El presidente Donald Trump dio a conocer el viernes la estrategia cibernética de su administración, promoviendo operaciones ofensivas en el ciberespacio, asegurando las redes federales y la infraestructura crítica, simplificando las regulaciones, aprovechando las tecnologías emergentes y fortaleciendo la fuerza laboral de ciberseguridad.

Trump también firmó un orden ejecutiva Viernes ordenando a las agencias que tomen medidas para combatir el cibercrimen y el fraude.

Un poco más de la mitad de las cinco páginas de texto de estrategia del documento tan esperado es el preámbulo, y dos de sus siete páginas son título y final. Los funcionarios de la administración han dicho que la estrategia es deliberadamente de alto nivel y la Casa Blanca prometió una orientación más detallada en el futuro.

La estrategia «requiere una coordinación sin precedentes entre el gobierno y el sector privado para invertir en las mejores tecnologías y continuar con la innovación de clase mundial, y aprovechar al máximo las capacidades cibernéticas de Estados Unidos para misiones tanto ofensivas como defensivas», dijo la Casa Blanca en una declaración acompañando su lanzamiento.

Cada uno de los seis “pilares” de la estrategia ofrece algunas recetas.

“Dar forma al comportamiento del adversario” exige utilizar las capacidades ofensivas y defensivas del gobierno estadounidense en el ciberespacio, así como incentivar al sector privado para que interrumpa las redes del adversario.

También dice que Trump “contrarrestará la propagación del estado de vigilancia y las tecnologías autoritarias que monitorean y reprimen a los ciudadanos”, aun cuando los críticos de la administración argumentan que su administración ha fomentado la vigilancia y la represión contra los ciudadanos estadounidenses.

El pilar más corto, “promover una regulación con sentido común”, denuncia reglas que son sólo “listas de verificación costosas”. La administración Biden amplió las regulaciones cibernéticas, lo que provocó cierta resistencia en la industria. Pero el pilar de Trump sí habla de abordar la responsabilidad, un punto de énfasis también para la administración anterior.

“Modernizar y proteger las redes federales” habla de utilizar conceptos y tecnologías como la criptografía poscuántica, la inteligencia artificial, la confianza cero y la reducción de las barreras para que los proveedores vendan tecnología al gobierno para cumplir esos objetivos.

Para “asegurar la infraestructura crítica”, la estrategia exige fortalecer no sólo a los propietarios y operadores sino también a la cadena de suministro, en parte centrándose en productos fabricados en Estados Unidos en lugar de productos fabricados por el adversario.

«Negaremos a nuestros adversarios el acceso inicial y, en caso de un incidente, debemos poder recuperarnos rápidamente», dice la estrategia. «Iluminaremos el papel de las autoridades estatales, locales, tribales y territoriales como complemento, no como sustituto, de nuestros esfuerzos nacionales de ciberseguridad». Algunos críticos de las acciones de ciberseguridad de la administración han sostenido que ha trasladado demasiado la carga a los gobiernos estatales y locales.

El uso de la IA constituye la mayor parte del pilar titulado “mantener la superioridad en tecnologías críticas y emergentes”, además de reflejar partes anteriores de la estrategia sobre los temas de criptografía cuántica y protección de la privacidad. Eso incluye la protección de los centros de datos, objeto de luchas localizadas en todo el país sobre su ubicación y costos de recursos.

El último pilar dice que Estados Unidos debe “desarrollar talento y capacidad”, después de un año en el que la administración recortó un número significativo de puestos cibernéticos en el gobierno federal. «Eliminaremos los obstáculos que impiden que la industria, la academia, el gobierno y el ejército alineen los incentivos y creen una fuerza laboral cibernética altamente calificada», afirma.

Llegaron algunas críticas positivas sobre la estrategia a pesar de la publicación del viernes por la tarde, tradicionalmente el momento de la semana en el que una administración busca publicar noticias que espera atraigan poca atención.

«A medida que surgen amenazas nuevas y más sofisticadas, Estados Unidos necesitaba una nueva estrategia cibernética nacional que capte la urgencia de este momento», dijo el presidente y director ejecutivo de USTelecom, Jonathan Spalter, en un comunicado de prensa. «La estrategia del Presidente reconoce correctamente que aprovechar la combinación única de innovación del sector privado con capacidad del sector público de Estados Unidos es la mejor disuasión».

Frank Cilluffo, Director del Instituto McCrary para la Seguridad Cibernética y de Infraestructura Crítica de la Universidad de Auburn, quedó impresionado por el enfoque en la disuasión: «Esta estrategia unificada que determina una dirección para las operaciones cibernéticas ofensivas y defensivas y la colaboración no podría ser más oportuna».

La Business Software Alliance aplaudió en particular el llamado a simplificar las regulaciones cibernéticas.

Varios proveedores cibernéticos tomaron nota de los pasajes sobre la IA. «Redireccionar recursos del papeleo a capacidades de seguridad impulsadas por IA es la única manera de seguir el ritmo de las amenazas modernas y de los adversarios que operan a gran velocidad», afirmó Bill Wright, jefe global de asuntos gubernamentales de Elastic. «Esta estrategia parece reconocer esa verdad fundamental».

Sin embargo, no todas las críticas fueron halagadoras, incluida la del principal demócrata del Comité de Seguridad Nacional de la Cámara de Representantes, Bennie Thompson, quien dijo que el «bajo rendimiento» de la estrategia era lo único impresionante.

“La poca 'sustancia' que existe en este folleto es una mezcolanza de vagos tópicos, un largo catálogo de declaraciones de 'lo haremos' que pueden coincidir o no con el comportamiento actual de la Administración y, afortunadamente, una aparente extensión de algunas políticas de la era Biden», dijo. “Falta por completo incluso el plan más básico sobre cómo la Administración logrará cualquiera de sus objetivos de ciberseguridad, un objetivo posiblemente obstaculizado por la hemorragia de talento cibernético en todas las agencias federales desde que Trump asumió el cargo”.

La orden ejecutiva que Trump firmó el viernes, que la Casa Blanca no publicó, coincide con la publicación de la estrategia, pero hay poca superposición entre el tema; la estrategia hace una mención al ciberdelito.

La orden ordena al fiscal general que dé prioridad al enjuiciamiento de los delitos cibernéticos y el fraude, ordena a las agencias que revisen las herramientas que podrían utilizar para contrarrestar las organizaciones criminales internacionales y da al Departamento de Seguridad Nacional órdenes de marcha para mejorar la capacitación, además de otras medidas, según una hoja informativa.

