Complemento de seguridad Claude, Azure Priv-Esc, Kali365 MFA Bypass, Estafas de FIFA y 15 más

Hunt.io dijo que identificó más de 1.350 servidores de comando y control (C2) en 98 proveedores de infraestructura de Medio Oriente durante los últimos tres meses, entre el 1 de febrero y el 1 de mayo de 2026. “La infraestructura C2 domina la actividad maliciosa (~96,8%), superando con creces la infraestructura de phishing (~0,5%) y los IOC informados públicamente (~0,5%), mientras que los directorios abiertos maliciosos representan el ~2,2% restante de los artefactos observados”. dijo. “STC (Saudi Telecom Company) de Arabia Saudita alberga 981 servidores C2, lo que representa el 72,4% de toda la infraestructura C2 detectada en la región. Las botnets centradas en IoT (Hajime, Mozi y Mirai) combinadas con marcos ofensivos (Tactical RMM, Cobalt Strike, Sliver) representan las familias de malware dominantes que operan en toda la infraestructura de Medio Oriente”.

Se dice que Microsoft solucionó silenciosamente una falla de escalada de privilegios en Azure Backup para AKS que permitía a un usuario con solo el rol de Azure “Colaborador de respaldo” (cero permisos de Kubernetes) obtener administrador de clúster en cualquier clúster de AKS, según el investigador de seguridad Justin O’Leary. La vulnerabilidad, que no tiene CVE, tiene una puntuación CVSS de 9,9. Si bien Microsoft rechazó el informe de vulnerabilidad como “contenido generado por IA”, parece haber sido parcheado desde entonces y se aplicaron verificaciones de validación adicionales que no existían en marzo de 2026.

Un ciudadano rumano de 46 años declarado culpable de irrumpir en una oficina del gobierno del estado de Oregón en 2021 y de otros ciberataques en todo Estados Unidos ha sido condenado a 56 meses de prisión. Catalin Dragomir se declaró culpable de un cargo de robo de identidad agravado y un cargo de obtener información de una computadora protegida en febrero. Dragomir fue arrestado en Rumania en noviembre de 2024 y extraditado a Estados Unidos en enero de 2025 para enfrentar cargos. Dragomir “vendió acceso a una computadora en la red de una oficina del gobierno del estado de Oregon después de obtener acceso no autorizado en junio de 2021”, dijo el Departamento de Justicia. “Durante la venta, Dragomir proporcionó al posible comprador muestras de información de identificación personal de la computadora. También vendió acceso a las redes informáticas de muchas otras víctimas en los Estados Unidos, causando pérdidas de al menos 250.000 dólares”.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) agregó el ataque a la cadena de suministro dirigido al software DAEMON Tools a su catálogo de vulnerabilidades explotadas conocidas (KEV), lo que requiere que las agencias del Poder Ejecutivo Civil Federal (FCEB) apliquen las correcciones necesarias antes del 30 de mayo de 2026. El incidente ahora se está rastreando con el identificador CVE-2026-8398 (puntuación CVSS v4: 9,3). “Los atacantes obtuvieron acceso no autorizado a la infraestructura de compilación o distribución del proveedor (AVB Disc Soft) y troyanizaron tres archivos binarios: DTHelper.exe, DiscSoftBusServiceLite.exe y DTShellHlp.exe”, según la descripción del CVE. “Estos archivos fueron firmados digitalmente con el certificado de firma de código legítimo AVB Disc Soft, lo que permite que los instaladores maliciosos parezcan confiables y eviten la detección basada en firmas”.

Apple ha publicado sus implementaciones de criptografía poscuántica (PQC) en corecrypto, incluidos los algoritmos ML-KEM y ML-DSA de seguridad cuántica, junto con herramientas de verificación matemática que creó para garantizar el cumplimiento de las especificaciones FIPS 203 y FIPS 204 para una evaluación independiente por parte de expertos. “Corecrypto se utiliza continuamente en nuestros productos, proporcionando cifrado y descifrado, hash, generación de números aleatorios y firmas digitales en más de 2.500 millones de dispositivos activos”, dijo Apple. “Un error crítico en corecrypto tiene el potencial de comprometer la seguridad y confiabilidad de cada aplicación y característica que depende de ella, por lo que somos conservadores al agregar código nuevo a la biblioteca y hacemos esfuerzos excepcionales para ser integrales en nuestras pruebas”.

