El FBI encontró pruebas de que sus redes habían sido objeto de un presunto incidente de ciberseguridad, confirmó la oficina el jueves, sin compartir más detalles.

«El FBI identificó y abordó actividades sospechosas en las redes del FBI y hemos aprovechado todas las capacidades técnicas para responder», dijo la agencia en un comunicado. «No tenemos nada adicional que ofrecer».

cnn y CBS informó que la actividad sospechosa tuvo como objetivo un sistema digital que el FBI utiliza para gestionar y realizar vigilancia, incluido el trabajo relacionado con órdenes de vigilancia extranjeras, escuchas telefónicas y registros de bolígrafos, que se utilizan para rastrear datos telefónicos y informáticos, como direcciones IP y números de teléfono marcados.

En 2024 se supo que el grupo de piratería chino Salt Typhoon había explotado el sistema de escuchas telefónicas de EE. UU. en virtud de la Ley de Asistencia en Comunicaciones para el Cumplimiento de la Ley en la que confían las agencias de inteligencia y las fuerzas del orden, pero CNN informó que no estaba claro si había una conexión entre el 2024 y los incidentes sospechosos recientes.

Tampoco estaba claro cuándo ocurrió el incidente ni quién fue el responsable.

El FBI, como prácticamente todas las agencias federales, no es ajeno a ser atacado o infiltrado por piratas informáticos.

En 2023el FBI dijo que había aislado y contenido una intrusión cibernética en su oficina local de Nueva York. En 2021, los piratas informáticos aprovecharon un servidor del FBI mal configurado para enviar correos electrónicos falsos, aunque la oficina dijo que sus propios sistemas no se vieron afectados.

El Congreso, exagentes y otros han expresado su preocupación por las capacidades cibernéticas del FBI entre los recortes presupuestarios y la pérdida de personal bajo la segunda administración Trump. Brett Leatherman, líder de la división cibernética de la oficina, dijo recientemente a CyberScoop que no ha sufrido ninguna disminución en su capacidad para responder a amenazas e incidentes.

El Departamento de Salud y Servicios Humanos presentó el jueves una herramienta para ayudar a los centros de atención médica a evaluar sus riesgos de ciberseguridad, elevando el énfasis en aquellas amenazas al tipo producido por las condiciones climáticas y otros peligros.

La asistencia de la Administración de Preparación y Respuesta Estratégicas (ASPR) del HHS viene en forma de una actualización al kit de herramientas de identificación de riesgos y criticidad del sitio (RISC) 2.0 para incluir un enfoque específico en la ciberseguridad.

RISC es una herramienta gratuita para ayudar a las organizaciones a identificar amenazas y vulnerabilidades, estimar las consecuencias y compartir sus hallazgos con otros. Ahora también incluirá un módulo de ciberseguridad.

El módulo guía a los usuarios a través de una serie de preguntas y las compara con el influyente Marco de Seguridad Cibernética 2.0 del Instituto Nacional de Estándares y Tecnología, así como con los objetivos voluntarios de desempeño de ciberseguridad del HHS.

John Knox, subsecretario adjunto principal de ASPR, dijo que el cambio fue una respuesta a las crecientes amenazas cibernéticas.

«Este módulo es la última incorporación a nuestro conjunto de herramientas de recursos para ayudar a nuestros socios de atención médica y de salud pública a prevenir la interrupción de la atención al paciente y fortalecer la seguridad sanitaria nacional», dijo Knox en un comunicado de prensa. «Debemos reconocer que la seguridad cibernética es la seguridad del paciente y que las amenazas cibernéticas pueden causar problemas en cascada en toda la industria de la atención médica. El nuevo módulo de ciberseguridad ayudará a nuestros socios a comprender lo que se necesita para fortalecer su resiliencia y les recomendamos encarecidamente que lo aprovechen».

Continúa un énfasis que Charlee Hess de ASPR discutió en CyberTalks el mes pasado, con el histórico ataque Change Healthcare que llevó a la división del HHS a buscar formas de ayudar a las organizaciones a gestionar el riesgo de proveedores externos.

Errol Weiss, director de seguridad del Centro de Análisis e Intercambio de Información de Salud, dijo que la creación del módulo cibernético fue un «movimiento inteligente», ya que el conjunto de herramientas RISC ya se está integrando en miles de sistemas de atención médica. También le gustó el conjunto de herramientas que se basa en el marco del NIST y los objetivos de desempeño del HHS.

«Al poner lo cibernético al lado de otras amenazas y peligros en una plataforma unificada, RISC 2.0 puede ayudar a los líderes de hospitales y sistemas de salud a ver la exposición cibernética en el mismo contexto que los huracanes, los tiradores activos o los cortes de energía», dijo en una respuesta enviada por correo electrónico a CyberScoop. «Esa visibilidad puede impulsar conversaciones más informadas a nivel ejecutivo y de la junta directiva sobre dónde invertir en ciberseguridad, qué brechas son más críticas y cómo las interrupciones cibernéticas podrían generar impactos reales en la atención al paciente».

