Las amenazas cibernéticas de la semana pasada demostraron que los atacantes ya no necesitan grandes ataques para causar grandes daños. Están persiguiendo las herramientas cotidianas en las que más confiamos (firewalls, complementos de navegador e incluso televisores inteligentes) convirtiendo pequeñas grietas en infracciones graves.
El cierto peligro ahora no es sólo un ataque importante, sino cientos de ataques silenciosos que utilizan el software y los dispositivos que ya están en el interior de nuestras redes. Cada sistema confiable puede convertirse en un punto de entrada si no se parchea o se pasa por parada.
A continuación se ofrece una observación clara a los mayores riesgos de la semana, desde fallas de red explotadas hasta nuevas campañas globales y vulnerabilidades que cambian rápidamente.
⚡ Amenaza de la semana
Se atacan fallas en múltiples productos de seguridad de red – Durante la semana pasada, Fortinet, SonicWall, Cisco y WatchGuard dijeron que las vulnerabilidades en sus productos han sido explotadas por actores de amenazas en ataques del mundo actual. Cisco dijo que los ataques que explotan CVE-2025-20393, una error crítica en AsyncOS, han sido abusados por un actor de amenaza persistente vanguardia (APT) de China-nexus con nombre en código UAT-9686 para entregar malware como ReverseSSH (todavía conocido como AquaTunnel), Chisel, AquaPurge y AquaShell. El defecto sigue sin parchearse. SonicWall dijo que se han observado ataques que explotan CVE-2025-40602, una error de subida de privilegios tópico que afecta a los dispositivos de la serie Secure Mobile Access (SMA) 100, en conexión con CVE-2025-23006 (puntuación CVSS 9,8) para conquistar la ejecución remota de código no autenticado con privilegios de root. El progreso se produce cuando los firewalls y los dispositivos perimetrales se han convertido en el objetivo protegido de los atacantes, brindándoles una veterano visibilidad del tráfico, las conexiones VPN y los sistemas descendentes.
🔔 Telediario destacadas
- Extensión destacada de Chrome atrapada recolectando chats de IA — Se observó que Urban VPN Proxy, una extensión de Google Chrome y Microsoft Edge, con más de 7,3 instalaciones, recopilaba sigilosamente cada mensaje ingresado por los usuarios en chatbots impulsados por inteligencia sintético (IA) como OpenAI ChatGPT, Anthropic Claude, Microsoft Copilot, DeepSeek, Google Gemini, xAI Grok, Meta AI y Perplexity. Otras tres extensiones del mismo desarrollador, 1ClickVPN Proxy, Urban Browser Guard y Urban Ad Blocker, todavía se actualizaron con una funcionalidad similar. En conjunto, estos complementos se instalaron más de ocho millones de veces. Las extensiones ya no están disponibles para descargar desde Chrome Web Store.
- Ink Dragon apunta a los gobiernos con ShadowPad y FINALDRAFT – El actor de amenazas conocido como Jewelbug (CL-STA-0049, Earth Alux, Ink Dragon y REF7707) se ha centrado cada vez más en objetivos gubernamentales en Europa desde julio de 2025, incluso mientras continúa atacando entidades ubicadas en el sudeste oriental y América del Sur. La campaña ha “impactado a varias docenas de víctimas, incluidas entidades gubernamentales y organizaciones de telecomunicaciones, en toda Europa, Asia y África”. Ink Dragon no sólo utiliza a las víctimas para el robo de datos, sino que las reutiliza activamente para respaldar operaciones en curso contra otros objetivos de interés. Esto crea una infraestructura autosostenible que oscurece el cierto origen de los ataques y al mismo tiempo maximiza la utilidad de cada activo comprometido.
- La botnet Kimwolf secuestra 1,8 millones de televisores Android — Una nueva botnet llamamiento Kimwolf funciona con no menos de 1,8 millones de televisores Android. Las infecciones están dispersas a nivel mundial, con Brasil, India, Estados Unidos, Argentina, Sudáfrica y Filipinas registrando concentraciones más altas. Se cree que Kimwolf comparte sus orígenes con AISURU, que ha estado detrás de algunos de los ataques DDoS que batieron récords durante el año pasado. Se sospecha que los atacantes reutilizaron el código de AISURU en las primeras etapas, ayer de optar por desarrollar la botnet Kimwolf para escamotear la detección. QiAnXin XLab dijo que es posible que algunos de estos ataques no hayan venido solo de AISURU, y que Kimwolf podría estar participando o incluso liderando los esfuerzos.
