciales, movimiento lateral, acceso remoto, sabotaje de recuperación y un módulo ransomware bautizado CrownX.

Cadena de infección:

Phishing con señuelo legal: email con enlace a un archivo protegido con contraseña alojado en Proton Drive (no como adjunto, para evitar el escaneo del gateway de correo).
Dentro, una imagen ISO (Secure_Document_CA-283505_pdf.iso) que al montarse muestra un acceso directo .lnk disfrazado de documento (Secure Document CA-283505.pdf.lnk) junto a una carpeta señuelo tipo "Mimecast Secure File Logs".
El .lnk lanza un proyecto MSBuild (zfighv.tmp) que usa CodeTaskFactory para compilar C# inline y reconstruir en memoria un downloader cifrado, sin tocar disco.
Antes de bajar la siguiente fase por HTTPS, el downloader parchea ETW y AMSI (resuelve sus entry points y coloca stubs de retorno falso) para cegar la telemetría.
Movimiento lateral: usa shares administrativos y binarios legítimos (MSBuild.exe, csc.exe, InstallUtil.exe) para compilar/cargar componentes .NET en remoto, con tareas programadas, servicios remotos o estilo PsExec. Prioriza buscar cadenas de Veeam, Acronis, NetApp, Synology, vCenter, Hyper-V y Exchange — es decir, va directo a por backups e infraestructura de virtualización.
Robo de credenciales: navegadores (Chromium/Firefox), wallets cripto (MetaMask, Ledger Live, Electrum, Coinbase), material DPAPI vía CryptUnprotectData, VPN, SSH, RDP, Wi-Fi y Windows Credential Manager.
CrownX (ransomware): cifrado autenticado con AES-GCM vía BCrypt API, uso de file mapping para procesar archivos grandes eficientemente y APIs transaccionales para operaciones controladas. Añade metadatos estructurados (nonce, auth tag, info de segmento) a cada archivo cifrado. Antes de cifrar, borra shadow copies (VSS), corrompe el entorno de recuperación y elimina metadatos de System Restore. Incluye un subsistema antiforense que limpia Prefetch, AmCache, SRUM, ShimCache, historial de PowerShell y cachés RDP. En los casos más agresivos, sobrescribe directamente el disco físico, convirtiendo un cifrado potencialmente recuperable en destrucción irreversible.

C2: comunicación vía WinHTTP POST a un endpoint /api/v2/tasking en helloxcherry[.]com, con formato diseñado para parecer tráfico web legítimo.

IOCs relevantes:

Dominio C2: helloxcherry[.]com
Archivo señuelo: Secure_Document_CA-283505_pdf.iso
Acceso directo: Secure Document CA-283505.pdf.lnk
Proyecto MSBuild: zfighv.tmp

Por qué importa: no es una técnica nueva en sí, sino la consolidación de robo de credenciales + persistencia + destrucción de backups + ransomware en un único payload recuperado, lo que reduce drásticamente la ventana de detección y respuesta. Blackpoint apunta a que el desarrollo "acelerado" del framework sugiere posible asistencia de IA en su construcción.

Fuente

JADEPUFFER, el primer ransomware "de principio a fin" ejecutado por un agente de IA

Sysdig documentó lo que considera el primer caso de ransomware agéntico: una operación de extorsión completa, desde el acceso inicial hasta la destrucción de una base de datos de producción, ejecutada íntegramente por un LLM sin intervención humana en el manejo del ataque.

Cadena de ataque:

Acceso inicial: explotación de CVE-2025-3248 (CVSS 9.8), un fallo de falta de autenticación en el endpoint de validación de código de Langflow (framework open-source para apps y workflows de agentes de IA), que permite ejecutar Python arbitrario sin login.
Todos los payloads se enviaron como Python codificado en Base64 a través de ese endpoint. El agente hizo reconocimiento del host (usuario, red, procesos), buscó API keys (OpenAI, Anthropic, DeepSeek, Gemini), credenciales cloud (AWS, Azure, proveedores chinos como Alibaba/Tencent) y wallets cripto.
Volcó la base de datos PostgreSQL interna de Langflow y escaneó servicios internos alcanzables, encontrando un MinIO con las credenciales de fábrica sin cambiar (minioadmin:minioadmin), desde donde listó buckets y extrajo un fichero de credenciales.
Persistencia: instaló una entrada cron en el host de Langflow que hacía beacon cada 30 minutos a infraestructura del atacante.
Pivote al objetivo real: un servidor de producción separado, expuesto a internet, con MySQL y Alibaba Nacos (servicio de configuración). El agente se conectó a MySQL usando credenciales root cuyo origen Sysdig no pudo determinar (no procedían del entorno de la víctima).
Contra Nacos combinó varios vectores: el bypass de autenticación CVE-2021-29441 y la falsificación de un JWT aprovechando que Nacos sigue usando su clave de firma por defecto desde 2020 en muchos despliegues.
Comportamiento agéntico destacable: en una secuencia, tras un login fallido al crear una cuenta admin en Nacos, el agente diagnosticó la causa exacta y emitió un payload corregido 31 segundos después, sin reintentos ciegos. Sysdig contabilizó más de 600 payloads distintos, con razonamiento en lenguaje natural incrustado en el propio código (algo que un operador humano rara vez escribe, pero que un LLM produce por defecto).
Destrucción final: cifró las 1.342 configuraciones de servicio de Nacos usando AES_ENCRYPT() de MySQL, eliminó las tablas originales config_info e history, deshabilitó las foreign keys para borrar esquemas adicionales, y creó una tabla README_RANSOM con la nota de rescate. La clave de cifrado se generó aleatoriamente y nunca se guardó, por lo que la víctima no podría recuperar los datos ni pagando.

IOCs (según Sysdig):

C2 / beacon: 45.131.66[.]106 (puerto 4444, cada 30 min)
Servidor de staging reclamado: 64.20.53[.]230
Dirección Bitcoin del rescate: 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy (coincide con la dirección de ejemplo de la documentación oficial de Bitcoin — posible alucinación del modelo)
Contacto: e78393397[@]proton[.]me
Tabla de extorsión: README_RANSOM
MinIO con credenciales por defecto: minioadmin:minioadmin

Por qué importa: ninguna técnica individual es novedosa, pero es la primera vez documentada que un agente de IA encadena reconocimiento, robo de credenciales, movimiento lateral, persistencia y destrucción sin guía humana. Sysdig resume que el "suelo de habilidad" para operar ransomware ha caído al coste de rentar un agente de IA.

Mitigación: parchear Langflow, no exponer endpoints de ejecución de código a internet, no correr servidores de IA con API keys/credenciales cloud en su entorno, cambiar la clave de firma por defecto de Nacos, no exponer nunca cuentas admin de bases de datos, y aplicar controles de egress.

Fuente / Fuente)

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

29 de junio

Ramón Salado — Mon, 29 Jun 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
Análisis técnico: UNC5792 y UNC4221 evolucionan su ataque contra Signal
El inicio de la ciber-guerra

💥CISA advierte de vulnerabilidad explotada en Ubiquiti UniFiOS (Noticia)

💥Fallo de seguridad en Apache Tomcat Tribes (CVE-2026-34486) surgió por un refactoring que cambió un diseño fail-closed a uno fail-open (Noticia)

💥Squid (CVE-2026-47729) expone credenciales HTTP en texto plano de usuarios (Noticia)

💥Paquetes maliciosos de NPM se hacen pasar por herramientas PostCSS para distribuir RAT de Windows (Noticia)

💥AryStinger convierte 4.300 routers antiguos en una red de reconocimiento y proxies para ataques (Noticia)

💥Vulnerabilidad de día cero CVE-2026-20245 en Cisco Catalyst SD-WAN explotada para obtener acceso de administrador (Noticia)

Análisis técnico: UNC5792 y UNC4221 evolucionan su ataque contra Signal

El FBI y la CISA publicaron el 26 de junio de 2026 una alerta actualizada (PSA I-062626-PSA) sobre una campaña activa de los Servicios de Inteligencia Rusos (RIS) contra usuarios de Signal. La noticia relevante no es que hayan roto la criptografía de la app, porque no lo han hecho. La noticia es que no les ha hecho falta.