El ciudadano ruso Evgenii Ptitsyn. se declaró culpable para dirigir el equipo de ransomware Phobos que extorsionó más de 39 millones de dólares a más de 1.000 víctimas en todo el mundo, dijo el Departamento de Justicia el miércoles.

Ptitsyn asumió un papel de liderazgo en el grupo de ransomware Phobos en enero de 2022, pero sus actividades delictivas comenzaron en abril de 2019, según registros judiciales. Continuó liderando el sindicato del cibercrimen hasta mayo de 2024, cuando fue arrestado en Corea del Sur. Ptitsyn fue extraditado a Estados Unidos en noviembre de 2025.

Los fiscales federales retiraron múltiples cargos contra Ptitsyn como parte de un acuerdo de culpabilidad que firmó el mes pasado. Se enfrenta a hasta 20 años de prisión por conspiración para fraude electrónico.

Ptitsyn acordó perder 1,77 millones de dólares en activos y debe pagar al menos 39,3 millones de dólares en restitución, lo que representa el monto total de las pérdidas de sus víctimas.

El hombre de 43 años se declaró culpable de participar en un plan global de ransomware con cómplices a partir de noviembre de 2020. Ptitsyn y sus presuntos asociados distribuyeron el ransomware Phobos a otros cómplices que irrumpieron en las redes de las víctimas, a menudo con credenciales robadas, para robar y cifrar datos, que utilizaron para extorsionar a las víctimas a cambio de pagos.

Los administradores del ransomware Phobos operaban un sitio para coordinar la venta y distribución del ransomware Phobos a los cómplices. Los afiliados que atacaron con éxito a las víctimas con el ransomware pagaron 300 dólares a los administradores por una clave de descifrado única.

Ptitsyn controlaba múltiples carteras de criptomonedas que recibían miles de tarifas de claves de descifrado de afiliados que utilizaban Phobos para extorsionar a las víctimas. Recibió el 25% del pago de la clave de descifrado y, en ocasiones, recibió una parte de los pagos del ransomware.

«Ptitsyn y otros fueron responsables de docenas de ataques de ransomware contra víctimas estadounidenses, incluidas empresas de atención médica, hospitales, instituciones educativas y proveedores de servicios esenciales», dijeron los fiscales federales en una estipulación de hechos en su acuerdo de declaración de culpabilidad.

Las víctimas del ransomware Phobos pagaron una cantidad colectiva de 30 millones de dólares en rescates, según el valor en el momento del pago, según registros judiciales. Las víctimas también sufrieron pérdidas de al menos 9,3 millones de dólares por los ataques del ransomware Phobos, incluida una institución educativa estadounidense que informó pérdidas superiores a los 4 millones de dólares.

«Ptitsyn y otros miembros de la conspiración del ransomware Phobos lanzaron ataques de ransomware contra más de 1.000 víctimas en todo el mundo, incluidas al menos 890 víctimas ubicadas en los Estados Unidos», dijeron los fiscales.

Los funcionarios proporcionaron detalles sobre 15 víctimas estadounidenses anónimas que pagaron un rescate combinado de 536.000 dólares en el momento del pago. Entre las víctimas se encontraban una empresa con sede en Maryland que brindaba servicios de contabilidad y consultoría a agencias federales, un contratista de los Departamentos de Defensa y Energía con sede en Illinois y un hospital infantil en Carolina del Norte.

Puede leer los hechos ingresados ​​en los registros judiciales como parte del acuerdo de declaración de culpabilidad de Ptitsyn a continuación.

La mayoría de las organizaciones asumen que los datos cifrados están seguros.

Pero muchos atacantes ya se están preparando para un futuro en el que se podrá romper el cifrado actual. En lugar de intentar descifrar información ahora, están recopilar datos cifrados y almacenarlos para que pueda ser descifrado más tarde utilizando computadoras cuánticas.

Esta táctica, conocida como “cosechar ahora, descifrar después”—significa que los datos confidenciales transmitidos hoy podrían volverse legibles dentro de unos años, una vez que maduren las capacidades cuánticas.

Los líderes de seguridad que quieran comprender este riesgo y cómo prepararse pueden explorarlo en detalle en el próximo seminario web sobre las mejores prácticas de criptografía poscuánticadonde los expertos explicarán formas prácticas en que las organizaciones pueden comenzar a proteger los datos antes de que sea posible el descifrado cuántico.