- LongNosedGoblin utiliza una política de congregación para la implementación de malware — Un congregación de amenazas previamente indocumentado afiliado con China denominado LongNosedGoblin se ha atribuido a una serie de ataques cibernéticos dirigidos a entidades gubernamentales en el sudeste oriental y Japón. Un dato central del oficio del congregación es el alcaldada de la Política de congregación para implementar malware en la red comprometida y los servicios en la montón para comunicarse con puntos finales infectados utilizando una puerta trasera denominada NosyDoor. Se cree que el actor de amenazas está activo desde al menos septiembre de 2023. Actualmente se desconocen los métodos exactos de comunicación auténtico utilizados en los ataques.
- Kimsuky utiliza el malware DocSwap para Android — El actor de amenazas norcoreano conocido como Kimsuky ha sido vinculado a una nueva campaña que distribuye una nueva variable de malware de compilación de datos de Android llamado DocSwap a través de códigos QR alojados en sitios de phishing que imitan a la empresa de provisión CJ Logistics (anteriormente CJ Korea Express), con sede en Seúl. Las aplicaciones se hacen advenir por aplicaciones de servicios de entrega de paquetes. Se cree que los actores de la amenaza están utilizando mensajes de texto de smishing o correos electrónicos de phishing que se hacen advenir por empresas de entrega para engañar a los destinatarios para que hagan clic en las URL trampa que alojan las aplicaciones. Un aspecto digno de mención del ataque es su redirección móvil basada en códigos QR, que solicita a los usuarios que visitan las URL desde una computadora de escritorio que escaneen un código QR que se muestra en la página en su dispositivo Android para instalar la supuesta aplicación de seguimiento de envíos y despabilarse el estado.
️🔥 CVE de tendencia
Los piratas informáticos actúan rápido. Pueden utilizar nuevos errores en cuestión de horas. Una aggiornamento perdida puede provocar una gran infracción. Aquí están las fallas de seguridad más graves de esta semana. Revísalos, soluciona lo que importa primero y mantente protegido.
La repertorio de esta semana incluye: CVE-2025-14733 (WatchGuard), CVE-2025-11901, CVE-2025-14302, CVE-2025-14303, CVE-2025-14304 (Bypass de protección DMA previo al comienzo), CVE-2025-37164 (software HPE OneView), CVE-2025-59374 (ASUS Live Update), CVE-2025-20393 (Cisco AsyncOS), CVE-2025-40602 (SonicWall SMA 100 Series), CVE-2025-66430 (Plesk), CVE-2025-33213 (NVIDIA Merlin Transformers4Rec para Linux), CVE-2025-33214 (NVIDIA NVTabular para Linux), CVE-2025-54947 (Apache StreamPark), CVE-2025-13780 (pgAdmin), CVE-2025-34352 (Agente JumpCloud), CVE-2025-14265 (ConnectWise ScreenConnect), CVE-2025-40806, CVE-2025-40807 (Siemens Gridscale X Prepay), CVE-2025-32210 (NVIDIA Isaac Lab), CVE-2025-64374 (tema Motors WordPress), CVE-2025-64669 (Microsoft Windows Admin Center), CVE-2025-46295 (Apache Commons Text), CVE-2025-68154 (información del sistema), CVE-2025-14558 (FreeBSD) y fallas de divulgación de información y secuencias de comandos entre sitios en Roundcube Webmail (sin CVE).
📰 En torno a del mundo cibernético
- El FBI advierte sobre campañas que se hacen advenir por funcionarios gubernamentales — La Oficina Federal de Investigaciones (FBI) de EE. UU. ha capaz que actores maliciosos se han hecho advenir por altos funcionarios del gobierno estatal de EE. UU., de la Casa Blanca y del salita, así como de miembros del Congreso, para atacar a personas, incluidos familiares de funcionarios y conocidos personales, desde al menos 2023. Los “actores maliciosos han enviado mensajes de texto y mensajes de voz generados por IA (técnicas conocidas como smishing y vishing, respectivamente) que afirman provenir de un parada funcionario estadounidense para establecer una buena relación con las personas objetivo”, dijo el FBI. dijo. “En el esquema, los actores contactan a un individuo y abordan brevemente un tema que la víctima conoce, con una solicitud para mover la comunicación a una aplicación secundaria de transporte móvil cifrada, lo que ocurre casi de inmediato”. Una vez que la conversación ha pasado a Signal o WhatsApp, los actores de amenazas instan a las víctimas a proporcionar un código de autenticación que les permita sincronizar su dispositivo con la repertorio de contactos de la víctima, compartir información de identificación personal (PII) y copias de documentos personales confidenciales, transferir fondos a una institución financiera extranjera con falsos pretextos y solicitarles que presenten al actor a un asociado conocido.
