FortiGate RaaS, exploits de Citrix, abuso de MCP, phishing en LiveChat y más

Group-IB ha arrojado luz sobre las diversas tácticas adoptadas por The Gentlemen, una incipiente operación de ransomware como servicio (RaaS) que consta de unos 20 miembros. Se originó a partir de una disputa de cuota luego de que su cámara “hastalamuerte” abriera un hilo de arbitraje sabido en el foro de cibercrimen RAMP, acusando a los operadores de ransomware Qilin de no satisfacer una comisión de afiliados por valencia de 48.000 dólares. El comunidad utiliza principalmente CVE-2024-55591, una vulnerabilidad crítica de omisión de autenticación en FortiOS/FortiProxy, para el comunicación original. “El comunidad mantiene una almohadilla de datos operativa de aproximadamente 14.700 dispositivos FortiGate ya explotados en todo el mundo”, dijo la compañía. “Separados de los dispositivos explotados, los operadores mantienen 969 credenciales VPN FortiGate de fuerza bruta validadas y listas para el ataque”. The Gentlemen incluso emplea la diversión de defensa mediante la técnica de traer su propio regulador abandonado (BYOVD) para finalizar los procesos de seguridad a nivel del kernel. Más o menos de 94 organizaciones ya han sido atacadas por este comunidad de amenazas desde su aparición en julio/agosto de 2025.

Se han revelado cuatro fallas de seguridad (CVE-2025-71257, CVE-2025-71258, CVE-2025-71259 y CVE-2025-71260) en BMC FootPrints, una alternativa ITSM ampliamente implementada, que podrían encadenarse a la ejecución remota de código de autenticación previa. La secuencia de ataque comienza con una omisión de autenticación (CVE-2025-71257) que extrae un token de sesión de invitado (“SEC_TOKEN”) del punto final de restablecimiento de contraseña, que luego se utiliza para resistir a un receptor de deserialización de Java no saneado (CVE-2025-71260) en el parámetro “__VIEWSTATE” del punto final “/aspnetconfig”. La explotación a través de la prisión de gadgets AspectJWeaver permite la escritura de archivos arbitrarios en el directorio raíz web de Tomcat, logrando una ejecución remota completa del código. Armado con SEC_TOKEN, un atacante incluso podría explotar dos fallas SSRF (CVE-2025-71258 y CVE-2025-71259) y potencialmente filtrar datos internos. Los problemas se abordaron en septiembre de 2025.

El cargador de malware conocido como Hijack Loader se está utilizando para ofrecer un entorno de comando y control (C2) basado en C++, previamente no documentado, conocido como SnappyClient. “SnappyClient tiene una relación ampliada de capacidades, que incluyen tomar capturas de pantalla, registro de teclas, una terminal remota y robo de datos de navegadores, extensiones y otras aplicaciones”, dijo Zscaler ThreatLabz. “SnappyClient emplea múltiples técnicas de diversión para obstaculizar la detección de seguridad de los puntos finales, incluida una omisión de la interfaz de escaneo antimalware (AMSI), encima de implementar Heaven’s Gate, llamadas directas al sistema y vaciado de transacciones. SnappyClient recibe dos archivos de configuración del servidor C2, que contienen una relación de acciones a realizar cuando se cumple una condición específica, cercano con otro que especifica las aplicaciones a las que apuntar para el robo de datos”. El entorno se descubrió por primera vez en diciembre de 2025. La prisión de ataque implica la distribución de cargas enseres maliciosas luego de que un afortunado invitado un sitio web que se hace ocurrir por la empresa española de telecomunicaciones Telefónica. Se evalúa que el uso principal de SnappyClient es el robo de criptomonedas, con una posible conexión entre los desarrolladores de HijackLoader y SnappyClient según las similitudes de código observadas.

Proofpoint ha detallado una nueva técnica citación CursorJack que abusa del soporte de Cursor para enlaces profundos del Model Context Protocol (MCP) para permitir la ejecución de comandos locales o permitir la instalación de un servidor MCP remoto zorro. El ataque aprovecha el hecho de que los servidores MCP comúnmente especifican un comando en su configuración “mcp.json”. “Se podría forzar del regulador de protocolo cursor:// mediante ingeniería social en configuraciones específicas”, dijo la compañía. “Un solo clic seguido de la recepción por parte del afortunado de un mensaje de instalación podría resultar en la ejecución de un comando injusto. La técnica podría aprovecharse tanto para la ejecución de código restringido a través del parámetro de comando como para instalar un servidor MCP remoto zorro a través del parámetro URL”. La empresa de seguridad empresarial incluso lanzó un exploit de prueba de concepto (PoC) en GitHub.