«El presidente Trump está utilizando todas las herramientas disponibles para detener las redes criminales respaldadas por el extranjero que explotan a los estadounidenses vulnerables a través del fraude y la extorsión cibernéticos», afirma la hoja informativa.

Los grupos de amenazas norcoreanos están utilizando herramientas de inteligencia artificial para acelerar y expandir el plan de larga duración del país para contratar trabajadores técnicos remotos en empresas globales por períodos más prolongados, dijo Microsoft Threat Intelligence en un informe Viernes.

Los servicios de inteligencia artificial están empoderando a los agentes norcoreanos durante todo el ciclo de vida del ataque. Los atacantes han convertido la IA en un “multiplicador de fuerza” que refuerza y ​​automatiza sus esfuerzos para realizar investigaciones sobre objetivos, desarrollar recursos maliciosos, lograr y mantener el acceso, evadir la detección y utilizar herramientas como armas para ataques y actividades posteriores al compromiso, dijeron los investigadores.

Microsoft dijo que un trío de grupos a los que rastrea, como Coral Sleet, Sapphire Sleet y Jasper Sleet, están utilizando IA para acortar el tiempo que lleva crear personajes digitales para roles y mercados laborales específicos. Estos grupos frecuentemente aprovechan oportunidades financieras o señuelos con temas de entrevistas para obtener acceso inicial.

Jasper Sleet está utilizando herramientas de inteligencia artificial generativa para investigar ofertas de trabajo en plataformas como Upwork e identificar habilidades en demanda o requisitos de experiencia para alinear personas falsas con roles específicos, dijo Microsoft en el informe.

Los investigadores advirtieron que los grupos de amenazas también están «mejorando significativamente la escala y la sofisticación de su ingeniería social y sus operaciones de acceso inicial» con la creación de medios impulsada por IA para suplantaciones y modulación de voz en tiempo real.

Los grupos de amenazas norcoreanos han utilizado servicios de inteligencia artificial para generar señuelos que imitan las comunicaciones internas en varios idiomas con fluidez nativa.

«Estas tecnologías permiten a los actores de amenazas crear señuelos y personajes altamente personalizados y convincentes a una velocidad y un volumen sin precedentes, lo que reduce la barrera para que se produzcan ataques complejos y aumenta la probabilidad de un compromiso exitoso», escribieron los investigadores en el informe.

Microsoft ha observado a Jasper Sleet utilizando la aplicación de inteligencia artificial Faceswap para insertar rostros de trabajadores de TI de Corea del Norte en documentos de identidad robados, en algunos casos reutilizando la misma foto generada por inteligencia artificial en varias personas.

Jasper Sleet también se apoya en las comunicaciones habilitadas por IA después de que una organización de víctimas contrató con éxito a un agente para evadir la detección y mantener un empleo a largo plazo. Microsoft ha observado a los trabajadores de TI remotos de Corea del Norte utilizar herramientas de inteligencia artificial para elaborar respuestas profesionales, responder preguntas técnicas o generar fragmentos de código para cumplir con las expectativas de rendimiento en entornos desconocidos.

Los grupos de amenazas norcoreanos están utilizando la IA para perfeccionar las actividades posteriores al compromiso observadas previamente, reduciendo el tiempo y la experiencia necesarios para la toma de decisiones, dijo Microsoft. Estas tareas impulsadas por IA aceleran el análisis de entornos comprometidos desconocidos, identifican rutas viables para el movimiento lateral y permiten a los agentes mezclarse con la actividad legítima.

Los grupos de amenazas norcoreanos también están utilizando IA para escalar privilegios, localizar y robar registros o credenciales confidenciales y minimizar el riesgo de detección mediante el análisis de controles de seguridad.

La IA generativa constituye la mayor parte de las actividades de amenazas relacionadas con la IA, pero Microsoft dijo que está en marcha una transición a la IA agente.

«Para los actores de amenazas, este cambio podría representar un cambio significativo en el oficio al permitir flujos de trabajo semiautónomos que refinen continuamente las campañas de phishing, prueben y adapten la infraestructura, mantengan la persistencia o monitoreen la inteligencia de código abierto en busca de nuevas oportunidades», escribieron los investigadores en el informe.

«Microsoft aún no ha observado el uso a gran escala de IA agente por parte de actores de amenazas, en gran parte debido a la confiabilidad continua y las limitaciones operativas», agregaron los investigadores. Sin embargo, advirtió Microsoft, los experimentos ilustran el potencial que los sistemas de IA agentes representan para actividades más avanzadas y dañinas.

El Departamento de Seguridad Nacional está atravesando una revisión de su liderazgo en seguridad de la información y TI, y múltiples fuentes le dijeron a FedScoop que se está llevando a cabo una amplia realineación en el departamento para reemplazar a los líderes tecnológicos clave.

FedScoop se enteró de que al menos dos funcionarios del DHS están siendo reemplazados: el director de seguridad de la información, Hemant Baidwan, y la CISO adjunta, Amanda Day.

La reorganización entre los funcionarios de TI se produce cuando otros líderes están cambiando en el departamento. El presidente Donald Trump anunció el jueves que la secretaria de Seguridad Nacional, Kristi Noem, dejará el cargo a finales de marzo. Trump nominó al senador Markwayne Mullin, republicano por Oklahoma, como su reemplazo.

El anuncio de la salida de Noem se produjo una semana después de otros trastornos de personal en la Agencia de Seguridad de Infraestructura y Ciberseguridad, donde el director interino Madhu Gottumukkala fue reasignado a un puesto en la sede del DHS y el CIO Bob Costello renunció.

Baidwan dejará la organización a finales de este mes, tras la salida de Day a finales de febrero, según dos fuentes familiarizadas con la situación. Desde entonces, Day asumió el cargo de vicepresidente de ciberseguridad y confianza en Workday, confirmó de forma independiente FedScoop. ella la ha actualizado perfil de LinkedIn para reflejar su nuevo trabajo.

Ambos líderes tecnológicos han pasado décadas trabajando para el DHS. Baidwan se unió al departamento en 2011 como jefe de gobernanza y gestión de riesgos y ocupó varios puestos durante su mandato antes de ser nombrado jefe del equipo de seguridad de la información del departamento en abril de 2024, según a su LinkedIn. Como CISO, Baidwan ayudó a desarrollar las primeras directrices de ciberseguridad de IA del departamento y estableció nuevos estándares para las prácticas de seguridad tecnológica.