- Noyb presenta una denuncia contra TikTok, AppsFlyer y Grindr – Noyb, una estructura austriaca de privacidad sin fines de ganancia, presentó quejas contra TikTok, AppsFlyer y Grindr, acusando a la popular plataforma para compartir videos de rastrear ilegalmente a los usuarios a través de aplicaciones en violación de las leyes GDPR en la región. “Un adjudicatario se enteró de esta habilidad de seguimiento ilegal a través de una solicitud de comunicación, que mostraba que, por ejemplo, su uso de Grindr fue enviado a TikTok, probablemente a través de la empresa de seguimiento israelí AppsFlyer, lo que permite a TikTok sacar conclusiones sobre su orientación sexual y su vida sexual”, dijo noyb. “TikTok inicialmente incluso ocultó esta información al adjudicatario, lo que viola el artículo 15 del RGPD. Sólo posteriormente de repetidas consultas, TikTok reveló que sabe qué aplicaciones usó, qué hizo en el interior de estas aplicaciones (por ejemplo, ampliar un producto al carrito de compras) – y que estos datos todavía incluían información sobre su uso de la aplicación de citas gay Grindr.”
- AuraStealer pasado en la naturaleza — Un timador de información de malware como servicio (MaaS) emergente llamado AuraStealer se ha distribuido a través de campañas Scam-Yourself, donde las víctimas son atraídas por videos de TikTok disfrazados de guías de activación de productos. “Se indica a los espectadores que vuelvan a escribir y ejecutar manualmente un comando mostrado en un PowerShell burócrata, que, sin confiscación, en empleo de activar el software, descarga y ejecuta silenciosamente la carga maliciosa”, dijo Gen Digital. “Menos de las campañas TikTok Scam-Yourself, AuraStealer todavía se distribuye a través de juegos o software supuestamente crackeados, con cadenas de entrega de diversa complejidad”. AuraStealer hace uso de una larga repertorio de técnicas antianálisis y ofuscación, incluida la ofuscación de flujo de control indirecto, secreto de cadenas y hash de API basado en excepciones, para resistir los intentos de aplicar ingeniería inversa al malware. Es capaz de resumir datos de navegadores basados en Chromium y Gecko, billeteras de criptomonedas de aplicaciones de escritorio y extensiones de navegador, contenidos del portapapeles, tokens de sesión, credenciales, VPN, administradores de contraseñas, capturas de pantalla y metadatos detallados del sistema. Todavía se han detectado en la naturaleza otros dos ladrones de información llamados Stealka y Phantom, este extremo distribuido a través de instaladores falsos de Adobe.
- Perpicaz ciega continúa atacando a Colombia — Las instituciones colombianas han seguido enfrentando ataques de un actor de amenazas conocido como Blind Eagle. Los últimos ataques de phishing, dirigidos a agencias dependientes del Servicio de Comercio, Industria y Turismo (MCIT), han pasado a un flujo multicapa más sofisticado que utiliza un cargador presto para usar llamado Caminho para entregar DCRat. Los mensajes se envían desde cuentas de correo electrónico comprometidas en el interior de la misma estructura para evitar los controles de seguridad. “El correo electrónico de phishing utilizaba un diseño de temática justo para atraer al destinatario”, afirmó Zscaler. “El correo electrónico fue creado para aparecer como un mensaje oficial del sistema contencioso colombiano, haciendo narración a una demanda gremial con un número de caso y una momento que suenan auténticos. El correo electrónico presiona al destinatario para que confirme la recibimiento de inmediato, aprovechando la autoridad, el miedo a las consecuencias legales y las advertencias de confidencialidad para engañar al destinatario para que tome una bono, es opinar, inaugurar el archivo adjunto”.