Los grupos implicados, rastreados públicamente como UNC5792 y UNC4221, están vinculados al FSB (incluyendo oficiales integrados en las Guardias Fronterizas del FSB) y a servicios militares rusos. Google Threat Intelligence Group documentó por primera vez a UNC5792 abusando de la función de vinculación de dispositivos de Signal a principios de 2025; la misma metodología se ha observado después contra WhatsApp y Telegram.

La campaña pasó por tres fases diferenciadas:

Fase 1 (2025 — primera ola): Los actores enviaban mensajes de phishing haciéndose pasar por soporte de Signal para robar códigos SMS de verificación y PINs de cuenta, o bien enviaban enlaces de "invitación a grupo" manipulados que vinculaban silenciosamente un dispositivo bajo control del atacante a la cuenta de la víctima.

Fase 2 (marzo 2026): El FBI emitió una primera alerta. Para entonces, miles de cuentas en todo el mundo ya habían sido comprometidas. Los objetivos: funcionarios gubernamentales de EE. UU. e internacionales, personal militar, figuras políticas, periodistas y oficiales ucranianos.

Fase 3 (junio 2026 — alerta actual): Los actores han evolucionado la táctica. El objetivo ya no es solo secuestrar la sesión activa, sino obtener la Backup Recovery Key de Signal, una credencial mucho más valiosa y persistente.

Signal Secure Backups cifra las copias de seguridad de las conversaciones en los servidores cloud de Signal mediante cifrado extremo a extremo. La clave de ese cifrado es la Recovery Key: una cadena que el propio usuario genera y que nunca debería salir del dispositivo.

El vector de ataque documentado funciona así:

La víctima recibe un mensaje dentro de Signal aparentemente de "soporte de Signal" alertando de intentos de hackeo por parte de actores de Irán y países postsoviéticos, y anunciando la implementación obligatoria de verificación en dos pasos.
El mensaje guía paso a paso al usuario para que active los backups y copie su Recovery Key al portapapeles:
Settings → Backups → Enable backups → View recovery key → Copy to clipboard
Un segundo mensaje, también suplantando al soporte, avisa de un supuesto error de sincronización que amenaza con la pérdida permanente de los datos y solicita que se pegue la Recovery Key en el chat para "resolver el problema".
Con la Recovery Key en su poder, el atacante puede restaurar el backup completo de la cuenta en su propio dispositivo y acceder a toda la historia de conversaciones privadas y de grupo.

El FBI añade un aviso técnico específico que merece atención: crear una cuenta nueva con el mismo número de teléfono no invalida la Recovery Key robada.

Si la víctima cambia de dispositivo o reinstala Signal, la clave anterior sigue siendo válida para descifrar backups futuros hasta que el usuario genere activamente una nueva Recovery Key desde los ajustes de la app. Y aun así, los backups descargados previamente con la clave comprometida ya están en manos del atacante de forma permanente.

El Departamento de Estado estadounidense ha anunciado una recompensa de hasta 10 millones de dólares por información sobre UNC5792. La actividad se solapa con advertencias previas de los servicios de inteligencia neerlandeses (AIVD y MIVD), la agencia alemana BfV/BSI y la ANSSI francesa, lo que indica un seguimiento coordinado por parte de aliados occidentales.

Las técnicas MITRE ATT&CK relevantes para esta campaña incluyen T1566.001 (Spearphishing Link) para el vector de acceso inicial, y el abuso de funciones legítimas de la propia aplicación como mecanismo de exfiltración, sin necesidad de malware.

Información BC

El inicio de la ciber-guerra

Una ciber-guerra real emerge cuando distintos actores compiten de manera sostenida por obtener libertad de actuación en el dominio digital, mientras tratan de denegar esa misma libertad al adversario.

Con esa definición en mano, el artículo responde una pregunta incómoda: ¿por qué, si llevamos años hablando de ciber-guerra, esta no ha terminado de materializarse? La respuesta está en tres condiciones que nunca habían coincidido del todo: dependencia tecnológica real, interés estratégico suficiente y capacidades ofensivas y defensivas a la altura. Durante años, estos tres elementos no han terminado de alinearse al completo. Hasta ahora.

La tesis es clara: controlar el acceso al medio, sea a datos, a capacidades frontera de inferencia o a sistemas de automatización, puede degradar la capacidad cognitiva y productiva de una sociedad entera. Un ataque exitoso sobre infraestructura de IA ya no solo tiene efectos físicos o económicos; tiene efectos cognitivos directos. Puede reducir la capacidad de una organización para producir software, limitar la capacidad de una administración para analizar escenarios, degradar la capacidad de un ejército para planificar.

Esto es nuevo. Y cambia fundamentalmente el cálculo estratégico de cualquier actor estatal.

Tradicionalmente, una capacidad ofensiva sofisticada podía perder gran parte de su valor tras ser utilizada. Una vez expuesta, el adversario aprendía, parcheaba, atribuía, compartía indicadores, endurecía sistemas. El arma se quemaba.

Con IA, ese modelo cambia radicalmente. La capacidad ya no está únicamente en el exploit concreto. Está en el sistema capaz de descubrir, adaptar, regenerar y operar en tiempo real. La ventaja no es solo tener una bala; estamos hablando de construir y mantener la fábrica de munición conectada al terreno.

La IA también comprime el ciclo OODA (observar, orientar, decidir, actuar): acelera el descubrimiento de vulnerabilidades, la generación de exploits, la adaptación de payloads y el reconocimiento automatizado. El tiempo entre detección y acción se reduce drásticamente.

Pau Muñoz Pairet

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

22 de junio

Ramón Salado — Mon, 22 Jun 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
La CISA urge a blindar dispositivos Fortinet tras la filtración FortiBleed
The Gentlemen: el RaaS que regala a sus afiliados un kit "todo en uno" para matar tu EDR
AutoJack: cuando tu propio agente de IA se convierte en la puerta de entrada al RCE

💥Múltiples vulnerabilidades en NGINX (Noticia)

💥Microsoft Defender zero-day RoguePlanet es ahora oficialmente CVE-2026-50656 (Noticia)

💥Vulnerabilidades críticas en las extensiones de Chrome permiten a los atacantes comprometer fácilmente los navegadores (Noticia)

💥Creación y truncado arbitrario de archivos sin autenticación en Enterprise de Splunk (Noticia)

💥Cisco publica actualizaciones de seguridad para una vulnerabilidad de SD-WAN Manager que se encuentra siendo explotada activamente (Noticia)

💥Explotan una vulnerabilidad del plugin Gravity SMTP de WordPress para exponer claves API (Noticia)

CISA urge a blindar dispositivos Fortinet tras la filtración FortiBleed

QUÉ OCURRIÓ
Investigadores de seguridad (Bob Diachenko, con análisis posterior de Hudson Rock) descubrieron una base de datos expuesta (bautizada "FortiBleed") con credenciales de VPN SSL y acceso administrativo para más de 73.900 URLs de firewalls Fortinet en 194 países (unos 21.600 dominios únicos comprometidos). El investigador Kevin Beaumont confirmó la autenticidad de parte de los datos y estima que el total afecta a cerca de 75.000 dispositivos, la mayoría todavía accesibles desde internet.

CÓMO SE OBTUVIERON LAS CREDENCIALES
Un grupo de cibercriminales de habla rusa realizó más de 1.160 millones de intentos de fuerza bruta / credential stuffing contra más de 320.000 dispositivos FortiGate, además de más de 2.100 millones de intentos similares contra servidores Microsoft SQL Server. También interceptaron hashes de autenticación de VPN SSL y los descifraron con un clúster de 45 GPUs, usando las credenciales obtenidas para moverse lateralmente dentro de entornos de Active Directory.