Una nueva campaña apunta activamente a fallas de seguridad conocidas en Citrix NetScaler (CVE-2025-5777 y CVE-2023-4966). Según Defused Cyber, se registraron más de 500 intentos de explotación contra su sistema honeypot el 16 de marzo de 2026. “Una actividad de explotación muy elevada contra vulnerabilidades más antiguas a menudo puede preceder a una vulnerabilidad de día cero”, dijo.

Rapid7 dijo que está viendo un aumento en las campañas de phishing en las que los actores de amenazas se hacen ocurrir por departamentos de TI internos a través de Microsoft Teams. “El objetivo principal es persuadir a los usuarios para que inicien Quick Assist, otorgando al TA comunicación remoto para implementar malware, filtrar datos o proveer el movimiento adyacente a través de la red”, agregó. “El flamante aumento en la entrega basada en Teams resalta una vulnerabilidad crítica en la forma en que las organizaciones administran el comunicación foráneo. Teams a menudo permite que cualquier afortunado foráneo envíe mensajes al personal interno. Este es el equivalente pragmático de intervenir un servidor de correo electrónico sin un filtro de puerta de enlace”.

Una nueva campaña estilo ClickFix ha comprometido un sitio web del gobierno paquistaní (“wasafaisalabad.gop(.)pk”) para entregar señuelos CAPTCHA falsos. La prisión de ataque instala un instalador MSI a través de un comando disfrazado del portapapeles, que coloca una puerta trasera basada en AutoHotKey que sondea un servidor remoto en indagación de tareas, dijo Gen Digital. Actualmente no se sabe cómo se violó el sitio web. La táctica de ingeniería social ha demostrado ser tan eficaz que incluso grupos de Estados-nación como el comunidad Lazarus de Corea del Ideal, MuddyWater de Irán y APT28 de Rusia la han prohijado. En enero, investigadores de Sekoia informaron que un entorno ClickFix separado denominado IClickFix se había inyectado en más de 3.800 sitios de WordPress desde 2024.

El cargador de malware conocido como Hijack Loader se utiliza para entregar una lectura actualizada de un ratero de información denominado ACRStealer. “Esta variable actualizada sigue técnicas de diversión similares y una organización de inicialización C2 para hacerla aún más sigilosa”, dijo G DATA. “Esta integración con HijackLoader resalta la versatilidad y modularidad de ACRStealer, lo que probablemente atraerá a más actores maliciosos para usarlo como carga útil final”. En estas campañas, Hijack Loader se descarga desde el dominio asociado a PiviGames, un portal gachupin que aloja juegos pirateados para PC. El explicación se produce en el contexto de otra campaña que involucró varios casos de distribución de malware a través de PiviGames.

Se ha observado una nueva campaña de phishing que utiliza LiveChat, un software de servicio al cliente que ofrece correo en vivo, para robar datos. Los correos electrónicos de phishing que utilizan temas relacionados con reembolsos se utilizan para redirigir a los usuarios a un enlace alojado a través del servicio de LiveChat (“direct.lc(.)chat”), desde donde se les pide que hagan clic en un enlace enviado en el chat para completar el reembolso ingresando su información personal y financiera. “A diferencia de las típicas estafas de reembolso o phishing de credenciales, esta campaña involucra a las víctimas a través de una interfaz de chat en tiempo existente, haciéndose ocurrir por marcas conocidas para resumir datos confidenciales como credenciales de cuentas, detalles de tarjetas de crédito, códigos de autenticación multifactor (MFA) y otra información de identificación personal (PII)”, dijo Cofense.

Se sospecha que un clúster adyacente a SideWinder conocido como RagaSerpent aprovecha temas de auditoría fiscal y cumplimiento estatal en correos electrónicos de phishing para entregar malware de múltiples etapas para comando y control (C2) y establecer un comunicación sostenido en organizaciones específicas en el sudeste oriental, incluidas Indonesia y Tailandia. La prisión de ataques es consistente con una campaña precedente dirigida a India que utilizó señuelos relacionados con impuestos similares para ofrecer una aparejo empresarial legítima citación SyncFuture TSM, desarrollada por una empresa china. “Esto no es inusual en las operaciones de APT: los objetivos adentro del país pueden estar de moda para complicar la atribución (por ejemplo, creando una ruidosa victimología ‘franquista’) o para resistir a diplomáticos/misiones extranjeras que operan adentro de la India, un patrón observado explícitamente en los informes sobre los objetivos geográficos más amplios de SideWinder y el conjunto de víctimas diplomáticas”, dijo ITSEC Asia. Las campañas recientes muestran que el actor de amenazas ha expandido sus operaciones más allá del sur de Asia en dirección a África, Europa, Medio Oriente y el Sudeste Oriental.