- Pardal con sinopsis vinculado a ataques BEC a gran escalera — Se ha observado que un colectivo en expansión de Business Email Compromise (BEC) conocido como Scripted Sparrow distribuye más de tres millones de mensajes de correo electrónico cada mes y perfecciona su manual de ingeniería social. “La escalera de la operación del congregación sugiere fuertemente el uso de la automatización para gestar y cursar sus mensajes de ataque”, dijo Fortra. “El congregación utiliza una combinación de direcciones de correo web gratuitas, así como direcciones de dominios que han registrado específicamente para sus operaciones. El congregación opera haciéndose advenir por varias consultorías de capacitación de liderazgo y coaching ejecutante”. Se estima que el congregación registró 119 dominios y utilizó 245 direcciones de correo web. Todavía ha utilizado 256 cuentas bancarias para sacar patrimonio de las cuentas bancarias de las víctimas.
- Los dispositivos inteligentes ejecutan versiones de navegador obsoletas — Un estudio purista realizado por un equipo de investigadores belgas ha descubierto que la mayoría de los dispositivos inteligentes, como televisores inteligentes, lectores electrónicos y consolas de juegos, vienen con un navegador web integrado que ejecuta versiones extremadamente obsoletas, a veces de hasta tres primaveras. Los cinco lectores electrónicos que se probaron, y 24 de los 35 modelos de televisores inteligentes, utilizaban navegadores integrados que estaban al menos tres primaveras por detrás de las versiones actuales disponibles para los usuarios de computadoras de escritorio. Estos navegadores integrados y obsoletos pueden dejar a los usuarios expuestos a phishing y otras vulnerabilidades de seguridad. Los autores dijeron que algunos de los problemas radican en cómo los marcos de progreso como Electron combinan los navegadores con otros componentes. “Sospechamos que, para algunos productos, este problema se debe a que el navegador integrado de cara al adjudicatario se integra con otros componentes de la interfaz de adjudicatario, lo que hace que las actualizaciones sean un desafío, especialmente cuando se incluyen en marcos como Electron, donde la aggiornamento del navegador requiere renovar todo el entorno”, dijeron en el documento. “Esto puede romper las dependencias y aumentar los costos de progreso”.
- Dinamarca tropiezo a Rusia por el ataque a la empresa de agua — El Servicio Danés de Inteligencia de Defensa (DDIS) ha culpado a Rusia de los recientes ciberataques destructivos y perturbadores contra el país, incluido un servicio de agua en 2024, así como de ataques distribuidos de denegación de servicio (DDoS) a sitios web daneses en el período previo a las elecciones de los consejos municipales y regionales de 2025. Los ataques han sido atribuidos a los grupos hacktivistas prorrusos Z-Pentest y NoName057(16), respectivamente. “El Estado ruso utiliza a entreambos grupos como instrumentos de su pelea híbrida contra Poniente. El objetivo es crear inseguridad en los países objetivo y castigar a quienes apoyan a Ucrania”, dijo la DDIS. “Las operaciones cibernéticas de Rusia forman parte de una campaña de influencia más amplia destinada a socavar el apoyo occidental a Ucrania”. La proclamación se produce unos días posteriormente de que un aviso general de ciberseguridad advirtiera que los grupos hacktivistas prorrusos llevan a lugar ataques oportunistas contra infraestructura crítica estadounidense y general.
- Rusia, objetivo del hombre lobo esotérico — Las empresas manufactureras rusas se han convertido en el objetivo de un actor de amenazas conocido como Arcane Werewolf (todavía conocido como Mythic Likho). Las campañas realizadas por el congregación de hackers en octubre y noviembre de 2025 probablemente aprovecharon los correos electrónicos de phishing como vector de comunicación auténtico que presumiblemente contenía enlaces a un archivo receloso alojado en el servidor de los atacantes. Los enlaces dirigían a las víctimas a un sitio web simulado que imitaba a una empresa manufacturera rusa. El objetivo final de los ataques es implementar un implante personalizado llamado Loki 2.1 mediante un cargador que se entrega mediante un cuentagotas basado en Go descargado de un servidor foráneo usando código PowerShell integrado en un comunicación directo de Windows (LNK) contenido en el archivo ZIP. En una esclavitud de ataques detectada en noviembre de 2025, se utilizó un nuevo dropper de C++ para propagar el malware. Loki 2.1 está equipado para cargar/descargar archivos, inyectar código en un proceso de destino, finalizar procesos arbitrarios, recuperar variables de entorno y detener su propia ejecución.