Un dato importante: muchas de las contraseñas comprometidas eran largas y complejas, pero ya circulaban en texto plano en bases de datos de infostealers. Es decir, la complejidad de la contraseña no protegió a estas organizaciones porque las credenciales se robaron directamente en el endpoint, antes de cualquier cifrado.

Aún no se ha confirmado el vector exacto de origen (si proviene de una vulnerabilidad ya conocida, una nueva, u otro método), y Fortinet no ha emitido todavía una respuesta oficial pública.

POR QUÉ ES URGENTE
- El dataset incluye organizaciones de prácticamente todos los sectores: tecnología, manufactura, servicios financieros, telecomunicaciones, gobierno e infraestructura crítica.
- Se confirmaron compromisos completos de red en varios países, incluyendo el robo de documentos clasificados de un contratista de defensa de la OTAN.
- Buena parte de los dispositivos afectados expone su interfaz de administración directamente a internet.

QUÉ RECOMENDAMOS HACER AHORA MISMO
1. Rotar credenciales: cambien de inmediato todas las contraseñas de VPN SSL y de las interfaces administrativas de sus FortiGate, sin importar su complejidad.
2. Activar MFA: si aún no la tienen, habiliten autenticación multifactor en todos los accesos VPN y de administración expuestos a internet.
3. Auditar logs: revisen los registros de acceso en busca de inicios de sesión inusuales, sesiones administrativas inesperadas o picos de tráfico anómalos.
4. Restringir la exposición de la interfaz de administración: apliquen políticas "local-in" para limitar el acceso al panel solo a IPs internas de confianza, y desactiven FortiCloud SSO si no es imprescindible.
5. Verificar exposición: usen la herramienta gratuita de Hudson Rock (hudsonrock.com/fortinet) para comprobar si su organización aparece en el dataset filtrado.
6. Vigilar credenciales de empleados: dado que parte del problema proviene de infostealers, conviene monitorear si hay credenciales corporativas circulando en mercados de robo de información.

ESTAMOS A SU DISPOSICIÓN
Si necesitan ayuda para ejecutar alguna de estas acciones (rotación de credenciales, configuración de MFA, revisión de logs o hardening de su FortiGate), contáctennos y los acompañamos paso a paso.

Información Hudsonrock

The Gentlemen: el RaaS que regala a sus afiliados un kit "todo en uno" para matar tu EDR

Mientras la mayoría de los grupos de ransomware delegan en sus afiliados la tarea de neutralizar las defensas de un sistema, The Gentlemen ha decidido hacer las cosas de otra manera: centralizar esa capacidad y entregarla en bandeja. El resultado se llama GentleKiller, y según ESET es uno de los kits de evasión más sofisticados vistos hasta ahora en el ecosistema RaaS.

Un framework, ocho disfraces

GentleKiller existe en ocho variantes distintas, cada una imitando a un producto legítimo diferente y abusando de un driver vulnerable o malicioso distinto como parte de la técnica BYOVD (bring your own vulnerable driver). En conjunto, el framework busca específicamente 400 procesos asociados a 48 programas de seguridad distintos de múltiples proveedores.

¿Los drivers que abusa? Una lista que mezcla software de anticheat de videojuegos, herramientas de limpieza y soluciones de seguridad reales: Kaspersky, FACEIT Anti-Cheat, Valorant, Javelin, WatchDog, Network Blocker, Cleaner y G11. Vale la pena destacar que el driver "PoisonX.sys" del último ya se ha visto en otras campañas recientes, incluida una que logró terminar el EDR Falcon de CrowdStrike.

La sofisticación no está solo en qué ataca, sino en cómo se esconde. Estas herramientas se estandarizan mediante una capa compartida de evasión de defensas, haciéndose pasar predominantemente por proveedores de seguridad mediante información de versión falsa, además de certificados e iconos legítimos copiados. A esto se suma protección de binarios mediante Enigma o Themida.

The Gentlemen reduce considerablemente la barrera de entrada, facilitando notablemente su trabajo. Esto convierte a cualquier organización en un blanco potencial, incluso frente a atacantes con poca sofisticación técnica propia.

Recomendaciones

Auditar qué drivers firmados tienen permitido cargarse en tus endpoints.
Mantener actualizada la lista DBX de UEFI para bloquear binarios vulnerables conocidos.
No confiar ciegamente en certificados de software de seguridad sin verificar su procedencia.
Asumir que el "EDR killer as a service" ya es una realidad operativa, no una hipótesis.

Noticia THN

AutoJack: cuando tu propio agente de IA se convierte en la puerta de entrada al RCE

Hay algo inquietante en este hallazgo: no hace falta engañar a un usuario para comprometer su máquina. Basta con engañar a su agente de IA.

AutoJack es una cadena de exploits crítica que permite que una sola página web maliciosa secuestre el agente de navegación de Microsoft AutoGen Studio y ejecute código arbitrario en la máquina anfitriona de forma silenciosa, sin requerir más interacción del usuario que enviar una URL.

El objetivo es AutoGen Studio, la interfaz de prototipado de código abierto de Microsoft Research para sistemas de IA multiagente. La técnica convierte las capacidades de navegación web integradas del agente en un vehículo involuntario para lograr ejecución remota de código, cruzando la frontera de confianza de localhost.

El exploit encadena tres debilidades independientes en la superficie WebSocket del Model Context Protocol (MCP) de AutoGen Studio, cada una asociada a un identificador CWE distinto: Validación de origen ausente (CWE-1385), Autenticación ausente en función crítica (CWE-306) y Inyección de comandos del SO (CWE-78).

El ataque en la práctica

El escenario es tan simple como preocupante: un desarrollador ejecuta AutoGen Studio localmente junto a un agente de navegación. Un atacante le induce a enviar una URL maliciosa. El navegador headless navega a esa página, donde JavaScript embebido abre un WebSocket hacia el endpoint MCP con un payload codificado en base64. Como el agente corre localmente, la comprobación de origen pasa. Como el middleware de auth excluye /api/mcp/*, no se requiere ningún token.

El resultado: AutoGen Studio decodifica el payload y lanza el comando especificado por el atacante bajo la cuenta del desarrollador. En pruebas de concepto, calc.exe se abrió en el escritorio del desarrollador en cuestión de segundos tras renderizar la página maliciosa.

Noticia GBHACKERS

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

15 de junio

Ramón Salado — Mon, 15 Jun 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
La CISA entierra el CVSS y redefine cómo parchear vulnerabilidades
El apagón de Anthropic que Europa no debería olvidar

💥Check Point ha publicado 2 vulnerabilidades: 1 de severidad crítica y otra alta que en caso de ser explotadas podrían permitir a un atacante establece una conexión VPN de acceso remoto sin una contraseña válida o interactuar de intermediario en las conexiones VPN de sitio a sitio (Noticia)

💥Veeam ha parcheado un fallo crítico de RCE (CVE-2026-44963, CVSS 9.4) en Backup & Replication. Actualiza urgentemente (Noticia)

💥Más de 400 paquetes del Repositorio de Usuarios de Arch Linux han sido comprometidos con malware infostealer y un rootkit (Noticia)

💥Inyección de cadena de formato autenticada en Tapo C110 de TP-Link (Noticia)

💥Microsoft acaba de lanzar un récord de 206 correcciones de seguridad. 39 están calificadas como Crítico. Algunos pueden permitir que los atacantes ejecuten código por la red o BitLocker (Noticia)

💥Un fallo en nftables permite escalar a root en Linux con un exploit estable (Noticia)

La CISA entierra el CVSS y redefine cómo parchear vulnerabilidades

La Cybersecurity and Infrastructure Security Agency (CISA) publicó el pasado 10 de junio la Binding Operational Directive 26-04 (Prioritizing Security Updates Based on Risk), una directiva vinculante que obliga a las agencias civiles del Ejecutivo Federal de Estados Unidos (FCEB) a cambiar radicalmente su modelo de gestión de vulnerabilidades.