DJI ha solucionado un defecto de seguridad en su backend que podría poseer permitido a los atacantes apoderarse de todas sus aspiradoras inteligentes Romo. El investigador de seguridad Sammy Azdoufal dijo que los servidores DJI devolvían datos de cualquier dispositivo simplemente proporcionando un número de serie del dispositivo. DJI compartió los datos en cualquier dispositivo sin ninguna autenticación o autorización. El investigador dijo que pudo mapear las ubicaciones de más de 7.000 aspiradoras inteligentes Romo y 3.000 centrales eléctricas portátiles DJI que compartían el mismo servidor.

WhatsApp ha comenzado a probar la compatibilidad con la configuración de una contraseña de cuenta alfanumérica. Puede tener entre seis y 20 caracteres y debe incluir al menos una símbolo y un número. Añadir una contraseña alfanumérica a la ecuación probablemente sea un esfuerzo para dificultar los intentos de fuerza bruta. Por ejemplo, si un actor de amenazas realiza un intercambio de SIM para interceptar mensajes y evitar la autenticación de dos factores, aún tendría que ingresar la contraseña de 6 a 20 caracteres para obtener comunicación a la cuenta de WhatsApp de la víctima.

Ha surgido más evidencia de que el comunidad de rescate 0APT probablemente sea desleal y un fraude. “Hasta ahora, el actor de amenazas no ha proporcionado pruebas creíbles de ransomware o ataques de exfiltración de datos, ya que las muestras de datos en el DLS parecían ser fabricadas”, dijo Intel 471. “Por ejemplo, los archivos que supuestamente contenían metadatos de datos robados de las redes de las víctimas eran inusualmente grandes, alcanzando varios terabytes cada uno. Encima, las descargas parciales de esos archivos indicaron que no contenían ningún referencia útil y, de hecho, observamos varios casos en los que el contenido contenía un patrón cliché de bytes nulos”.

Google rechazó 1,75 millones de aplicaciones de Android que infringían políticas y bloqueó más de 80.000 cuentas de desarrollador de Google Play Store en 2025, frente a 2,36 millones de aplicaciones y 158.000 cuentas en 2024. La compañía dijo que hasta 2025, bloqueó más de 255.000 aplicaciones de Android para que no obtuvieran comunicación excesivo a datos confidenciales de los usuarios, y que implementó más de 10.000 controles de seguridad en aplicaciones publicadas y capacidades de detección fortalecidas mediante la integración de los últimos modelos de inteligencia sintético (IA) generativa de Google en el proceso de revisión. La suite de seguridad integrada de Android, Play Protect, que ahora analiza más de 350 mil millones de aplicaciones cada día, ha identificado más de 27 millones de aplicaciones maliciosas descargadas desde fuera de Google Play. La ‘protección mejorada contra fraudes’ de Play Protect se ha ampliado para cubrir más de 2.800 millones de dispositivos Android en 185 mercados, bloqueando 266 millones de intentos de instalación de 872.000 aplicaciones únicas de aventura. En un explicación relacionado, el superhombre tecnológico ha puesto a disposición la detección de estafas para llamadas telefónicas en dispositivos Google Pixel en EE. UU., Reino Unido, Australia, Canadá, Francia, Alemania, India, Irlanda, Italia, Japón, México y España. Igualmente se está ampliando a la serie Samsung Galaxy S26 en EE. UU.

Un noticia de VulnCheck encontró que tan pronto como el 1% de los 2025 CVE fueron explotados en estado salvaje a finales de año. Los dispositivos de red representaron un tercio de todos los productos explotados el año pasado. “Hubo una pequeña disminución (-13%) en las nuevas vulnerabilidades vinculadas a grupos de amenazas patrocinados por el estado y APT en el transcurso de 2025”, dijo la compañía de ciberseguridad. “Los nuevos exploits CVE atribuidos a grupos del trabazón con China aumentaron mientras que la actividad de exploits iraní cayó”. Otro noticia de IBM X-Force reveló que ha habido un aumento del 44% en los ciberataques que explotan aplicaciones públicas.