Day se unió al departamento por primera vez en 2008 como especialista en TI en seguridad de la información. Más recientemente, fue CISO adjunta y directora ejecutiva adjunta del DHS desde diciembre de 2024.

Baidwan y Day no respondieron a múltiples solicitudes de comentarios de FedScoop.

Un portavoz del Departamento de Seguridad Nacional, contactado la semana pasada para hacer comentarios, dijo a FedScoop: «No tenemos cambios de personal que anunciar en este momento». El departamento no respondió a las solicitudes de seguimiento.

Un “gran realineamiento” en el DHS

La reforma podría ser parte de la nueva normalidad del departamento de TI del DHS: una versión del cambio de guardia que ocurre cuando llegan nuevas administraciones, particularmente después de que el papel de los CIO federales se ha vuelto más político.

Sin embargo, fuentes familiarizadas con el asunto creen que la rotación indica un cambio más amplio y fricciones internas. Dos fuentes describieron las salidas de Day y Baidwan a FedScoop como parte de “un importante realineamiento que está ocurriendo en todo el DHS en este momento” que precede al derrocamiento de Noem.

Antoine McCord, director de información del DHS, fue descrito como un actor clave en el esfuerzo. McCord supervisa la modernización de TI y la ciberseguridad en todo el DHS y administra los sistemas empresariales que respaldan la seguridad fronteriza, los servicios de inmigración, la respuesta a desastres y la ciberdefensa.

McCord estuvo en la primera ola de contrataciones de CIO bajo la administración Trump el año pasado cuando la Oficina de Gestión de Personal reclasificó el puesto de director de información de “carrera reservada” a “general”. La medida alivió las restricciones sobre quién podría ser elegido para el puesto, informó anteriormente FedScoop.

«La tecnología de la información afecta prácticamente todo lo que hace el gobierno y, por lo tanto, un CIO de agencia desempeña un papel fundamental en el desarrollo de políticas (particularmente en el ámbito digital) que tienen efectos generalizados y significativos en el público estadounidense», dijo la OPM. en una nota a los jefes y jefes interinos de agencias en febrero de 2025. «El papel del CIO moderno no es el tipo de puesto 'imparcial' o 'técnico' que sea adecuado para puestos profesionales reservados de SES».

Dos exfuncionarios del DHS en estrecho contacto con el departamento dijeron a FedScoop que la realineación es parte de un esfuerzo más amplio para colocar a personas de la sede del DHS en puestos críticos de CIO en las agencias componentes, con el objetivo final de incluirlos en parte o en su totalidad en la oficina del CIO del DHS.

«Antoine McCord se está afirmando como el CIO del DHS con los componentes, y cuando se le da la oportunidad, está colocando a personas del cuartel general en esos roles», dijo el funcionario, que habló bajo condición de anonimato para hablar con franqueza. «Hay tres o hasta cuatro componentes principales en los que hay CIO del DHS dirigiendo esos talleres ahora. Así que claramente ha sido un esfuerzo concertado para aprovechar también las salidas y aperturas».

El año pasado, Noem despidió a 24 empleados de TI de FEMAincluidos el CIO Charley Armstrong y el CISO Gregory Edwards. En febrero, el DHS nombró silenciosamente a Zeke Maldonado CIO interino de FEMA. Maldonado fue anteriormente director ejecutivo de operaciones de TI en la dirección de gestión de la sede del DHS. Un portavoz de FEMA confirmó el nuevo papel de Maldonado a FedScoop el 1 de marzo y dijo que «abordará desafíos anteriores y tomará medidas proactivas para proteger las redes de FEMA y el territorio nacional».

Una de las fuentes le dijo a FedScoop que el nombramiento de Maldonado también era “parte de un esfuerzo mayor para absorber al CIO de FEMA en el CIO del DHS”. Una segunda fuente estuvo de acuerdo con ese sentimiento.

«Hay líneas claras de interés en que el CIO del DHS quiera colocar allí a personas que podrían ser útiles para realizar ese cambio», dijo el primer funcionario.

Una tercera fuente describió el ambiente actual en el DHS como lleno de «tumulto», con la mayoría de los empleados «sobresaltados» por los cambios de personal, falta de transparencia por parte del liderazgo e historias contradictorias sobre la toma de decisiones y los objetivos del departamento.

El partida de Costello en CISA abre otro puesto vacante de CIO en una agencia de componentes críticos. Costello era un líder popular. Según las fuentes, su destitución probablemente provocará una mayor agitación en el personal dentro del departamento de TI de la agencia.

«Hay personas que todavía están allí y que, ahora que Bob se ha ido, se irán», dijo el segundo funcionario a FedScoop. «La fuga de cerebros en el DHS es peligrosa».

Los cambios de liderazgo están surgiendo como los formuladores de políticas se preocupan La disposición del DHS para resistir ataques físicos y cibernéticos a los EE. UU. mientras el país los lleva a cabo acciones militares apuntando a Irán. El conflicto ya ha provocado la primera interrupción relacionada con el combate a un centro de datos de hiperescala de propiedad estadounidense, informó DefenseScoop.

«Este es un momento terrible, dado que nos encontramos en la situación en la que nos encontramos en Medio Oriente», dijo el segundo funcionario. «Nuestros adversarios absolutamente lo sacarán provecho».

Investigadores de ciberseguridad han revelado detalles de una campaña de malware de varias etapas que utiliza secuencias de comandos por lotes como vía para entregar varias cargas útiles de troyanos de acceso remoto (RAT) cifrados que corresponden a XWorm, AsyncRAT y Xeno RAT.

La cadena de ataque sigiloso ha recibido un nombre en clave VACÍO#GEIST por Securonix Threat Research.

En un nivel alto, el script por lotes ofuscado se utiliza para implementar un segundo script por lotes, preparar un tiempo de ejecución de Python incorporado legítimo y descifrar blobs de código shell cifrados, que se ejecutan directamente en la memoria inyectándolos en instancias separadas de «explorer.exe» usando una técnica llamada Inyección de llamada de procedimiento asincrónico (APC) anticipada.

«Las campañas de malware modernas pasan cada vez más de ejecutables independientes a marcos de entrega complejos basados ​​en scripts que imitan fielmente la actividad legítima de los usuarios», afirman los investigadores Akshay Gaikwad, Shikha Sangwan y Aaron Beardslee. dicho en un informe técnico compartido con The Hacker News.