Por qué es importante la criptografía poscuántica

La computación cuántica avanza rápidamente y la mayoría de los algoritmos de cifrado modernos, como RSA y ECC, no permanecerán seguros para siempre.

Para las organizaciones que deben mantener la confidencialidad de los datos durante muchos años (registros financieros, propiedad intelectual, comunicaciones gubernamentales), esperar no es una opción.

Un enfoque práctico que está surgiendo hoy es criptografía híbridaque combina el cifrado tradicional con algoritmos resistentes a los cuánticos como ML-KEM. Esto permite a las organizaciones fortalecer la seguridad sin alterar los sistemas existentes.

El Seminario web sobre seguridad preparada para el futuro Explicará cómo funciona la criptografía híbrida en entornos reales y cómo las organizaciones pueden comenzar la transición a protecciones de seguridad cuántica.

Preparándose para la era cuántica

Las organizaciones que se preparan para las amenazas cuánticas se están centrando en algunos pasos clave:

• Identificar datos confidenciales que deben permanecer protegidos a largo plazo
• Comprender dónde se utiliza el cifrado en todos los sistemas
• Comience a adoptar estrategias de criptografía híbrida
• Mantenga la visibilidad de los algoritmos criptográficos y las necesidades de cumplimiento.

Al mismo tiempo, los equipos de seguridad aún deben inspeccionar el tráfico cifrado y aplicar políticas en sus redes. Moderno Arquitecturas de confianza cero desempeñan un papel importante en el mantenimiento de este control.

Estas estrategias, y cómo las implementan plataformas como Zscaler, se discutirán durante la conferencia. sesión de seminario web en vivo diseñado para líderes de TI, seguridad y redes.

Lo que aprenderá en el seminario web

Esta sesión cubrirá:

• El creciente riesgo de Ataques de “cosechar ahora, descifrar después”
• Cómo Cifrado híbrido ML-KEM ayuda a las organizaciones a realizar una transición segura
• Cómo inspección de tráfico post-cuántica permite la aplicación de políticas a escala
• Mejores prácticas para proteger datos confidenciales en la era cuántica

La computación cuántica remodelará la ciberseguridad. Las organizaciones que comiencen a prepararse temprano estarán mejor posicionadas para proteger sus datos más críticos.

Únase al seminario web para aprenda cómo construir una estrategia de seguridad práctica y preparada para la tecnología cuántica antes de que la amenaza se vuelva urgente.

Cisco ha revelado que dos vulnerabilidades más que afectan a Catalyst SD-WAN Manager (anteriormente SD-WAN vManage) han sido explotadas activamente en la naturaleza.

El vulnerabilidades en cuestión se enumeran a continuación –

• CVE-2026-20122 (Puntuación CVSS: 7,1): una vulnerabilidad de sobrescritura de archivos arbitraria que podría permitir a un atacante remoto autenticado sobrescribir archivos arbitrarios en el sistema de archivos local. La explotación exitosa requiere que el atacante tenga credenciales válidas de solo lectura con acceso API en el sistema afectado.
• CVE-2026-20128 (Puntuación CVSS: 5,5): una vulnerabilidad de divulgación de información que podría permitir a un atacante local autenticado obtener privilegios de usuario del Agente de recopilación de datos (DCA) en un sistema afectado. La explotación exitosa requiere que el atacante tenga credenciales de vManage válidas en el sistema afectado.

Cisco lanzó los parches para los defectos de seguridad, junto con CVE-2026-20126, CVE-2026-20129 y CVE-2026-20133, a fines del mes pasado en las siguientes versiones:

• Anterior a la versión 20.91: migre a una versión fija.
• Versión 20.9 – Corregido en 20.9.8.2
• Versión 20.11 – Corregido en 20.12.6.1
• Versión 20.12: corregida en 20.12.5.3 y 20.12.6.1
• Versión 20.13 – Corregido en 20.15.4.2
• Versión 20.14 – Corregido en 20.15.4.2
• Versión 20.15 – Corregido en 20.15.4.2
• Versión 20.16 – Corregido en 20.18.2.1
• Versión 20.18 – Corregido en 20.18.2.1

«En marzo de 2026, Cisco PSIRT se dio cuenta de la explotación activa de las vulnerabilidades que se describen únicamente en CVE-2026-20128 y CVE-2026-20122», dijo el especialista en equipos de redes. La empresa no dio más detalles sobre la escala de la actividad y quién podría estar detrás de ella.

A la luz de la explotación activa, se recomienda a los usuarios actualizar a una versión de software fija lo antes posible y tomar medidas para limitar el acceso desde redes no seguras, proteger los dispositivos detrás de un firewall, deshabilitar HTTP para el portal de administrador de la interfaz de usuario web de Catalyst SD-WAN Manager, desactivar servicios de red como HTTP y FTP si no son necesarios, cambiar la contraseña de administrador predeterminada y monitorear el tráfico de registro para detectar cualquier tráfico inesperado hacia y desde los sistemas.