- RansomHouse se actualiza al secreto complicado — El congregación de ransomware RansomHouse (todavía conocido como Jolly Scorpius) ha actualizado su proceso de secreto de archivos para utilizar dos claves de secreto diferentes para transcribir archivos como parte de sus ataques en lo que se ha descrito como una subida significativa y una “trayectoria preocupante” en el progreso de ransomware. “El código de la traducción actualizada revela un esquema de secreto de dos factores en el que el archivo se emblema con una secreto primaria y una secreto secundaria. El secreto de datos se procesa por separado para cada secreto”, dijo la Mecanismo 42 de Palo Parada Networks. “Esto aumenta significativamente la dificultad de descifrar los datos sin ambas claves”. El congregación de delitos electrónicos ha estado activo desde diciembre de 2021 y enumeró 123 víctimas en su sitio de filtración de datos. Para las operaciones del actor de amenazas es fundamental una aparejo llamamiento MrAgent que proporciona a los atacantes comunicación persistente al entorno de la víctima y simplifica la dirección de hosts comprometidos a escalera. Todavía es responsable de implementar Mario para transcribir archivos críticos de VM en el hipervisor ESXi.
- Ciclo de vida de los LLM y el ransomware — La aparición de grandes modelos de lengua (LLM) probablemente esté acelerando el ciclo de vida del ransomware, según nuevos hallazgos de SentinelOne. “Observamos ganancias mensurables en velocidad, grosor y difusión multilingüe en agradecimiento, phishing, concurrencia de herramientas, clasificación de datos y negociación, pero ningún cambio radical en tácticas o técnicas novedosas impulsadas exclusivamente por IA a escalera”, dijo la compañía. Los LLM, incluidos los que se implementan localmente, se pueden utilizar para reemplazar el esfuerzo manual asociado con la redacción de correos electrónicos de phishing y contenido localizado, la búsqueda de datos confidenciales y el progreso de código receloso. Los continuos avistamientos de varios LLM oscuros muestran que los delincuentes gravitan alrededor de modelos sin censura que les permiten escamotear las barreras de seguridad. “Los actores ya dividen el código receloso en mensajes benignos a través de múltiples modelos o sesiones, luego lo ensamblan fuera de rasgo para esquivar las barreras de seguridad”, dijo SentinelOne. “Este flujo de trabajo se convertirá en un producto fundamental a medida que proliferen los tutoriales y las herramientas, y finalmente madurará hasta convertirse en un ‘contrabando rápido como servicio'”. Los hallazgos indican que la barrera de entrada al ciberdelito continúa disminuyendo, incluso cuando el ecosistema de ransomware se está fragmentando y la rasgo entre el Estado-nación y la actividad de crimeware se está volviendo cada vez más borrosa. Todavía es probable que el uso de la tecnología desdibuje las líneas de evaluación existentes en torno al oficio y la atribución, correcto al hecho de que las capacidades incluso permiten a grupos más pequeños comprar capacidades que ayer estaban limitadas a actores avanzados respaldados por el Estado.
- TikTok firma un acuerdo para crear una nueva empresa conjunta en EE. UU. — Casi un año posteriormente de que las operaciones de TikTok fueran prohibidas brevemente en los EE. UU. por motivos de seguridad doméstico, la popular plataforma para compartir videos dijo que había cerrado un acuerdo para trasladar una parte sustancial de su negocio en los EE. UU. a una nueva empresa conjunta llamamiento TikTok USDS Joint Venture LLC. Según informes de Axios, Bloomberg, CNBC y The Hollywood Reporter, la compañía ha firmado acuerdos con los tres inversores administradores: Oracle, Silver Lake y MGX, con sede en Abu Dhabi. Juntas, esas empresas poseerán el 45% de las operaciones estadounidenses, mientras que ByteDance conservará una billete de casi el 20%. Se dice que la nueva entidad es responsable de proteger los datos estadounidenses, avalar la seguridad de su preciado operación, moderación de contenidos y “seguro de software”. Oracle será el socio de seguridad de confianza a cargo de auditar y validar el cumplimiento. El acuerdo entrará en vigor el 22 de enero de 2026. Según una ley de seguridad doméstico, ByteDance, con sede en China, debía deshacerse de las operaciones de TikTok en EE. UU. o contraponer una prohibición efectiva en el país. Desde entonces, el gobierno de Estados Unidos ha ampliado la prohibición cuatro veces mientras se estaba gestando un acuerdo entre bastidores. Según la orden ejecutiva del presidente Donald Trump en septiembre, se impidió al fiscal común hacer cumplir la ley de seguridad doméstico durante un período de 120 días para “permitir que se complete la desinversión contemplada”, permitiendo que el acuerdo finalice el 23 de enero de 2026.