«En lugar de implementar binarios de PE tradicionales, los atacantes aprovechan canales modulares que comprenden secuencias de comandos por lotes para la orquestación, PowerShell para una puesta en escena sigilosa, tiempos de ejecución incorporados legítimos para la portabilidad y código shell sin procesar ejecutado directamente en la memoria para persistencia y control».

Este mecanismo de ejecución sin archivos minimiza las oportunidades de detección basadas en disco, lo que permite a los actores de amenazas operar dentro de sistemas comprometidos sin activar alertas de seguridad. Es más, este enfoque ofrece una ventaja adicional en el sentido de que estas etapas individuales parecen inofensivas de forma aislada y se asemejan a una actividad administrativa normal.

El punto de partida del ataque es un script por lotes que se obtiene de un dominio de TryCloudflare y se distribuye a través de correos electrónicos de phishing. Una vez lanzado, evita deliberadamente tomar medidas para escalar privilegios y aprovecha los derechos de permiso del usuario actualmente conectado para establecer un punto de apoyo inicial, mientras se mezcla con operaciones administrativas aparentemente inocuas.

La etapa inicial sirve como plataforma de lanzamiento para mostrar un PDF señuelo al iniciar Google Chrome en pantalla completa. El documento financiero o la factura mostrados sirven como distracción visual para ocultar lo que sucede detrás de escena. Esto incluye iniciar un comando de PowerShell para volver a ejecutar el script por lotes original, como usar el parámetro -WindowStyle Hidden, para evitar mostrar una ventana de consola.

Para garantizar la persistencia entre reinicios del sistema, se coloca un script por lotes auxiliar en el directorio de inicio del usuario de Windows para que se ejecute automáticamente cada vez que la víctima inicia sesión en el sistema. La ausencia de métodos de persistencia más intrusivos es intencionada, ya que reduce la huella forense.

«Técnicamente, este método de persistencia opera completamente dentro del contexto de privilegios del usuario actual. No modifica las claves de registro de todo el sistema, no crea tareas programadas ni instala servicios», dijeron los investigadores. «En cambio, se basa en un comportamiento de inicio estándar a nivel de usuario, que no requiere elevación y genera una fricción de seguridad mínima. Esta elección de diseño reduce la probabilidad de activar mensajes de escalada de privilegios o alertas de monitoreo de registro».

La siguiente fase comienza cuando el malware llega a un dominio de TryCloudflare para recuperar cargas útiles adicionales en forma de archivos ZIP que contienen varios archivos.

• runn.pyun script de carga basado en Python responsable de descifrar e inyectar módulos de carga útil de shellcode cifrados en la memoria
• nuevo.binuna carga útil de shellcode cifrada correspondiente a XWorm
• xn.binuna carga útil de shellcode cifrada correspondiente a Xeno RAT
• pul.binuna carga útil de shellcode cifrada correspondiente a AsyncRAT
• a.json, n.json, y p.jsonarchivos de claves que contienen las claves de descifrado requeridas por el cargador de Python para descifrar dinámicamente el código shell en tiempo de ejecución

Una vez que se extraen los archivos, la secuencia de ataque implementa un tiempo de ejecución de Python integrado legítimo directamente desde Python.[.]org. Este paso ofrece varias ventajas. Para empezar, elimina cualquier dependencia del sistema. Como resultado, el malware puede seguir funcionando incluso si el punto final infectado tiene Python instalado.

«Desde la perspectiva del atacante, los objetivos de esta etapa son la portabilidad, la confiabilidad y el sigilo», dijo Securonix. «Al incorporar un intérprete legítimo en el directorio de preparación, el malware se transforma en un entorno de ejecución totalmente autónomo capaz de descifrar e inyectar módulos de carga útil sin depender de componentes externos del sistema».

El objetivo principal del ataque es aprovechar el tiempo de ejecución de Python para iniciar «runn.py», que luego descifra y ejecuta la carga útil de XWorm mediante la inyección Early Bird APC. El malware también utiliza un binario legítimo de Microsoft, «AppInstallerPythonRedirector.exe», para invocar Python e iniciar Xeno RAT. En la última etapa, el cargador de Python utiliza el mismo mecanismo de inyección para iniciar AsyncRAT.

La cadena de infección culmina cuando el malware transmite una baliza HTTP mínima a la infraestructura C2 controlada por el atacante alojada en TryCloudflare para confirmar la irrupción digital. Actualmente no se sabe quiénes fueron los objetivos del ataque y si hubo algún compromiso exitoso.

«Este patrón de inyección repetida refuerza la arquitectura modular del marco. En lugar de entregar una única carga útil monolítica, el atacante implementa componentes de forma incremental, mejorando la flexibilidad y la resistencia», dijo Securonix. «Desde el punto de vista de la detección, la inyección repetida de procesos en explorer.exe en periodos cortos de tiempo es un fuerte indicador de comportamiento que se correlaciona entre las etapas del ataque».

El actor de amenazas alineado con Pakistán conocido como Tribu transparente se ha convertido en el último grupo de hackers en adoptar herramientas de codificación basadas en inteligencia artificial (IA) para atacar objetivos con varios implantes.

La actividad está diseñada para producir una «masa mediocre y de gran volumen de implantes» que se desarrollan utilizando lenguajes de programación menos conocidos como Nim, Zig y Crystal y dependen de servicios confiables como Slack, Discord, Supabase y Google Sheets para pasar desapercibidos, según nuevos hallazgos de Bitdefender.

«En lugar de un gran avance en la sofisticación técnica, estamos viendo una transición hacia la industrialización del malware asistida por IA que permite al actor inundar los entornos objetivo con binarios políglotas desechables», afirman los investigadores de seguridad Radu Tudorica, Adrian Schipor, Victor Vrabie, Marius Baciu y Martin Zugec. dicho en un desglose técnico de la campaña.

La transición hacia el malware codificado por vibración, también conocido como vibewarecomo medio para complicar la detección, el proveedor rumano de ciberseguridad lo ha caracterizado como Denegación de Detección Distribuida (DDoD). En este enfoque, la idea no es eludir los esfuerzos de detección mediante la sofisticación técnica, sino más bien inundar los entornos objetivo con archivos binarios desechables, cada uno de los cuales utiliza un lenguaje y un protocolo de comunicación diferentes.

Los grandes modelos de lenguaje (LLM, por sus siglas en inglés) ayudan a los actores de amenazas en este aspecto, que reducen la barrera al delito cibernético y colman la brecha de experiencia al permitirles generar código funcional en lenguajes desconocidos, ya sea desde cero o trasladando la lógica empresarial central de otros más comunes.