La Oficina Federal de Investigaciones (FBI) de EE. UU. ha advertido que el actor de amenazas conocido como Silent Ransom Group (SRG), también conocido como Luna Moth, Chatty Spider y UNC3753, ha estado apuntando a firmas de abogados utilizando técnicas de ingeniería social como parte de nuevos ataques desde la primavera de 2026. Las firmas de abogados son un objetivo rico debido a la naturaleza altamente sensible de los datos que poseen. “A través de llamadas telefónicas y correos electrónicos de phishing, los actores de SRG se hacen pasar por soporte de TI para establecer acceso a las computadoras de las víctimas y exfiltrar datos, generalmente a través de herramientas legítimas de acceso remoto o enviando a un individuo en persona a la ubicación de la empresa víctima para obtener acceso físico a las computadoras”, dijo el FBI. “Si bien SRG ha victimizado a empresas de muchos sectores, incluidas las de seguros, finanzas y atención médica, el grupo ha apuntado constantemente a firmas de abogados con sede en EE. UU. desde la primavera de 2023”. Como parte del esquema que involucra visitas en persona, el actor de amenazas le dice a la víctima que necesita tomar una imagen del dispositivo o crear un archivo de respaldo para abordar los posibles impactos del correo electrónico de phishing. Una vez que logran afianzarse, los atacantes actúan rápidamente para aumentar los privilegios y pasar a la filtración de datos sin cifrado. “Al enviar a alguien en persona a la ubicación de la víctima para facilitar la intrusión, los actores de SRG extraen datos a un disco duro externo o unidad USB insertada por el actor de la amenaza en la computadora de la víctima”, agregó el FBI.

Los atacantes alojan instaladores y complementos falsificados que se hacen pasar por software popular, incluidos ChatGPT, Claude, ZENOLOGY, Ableton Live, AutoTune y Kontakt, en GitHub y SourceForge para distribuir una puerta trasera de Deno conocida como DinDoor (también conocida como Tsundere). “Los atacantes están utilizando canales de YouTube comprometidos para distribuir enlaces a estas plataformas”, dijo Malwarebytes. “En última instancia, DinDoor lanza diferentes tipos de malware, incluido un troyano sigiloso de acceso remoto (RAT), que también utiliza el tiempo de ejecución Deno JavaScript”.

Una campaña de phishing utiliza correos electrónicos engañosos disfrazados de órdenes de compra para engañar a los destinatarios para que abran archivos JavaScript maliciosos contenidos en archivos RAR que conducen a la implementación de una variante de PureLogs para robar datos confidenciales del dispositivo de la víctima. “Al analizar el módulo PureLogs, la capacidad principal del malware es recopilar datos confidenciales del sistema de la víctima, incluida información básica del hardware y del sistema, credenciales guardadas, datos relacionados con criptomonedas y más”, dijo Fortinet. “Luego, el malware comprime y cifra los datos recopilados antes de transmitirlos al servidor C2”.

El Reino Unido ha anunciado sanciones contra los intercambios de criptomonedas y la red A7 utilizada por Rusia para evadir las restricciones existentes. Entre los afectados por las sanciones se encuentra HTX (también conocido como Huobi Global), que es uno de los mayores intercambios de criptoactivos del mundo, con un volumen de operaciones de 3,3 billones de dólares en 2025. “Se sospecha que proporciona servicios a A7, la red de pagos rusa sancionada, y a Garantex, el intercambio de criptomonedas sancionado”, dijo Elliptic. Vale la pena señalar que la infraestructura corporativa y de tokens A7 surgió a raíz del derribo de Garantex en marzo de 2025. Según datos de TRM Labs, Huobi ha enviado más de 4.900 millones de dólares en transacciones directas en cadena a entidades de la red A7 y sancionadas por el Reino Unido desde 2021. Otras entidades afectadas por las sanciones incluyen Bitpapa y Rapira Group, este último ha realizado transacciones por 375,6 millones de dólares con el sucesor designado de Garantex, Grinex.io.

Anthropic ha anunciado dos nuevas características de seguridad para su Claude AI: una zona de pruebas autohospedada para Claude Managed Agents y un nuevo complemento de guía de seguridad. “El complemento de guía de seguridad hace que Claude revise sus propios cambios de código en busca de vulnerabilidades comunes mientras trabaja y corrige lo que encuentra en la misma sesión”, dijo Anthropic. “El complemento detecta problemas como inyección, deserialización insegura y API DOM inseguras antes de que el código llegue a una solicitud de extracción, lo que reduce la cantidad de revisión de seguridad que recae en revisores humanos posteriores. Una vez instalado, el complemento se ejecuta automáticamente. No hay nada que invocar ni ningún comando separado que recordar”. Como lo describe Red Hat, un sandbox autohospedado “subcontrata el ‘pensamiento’ mientras mantiene el ‘hacer’ en su propia infraestructura”.