La divulgación se produce una semana después de que la compañía dijera que una falla de seguridad crítica en Cisco Catalyst SD-WAN Controller y Catalyst SD-WAN Manager (CVE-2026-20127, puntuación CVSS: 10.0) había sido explotada por un actor de amenazas cibernéticas altamente sofisticado rastreado como UAT-8616 para establecer puntos de apoyo persistentes en organizaciones de alto valor.

Esta semana, Cisco también actualizaciones publicadas para abordar dos vulnerabilidades de seguridad de máxima gravedad en Secure Firewall Management Center (CVE-2026-20079 y CVE-2026-20131puntuaciones CVSS: 10.0) que podrían permitir a un atacante remoto no autenticado eludir la autenticación y ejecutar código Java arbitrario como root en un dispositivo afectado.

Cisco publicó el miércoles información sobre un par de vulnerabilidades de máxima gravedad en su software de administración de firewall que atacantes remotos no autenticados podrían explotar para obtener el más alto nivel de acceso al sistema operativo subyacente o a los dispositivos afectados.

Las vulnerabilidades – CVE-2026-20079 y CVE-2026-20131 – afectan la interfaz basada en web del software Cisco Secure Firewall Management Center (FMC), independientemente de la configuración del dispositivo, dijo el proveedor.

Cisco reveló las vulnerabilidades críticas una semana después de advertir que los atacantes han estado explotando un par de días cero en el software de red de Cisco durante al menos tres años. Esa campaña, que está en curso, marcó la segunda serie de múltiples días cero explotados activamente en la tecnología de punta de Cisco desde la primavera pasada.

Ambas campañas llevaron a la Agencia de Seguridad de Infraestructura y Ciberseguridad a emitir directivas de emergencia meses después de que se detectaran los ataques por primera vez, y ambas oleadas de ataques estuvieron en marcha durante al menos un año antes de que fueran descubiertas.

Cisco dijo que las nuevas vulnerabilidades fueron reveladas y reparadas como parte de su actualización semestralque contenía 48 vulnerabilidades en múltiples productos de seguridad.

«En el momento de la publicación, Cisco PSIRT (equipo de respuesta a incidentes de seguridad pública) no tiene conocimiento de ningún uso malicioso de estas vulnerabilidades», dijo un portavoz de la empresa a CyberScoop.

«Recomendamos encarecidamente a los clientes que actualicen a las versiones de software fijas disponibles que aborden estas vulnerabilidades», añadió el portavoz.

Una de las vulnerabilidades del software Cisco Secure FMC, CVE-2026-20079, permite a los atacantes eludir la autenticación y ejecutar archivos de script en un dispositivo afectado para obtener acceso raíz al sistema operativo.

«Esta vulnerabilidad se debe a un proceso inadecuado del sistema que se crea en el momento del arranque», dijo Cisco en un aviso de seguridad.

Cisco dijo que el segundo defecto crítico, CVE-2026-20131, es una falla de deserialización que permite a los atacantes lograr la ejecución remota de código.

«Un atacante podría explotar esta vulnerabilidad enviando un objeto Java serializado y diseñado a la interfaz de administración basada en web de un dispositivo afectado», dijo el proveedor en un aviso de seguridad. «Un exploit exitoso podría permitir al atacante ejecutar código arbitrario en el dispositivo y elevar los privilegios a root».

Cisco describe el producto afectado como el «centro neurálgico administrativo» para la gestión de firewall, control de aplicaciones, prevención de intrusiones, filtrado de URL y protección contra malware.

No existen soluciones para ninguna de las vulnerabilidades. Cisco no dijo cómo podrían estar relacionadas las vulnerabilidades, si se pueden encadenar para explotarlas, ni cuándo y bajo qué circunstancias se dio cuenta de los defectos.

Investigadores de ciberseguridad han revelado detalles de una nueva campaña cibernética rusa dirigida a entidades ucranianas con dos familias de malware previamente indocumentadas llamadas pata mala y MiauMiau.

«La cadena de ataque se inicia con un correo electrónico de phishing que contiene un enlace a un archivo ZIP. Una vez extraído, un archivo HTA inicial muestra un documento señuelo escrito en ucraniano sobre apelaciones para cruzar la frontera para engañar a la víctima», ClearSky dicho en un informe publicado esta semana.

En paralelo, la cadena de ataque conduce a la implementación de un cargador basado en .NET llamado BadPaw, que luego establece comunicación con un servidor remoto para buscar e implementar una puerta trasera sofisticada llamada MeowMeow.