Se ha descubierto que el último conjunto de ataques tiene como objetivo el gobierno indio y sus embajadas en varios países extranjeros, y APT36 utiliza LinkedIn para identificar objetivos de alto valor. Los ataques también han apuntado al gobierno afgano y a varias empresas privadas, aunque en menor medida.

Es probable que las cadenas de infección comiencen con correos electrónicos de phishing que contienen accesos directos de Windows (LNK) incluidos en archivos ZIP o imágenes ISO. Alternativamente, se utilizan señuelos PDF que presentan un botón destacado «Descargar documento» para redirigir a los usuarios a un sitio web controlado por un atacante que activa la descarga de los mismos archivos ZIP.

Independientemente del método utilizado, el archivo LNK se utiliza para ejecutar scripts de PowerShell en la memoria, que luego descargan y ejecutan la puerta trasera principal y facilitan las acciones posteriores al compromiso. Estos incluyen el despliegue de conocidas herramientas de simulación de adversarios como Cobalt Strike y Havoc, lo que indica un enfoque híbrido para garantizar la resiliencia.

Algunas de las otras herramientas observadas como parte de los ataques se enumeran a continuación:

• código de guerraun cargador de código shell personalizado escrito en Crystal que se utiliza para cargar de forma reflexiva un agente Havoc directamente en la memoria.
• NimShellcodeLoaderuna contraparte experimental de Warcode que se utiliza para desplegar una baliza Cobalt Strike incrustada en él.
• CreepDropperun malware .NET que se utiliza para entregar e instalar cargas útiles adicionales, incluido SHEETCREEP, un ladrón de información basado en Go que utiliza Microsoft Graph API para C2, y MAILCREEP, una puerta trasera basada en C# que utiliza Google Sheets para C2. Zscaler ThreatLabz detalló ambas familias de malware en enero de 2026.
• SupaServuna puerta trasera basada en Rust que establece un canal de comunicación principal a través de la plataforma Supabase, con Firebase actuando como alternativa. Contiene emojis Unicode, lo que sugiere que probablemente fue desarrollado utilizando IA.
• Ladrón luminosoun probable ladrón de información basado en Rust y codificado en vibración que utiliza Firebase y Google Drive para filtrar archivos que coinciden con ciertas extensiones (.txt, .docx, .pdf, .png, .jpg, .xlsx, .pptx, .zip, .rar, .doc y .xls).
• concha de cristaluna puerta trasera escrita en Crystal que es capaz de apuntar a sistemas Windows, Linux y macOS, y utiliza ID de canal de Discord codificados para C2. Admite la capacidad de ejecutar comandos y recopilar información del host. Se ha descubierto que una variante del malware utiliza Slack para C2.
• ZigShelluna contraparte de CrystalShell que está escrita en Zig y utiliza Slack como infraestructura C2 principal. También admite funciones adicionales para cargar y descargar archivos.
• Archivo de cristalun intérprete de comandos simple escrito en Crystal que monitorea continuamente «C:\Users\Public\AccountPictures\input.txt» y ejecuta el contenido usando «cmd.exe».
• Galletas Luminosasun inyector especializado basado en Rust para extraer cookies, contraseñas e información de pago de navegadores basados ​​en Chromium eludiendo el cifrado vinculado a aplicaciones.
• Espía de copia de seguridaduna utilidad basada en Rust diseñada para monitorear el sistema de archivos local y los medios externos en busca de datos de alto valor.
• ZigLoaderun cargador especializado escrito en Zig que descifra y ejecuta código shell arbitrario en la memoria.
• Baliza centinela de la puertauna versión personalizada del código abierto Centinela de la puerta Proyecto marco C2.

«La transición de APT36 hacia vibeware representa una regresión técnica», dijo Bitdefender. «Si bien el desarrollo asistido por IA aumenta el volumen de muestras, las herramientas resultantes a menudo son inestables y están plagadas de errores lógicos. La estrategia del actor apunta incorrectamente a la detección basada en firmas, que durante mucho tiempo ha sido reemplazada por la seguridad moderna de los terminales».

Bitdefender ha advertido que la amenaza que plantea el malware asistido por IA es la industrialización de los ataques, lo que permite a los actores de amenazas escalar sus actividades rápidamente y con menos esfuerzo.

«Estamos viendo una convergencia de dos tendencias que se han estado desarrollando durante algún tiempo: la adopción de lenguajes de programación exóticos y especializados y el abuso de servicios confiables para esconderse en el tráfico legítimo de la red», dijeron los investigadores. «Esta combinación permite que incluso un código mediocre alcance un alto éxito operativo simplemente superando la telemetría defensiva estándar».

El comité de Energía y Comercio de la Cámara de Representantes aprobó por unanimidad el jueves un paquete de proyectos de ley bipartidistas de ciberseguridad dirigidos al sector energético, incluida una legislación que reautorizaría y financiaría un programa federal crítico de asistencia en ciberseguridad para empresas de servicios eléctricos rurales en todo el país.

El Ley de ciberseguridad de servicios públicos rurales y municipalespresentado por las representantes Mariannette Miller-Meeks, republicana por Iowa, y Jennifer McClellan, demócrata por Virginia, reautoriza el programa de ciberseguridad avanzada de servicios públicos rurales y municipales del Departamento de Energía, que canaliza cientos de millones de dólares en subvenciones federales y asistencia técnica cada año para ayudar a los servicios públicos y cooperativas rurales a defenderse contra ataques cibernéticos y otras amenazas.

El programa se creó a través de la Ley de Empleo e Inversión en Infraestructura de 2022 y es ampliamente visto en el sector energético como un salvavidas de ciberseguridad para servicios eléctricos con fondos insuficientes de lo contrario, sería un eslabón débil en la ciberseguridad o confiabilidad energética del país.

Las empresas de servicios públicos más pequeñas desempeñan un papel crucial en el apoyo a las redes energéticas del país, pero muchas carecen de operaciones sofisticadas de TI o de ciberseguridad. Los funcionarios de la industria dicen que no es raro que algunas entidades tengan uno o dos funcionarios de TI o ciberseguridad, en todo caso. El proyecto de ley aprueba 250 millones de dólares en subvenciones adicionales para el programa durante los próximos cinco años, parte de los cuales se destinaría a implementar tecnologías de ciberseguridad más modernas y mejorar el intercambio de información.