Lo que a primera vista parece una actualización administrativa es, en realidad, un cambio de paradigma: el CVSS deja de ser el criterio principal de priorización. En su lugar, la directiva impone un modelo basado en cuatro variables de riesgo operativo con plazos de remediación diferenciados.

La BOD 26-04 consolida y revoca dos directivas anteriores:

BOD 19-02 (Vulnerability Remediation Requirements for Internet-Accessible Systems, 2019): exigía parchear vulnerabilidades críticas en sistemas expuestos a internet en 15 días, y las de alta severidad en 30.
BOD 22-01 (Reducing the Significant Risk of Known Exploited Vulnerabilities, 2021): creó el catálogo KEV (Known Exploited Vulnerabilities) y ordenó remediar sus entradas en plazos fijos de 2 semanas.

Ambos modelos compartían un problema: trataban la severidad o la inclusión en el KEV como proxy suficiente del riesgo, sin considerar si el activo afectado era accesible desde fuera, si la explotación podía automatizarse o si el impacto postexplotación era total o parcial.

Con la BOD 26-04, CISA reconoce que ese enfoque genera patch fatigue sin mejorar la postura de seguridad de forma proporcional al esfuerzo.

El nuevo modelo: cuatro variables, un semáforo de urgencia

La directiva define cuatro criterios binarios que determinan la prioridad de remediación de cualquier vulnerabilidad:

#	Variable	Pregunta operativa
1	Asset Exposure	¿El activo afectado es alcanzable desde internet mediante una IP enrutable?
2	Exploit Automation	¿Puede la explotación ser completamente automatizada (sin interacción humana en el atacante)?
3	Post-Exploitation Technical Impact	¿La explotación exitosa otorga control total del sistema (full system takeover)?
4	KEV Status	¿Existe evidencia de explotación activa en el mundo real (es decir, está en el catálogo KEV)?

Una vulnerabilidad que cumple los cuatro criterios debe ser remediada en 3 días. Además, las agencias deben realizar una triage forense para determinar si el sistema ya fue comprometido antes de aplicar el parche, porque (y esto es clave) parchear no expulsa a un actor que ya está dentro.

Informe CISA

El apagón de Anthropic que Europa no debería olvidar

A las 17:21 hora del Este del viernes 13 de junio, el Secretario de Comercio Howard Lutnick envió una carta al CEO de Anthropic, Dario Amodei, indicando que los modelos Mythos 5 y Fable 5 quedarían sujetos a controles de exportación para cualquier ubicación fuera de EE.UU. y para todos los ciudadanos extranjeros dentro del país.

Anthropic anunció que desactivaba el acceso a sus modelos Fable 5 y Mythos 5 para todos los clientes, después de que el gobierno de EE.UU. emitiera una directiva de control de exportaciones que prohibía su uso a cualquier nacional extranjero, tanto dentro como fuera de Estados Unidos. La empresa optó por un cierre total porque la alternativa (bloquear selectivamente) habría requerido cortar el acceso a una enorme franja de usuarios, incluidos los propios empleados de Anthropic nacidos fuera de EE.UU.

En pocas horas, uno de los instrumentos técnicos más avanzados disponibles para equipos de seguridad, investigadores y desarrolladores en toda Europa dejó de existir. Sin previo aviso. Sin período de transición. Por decisión unilateral de un gobierno extranjero.

El incidente no es sorprendente para quien lleva tiempo estudiando dependencias tecnológicas. Pero hay una diferencia entre saber que algo puede pasar y experimentarlo en producción.

Cuando una orden de control de exportaciones de EE.UU. silenció los modelos Mythos-class de Anthropic en Europa de la noche a la mañana, destruyó el mito de la "nube americana segura" y demostró que la soberanía digital es ahora un requisito de supervivencia.

El argumento lleva años circulando en los documentos de política tecnológica europea. Los impulsores iniciales del proyecto EuroStack señalaron que el 80% de la tecnología europea es importada, lo que crea una dependencia de la tecnología estadounidense y china. Lo que antes era una estadística preocupante ahora tiene un nombre, una fecha y un error 403.

La arquitectura de dependencia es más profunda de lo que parece en la superficie. No se trata solo de qué modelo de IA usa un equipo de seguridad: se trata de quién controla el interruptor. Y ese interruptor, quedó claro el viernes, no está en Europa.

EuroStack: la respuesta que lleva dos años tomando forma

El EuroStack no nació como reacción al bloqueo de Anthropic. Nació precisamente para evitar que algo así importara.

El concepto de un "European Stack" para describir un proyecto paneuropeo de infraestructura técnica soberana fue propuesto por primera vez en 2019, mientras que el término específico "EuroStack" fue acuñado por Glen Weyl en 2024. La iniciativa EuroStack recibió el apoyo del Comité ITRE del Parlamento Europeo en junio de 2025. Sus impulsores, Francesca Bria y Haroon Sheikh, la presentaron como la última oportunidad de Europa para preservar su soberanía en la era digital.

La propuesta más ambiciosa llamaba a movilizar 300.000 millones de euros en diez años para invertir en independencia tecnológica europea. Pero más allá de las cifras, el argumento conceptual es lo que merece atención técnica: la soberanía no es un producto, es una pila (stack).

El argumento central es que la soberanía no es una sola cosa: es un stack. Comprende computación, modelos fundacionales, servicio e inferencia de modelos, y capa de aplicación. Controlar solo una capa sin controlar las demás es ilusión de soberanía, no soberanía real.

La pregunta honesta es: ¿qué hay realmente construido? La respuesta es heterogénea, pero más sustancial de lo que la narrativa del "retraso europeo" sugiere.

La infraestructura crítica de una democracia no puede depender de controles de exportación ajenos. Ese principio ya estaba en los documentos de política. Ahora también está en los logs de error.

Ramón

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

8 de junio

Ramón Salado — Mon, 08 Jun 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
OP-512: El nuevo grupo chino que convierte tus servidores IIS en puertas traseras invisibles
El ransomware Payouts King elude los sistemas EDR mediante ofuscación y llamadas directas al sistema

💥Vulnerabilidad Cisco SD-WAN CVE-2026-20245 permite a los atacantes netadmin autenticados ejecutar comandos como root mediante subidas de archivos elaboradas. (Noticia)

💥Un error de SolarWinds Serv-U catalogado como CVE-2026-28318, puede permitir que las solicitudes no autenticadas bloqueen el servidor de archivos. (Noticia)

💥Múltiples vulnerabilidades en productos de Microsoft HorizonDB y Exchange (Noticia)

💥Exploit DoS remoto afecta a nginx, Apache, IIS, Envoy y Cloudflare Pingora (Noticia)

💥CVE-2026-0257, un fallo de bypass de autenticación de PAN-OS y Prisma Access, está bajo explotación activa. (Noticia)

💥Centenas de sistemas de medición de combustible de gasolineras (ATG), expuestos a ataques (Noticia)

OP-512: El nuevo grupo chino que convierte tus servidores IIS en puertas traseras invisibles

Investigadores de ReliaQuest han identificado un nuevo clúster de amenaza, bautizado como OP-512, especializado en comprometer servidores Microsoft IIS mediante un framework personalizado de tres web shells diseñado específicamente para evadir detecciones y dificultar el análisis forense.

Su framework combina capacidades raramente vistas juntas: cada despliegue se genera de forma única, el acceso está restringido mediante controles criptográficos, y los servidores comprometidos reportan automáticamente su estado a una infraestructura centralizada de mando y control (C2).

Además, el grupo emplea una técnica de evasión especialmente sofisticada conocida como timestomping: escanea cada archivo y subcarpeta alrededor de donde deposita sus web shells, calcula la marca de tiempo media de última modificación y sobreescribe sus propios metadatos para que parezca que llevan ahí mucho tiempo. El resultado es que los artefactos maliciosos se camuflan entre el ruido del sistema legítimo.