La campaña se ha atribuido con moderada confianza al actor de amenazas patrocinado por el estado ruso conocido como APT28, basándose en la huella de objetivos, la naturaleza geopolítica de los señuelos utilizados y las superposiciones con técnicas observadas en operaciones cibernéticas rusas anteriores.

El punto de partida de la secuencia de ataque es un correo electrónico de phishing enviado desde ukr.[.]net, probablemente en un intento de establecer credibilidad y asegurar la confianza de las víctimas objetivo. En el mensaje hay un enlace a un supuesto archivo ZIP, lo que hace que el usuario sea redirigido a una URL que carga una «imagen excepcionalmente pequeña», actuando efectivamente como un píxel de seguimiento para indicar a los operadores que se hizo clic en el enlace.

Una vez que se completa este paso, la víctima es redirigida a una URL secundaria desde donde se descarga el archivo. El archivo ZIP incluye una aplicación HTML (HTA) que, una vez iniciada, suelta un documento señuelo como mecanismo de distracción, mientras ejecuta etapas de seguimiento en segundo plano.

«El documento señuelo arrojado sirve como una táctica de ingeniería social, presentando una confirmación de recibo de una apelación del gobierno sobre un cruce fronterizo con Ucrania», dijo ClearSky. «Este señuelo tiene como objetivo mantener el barniz de legitimidad».

El archivo HTA también realiza comprobaciones para evitar su ejecución en entornos sandbox. Para ello, consulta la clave del Registro de Windows «KLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\InstallDate» para estimar la «antigüedad» del sistema operativo. El malware está diseñado para cancelar la ejecución si el sistema se instaló menos de diez días antes.

Si el sistema cumple con los criterios del entorno, el malware localiza el archivo ZIP descargado y extrae dos archivos de él (un Visual Basic Script (VBScript) y una imagen PNG) y los guarda en el disco con nombres diferentes. También crea una tarea programada para ejecutar VBScript como una forma de garantizar la persistencia en el sistema infectado.

La responsabilidad principal de VBScript es extraer código malicioso incrustado en la imagen PNG, un cargador ofuscado conocido como BadPaw que es capaz de contactar a un servidor de comando y control (C2) para descargar componentes adicionales, incluido un ejecutable llamado MeowMeow.

«De acuerdo con el oficio ‘BadPaw’, si este archivo se ejecuta independientemente de la cadena de ataque completa, inicia una secuencia de código ficticio», explicó la compañía israelí de ciberseguridad. «Esta ejecución señuelo muestra una interfaz gráfica de usuario (GUI) que presenta una imagen de un gato, alineándose con el tema visual del archivo de imagen inicial del cual se extrajo el malware principal».

«Cuando se hace clic en el botón ‘MeowMeow’ dentro de la GUI del señuelo, la aplicación simplemente muestra un mensaje ‘Meow Meow Meow’, sin realizar más acciones maliciosas. Esto sirve como un señuelo funcional secundario para engañar al análisis manual».

El código malicioso de la puerta trasera se activa solo cuando se ejecuta con un determinado parámetro («-v») proporcionado por la cadena de infección inicial, y después de verificar que se está ejecutando en un punto final real en lugar de en una zona de pruebas, y que no se ejecutan herramientas forenses y de monitoreo como Wireshark, Procmon, Ollydbg y Fiddler en segundo plano.

En esencia, MeowMeow está equipado para ejecutar de forma remota comandos de PowerShell en el host comprometido y admitir operaciones del sistema de archivos, como la capacidad de leer, escribir y eliminar datos. ClearSky dijo que identificó cadenas en idioma ruso en el código fuente, lo que refuerza la evaluación de que la actividad es obra de un actor de amenazas de habla rusa.

«La presencia de estas cadenas en ruso sugiere dos posibilidades: el actor de la amenaza cometió un error de seguridad operativa (OPSEC) al no localizar el código para el entorno de destino ucraniano, o inadvertidamente dejó artefactos de desarrollo rusos dentro del código durante la fase de producción del malware», dijo.

Some weeks in cybersecurity feel routine. This one doesn’t.

Several new developments surfaced over the past few days, showing how quickly the threat landscape keeps shifting. Researchers uncovered fresh activity, security teams shared new findings, and a few unexpected moves from major tech companies also drew attention.

Together, these updates offer a useful snapshot of what is happening behind the scenes in the cyber world right now. From new tactics and campaigns to security and policy changes that could affect millions of users, there is a lot unfolding at once.

Below is a quick roundup of the most notable stories making headlines this week.

That wraps up this week’s quick look at what has been happening across the cybersecurity landscape.

Each update on its own may seem small, but together they show how quickly things continue to change. New techniques appear, old tactics evolve, and security decisions from major companies can shift the wider ecosystem.