Hablando antes de la votación, Miller-Meeks dijo que la cooperativa eléctrica de su distrito de Iowa debe atender a los contribuyentes en 20 condados diferentes y enfrenta «las mismas amenazas que los sistemas metropolitanos pero con menos recursos».

“En un momento en que los ataques de ciberseguridad a nuestra infraestructura crítica están aumentando y aún no hemos autorizado un proyecto de ley de asignaciones para el DHS, las empresas de servicios públicos pequeñas y rurales necesitan recursos para defenderse de los actores estatales y las amenazas sofisticadas”, dijo.

El miembro de mayor rango Frank Pallone, DN.J., expresó su propia crítica, afirmando que la reautorización fue “retrasada durante incontables meses debido a demoras sin sentido” por parte de funcionarios de Energía.

Otro proyecto de ley, el Ley de liderazgo en emergencias energéticastrasladaría la responsabilidad de las funciones de ciberseguridad de la Oficina de Ciberseguridad, Seguridad Energética y Respuesta a Emergencias a un único subsecretario confirmado por el Senado.

La principal patrocinadora del proyecto de ley, la representante Laurel Lee, republicana por Florida, citó directamente informes de amenazas continuas al sector energético del país por parte de piratas informáticos patrocinados por el estado chino como impulsor de la legislación.

“Al mismo tiempo que nuestra red eléctrica enfrenta un panorama de amenazas cada vez más complejo, amenazas patrocinadas por estados como Volt Typhoon han apuntado activamente a infraestructura crítica de EE. UU., incluida nuestra red eléctrica”, dijo Lee. «Éstas son amenazas reales y continuas de adversarios extranjeros que buscan socavar nuestra seguridad nacional y estabilidad económica».

El comité también aprobó proyectos de ley que requieren estados incluir la ciberseguridad en sus planes energéticos, aclarar el papel del Secretario de Energía en la promoción y coordinación de la ciberseguridad de los oleoductos y gasoductos del país, y codificar un Centro piloto de Análisis de Amenazas Energéticas.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) el jueves agregado dos fallas de seguridad que afectan los productos de Hikvision y Rockwell Automation a sus vulnerabilidades explotadas conocidas (KEV) catálogo, citando evidencia de explotación activa.

Las vulnerabilidades de gravedad crítica se enumeran a continuación:

• CVE-2017-7921 (Puntuación CVSS: 9,8): una vulnerabilidad de autenticación inadecuada que afecta a múltiples productos Hikvision y que podría permitir a un usuario malintencionado escalar privilegios en el sistema y obtener acceso a información confidencial.
• CVE-2021-22681 (Puntuación CVSS: 9,8): una vulnerabilidad de credenciales insuficientemente protegidas que afecta a múltiples controladores Rockwell Automation Studio 5000 Logix Designer, RSLogix 5000 y Logix que podría permitir que un usuario no autorizado con acceso a la red del controlador omita el mecanismo de verificación y se autentique con él, así como también altere su configuración y/o código de aplicación.

La incorporación de CVE-2017-7921 al catálogo KEV se produce más de cuatro meses después de que SANS Internet Storm Center revelara que había detectado intentos de explotación contra cámaras Hikvision susceptibles a la falla. Sin embargo, no parece haber ningún informe público que describa los ataques que involucren a CVE-2021-22681.

A la luz de la explotación activa, se recomienda a las agencias del Poder Ejecutivo Civil Federal (FCEB) actualizar a las últimas versiones de software compatibles antes del 26 de marzo de 2026, como parte de Directiva operativa vinculante (DBO) 22-01.

«Este tipo de vulnerabilidades son vectores de ataque frecuentes para actores cibernéticos maliciosos y plantean riesgos significativos para la empresa federal», dijo CISA.

«Aunque BOD 22-01 solo se aplica a las agencias FCEB, CISA insta encarecidamente a todas las organizaciones a reducir su exposición a ataques cibernéticos priorizando la remediación oportuna de las vulnerabilidades del Catálogo KEV como parte de su práctica de gestión de vulnerabilidades».

Un actor de amenazas persistentes avanzadas (APT) vinculado a China ha estado apuntando a infraestructuras de telecomunicaciones críticas en América del Sur desde 2024, apuntando a sistemas Windows y Linux y dispositivos de borde con tres implantes diferentes.

La actividad está siendo rastreado por Cisco Talos bajo el apodo UAT-9244describiéndolo como estrechamente asociado con otro grupo conocido como FamousSparrow.

Vale la pena señalar que se considera que FamousSparrow comparte superposiciones tácticas con Salt Typhoon, un grupo de espionaje del nexo con China conocido por apuntar a proveedores de servicios de telecomunicaciones. A pesar de la huella similar entre UAT-9244 y Salt Typhoon, no hay evidencia concluyente que vincule a los dos grupos.

En la campaña analizada por la empresa de ciberseguridad, se descubrió que las cadenas de ataque distribuyen tres implantes previamente no documentados: TernDoor dirigido a Windows, PeerTime (también conocido como Angrypeer) dirigido a Linux y BruteEntry, que se instala en dispositivos de borde de red.

Se desconoce el método de acceso inicial exacto utilizado en los ataques, aunque el adversario se ha dirigido previamente a sistemas que ejecutan versiones obsoletas de Windows Server y Microsoft Exchange Server para lanzar shells web para actividades posteriores.

TernDoor se implementa mediante carga lateral de DLL, aprovechando el ejecutable legítimo «wsprint.exe» para iniciar una DLL maliciosa («BugSplatRc64.dll») que descifra y ejecuta la carga útil final en la memoria. Se dice que UAT-9244 ha utilizado la puerta trasera, una variante de Crowdoor (en sí misma una variante de SparrowDoor), desde al menos noviembre de 2024.

Establece persistencia en el host mediante una tarea programada o la clave Ejecutar registro. También presenta diferencias con CrowDoor al utilizar un conjunto dispar de códigos de comando e incorporar un controlador de Windows para suspender, reanudar y finalizar procesos. Además, solo admite un modificador de línea de comandos («-u») para desinstalarse del host y eliminar todos los artefactos asociados.

Una vez iniciado, ejecuta una verificación para asegurarse de que se haya inyectado en «msiexec.exe», después de lo cual decodifica una configuración para extraer los parámetros de comando y control (C2). Posteriormente, establece comunicación con el servidor C2, lo que le permite crear procesos, ejecutar comandos arbitrarios, leer/escribir archivos, recopilar información del sistema e implementar el controlador para ocultar componentes maliciosos y administrar procesos.