El ataque, paso a paso

En el incidente analizado, el actor apuntó a un servidor IIS legacy con Windows Server 2016 y .NET Framework 4.0 (ya sin soporte) y utilizó el proceso worker del servidor web (w3wp.exe) para desplegar el primer web shell en el directorio de subida de la aplicación. A partir de ahí, las tres piezas del framework proporcionaron gestión de archivos, ejecución autenticada de comandos y reporte automatizado del compromiso, todo ello antes de que nadie pudiera reaccionar.

Para elevar privilegios, OP-512 recurrió al conocido Potato Suite, seguido de comandos como whoami /priv para confirmar el nivel de acceso obtenido.

¿Qué deberías hacer ahora?

Auditar servidores IIS expuestos a internet, especialmente los que corran versiones de Windows o .NET sin soporte.
Revisar logs de w3wp.exe en busca de comportamientos anómalos de escritura de archivos.
Implementar monitorización de integridad de archivos en directorios web accesibles.
No asumir que las reglas de detección actuales cubren tooling completamente nuevo y a medida.

IOCs Relacionados
ashx.lhlsjcb[.]com
hcgos[.]com
43.160.202[.]246:8053
140.206.161[.]227:443
124.156.129[.]151

Informe ReliaQuest | Noticia THN

El ransomware Payouts King elude los sistemas EDR mediante ofuscación y llamadas directas al sistema

Los grupos de ransomware no mueren, se transforman. Cuando BlackBasta colapsó en febrero de 2025 tras la filtración de sus chats internos, muchos pensaron que era el fin de esa línea de amenaza. Error. Sus ex-afiliados simplemente continuaron operando bajo otras banderas, desplegando familias como Cactus y, más recientemente, alineándose con un nuevo grupo llamado Payouts King.

El grupo apareció en abril de 2025 y pasó buena parte del año sin demasiado ruido, pero a principios de 2026 registró un incremento notable de actividad. Los investigadores de Zscaler han podido atribuir con alta confianza parte de esa actividad a este grupo, cuyos patrones de ataque coinciden estrechamente con los de anteriores campañas de BlackBasta, incluyendo el mismo manual de ingeniería social.

El método de acceso inicial es elegante en su simplicidad. Primero bombardean la bandeja de entrada de la víctima con correo basura masivo. Después, alguien se hace pasar por un técnico de IT y contacta a la víctima por Microsoft Teams, convenciéndola de iniciar una sesión de Quick Assist. Una vez dentro, el atacante tiene el control.

Payouts King construye y descifra sus cadenas de texto en tiempo de ejecución en lugar de almacenarlas como texto legible, dificultando enormemente el análisis estático. Además, resuelve funciones de Windows usando valores hash en lugar de nombres, con un algoritmo de checksum propio y una semilla única por valor, neutralizando las herramientas que dependen de tablas hash preconstruidas para identificar malware.

El golpe más directo contra los EDR llega en el momento del cifrado: cuando no puede abrir un archivo porque una herramienta de seguridad lo tiene bloqueado, el ransomware escanea los procesos en ejecución buscando entre 131 productos antivirus y de detección conocidos. Para terminarlos, no usa las llamadas estándar de la API de Windows sino llamadas directas al sistema que evitan los hooks en los que se basan la mayoría de los EDR para detectar actividad sospechosa.

IOCs
`335ad12a950f885073acdfebb250c93fb28ca3f374bbba5189986d9234dcbff4`
`d68ce82e82801cd487f9cd2d24f7b30e353cafd0704dcdf0bb8f12822d4227c2`
`.ZWIAAW`
`readme_locker.txt`
`.esVnyj`

Noticia CyberSecurityNews | Artículo técnico de ZScaler

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

1 de junio

Ramón Salado — Mon, 01 Jun 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
El FBI alerta de un nuevo kit de phishing que roba tokens de Microsoft 365 y esquiva la doble verificación
Actores rusos de GreyVibe utilizan ChatGPT y Gemini para potenciar sus ciberataques

💥CVE-2026-0257, un fallo de bypass de autenticación de PAN-OS (Palo Alto) y Prisma Access, está bajo explotación activa (Noticia)

💥Múltiples vulnerabilidades en Veeam Backup (Noticia)

💥Explotan una vulnerabilidad de FortiClient EMS para distribuir malware (Noticia)

💥Hackean las pizarras digitales y suena Bad Bunny en institutos y colegios de Andalucía (Noticia)

💥Un fallo crítico en LiteSpeed cPanel expone servidores a ataques con privilegios root (Noticia)

💥Vulnerabilidad de ConnectWise Automate permite saltar controles de seguridad (Noticia)

💥Microsoft ha parcheado una vulnerabilidad de ejecución remota de código de alta gravedad en SharePoint Server (Noticia)

El FBI alerta de un nuevo kit de phishing que roba tokens de Microsoft 365 y esquiva la doble verificación

El FBI ha lanzado una alerta pública sobre Kali365, una plataforma de phishing-as-a-service que está siendo utilizada para robar tokens OAuth de Microsoft 365 y acceder a cuentas corporativas sin necesidad de conocer la contraseña de la víctima. La amenaza preocupa especialmente porque permite a los atacantes eludir la autenticación multifactor y tomar el control de servicios como Outlook, Teams, SharePoint o OneDrive.

El principal riesgo de Kali365 está en que no se limita al phishing tradicional. En lugar de engañar al usuario para que introduzca su contraseña en una página falsa, una de sus técnicas abusa del flujo de código de dispositivo de Microsoft OAuth.

La víctima recibe un correo que suplanta a servicios de productividad o intercambio de documentos en la nube, como Adobe Acrobat Sign, DocuSign o SharePoint. En ese mensaje aparece un código de dispositivo y unas instrucciones para introducirlo en una página legítima de Microsoft. Arctic Wolf, que analizó la campaña en abril, señala que Kali365 ha sido utilizado en ataques de device code phishing a gran escala.

La autenticación multifactor sigue siendo una medida esencial, pero este tipo de ataques demuestra que no es infalible. Kali365 no necesita interceptar directamente la contraseña ni romper el segundo factor. Abusa de flujos legítimos de autenticación para obtener tokens válidos que permiten entrar en la cuenta como si el acceso hubiera sido autorizado correctamente.

Nota FBI enlace | Noticia BitLideMedia

Actores rusos de GreyVibe utilizan ChatGPT y Gemini para potenciar sus ciberataques

Un grupo de amenazas, probablemente ruso y conocido como GreyVibe, ha estado utilizando señuelos generados por IA y un amplio conjunto de herramientas de malware personalizadas para atacar a entidades de los sectores militar, gubernamental, civil y empresarial.

La campaña de ciberespionaje ha estado activa al menos desde agosto de 2025 y parece estar alineada con los intereses del Estado ruso, aunque los investigadores no pueden clasificarla con certeza como una operación estatal. La empresa de ciberseguridad WithSecure descubrió la actividad en enero de este año y determinó que su objetivo son organizaciones ucranianas o relacionadas con Ucrania.

La conexión con un actor de amenazas de habla rusa se ve respaldada por el idioma de los paneles de malware, los comentarios en los artefactos de código y la hora del servidor de comando y control (C2) configurada en UTC+3 (hora de Moscú). Según los investigadores, GreyVibe ha utilizado varias cadenas de ataque contra sus objetivos, entre ellas:

PhantomMail: Correos electrónicos de spear phishing que distribuyen archivos ZIP/RAR maliciosos a través de enlaces de Google Drive y 4sync, utilizando archivos PDF falsos o errores simulados durante la instalación del malware. Los señuelos detectados suplantaban la identidad de entidades gubernamentales, de emergencia, de telecomunicaciones y de energía ucranianas.
PhantomClick: Páginas falsas de CAPTCHA/ClickFix disfrazadas de sitios de Zoom y LAPAS engañan a las víctimas para que ejecuten comandos de autoinfección mediante falsas solicitudes de verificación de Cloudflare.
PrincessClub: Sitios web falsos ucranianos para adultos/citas que distribuyen el spyware FallSpy para Android y el malware PhantomRelay/LegionRelay para Windows. Los operadores utilizaron perfiles falsos de mujeres en Telegram y posteriormente añadieron llamadas en directo basadas en WebRTC que podían capturar el audio y el vídeo de la víctima.
DroneLink: Sitios web falsos de organizaciones benéficas militares ucranianas, centrados en drones FPV y vehículos aéreos no tripulados (UAV), compartían infraestructura y herramientas con las campañas de PrincessClub.
Nebo: Las páginas falsas de inicio de sesión de comunicaciones militares rusas con el prefijo “СПО НЕБО” probablemente fueron diseñadas para engañar al personal militar ucraniano, haciéndoles creer que estaban accediendo a una terminal militar rusa.