For security teams, researchers, and anyone who follows the threat landscape, keeping track of these signals helps make sense of the bigger picture.

Stay tuned for the next edition of the ThreatsDay Bulletin with more developments from the cyber world.

Las organizaciones suelen implementar la autenticación multifactor (MFA) y suponen que las contraseñas robadas ya no son suficientes para acceder a los sistemas. En entornos Windows, esa suposición suele ser errónea. Los atacantes siguen comprometiendo las redes todos los días utilizando credenciales válidas. La cuestión no es la ayuda macrofinanciera en sí, sino la cobertura.

Se aplica a través de un proveedor de identidad (IdP) como Microsoft Entra ID, Okta o Google Workspace. MFA funciona bien para aplicaciones en la nube e inicios de sesión federados. Pero muchos inicios de sesión de Windows dependen únicamente de rutas de autenticación de Active Directory (AD) que nunca activan mensajes de MFA. Para reducir el riesgo basado en credenciales, los equipos de seguridad deben comprender dónde ocurre la autenticación de Windows fuera de su pila de identidades.

Siete rutas de autenticación de Windows en las que confían los atacantes

1. Inicio de sesión interactivo de Windows (local o unido a un dominio)

Cuando un usuario inicia sesión directamente en una estación de trabajo o servidor de Windows, la autenticación normalmente la maneja AD (a través de Kerberos o NTLM), no mediante un IdP en la nube.

En entornos híbridosincluso si Entra ID aplica MFA para aplicaciones en la nube, los controladores de dominio locales validan los inicios de sesión tradicionales de Windows en sistemas unidos a un dominio. A menos que se implemente Windows Hello for Business, tarjetas inteligentes u otro mecanismo MFA integrado, no hay ningún factor adicional en ese flujo.

Si un atacante obtiene la contraseña de un usuario (o hash NTLM), puede autenticarse en una máquina unida a un dominio sin activar las políticas MFA que protegen las aplicaciones de software como servicio o el inicio de sesión único federado. Desde la perspectiva del controlador de dominio, esta es una solicitud de autenticación estándar.

Herramientas como Acceso seguro a Specops son clave para limitar el riesgo de abuso de credenciales en estos escenarios. Al aplicar MFA para el inicio de sesión de Windows, así como para las conexiones VPN y de Protocolo de escritorio remoto (RDP), esta herramienta dificulta que los atacantes obtengan acceso no autorizado a su red. Esto se extiende incluso a los inicios de sesión fuera de línea, que están protegidos con autenticación con contraseña de un solo uso.

Acceso seguro a Specops

2. Acceso RDP directo que evita el acceso condicional

RDP es uno de los métodos de acceso más específicos en entornos Windows. Incluso cuando RDP no está expuesto a Internet, los atacantes suelen llegar a través de movimiento lateral después del compromiso inicial. Una sesión RDP directa a un servidor no pasa automáticamente por los controles MFA basados ​​en la nube, lo que significa que el inicio de sesión puede depender únicamente de la credencial AD subyacente.

3. Autenticación NTLM

NTLM es un protocolo de autenticación heredado que, a pesar de estar en desuso a favor del protocolo Kerberos, más seguro, todavía existe por razones de compatibilidad. También es un vector de ataque común porque admite técnicas como pass-the-hash.

En los ataques pass-the-hash, el atacante no necesita la contraseña en texto plano; en su lugar, utilizan el hash NTLM para autenticarse. Ministerio de Asuntos Exteriores no ayuda si el sistema acepta el hash como prueba de identidad.

NTLM también puede aparecer en flujos de autenticación internos que las organizaciones tal vez no monitoreen activamente; sólo un incidente o una auditoría lo revelará a los equipos de seguridad.

4. Abuso de tickets de Kerberos

Kerberos es el protocolo de autenticación principal para AD. En lugar de robar contraseñas directamente, Los atacantes roban tickets de Kerberos. desde la memoria o generar tickets falsificados después de comprometer cuentas privilegiadas. Esto permite técnicas como:

• Pase el boleto
• Boleto Dorado
• Boleto de Plata

Estos ataques permiten el acceso a largo plazo y el movimiento lateral y también reducen la necesidad de inicios de sesión repetidos, lo que reduce las posibilidades de detección. Estos ataques pueden persistir incluso después de restablecer la contraseña si el compromiso subyacente no se aborda por completo.

5. Cuentas de administrador local y reutilización de credenciales

Las organizaciones todavía dependen de cuentas de administrador local para tareas de soporte y recuperación del sistema. Si las contraseñas de administrador local se reutilizan en todos los puntos finales, los atacantes pueden escalar un compromiso hacia un acceso amplio.