Un análisis más detallado de la infraestructura del UAT-9244 ha llevado al descubrimiento de una puerta trasera de igual a igual (P2P) de Linux denominada PeerTime, que está compilada para varias arquitecturas (es decir, ARM, AARCH, PPC y MIPS) para infectar una variedad de sistemas integrados. La puerta trasera ELF, junto con un binario de instrumento, se implementa mediante un script de shell.

«El binario Instrumentor ELF comprobará la presencia de Docker en el host comprometido utilizando los comandos docker y docker –q», dijeron los investigadores de Talos Asheer Malhotra y Brandon White. «Si se encuentra Docker, se ejecuta el cargador PeerTime. El instrumento consta de cadenas de depuración en chino simplificado, lo que indica que es un binario personalizado creado e implementado por actores de amenazas de habla china».

El objetivo principal del cargador es descifrar y descomprimir la carga útil final de PeerTime y ejecutarla directamente en la memoria. PeerTime viene en dos versiones: una versión escrita en C/C++ y una variante más nueva programada en Rust. Además de tener la capacidad de cambiarse el nombre a sí mismo como un proceso inofensivo para eludir la detección, la puerta trasera emplea el protocolo BitTorrent para obtener información C2, descargar archivos de sus pares y ejecutarlos en el sistema comprometido.

También se encuentran en los servidores del actor de amenazas un conjunto de scripts de shell y cargas útiles, incluido un escáner de fuerza bruta con nombre en código BruteEntry que se instala en dispositivos perimetrales para convertirlos en nodos proxy de escaneo masivo dentro de una Operational Relay Box (ORB) capaz de forzar servidores Postgres, SSH y Tomcat por fuerza bruta.

Esto se logra mediante un script de shell que coloca dos componentes basados ​​en Golang: un orquestador que entrega BruteEntry, que luego contacta a un servidor C2 para obtener la lista de direcciones IP a las que se dirigirán los ataques de fuerza bruta. En última instancia, la puerta trasera informa los inicios de sesión exitosos al servidor C2.

«El ‘éxito’ indica si la fuerza bruta tuvo éxito (verdadero o falso), y las ‘notas’ proporcionan información específica sobre si la fuerza bruta tuvo éxito», dijo Talos. «Si el inicio de sesión falló, la nota dice ‘Se intentaron todas las credenciales’».

Una nueva investigación de Symantec de Broadcom y el equipo Carbon Black Threat Hunter ha descubierto evidencia de un grupo de piratería iraní incrustándose en las redes de varias empresas estadounidenses, incluidos bancos, aeropuertos, organizaciones sin fines de lucro y la rama israelí de una empresa de software.

La actividad se ha atribuido a un grupo de piratería patrocinado por el estado llamado FangosoAgua (también conocido como gusano de semilla). Está afiliado al Ministerio iraní de Inteligencia y Seguridad (MOIS). Se estima que la campaña comenzó a principios de febrero, y se detectó actividad reciente tras los ataques militares estadounidenses e israelíes contra Irán.

«La compañía de software es proveedor de las industrias aeroespacial y de defensa, entre otras, y tiene presencia en Israel, y la operación de la compañía en Israel parece ser el objetivo de esta actividad», dijo el proveedor de seguridad en un informe compartido con The Hacker News.

Se ha descubierto que los ataques dirigidos a la empresa de software, así como a un banco estadounidense y una organización sin fines de lucro canadiense, allanan el camino para una puerta trasera previamente desconocida denominada Dindoor, que aprovecha la Deno Tiempo de ejecución de JavaScript para su ejecución. Broadcom dijo que también identificó un intento de extraer datos de la compañía de software utilizando la utilidad Rclone a un depósito de almacenamiento en la nube de Wasabi. Sin embargo, actualmente no se sabe si el esfuerzo dio sus frutos.

También se encontró en las redes de un aeropuerto de EE. UU. y de una organización sin fines de lucro una puerta trasera de Python separada llamada Fakeset, que se descargó de servidores pertenecientes a Backblaze, una empresa estadounidense de almacenamiento en la nube y copia de seguridad de datos. El certificado digital utilizado para firmar Fakeset también se ha utilizado para firmar el malware Stagecomp y Darkcomp, ambos previamente vinculados a MuddyWater.

«Aunque este malware no se vio en las redes objetivo, el uso de los mismos certificados sugiere que el mismo actor, concretamente Seedworm, estaba detrás de la actividad en las redes de las empresas estadounidenses», dijeron Symantec y Carbon Black.

«Los actores de amenazas iraníes se han vuelto cada vez más competentes en los últimos años. No sólo han mejorado sus herramientas y su malware, sino que también han demostrado sólidas capacidades de ingeniería social, incluidas campañas de phishing y operaciones de ‘trampa de miel’ utilizadas para construir relaciones con objetivos de interés para obtener acceso a cuentas o información confidencial».

Los hallazgos se producen en el contexto de una escalada del conflicto militar en Irán, que ha desencadenado una avalancha de ciberataques en la esfera digital. Una investigación reciente de Check Point ha descubierto que el grupo hacktivista propalestino conocido como Handala Hack (también conocido como Void Manticore) dirige sus operaciones a través de rangos de IP de Starlink para investigar aplicaciones externas en busca de configuraciones erróneas y credenciales débiles.

En los últimos meses, múltiples Adversarios del nexo Iráncomo Agrius (también conocido como Agonizing Serpens, Marshtreader y Pink Sandstorm), también han observado escaneo en busca de cámaras Hikvision vulnerables y soluciones de videoportero utilizando fallas de seguridad conocidas como CVE-2017-7921 y CVE-2023-6895.

Los ataques, según Check Point, se han intensificado a raíz del actual conflicto en Oriente Medio. Los intentos de explotación de cámaras IP han experimentado un aumento en Israel y los países del Golfo, incluidos los Emiratos Árabes Unidos, Qatar, Bahréin y Kuwait, además del Líbano y Chipre. La actividad ha señalado cámaras de Dahua y Hikvision, armando las dos vulnerabilidades antes mencionadas, así como CVE-2021-36260, CVE-2025-34067y CVE-2021-33044.

«En conjunto, estos hallazgos son consistentes con la evaluación de que Irán, como parte de su doctrina, aprovecha el compromiso de la cámara para el apoyo operativo y la evaluación continua de daños de batalla (BDA) para operaciones de misiles, potencialmente en algunos casos antes de los lanzamientos de misiles», dijo la compañía. dicho.