Los datos de Check Point han revelado que el hacktivismo y el ransomware dirigidos a organizaciones en Alemania, Austria y Suiza aumentaron un 124 % en 2025. Más del 60 % de los incidentes hacktivistas implicaron desfigurar sitios web para amplificar los mensajes políticos. Estos esfuerzos se originaron en NoName057(16), el Sr. Hamza, chinafans, Dark Storm Team y Hezi Rash. Los ataques de ransomware, por otro lado, fueron liderados principalmente por Akira, Qilin y Safepay. “Alemania representó más del 80% de los incidentes regionales, Suiza el 12% y Austria el 8%”, dijo Check Point. “En toda Europa, la región DACH representó el 18% de todos los ataques registrados, lo que coloca a Alemania por encima de Francia, España e Italia por porcentaje de países individuales”.

Los actores de amenazas están aprovechando cada vez más el entusiasmo público en torno a la Copa Mundial de la FIFA 2026 para realizar campañas fraudulentas. Bitdefender dijo que ha identificado más de 55 campañas de publicidad maliciosa relacionadas con el fútbol dirigidas a usuarios a través de tiendas en línea falsas, anuncios en redes sociales, operaciones de piratería de IPTV, aplicaciones de fútbol fraudulentas y estafas de lotería y sorteos con temas de la FIFA distribuidas a través de correo electrónico. “Los usuarios más atacados se encontraban en el Reino Unido, Portugal, España, Argelia, Estados Unidos, Canadá, México, Bélgica, Alemania, Brasil y Australia”, afirmó la empresa rumana. Check Point dijo que los malos actores están “inundando Internet” con tiendas de mercancías falsas, plataformas de apuestas fraudulentas y dominios de phishing diseñados para robar datos personales y dinero. Los países anfitriones del evento deportivo, Canadá, México y Estados Unidos, también registraron un aumento en el número promedio semanal de ciberataques por organización en abril de 2026, y México registró un promedio semanal de 3,548 ciberataques por organización. Group-IB dijo que descubrió seis esquemas de fraude distintos y más de 4.300 dominios fraudulentos que se hacían pasar por la presencia web oficial de la FIFA. Esto incluye una sofisticada campaña de phishing realizada por un operador de habla china y motivado financieramente llamado GHOST STADIUM que implica el uso de más de 300 dominios mediante un kit de phishing compartido que explota el flujo de inicio de sesión PingIdentity SSO de la FIFA para recopilar credenciales y realizar ventas de entradas falsas y fraude de pagos a escala. “GHOST STADIUM ha creado un clon perfecto en píxeles del sitio web oficial de la FIFA, completo con un flujo de autenticación de inicio de sesión único (SSO) replicado y soporte multilingüe en 11 idiomas”, dijo Group-IB. “Anuncios de Facebook sirve como el principal canal de adquisición de tráfico pago para la campaña GHOST STADIUM”.

Investigadores de ciberseguridad han descubierto una red de extensión de Chrome Web Store de 126 extensiones denominada WaSteal que se hace pasar por herramientas independientes de WhatsApp CRM mientras filtra datos personales de los usuarios, cookies publicitarias y mensajes de voz a servidores controlados por operadores, lo que afecta a casi 148.000 usuarios. Según el investigador Jean-Marie R., la red es operada por wascript.com.br, que opera una plataforma de marca blanca. “La variante más grande (WaSeller, 100.000 instalaciones) incorpora un contenedor GTM en vivo que brinda a su operador una ejecución remota silenciosa y permanente de código sin necesidad de actualizar la extensión ni revisar Chrome”, dijo el investigador. “La propia política de privacidad del operador contradice directamente todos los comportamientos documentados”.

Una nueva técnica llamada GhostTree abusa de las uniones NTFS para generar infinitas rutas de archivos, lo que provoca que los productos de seguridad de terminales se cuelguen y dejen archivos sin analizar. “Descubrimos que al apuntar una unión a su propio directorio principal, un atacante puede crear bucles recursivos que generan rutas de archivos efectivamente infinitas”, dijo Varonis. “Con sólo dos líneas de código, un usuario puede generar infinitas rutas válidas, lo que hace imposible terminar de escanear los directorios principales con el comando dir de forma recursiva. Lo mismo se aplica a los productos EDR que escanean carpetas en busca de archivos maliciosos. Un atacante coloca malware en el directorio principal, configura la estructura GhostTree y la carpeta que contiene se vuelve efectivamente no escaneable. El escaneo se bloquea. Los archivos maliciosos no se examinan”.