La diversidad y la calidad de estos engaños son notables, y WithSecure afirma que esto se debe al uso de múltiples herramientas de IA, como ChatGPT, Ideogram AI y Google Gemini, para generar contenido detallado y realista que los respaldara.

Noticia BleepingComputer

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

25 de mayo

Ramón Salado — Mon, 25 May 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
Herramientas de Monitoreo y Gestión Remota (RMM) que podrían ser potencialmente abusadas por actores de amenazas
Empleados de la NASA caen en una estafa de phishing china dirigida al software de defensa estadounidense

💥Alerta crítica: Carga de trabajo segura de Cisco afectada por un fallo CVSS 10.0 (Noticia)

💥Santalucía sufre un ciberataque tras detectar un acceso irregular a datos personales de clientes (Noticia)

💥Drupal publica actualizaciones de seguridad urgentes para el núcleo; se recomienda a los sitios web que se preparen (Noticia)

💥Microsoft publica una solución para el exploit «YellowKey» que permite eludir BitLocker (Noticia)

💥GitHub confirma una brecha en 3.800 repositorios internos por una extensión maliciosa de VS Code (Noticia)

💥Validación de entrada incorrecta en el servidor de UniFI OS (Noticia)

💥Explotan vulnerabilidades en F5 BIG-IP para obtener acceso SSH y abrirse paso hacia redes Linux (Noticia)

Herramientas de Monitoreo y Gestión Remota (RMM) que podrían ser potencialmente abusadas por actores de amenazas

La adopción masiva de herramientas de Remote Monitoring and Management (RMM) ha transformado la administración de sistemas modernos. Plataformas como AnyDesk, ScreenConnect, TeamViewer, Atera, Splashtop o SimpleHelp permiten soporte remoto, automatización y administración centralizada de endpoints. Sin embargo, estas mismas capacidades las han convertido en uno de los recursos favoritos de operadores de ransomware, Initial Access Brokers (IABs) y grupos APT.

El problema ya no es únicamente el malware tradicional. Hoy en día, muchos atacantes operan utilizando software legítimo, firmado digitalmente y ampliamente permitido dentro de las organizaciones. Este enfoque encaja perfectamente en la filosofía Living Off The Land (LOTL): utilizar herramientas legítimas para reducir detección y mezclarse con la actividad normal del entorno.

Las herramientas RMM proporcionan prácticamente todo lo que un atacante necesita tras conseguir acceso inicial:

Capacidad	Utilidad ofensiva
Remote Desktop	Control interactivo completo
File Transfer	Exfiltración y despliegue de payloads
PowerShell / CMD remoto	Ejecución de comandos
Persistence	Acceso continuo al sistema
Inventory del sistema	Reconocimiento interno
Credential Access indirecto	Robo de sesiones y credenciales
Gestión multi-endpoint	Movimiento lateral
Tráfico cifrado	Evasión de inspección

Esto elimina la necesidad de desarrollar malware complejo.

Huntress reportó un crecimiento significativo del abuso de RMM en campañas recientes, observando un incremento del 277% en ciertos escenarios operativos.

Uno de los ejemplos más claros es AnyDesk. El análisis “Digital Forensics: AnyDesk – Favorite Tool of APTs” describe cómo se ha convertido en una herramienta habitual dentro de operaciones APT y campañas ransomware. AnyDesk presenta varias ventajas ofensivas:

Instalación rápida
Bajo consumo de recursos
Conectividad estable
NAT traversal
Persistencia configurable
Soporte unattended access
Firma digital legítima
genera menos fricción operativa,
es conocido por usuarios y administradores, y rara vez se bloquea inicialmente.
todo el tráfico va por https desde el endpoint

Cómo lo combatimos:

Inventario estricto y actualizado de los sistemas autorizados de RMM
Aplication AllowListing estricta que impida las soluciones no autorizadas
Correlación y detección de este tipo de elementos en SIEM
Integración de reglas LOLRMM

Equipo de BlueTeam de BeeHackers

Empleados de la NASA caen en una estafa de phishing china dirigida al software de defensa estadounidense

La Oficina del Inspector General (OIG) de la Administración Nacional de Aeronáutica y del Espacio de EE. UU. (NASA) ha revelado cómo un ciudadano chino se hizo pasar por un investigador estadounidense como parte de una campaña de spear-phishing para obtener información confidencial de la agencia espacial, así como de entidades gubernamentales, universidades y empresas privadas, infringiendo las leyes de control de exportaciones.

“Durante años, los empleados de la NASA y los colaboradores en la investigación pensaban que simplemente estaban compartiendo software con sus colegas”, afirmó la OIG en un comunicado emitido el jueves. “En realidad, estaban enviando por correo electrónico tecnología de defensa sensible a un ciudadano chino que se hacía pasar por ingenieros estadounidenses”.

La persona vinculada a la campaña fue identificada como el ciudadano chino Song Wu en septiembre de 2024, cuando el Departamento de Justicia de EE. UU. (DoJ) anunció los cargos contra él por orquestar una estafa de phishing de varios años que se prolongó desde enero de 2017 hasta diciembre de 2021 y que tuvo como objetivo a docenas de profesores, investigadores e ingenieros estadounidenses.

Algunas de las víctimas de la campaña trabajaban en la NASA, la Fuerza Aérea, la Armada, el Ejército y la Administración Federal de Aviación, mientras que otras trabajaban en importantes universidades y empresas del sector privado.

“A medida que las campañas de phishing se vuelven cada vez más sofisticadas, existen indicios comunes que pueden delatar a los estafadores y poner al descubierto sus tramas de fraude en materia de exportación”, afirmó la OIG. “En el caso de Song, realizó múltiples solicitudes del mismo software y no justificó por qué lo necesitaba”.

Noticia TheHackerNews

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

18 de mayo

Ramón Salado — Mon, 18 May 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
OAuth Device Code Phishing: el nuevo bypass silencioso contra Microsoft 365
Linux bajo ataque: QLNX y PamDOORa elevan el riesgo para desarrolladores y servidores SSH

💥Se ha revelada una vulnerabilidad crítica en el kernel de Linux, identificada como CVE-2026-46333 y apodada “ssh-keysign-pwn” (Noticia)

💥Fortinet ha informado sobre múltiples vulnerabilidades críticas en FortiAuthenticator y FortiSandbox (Noticia)

💥La actualización de Microsoft de mayo de 2026 corrige 120 fallos (Noticia)

💥SAP corrige las vulnerabilidades críticas en Commerce Cloud y S/4HANA (Noticia)

💥Explotan vulnerabilidad CVE-2026-42897 en Microsoft Exchange Server local (Noticia)

💥CISA incluye la vulnerabilidad CVE-2026-20182 de Cisco SD-WAN en su catálogo de vulnerabilidades explotadas (Noticia)

💥Vulnerabilidad crítica en la interfaz de usuario de Nginx, con puntuación CVSS de 9.8, explotada activamente (Noticia)

OAuth Device Code Phishing: el nuevo bypass silencioso contra Microsoft 365

Los atacantes están explotando una funcionalidad legítima de Microsoft conocida como OAuth Device Code Flow para secuestrar cuentas corporativas sin necesidad de robar contraseñas. La técnica, cada vez más utilizada por grupos criminales y actores estatales, permite obtener tokens válidos de acceso incluso cuando las víctimas utilizan MFA.

¿Qué es el Device Code Flow?