Las cuentas de administrador local generalmente se autentican directamente en el punto final, evitando por completo los controles de MFA. No se aplican las políticas de acceso condicional de Entra ID. Ésta es una de las razones por las que el volcado de credenciales sigue siendo tan eficaz en entornos Windows.

6. Autenticación y movimiento lateral del Bloque de mensajes del servidor (SMB)

SMB se utiliza para compartir archivos y acceder remotamente a recursos de Windows. También es una de las rutas de movimiento lateral más confiables una vez que un atacante tiene credenciales válidas. Los atacantes suelen utilizar SMB para acceder a recursos compartidos administrativos como C$ o para interactuar con sistemas de forma remota utilizando credenciales válidas.

Si la autenticación SMB se trata como tráfico interno, rara vez se aplica MFA en esta capa. Si el atacante tiene credenciales válidas, puede usar SMB para moverse rápidamente entre sistemas.

7. Cuentas de servicio que nunca activan MFA

cuentas de servicio existen para ejecutar tareas programadas, aplicaciones, integraciones y servicios del sistema. Suelen tener credenciales estables, amplios permisos y una larga vida útil.

En muchas organizaciones, las contraseñas de las cuentas de servicio no caducan y rara vez se controlan. También son difíciles de proteger con MFA porque la autenticación está automatizada. Con frecuencia, estas cuentas se utilizan en aplicaciones heredadas que no pueden admitir controles de autenticación modernos.

Esta es una de las razones por las que los atacantes apuntan credenciales de soporte técnico y acceso de administrador de endpoints en las primeras etapas de una intrusión.

Cómo cerrar las brechas de autenticación de Windows

Los equipos de seguridad deben tratar la autenticación de Windows como su propia superficie de seguridad. Hay varias medidas prácticas que los equipos de seguridad pueden tomar para reducir la exposición:

1. Aplicar políticas de contraseñas más seguras en AD

Se debe aplicar una política de contraseñas segura frases de contraseña más largas de 15 o más caracteres. Las frases de contraseña son más fáciles de recordar para los usuarios y más difíciles de descifrar para los atacantes. Las políticas sólidas también deberían impedir la reutilización de contraseñas y bloquear patrones débiles que los atacantes puedan adivinar.

2. Bloquear continuamente las contraseñas comprometidas

El robo de credenciales no siempre es el resultado de ataques de fuerza bruta. Miles de millones de contraseñas ya están disponibles en conjuntos de datos violados para que los atacantes las reutilicen. ataques de credenciales. El bloqueo de contraseñas comprometidas en el momento de su creación reduce la posibilidad de que los usuarios establezcan credenciales que los atacantes ya tienen.

3. Reducir la exposición a protocolos de autenticación heredados

Siempre que sea posible, las organizaciones deben restringir o eliminar la autenticación NTLM. Los equipos de seguridad deben fijarse el objetivo de comprender dónde existe NTLM, reducirlo cuando sea posible y reforzar los controles cuando no se pueda eliminar.

4. Audite las cuentas de servicio y reduzca la pérdida de privilegios

Trate las cuentas de servicio como identidades de alto riesgo. Las organizaciones deben inventariarlos, reducir privilegios innecesariosrotar credenciales y eliminar cuentas que ya no sean necesarias. Si una cuenta de servicio tiene permisos a nivel de dominio, la organización debe asumir que será el objetivo.

Cómo puede ayudar Specops

Las políticas de contraseñas sólidas y las comprobaciones proactivas de credenciales comprometidas conocidas son dos de las formas más efectivas de reducir el riesgo de ataques basados ​​en credenciales. Política de contraseñas de Specops ayuda aplicando controles de contraseña flexibles que van más allá de lo que está disponible de forma nativa en Microsoft.

Política de contraseñas de Specops

Es Protección de contraseña violada La función verifica continuamente las contraseñas de Active Directory con una base de datos de más de 5,4 mil millones de credenciales expuestas, avisándole rápidamente si se descubre que la contraseña de un usuario está en riesgo. Si está interesado en ver cómo Specops puede ayudar a su organización, hable con un experto o reservar una demostración para ver nuestras soluciones en acción.

Un presunto actor de amenazas del nexo con Irán ha sido atribuido a una campaña dirigida a funcionarios gubernamentales en Irak haciéndose pasar por el Ministerio de Asuntos Exteriores del país para entregar un conjunto de malware nunca antes visto.

Zscaler ThreatLabz, que observó la actividad en enero de 2026, está rastreando el clúster con el nombre Espectro de polvo. Los ataques, que se manifiestan en forma de dos cadenas de infección diferentes, culminan con la implementación de malware denominado SPLITDROP, TWINTASK, TWINTALK y GHOSTFORM.