- La campaña de adware de Android se dirige al este y sudeste de Asia — Los usuarios de Android en Filipinas, Pakistán y Malasia han sido blanco de una campaña de publicidad a gran escalera para Android denominada GhostAd, que silenciosamente agota los posibles e interrumpe el uso frecuente del teléfono a través de una actividad persistente en segundo plano. El conjunto de 15 aplicaciones, distribuidas a través de Google Play, se hizo advenir por utilidades inofensivas y herramientas de tirada de emoji como Vivid Clean y GenMoji Studio. “Detrás de sus alegres íconos, estas aplicaciones crearon un motor de publicidad de fondo persistente, uno que seguía funcionando incluso posteriormente de que los usuarios cerraran o reiniciaran sus dispositivos, consumiendo silenciosamente escuadrón y datos móviles”, dijo Check Point. “GhostAd integra múltiples kits de progreso de software publicitario (SDK) legítimos, incluidos Pangle, Vungle, MBridge, AppLovin y BIGO, pero los usa de una guisa que viola las políticas de uso seguro. En empleo de esperar la interacción del adjudicatario, las aplicaciones cargan, ponen en trasero y actualizan anuncios continuamente en segundo plano, utilizando rutinas de Kotlin para nutrir el ciclo”. Desde entonces, Google eliminó las aplicaciones, pero no ayer de que acumularan millones de descargas.
- Texas demanda a fabricantes de televisores por espiar a sus propietarios — El fiscal común de Texas, Ken Paxton, acusó a Sony, Samsung, LG, Hisense y TCL de espiar a sus clientes y resumir ilegalmente sus datos mediante el agradecimiento inconsciente de contenido (ACR), según una nueva demanda. “ACR en sus términos más simples es un invasor digital invisible y no invitado”, dijo Paxton. “Este software puede capturar capturas de pantalla de la pantalla de televisión de un adjudicatario cada 500 milisegundos, monitorear la actividad de visualización en tiempo actual y transmitir esa información a la empresa sin el conocimiento o consentimiento del adjudicatario. Esta conducta es invasiva, engañosa e ilegal”.
- Los ciberdelincuentes atraen a los iniciados con altos pagos — Check Point ha llamado la atención sobre publicaciones en la web oscura que tienen como objetivo alistar personal interno en el interior de las organizaciones para obtener comunicación a redes corporativas, dispositivos de adjudicatario y entornos de montón. La actividad se dirige al sector financiero y a las empresas de criptomonedas, así como a empresas como Accenture, Genpact, Netflix y Spotify. Los anuncios ofrecen pagos de $3,000 a $15,000 por comunicación o datos. “En los foros de la red oscura, se está contactando a los empleados, o incluso se ofrecen como voluntarios, para entregar comunicación o información confidencial a cambio de lucrativas recompensas”, dijo la compañía. Cuando el personal interno desactiva las defensas, filtra credenciales o proporciona información privilegiada, avisar un ataque se vuelve exponencialmente más difícil. Monitorear la web profunda y la red oscura en indagación de menciones organizacionales o datos robados es ahora tan crítico como implementar tecnologías avanzadas de prevención cibernética”.
- Defectos en el conjunto Anno 1404 — Los investigadores de Synacktiv han revelado múltiples vulnerabilidades en un conjunto de logística llamado Anno 1404 que, si se encadenan, permiten la ejecución de código infundado desde el modo multijugador.