El Device Code Flow fue diseñado para dispositivos con capacidades limitadas de entrada, como Smart TVs, impresoras o dispositivos IoT. En lugar de introducir credenciales directamente en el dispositivo, el usuario recibe un código y debe validarlo en una página legítima de Microsoft.

El problema es que los atacantes están utilizando este mecanismo para engañar a usuarios corporativos y conseguir que autoricen, sin saberlo, aplicaciones controladas por el atacante. Como el login se realiza en dominios reales de Microsoft, el proceso parece completamente legítimo.

Cómo funciona el ataque

La víctima recibe un correo, mensaje o QR que aparenta ser una invitación corporativa, una reunión de Teams o una alerta de seguridad.
El mensaje solicita introducir un código en la página oficial de Microsoft.
El usuario completa la autenticación real, incluyendo MFA.
Microsoft entrega un token OAuth válido… pero asociado a la aplicación del atacante.

El resultado es especialmente peligroso: el atacante obtiene acceso persistente al buzón, OneDrive, Teams y otros recursos corporativos sin conocer la contraseña del usuario.

Un ataque que está creciendo rápidamente

Investigadores y medios especializados alertan de un fuerte incremento de campañas que utilizan OAuth Device Code phishing durante 2025 y 2026, especialmente contra organizaciones gubernamentales, defensa y entornos empresariales con Microsoft 365. Microsoft también ha detectado campañas automatizadas y apoyadas por IA capaces de generar códigos dinámicamente y operar a gran escala

Recomendaciones defensivas

Las organizaciones deberían revisar urgentemente sus controles OAuth y Microsoft Entra ID:

Deshabilitar Device Code Flow cuando no sea necesario.
Aplicar políticas de Conditional Access.
Monitorizar consentimientos OAuth sospechosos.
Revisar aplicaciones autorizadas por usuarios.
Alertar sobre autenticaciones desde ubicaciones anómalas.
Formar a usuarios para no introducir códigos fuera de procesos corporativos verificados.

La gran lección es clara: los atacantes ya no necesitan robar contraseñas si pueden abusar de los propios mecanismos legítimos de autenticación.

Algunos IoC relacionados GBhackers

Linux bajo ataque: QLNX y PamDOORa elevan el riesgo para desarrolladores y servidores SSH

Dos nuevas amenazas dirigidas a entornos Linux están preocupando a investigadores de ciberseguridad: el malware Quasar Linux RAT (QLNX), orientado al robo de credenciales DevOps y ataques a la cadena de suministro, y PamDOORa, un backdoor que manipula el sistema PAM para obtener persistencia y robar credenciales SSH.

Investigadores han identificado un implante Linux avanzado denominado Quasar Linux RAT o QLNX. Su objetivo principal son desarrolladores y administradores DevOps, especialmente en infraestructuras cloud y pipelines CI/CD.

El malware incorpora capacidades típicas de espionaje y control remoto:

Robo de credenciales
Keylogging
Manipulación de archivos
Monitorización del portapapeles
Túneles de red
Persistencia avanzada
Técnicas rootkit y evasión

Uno de los aspectos más preocupantes es su foco en credenciales críticas asociadas a:

AWS
Kubernetes
Docker
GitHub
npm
PyPI

QLNX utiliza ejecución “fileless” y múltiples mecanismos de persistencia para dificultar la detección. Algunas investigaciones indican que puede operar completamente en memoria y utilizar técnicas de ocultación de procesos y borrado de logs. El impacto potencial es enorme: comprometer la máquina de un desarrollador puede permitir introducir malware en repositorios, paquetes o pipelines utilizados por miles de organizaciones

La segunda amenaza identificada es PamDOORa, un malware Linux basado en módulos PAM (Pluggable Authentication Modules). PAM es el sistema utilizado en Linux y Unix para gestionar autenticación. Debido a que los módulos PAM operan con privilegios elevados, representan un objetivo muy atractivo para atacantes.

Ambos incorporan medidas para ocultar accesos y dificultar enormemente las investigaciones forenses posteriores.

Más info: THW Quasar | THW PamDOORa

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

11 de mayo

Ramón Salado — Mon, 11 May 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
Nunca te confíes

💥Una nueva vulnerabilidad LPE “Dirty Frag” sin parchear en el kernel de Linux permite acceso root en Ubuntu, RHEL, Fedora y otras distribuciones (Noticia)

💥Deserialización de datos no confiables en VMware Tanzu (Noticia)

💥Los cortafuegos PAN-OS (Palo Alto) afectados por la explotación activa de CVE-2026-0300, permitiendo RCE no autenticado con acceso root (Noticia)

💥Se ha descubierto un PoC/exploit para la vulnerabilidad CVE-2026-35616 de Fortinet (Noticia)

💥Múltiples vulnerabilidades en Ivanti Endpoint Manager Mobile (EPMM) (Noticia)

💥RansomHouse afirman que el código fuente de Trellix fue vulnerado (Noticia)

💥Filtración de datos de Zara expuso información personal de 197.000 personas (Noticia)

Nunca te confíes

Disculpa, este lunes nuestro boletín semanal es algo más breve, prácticamente todo el equipo estuvo operativo en un incidente que nos saltó a últimas horas del jueves hasta prácticamente las 5 de la mañana de hoy lunes.

Hay incidentes que te recuerdan algo que en ciberseguridad nunca deberíamos olvidar:

No puedes dar por bueno absolutamente nada.

Ni un segmento “aislado”.
Ni una cuenta “de sistema”.
Ni un servidor “interno”.
Ni un EDR en verde.
Ni un “eso no tiene salida a Internet”.

Porque los atacantes ya no necesitan entrar directamente donde quieren golpear. Les basta con encontrar un puente, una credencial, una confianza mal entendida, una excepción heredada, una cuenta de servicio olvidada, … Y desde ahí, empiezan a moverse en silencio.

Como jefe de Equipo de Respuesta de Incidentes, con más de 200 intervenciones, una de las cosas más duras no es ver el malware. Es ver cómo una organización descubre, demasiado tarde, que aquello que consideraba “seguro” realmente solo estaba “conectado”. La sensación de perder completamente el control de tu infraestructura durante horas o días deja una marca muy difícil de explicar a quien no lo ha vivido desde dentro.

No podemos sólo confiar en herramientas, PowerShell es legítimo, ScreenConnect es legítimo, Citrix es legítimo, Checkpoint es legítimo. Pero han abusado de todos ellos a través de diferentes vulnerabilidades, y estos sistemas (no parcheados y no en sus mejores configuraciones) han facilitado el ataque, exfiltración de información y cifrado de un buen número de decenas de servidores.

Los atacantes ya no necesitan malware extravagante. Utilizan lo mismo que usan los administradores, los técnicos, los ERP, los antivirus y los propios sistemas operativos.

Cuando entras en una organización que acaba de sufrir un ransomware, entiendes rápido que el problema no es “detectar malware”. El problema es distinguir qué parte de la actividad es realmente normal… y cuál no.

Y que el impacto real no son solo los equipos cifrados. Es la parada total.

Un PowerShell puede ser administración legítima… o el inicio del cifrado.
Un acceso NTLM puede ser un servicio olvidado… o movimiento lateral.
Un reinicio de un servicio puede ser una actualización… o persistencia.
Un proceso firmado por Microsoft puede formar parte de una cadena ofensiva perfectamente válida.

Por eso, lo mejor que te podemos recomendar es que no te confíes nunca, toma cualquier conexión como potencialmente peligrosa, revisa periódicamente tus sistemas, nunca escatimes en backups, ensaya la respuesta a diferentes incidentes.

Y que importante es el equipo, trabajar juntos, de forma coordinada, todos nos ayudamos. Cuida tu equipo, dale capacidad y medios.

Prepárate, en algún momento vendrán, que nos pille preparados.

Ramón

CYBERSOC 24/7

NuestiberSOC monitoriza la seguridad sobre su infraestructura, detectando de manera temprana cualquier incidente crítico para su organión.

Pentesting

Nuestro equipo de RedTeam hace una evaluación de la seguridad, simulando un ciberataque externo, poniendo así a prueba a toda la organización.