«Dust Spectre utilizó rutas URI generadas aleatoriamente para la comunicación de comando y control (C2) con valores de suma de verificación adjuntos a las rutas URI para garantizar que estas solicitudes se originaran en un sistema infectado real», dijo el investigador de seguridad Sudeep Singh. dicho. «El servidor C2 también utilizó técnicas de geocercado y verificación de usuario-agente».

Un aspecto notable de la campaña es el compromiso de la infraestructura relacionada con el gobierno iraquí para organizar cargas maliciosas, sin mencionar el uso de técnicas de evasión para retrasar la ejecución y pasar desapercibidas.

La primera secuencia de ataque comienza con un archivo RAR protegido con contraseña, dentro del cual existe un gotero .NET llamado SPLITDROP, que actúa como conducto para TWINTASK, un módulo de trabajo, y TWINTALK, un orquestador C2.

TWINTASK, por su parte, es una DLL maliciosa («libvlc.dll») que el binario legítimo «vlc.exe» descarga para sondear periódicamente un archivo («C:\ProgramData\PolGuid\in.txt») cada 15 segundos en busca de nuevos comandos y ejecutarlos usando PowerShell. Esto también incluye comandos para establecer persistencia en el host mediante cambios en el Registro de Windows. La salida del script y los errores se capturan en un archivo de texto separado («C:\ProgramData\PolGuid\out.txt»).

TWINTASK, en el primer inicio, está diseñado para ejecutar otro binario legítimo presente en el archivo extraído («WingetUI.exe»), lo que provoca que descargue la DLL TWINTALK («hostfxr.dll»). Su objetivo principal es comunicarse con el servidor C2 para obtener nuevos comandos, coordinar tareas con TWINTASK y filtrar los resultados al servidor. Admite la capacidad de escribir el cuerpo del comando desde la respuesta C2 a «in.txt», así como descargar y cargar archivos.

«El orquestador C2 trabaja en paralelo con el módulo de trabajo descrito anteriormente para implementar un mecanismo de sondeo basado en archivos utilizado para la ejecución de código», dijo Singh. «Tras la ejecución, TWINTALK ingresa a un bucle de baliza y retrasa la ejecución en un intervalo aleatorio antes de sondear el servidor C2 en busca de nuevos comandos».

La segunda cadena de ataque representa una evolución de la primera, consolidando toda la funcionalidad de TWINTASK y TWINTALK en un único binario denominado GHOSTFORM. Utiliza la ejecución de scripts de PowerShell en memoria para ejecutar comandos recuperados del servidor C2, eliminando así la necesidad de escribir artefactos en el disco.

Ese no es el único factor diferenciador entre las dos cadenas de ataque. Se ha descubierto que algunos archivos binarios de GHOSTFORM incorporan una URL de Google Forms codificada que se inicia automáticamente en el navegador web predeterminado del sistema una vez que el malware comienza a ejecutarse. El formulario presenta contenido escrito en árabe y se hace pasar por una encuesta oficial del Ministerio de Asuntos Exteriores de Irak.

El análisis de Zscaler del código fuente de TWINTALK y GHOSTFORM también descubrió la presencia de valores de marcador de posición, emojis y texto Unicode, lo que sugiere que se pueden haber utilizado herramientas de inteligencia artificial (IA) generativa para ayudar con el desarrollo del malware.

Además, el dominio C2 asociado a TWINTALK, «meetingapp[.]site», se dice que fue utilizado por los actores de Dust Spectre en una campaña de julio de 2025 para albergar una página falsa de invitación a una reunión de Cisco Webex que indica a los usuarios que copien, peguen y ejecuten un script de PowerShell para unirse a la reunión. Las instrucciones reflejan una táctica ampliamente vista en los ataques de ingeniería social estilo ClickFix.

El script de PowerShell, por su parte, crea un directorio en el host e intenta recuperar una carga útil no especificada del mismo dominio y guardarla como un ejecutable dentro del directorio recién creado. También crea una tarea programada para ejecutar el binario malicioso cada dos horas.

Las conexiones de Dust Spectre con Irán se basan en el hecho de que los grupos de hackers iraníes tienen un historial de desarrollo de puertas traseras .NET ligeras y personalizadas para lograr sus objetivos. El uso de infraestructura gubernamental iraquí comprometida se ha observado en campañas pasadas vinculadas a actores de amenazas como OilRig (también conocido como APT34).

«Esta campaña, atribuida con un nivel de confianza medio a alto a Dust Spectre, probablemente se dirigió a funcionarios gubernamentales que utilizaban señuelos convincentes de ingeniería social que se hacían pasar por el Ministerio de Asuntos Exteriores de Irak», dijo Zscaler. «La actividad también refleja tendencias más amplias, incluidas técnicas de estilo ClickFix y el creciente uso de IA generativa para el desarrollo de malware».