Una plataforma emergente de phishing como servicio (PhaaS) llamada Kali365, observada por primera vez en abril de 2026, se ha centrado en entornos de Microsoft 365. “Kali365 se ha distribuido principalmente a través de Telegram, lo que permite a los actores de amenazas cibernéticas obtener tokens de acceso a Microsoft 365 y eludir los protocolos de autenticación multifactor (MFA) sin interceptar las credenciales del usuario”, dijo el FBI. “A través de la suscripción a la plataforma Kali365, los actores de amenazas cibernéticas pueden capturar tokens ‘OAuth’ y obtener acceso persistente a los entornos Microsoft 365 de individuos/entidades específicas”. Al igual que otras plataformas PhaaS, Kali365 corre el riesgo de reducir la barrera de entrada al ciberdelito, ofreciendo a los atacantes menos técnicos acceso a señuelos de phishing generados por inteligencia artificial (IA), plantillas de campaña automatizadas, paneles de control de seguimiento de individuos/entidades en tiempo real y capacidades de captura de tokens OAuth. Kali365 está disponible para los afiliados mediante suscripción, que oscila entre $ 250 por 30 días y $ 2000 por un año. En un informe publicado el mes pasado, Arctic Wolf dijo que observó una campaña de phishing de código de dispositivo utilizando Kali365 para obtener acceso inicial y realizar actividades de seguimiento. “La campaña se basó en señuelos de alta fidelidad que dirigían a las víctimas al flujo de inicio de sesión legítimo del dispositivo de Microsoft, donde los usuarios, sin saberlo, autorizaban sesiones iniciadas por actores de amenazas”, dijo la compañía. “Los tokens de actualización y acceso de OAuth capturados permitieron el acceso inmediato al buzón y la actividad posterior al compromiso. En casos selectos, los actores de amenazas establecieron reglas maliciosas en la bandeja de entrada para suprimir las notificaciones de seguridad, extendiendo el tiempo de permanencia y reduciendo la conciencia del usuario”. Barracuda Networks y Proofpoint también advirtieron sobre un aumento en las campañas de phishing de códigos de dispositivos en los últimos meses. Barracuda dijo que detectó más de 7 millones de ataques a códigos de dispositivos entre marzo y abril de 2026. “El aumento del phishing de códigos de dispositivos es la progresión natural del phishing de credenciales, a medida que más personas se dan cuenta de las técnicas de omisión de autenticación multifactor, los delincuentes deben ser creativos”, señaló Proofpoint.

PhishU ha detallado una nueva técnica llamada Vaultjacking, que demuestra cómo el PIN de 6 dígitos del Administrador de contraseñas de Google (GPM) de una víctima capturado a través de una página de phishing de adversario en el medio (AitM) se puede utilizar para descifrar toda la bóveda de GPM sincronizada. “Ese PIN único libera el secreto de dominio de seguridad de Google, que descifra cada contraseña sincronizada y clave de acceso en la cuenta, no solo la credencial que se registra, sino toda la bóveda”, dijo Curtis Brazzell, PhishU Flounder y CEO, en un comunicado. Una vez que la página AitM recopila las cookies de sesión del usuario y el PIN GPM, un actor de amenazas puede agregar una clave de acceso a la cuenta de Google de la víctima para persistir y luego desbloquear toda la bóveda de credenciales sincronizadas de la víctima desde su propia infraestructura.

Se está utilizando un instalador MSI troyanizado para RVTools para implementar un troyano de acceso remoto (RAT) modular basado en Python mediante un cargador VBScript. El malware incluye un módulo de reconocimiento que toma huellas digitales del host y mapea Active Directory y un agente de comando y control persistente (C2) que cifra los datos robados y espera los comandos del operador. “Lo que hizo que esta campaña fuera particularmente efectiva fue el uso de un certificado de firma de código Sectigo emitido legítimamente, registrado bajo lo que parece ser una entidad fantasma: Xiamen Lunwei Huage Network Co. (Sectigo), Ltd”, dijo K7 Labs. “En el momento de la entrega, el certificado era totalmente válido, lo que significa que Windows SmartScreen y la mayoría de los controles de endpoints no generaron ninguna alerta. Desde entonces ha sido revocado, aunque ofrece protección limitada a entornos que no aplican comprobaciones OCSP o CRL en tiempo real en el momento de la ejecución”.