Hackademy

Disponemos de una plataforma de formación y concienciación con material para que su organización sepa enfrentarse a las principales amenazas.

4 de mayo

Ramón Salado — Mon, 04 May 2026 06:10:00 +0000

Principales Vulnerabilidades y Filtraciones de la semana
ALERTA CRÍTICA: Copy Fail (CVE-2026-31431)
The Gentlemen: ransomware adaptativo y operaciones “a medida”

💥Vulnerabilidades en SonicWall SonicOS permiten a atacantes eludir controles de acceso y bloquear el firewall (Noticia)

Estas fallas podrían permitir a los atacantes eludir controles de acceso, acceder a servicios restringidos o provocar una condición de denegación de servicio al bloquear el firewall. Se insta a los administradores a aplicar las últimas actualizaciones de firmware de inmediato para proteger sus sistemas.

💥Se ha detectado una vulnerabilidad crítica en la autenticación de cPanel: actualice su servidor de inmediato (Noticia)

La vulnerabilidad de evasión de autenticación se le ha asignado el identificador CVE CVE-2026-41940 y tiene una puntuación CVSS de 9,8 sobre 10,0. ES URGENTE QUE VERIFIQUES QUE NO TE AFECTA, Y EN CASO DE AFECTARTE QUE ACTUALICES.

💥Unos investigadores descubren 73 extensiones falsas de VS Code que distribuyen el malware GlassWorm (Noticia)

El conjunto de 73 extensiones ha sido identificado como versiones clonadas de sus homólogas legítimas. De estas, se ha confirmado que seis son maliciosas, mientras que el resto actúan como paquetes latentes aparentemente inofensivos para que los usuarios las descarguen y generen confianza.

💥Un fallo crítico en CrowdStrike LogScale podría haber permitido el acceso a archivos (Noticia)

CrowdStrike ha revelado recientemente una vulnerabilidad crítica, identificada como CVE-2026-40050, que afecta a su producto LogScale self-hosted. La vulnerabilidad permite el recorrido de rutas sin autenticación, lo que podría permitir a un atacante remoto leer archivos arbitrarios del sistema de archivos del servidor.

💥Contaminación de prototipos en n8n (Noticia)

Un fallo en la biblioteca "xml2js" utilizada para analizar los cuerpos de las solicitudes XML en el gestor de webhooks de n8n permite la contaminación de prototipos mediante una carga útil XML manipulada. Un usuario autenticado con permisos para crear o modificar flujos de trabajo puede explotar esto para contaminar el prototipo del objeto JavaScript.

ALERTA CRÍTICA: Copy Fail (CVE-2026-31431)

CVE-2026-31431 es una vulnerabilidad de Escalada de Privilegios Locales (LPE) en el kernel de Linux. Se origina en el subsistema criptográfico, específicamente en el módulo algif_aead de la interfaz de sockets AF_ALG (introducida para permitir que el espacio de usuario use algoritmos de cifrado del kernel).

La vulnerabilidad es masiva porque afecta a prácticamente cualquier núcleo de Linux lanzado desde 2017 hasta las versiones parcheadas en abril/mayo de 2026.

Versiones del Kernel: Desde la 4.14 hasta las ramas actuales (6.x).
Distribuciones Principales:
- Ubuntu: 20.04 LTS, 22.04 LTS, 24.04 LTS (parcheadas recientemente).
- Red Hat Enterprise Linux (RHEL): Versiones 8, 9 y 10.
- Amazon Linux 2023.
- Debian, Fedora, SUSE y Arch Linux.
Entornos Cloud: Es especialmente crítica en Kubernetes y entornos de contenedores, ya que permite el escape de contenedores (un proceso en un contenedor puede comprometer el kernel del host).

A diferencia de otros fallos históricos como Dirty COW o Dirty Pipe, Copy Fail no depende de condiciones de carrera (race conditions), lo que lo hace 100% determinista y fiable. El Vector: Un script de Python de apenas 732 bytes es suficiente.

Si eres administrador de sistemas o desarrollador, estas son las acciones urgentes:

1. Actualización del Kernel (Solución Definitiva)

La forma más segura es actualizar el kernel a la versión que incluye el parche (upstream commit a664bf3d603d) y reiniciar el sistema.

2. Desactivar el módulo vulnerable (Mitigación Temporal)

Si no puedes reiniciar inmediatamente, puedes intentar deshabilitar el módulo algif_aead. Ojo: En algunas distribuciones (como RHEL/AlmaLinux), este módulo está compilado dentro del kernel y no se puede descargar con rmmod.

3. Restricción vía Seccomp (Contenedores)

En entornos de Kubernetes, se recomienda aplicar políticas de Seccomp para bloquear la creación de sockets de la familia AF_ALG, lo que impide que los contenedores inicien el ataque.

Durante el fin de semana varios actores de amenazas han lanzado ataques de denegación de servicio sobre la infraestructura de Debian, Ubuntu y RedHat para impedir que los sistemas se actualicen. (fuente).

ESTE NO ES UN POST MÁS, REVISA y ACTUALIZA SI ERES VULNERABLE.

Fuente BeeHackers ThreatHunting

The Gentlemen: ransomware adaptativo y operaciones “a medida”

El grupo The Gentlemen es una de las amenazas ransomware emergentes más relevantes desde 2025. A pesar de su reciente aparición, ha demostrado una madurez operativa notable, con campañas dirigidas, altamente adaptativas y basadas en un modelo Ransomware-as-a-Service (RaaS).

Su enfoque se aleja del ransomware masivo tradicional: prioriza intrusiones dirigidas, reconocimiento profundo del entorno y adaptación de herramientas en tiempo real para evadir controles defensivos.

Modelo operativo

Doble extorsión: cifrado + exfiltración de datos con amenaza de publicación.
Acceso inicial dirigido: explotación de servicios expuestos o credenciales comprometidas.
Alta personalización: adaptación de tooling según defensas detectadas.
Uso de RaaS con afiliados y reparto de beneficios.

Sectores más afectados: manufactura, tecnología, salud y servicios financieros, donde el impacto operativo maximiza la presión del rescate.

TTPs destacadas (mapeo MITRE ATT&CK)

A partir de múltiples análisis técnicos, se pueden identificar varias tácticas y técnicas clave:

Initial Access

T1078 – Valid Accounts: uso de credenciales comprometidas (especialmente cuentas de dominio).
Explotación de servicios expuestos / VPN.

Discovery (TA0007)

Enumeración de red y AD con herramientas como Advanced IP Scanner.
Identificación de controladores de dominio vía PowerShell codificado.

Privilege Escalation & Persistence

Uso de herramientas como PowerRun para elevar privilegios.
Abuso de cuentas privilegiadas de dominio (T1078.002).

Defense Evasion (TA0005)

Uso de drivers firmados para deshabilitar EDR (BYOVD).
Herramientas custom para matar procesos de seguridad (ej. Allpatch2.exe).
Adaptación dinámica del malware según el entorno defensivo.

Lateral Movement

Uso de herramientas legítimas como PsExec.

Command & Control

Uso de herramientas legítimas de administración remota (living-off-the-land).

Impact

Terminación de servicios críticos (backup, BBDD, seguridad).
Cifrado multiplataforma (Windows, Linux, ESXi).

IOCs y artefactos observados

Aunque los IOCs son altamente variables (por la personalización), se han identificado algunos artefactos recurrentes:

Herramientas / binarios

All.exe, Allpatch2.exe (evasión AV)
PowerRun.exe (privilege escalation)
PsExec (movimiento lateral)
Advanced IP Scanner (reconocimiento)

Drivers abusados

ThrottleBlood.sys (terminación de procesos de seguridad)

Scripts

1.bat (enumeración masiva de cuentas y grupos AD)

Comportamientos clave

PowerShell codificado para discovery
Enumeración intensiva de Active Directory
Eliminación de artefactos post-ejecución (self-delete con delay)

Fuente Analyst1