- La campaña JSCEAL sufre un cambio — Una campaña de anuncios de Facebook que se utiliza para distribuir un malware compilado V8 JavaScript (JSC) llamado JSCEAL ha evolucionado alrededor de una forma más sofisticada, con los atacantes adoptando una infraestructura de comando y control (C2) renovada, salvaguardias mejoradas contra el descomposición y un motor de script actualizado diseñado para un veterano sigilo. “A diferencia de la campaña del primer semestre de 2025, que se basó principalmente en dominios .com, la campaña de agosto de 2025 incluye una variedad más amplia de dominios de nivel superior como .org, .link, .net y otros”, dijo Cato Networks. “Estos dominios se registran de forma masiva a intervalos regulares, lo que sugiere un flujo de trabajo de aprovisionamiento automatizado y escalable”. Es más, la infraestructura actualizada aplica controles de filtrado y antianálisis más estrictos, bloqueando cualquier solicitud HTTP que no presente un agente de adjudicatario de PowerShell. En caso de que una solicitud incluya el agente de adjudicatario de PowerShell correcto, el servidor replica con un error de PDF simulado en empleo de entregar la carga útil actual. Sólo posteriormente de que se haya devuelto el PDF, el servidor C2 entrega la próximo etapa, incluida una traducción modificada del archivo ZIP que contiene el malware timador.
- El tercer procesado se declara culpable de piratear un sitio web de apuestas y deportes de antojo — Nathan Austad, de 21 primaveras, de Farmington, Minnesota, se declaró culpable en relación con un plan para piratear miles de cuentas de usuarios en un sitio web ignorado de apuestas y deportes de antojo y entregar el comunicación a esas cuentas con el objetivo de robar cientos de miles de dólares a los usuarios. Austad y otros lanzaron un ataque de relleno de credenciales en el sitio web en noviembre de 2022 y comprometieron por completo aproximadamente 60.000 cuentas de usuarios. “En algunos casos, Austad y sus cómplices pudieron ampliar un nuevo método de plazo propio en la cuenta (es opinar, a una cuenta financiera recién agregada perteneciente al hacker) y luego usarlo para retirar todos los fondos existentes en la cuenta de la víctima, robando así los fondos en cada Cuenta de Víctima afectada”, dijo el Sección de Razón de Estados Unidos. “Utilizando este método, Austad y otros robaron aproximadamente 600.000 dólares de aproximadamente 1.600 cuentas de víctimas en el sitio web de apuestas”. Luego, el comunicación a las cuentas de las víctimas se vendía en varios sitios web que traficaban con cuentas robadas.
- Caída de CVE críticos en 2025 — El número de vulnerabilidades críticas señaladas en 2025 es de 3.753, frente a 4.629 en 2023 y 4.283 en 2024, incluso cuando el número total de CVE ha aumentado a más de 40.000. Según VulnCheck, cerca de del 25,9% de los 43.002 CVE publicados en 2025 se han enriquecido con una puntuación CVSS v4. “Lo que esto sugiere en última instancia es que la prohijamiento de CVSS v4 está limitada no por la yerro de disponibilidad, sino por la billete limitada de algunos de los editores y enriquecedores de CVE más grandes e influyentes”, dijo. “Las razones comúnmente citadas incluyen limitaciones de posibles, cambios de herramientas requeridos y la percepción de que CVSS v4 proporciona un valencia adicional menguado al tiempo que aumenta la complejidad de la puntuación y los gastos operativos”.
- Amadey utiliza una instancia de GitLab autohospedada para distribuir StealC — Una nueva campaña de carga de malware de Amadey ha aplicado una instancia explotada de GitLab autohospedada (“gitlab.bzctoons(.)net”) para entregar el timador de información StealC. “Este descomposición revela cómo los actores de amenazas están secuestrando servidores GitLab autohospedados y abandonados para crear una infraestructura de distribución de carga útil de apariencia legítima”, dijo Trellix. “El uso de un dominio antiguo con certificados TLS válidos proporciona una técnica de despreocupación eficaz frente a los controles de seguridad tradicionales”. Si aceptablemente el dominio parece pertenecer a una estructura de pequeña escalera que aloja GitLab con múltiples usuarios, la evidencia sugiere que la cuenta del adjudicatario o toda la infraestructura se han pasado comprometidas.