El Parlamento Europeo votó a crédito de extender una exención temporal a la constitución de privacidad de la UE que permite a las plataformas en término detectar voluntariamente material de desmán sexual inmaduro (CSAM) hasta agosto de 2027. Los legisladores dijeron que el tiempo adicional permitirá al liga negociar y adoptar un entorno justo a dispendioso plazo para evitar y combatir el CSAM en término.

Se ha descubierto que una prisión de ataque previamente no documentada entregada a través de una URL de phishing distribuye un archivo ZIP que contiene un descargador de troyanos C++, que luego inicia un cargador responsable de descifrar y preparar el ratero Rhadamanthys y el minero de criptomonedas XMRig. “La diversión central de la campaña se pedestal en binarios compilados .NET Native Ahead-of-Time (AOT), que eliminan los metadatos tradicionales de .NET, frustran las herramientas de disección .NET comunes y obligan a los analistas a acudir a herramientas de nivel nativo, lo que hace que la detección y la ingeniería inversa sean significativamente más difíciles”, dijo Cyderes. “Capacidades antianálisis sofisticadas: el cargador AOT emplea un sistema de puntuación de espacio accidental que evalúa el tamaño de la RAM, el tiempo de actividad del sistema, el recuento de archivos del afortunado y la presencia del proceso AV; detección de máquinas virtuales a través de la inspección del registro; y supresión activa de la actividad minera cuando se detectan herramientas de monitoreo como Task Manager, Process Hacker o x64dbg”.

El noticia State of Secrets Sprawl de GitGuardian encontró que se agregaron 28,649,024 nuevos secretos a las confirmaciones públicas de GitHub solo en 2025, un 34% más que el año precedente. La emblema incluso representa un aumento del 152 % en el crecimiento de los secretos filtrados desde 2021. En 2025, los secretos del servicio de IA alcanzaron 1.275.105, un aumento interanual del 81 %. GitGuardian incluso identificó 24,008 secretos únicos expuestos en archivos de configuración relacionados con MCP en GitHub sabido, incluidas 2,117 credenciales válidas únicas.

Se ha descubierto que seis paquetes Packagist maliciosos que se hacen ocurrir por temas de OphimCMS contienen jQuery troyanizado que filtra URL, inyecta anuncios superpuestos en pantalla completa y carga redireccionamientos vinculados a Funnull. Los paquetes son ophimcms/theme-dy, ophimcms/theme-mtyy, ophimcms/theme-rrdyw, ophimcms/theme-pcc, ophimcms/theme-motchill y ophimcms/theme-legend. “Los seis incluyen activos de JavaScript troyanizados, principalmente disfrazados de bibliotecas jQuery legítimas, que redirigen a los visitantes, extraen URL, inyectan anuncios y, en el caso más dificultoso, cargan una carga útil de segunda etapa: una redirección dirigida a dispositivos móviles a sitios de juegos de azar y de contenido para adultos, desde la infraestructura operada por Funnull”, dijo Socket.

Un ejecutor de nivel C de la empresa de seguridad sueca Outpost24 fue objeto de un sofisticado ataque de phishing. La campaña de phishing de redireccionamiento de cadenas múltiples se hizo ocurrir por JPMorgan Chase para engañar al destinatario para que revisara un documento haciendo clic en un enlace y desencadenando la infección. El enlace es una URL de redireccionamiento alojada adentro de la infraestructura de Cisco, que luego inicia una serie de redireccionamientos de URL que aprovechan servicios confiables como Nylas, así como la infraestructura legítima comprometida para evitar los filtros de seguridad y ocultar el destino final de phishing. “Varias etapas redirigen a las víctimas a través de dominios legítimos o previamente acreditados, reduciendo la probabilidad de que los escáneres de seguridad o el filtrado basado en la reputación bloqueen el enlace”, dijo Specops. “Los atacantes llegaron incluso a implementar un paso verdadero de ‘fuerza humana’ basado en Cloudflare para certificar que sólo personas reales vieran la página de destino existente donde se solicitan las credenciales”. Se dice que el ataque, que finalmente no tuvo éxito, utilizó un nuevo conjunto de herramientas de phishing como servicio (PhaaS) llamado Kratos.