- EE.UU. desmantela el intercambio de criptomonedas E-Note — Las autoridades estadounidenses confiscaron los servidores y la infraestructura del intercambio de criptomonedas E-Note (“e-note.com”, “e-note.ws” y “jabb.mn”) por supuestamente duchar más de 70 millones de dólares procedentes de ataques de ransomware y ataques de apropiación de cuentas desde 2017. No se han anunciado valor. Al mismo tiempo, las autoridades todavía han procesado al cirujano del sitio, un ciudadano ruso de 39 primaveras llamado Mykhalio Petrovich Chudnovets, de quien se dice que comenzó a ofrecer servicios de lavado de patrimonio a ciberdelincuentes en 2010. Chudnovets ha sido procesado de un cargo de conspiración para duchar instrumentos monetarios, que conlleva una pena máxima de 20 primaveras de prisión. La asesinato encaja en un esfuerzo más amplio de aplicación de la ley destinado a eliminar los servicios que permiten a los malos actores maltratar del sistema financiero y retirar las ganancias obtenidas ilícitamente.
🎥 Seminarios web sobre ciberseguridad
- Cómo Zero Trust y AI detectan ataques sin archivos, sin binarios y sin indicadores: las amenazas cibernéticas están evolucionando más rápido que nunca, explotando herramientas confiables y técnicas sin archivos que evaden las defensas tradicionales. Este seminario web revela cómo Zero Trust y la protección basada en IA pueden descubrir ataques invisibles, proteger los entornos de los desarrolladores y redefinir la seguridad proactiva en la montón, para que pueda anticiparse a los atacantes y no solo reaccionar frente a ellos.
- Domine la seguridad de la IA agente: aprenda a detectar, auditar y contener servidores MCP no autorizados: las herramientas de IA como Copilot y Claude Code ayudan a los desarrolladores a representar con prontitud, pero todavía pueden crear grandes riesgos de seguridad si no se administran con cuidado. Muchos equipos no saben qué servidores de IA (MCP) se están ejecutando, quién los creó o qué comunicación tienen. Algunos ya han sido pirateados, convirtiendo herramientas confiables en puertas traseras. Este seminario web muestra cómo encontrar riesgos ocultos de IA, detener problemas secreto de API ocultas y tomar el control ayer de que sus sistemas de IA creen una brecha.
🔧 Herramientas de ciberseguridad
- Tracecat: es una plataforma de automatización de código destapado diseñada para equipos de seguridad y TI que necesitan una orquestación de flujo de trabajo flexible y escalable. Combina plantillas de integración simples basadas en YAML con una interfaz sin código para crear flujos de trabajo, yuxtapuesto con tablas de búsqueda integradas y establecimiento de casos. Internamente, los flujos de trabajo se organizan utilizando Temporal para respaldar la confiabilidad y la escalera, lo que hace que Tracecat sea adecuado tanto para entornos de producción como de experimentación tópico.
- Metis: es una aparejo de revisión de códigos de seguridad de código destapado impulsada por IA creada por el equipo de seguridad de productos de Arm. Utiliza grandes modelos de lengua para comprender el contexto y la razonamiento del código, lo que ayuda a los ingenieros a encontrar problemas de seguridad sutiles que las herramientas tradicionales suelen advenir por parada. Metis admite varios idiomas a través de complementos, funciona con diferentes proveedores de LLM y está diseñado para compendiar la sofocación de revisión en bases de código grandes o complejas al tiempo que restablecimiento las prácticas de codificación segura.
Descargo de responsabilidad: estas herramientas son nada más para estudios e investigación. No se han probado completamente su seguridad. Si se usan de guisa incorrecta, podrían causar daño. Primero verifique el código, pruebe solo en lugares seguros y siga todas las reglas y leyes.
Conclusión
La semana pasada dejó claro un punto: el perímetro desapareció, pero la rendición de cuentas no. Cada dispositivo, aplicación y servicio en la montón desempeña ahora un papel en la defensa. Aplicar parches rápidamente, repasar lo que se está ejecutando y cuestionar los títulos predeterminados ya no son tareas de mantenimiento: son habilidades de supervivencia.
A medida que las amenazas se vuelven más adaptativas, la resiliencia proviene de la conciencia y la velocidad, no del miedo. Mantenga una adhesión visibilidad, trate cada aggiornamento como una reducción de riesgos y recuerde que la mayoría de las infracciones comienzan con poco popular y corriente que no se controla.