«Como resultado, el seguimiento de la actividad de la cámara dirigida a infraestructuras específicas y atribuidas puede servir como un indicador temprano de una posible actividad cinética de seguimiento».

La guerra de Estados Unidos e Israel con Irán también ha provocado un aviso del Centro Canadiense de Seguridad Cibernética (CCCS), que advertido que Irán probablemente utilice su aparato cibernético para organizar ataques de represalia contra infraestructura crítica y operaciones de información para promover los intereses del régimen.

Algunos otros acontecimientos clave que se han desarrollado en los últimos días se enumeran a continuación:

• agencias de inteligencia israelíes pirateado en la extensa red de cámaras de tráfico de Teherán durante años para monitorear los movimientos de los guardaespaldas del Ayatollah Ali Khamenei y otros altos funcionarios iraníes en el período previo al asesinato del líder supremo la semana pasada, informó el Financial Times. reportado.
• El Cuerpo de la Guardia Revolucionaria Islámica de Irán (CGRI) atacó el centro de datos de Amazon en Bahréin por el apoyo de la compañía a las «actividades militares y de inteligencia del enemigo», informó el medio estatal Fars News Agency. dicho en Telegrama.
• Se dice que se están llevando a cabo campañas activas de limpieza contra los sectores energético, financiero, gubernamental y de servicios públicos de Israel. «El arsenal de limpiaparabrisas de Irán incluye más de 15 familias (ZeroCleare, Meteor, Dustman, DEADWOOD, Apostle, BFG Agonizer, MultiLayer, PartialWasher y otras)», Anomali dicho.
• Los grupos APT patrocinados por el estado iraní como MuddyWater, Charming Kitten, OilRig, Elfin y Fox Kitten «demostraron signos claros de activación y rápida reestructuración, posicionándose para operaciones de represalia en medio de la escalada del conflicto», LevelBlue dichoy agregó que «la cibernética representa una de las herramientas asimétricas más accesibles de Irán para tomar represalias contra los estados del Golfo que condenaron sus ataques y apoyaron las operaciones estadounidenses».
• Según Flashpoint, una campaña cibernética masiva #OpIsrael que involucra a actores prorrusos y proiraníes se ha dirigido a los sistemas de control industrial (ICS) y portales gubernamentales israelíes en Kuwait, Jordania y Bahréin. La campaña está impulsada por NoName057(16), Handala Hack, Fatemiyoun Electronic Team y Cyber ​​Islamic Resistance (también conocido como 313 Team).
• Entre el 28 de febrero de 2026 y el 2 de marzo de 2026, el grupo hacktivista prorruso Z-Pentest se atribuyó la responsabilidad de comprometer varias entidades con sede en Estados Unidos, incluidos sistemas ICS y SCADA y múltiples redes de CCTV. «El momento de estas afirmaciones no verificadas, que coinciden con la Operación Epic Fury, sugiere que Z-Pentest probablemente comenzó a priorizar entidades estadounidenses como objetivos», dijo a The Hacker News Adam Meyers, jefe de Operaciones Contra Adversarios de CrowdStrike.

«La capacidad cibernética ofensiva de Irán ha madurado hasta convertirse en un instrumento duradero de poder estatal utilizado para apoyar la recopilación de inteligencia, la influencia regional y la señalización estratégica durante períodos de tensión geopolítica», UltraViolet Cyber dicho. «Una característica definitoria de la actual doctrina cibernética de Irán es su énfasis en la identidad y los aviones de control de la nube como principal superficie de ataque».

«En lugar de priorizar la explotación de día cero o malware altamente novedoso a escala, los operadores iraníes tienden a centrarse en técnicas de acceso repetibles como el robo de credenciales, la pulverización de contraseñas y la ingeniería social, seguidas de la persistencia a través de servicios empresariales ampliamente implementados».

Se recomienda a las organizaciones que refuercen su postura de ciberseguridad, fortalezcan las capacidades de monitoreo, limiten la exposición a Internet, deshabiliten el acceso remoto a los sistemas de tecnología operativa (OT), apliquen la autenticación multifactor (MFA) resistente al phishing, implementen la segmentación de la red, realicen copias de seguridad fuera de línea y garanticen que todas las aplicaciones conectadas a Internet, puertas de enlace VPN y dispositivos perimetrales estén actualizados.

«Las organizaciones occidentales deben continuar en alerta máxima ante una posible respuesta cibernética a medida que el conflicto continúa y la actividad puede ir más allá del hacktivismo y convertirse en operaciones destructivas», dijo Meyers.

Escalar los servicios de ciberseguridad como MSP o MSSP requiere experiencia técnica y un modelo de negocio que ofrece valor medible a escala.

La ciberseguridad basada en riesgos es la base de ese modelo. Cuando se hace correctamente, genera confianza en el cliente, aumenta las oportunidades de ventas adicionales e impulsa los ingresos recurrentes. Pero para lograr esto de manera consistente y eficiente, necesita la tecnología y los procesos adecuados.

Nosotros creamos La guía de crecimiento de MSP: cómo los MSP utilizan la gestión de riesgos basada en IA para escalar su negocio de ciberseguridad para ayudar a los proveedores a realizar la transición hacia una ciberseguridad escalable y que priorice el riesgo. En el interior, encontrará información práctica sobre los principales desafíos que enfrentan los MSP, orientación experta para superarlos y un marco para seleccionar e implementar la gestión de riesgos impulsada por IA para desbloquear ingresos recurrentes y escalables.

Por qué la gestión de riesgos es la clave para escalar los servicios de ciberseguridad

La mayoría de los MSP ofrecen servicios críticos de ciberseguridad, desde soporte de cumplimiento hasta protección de terminales, pero a menudo se trata de compromisos aislados que limitan el valor a largo plazo y los ingresos recurrentes.

Un enfoque basado en el riesgo cambia eso. Al evaluar el panorama completo de amenazas y priorizar los riesgos según el impacto comercial, los MSP pueden pasar de soluciones tácticas a un servicio continuo y proactivo.

Al adoptar un enfoque que prioriza el riesgo, usted puede:

• Anticipar y neutralizar las amenazas antes de que causen daño.
• Adaptar continuamente las medidas de seguridad a un panorama de amenazas en evolución
• Proteja los activos, las operaciones y la reputación incluso cuando el cumplimiento no requiera acciones específicas

La gestión de riesgos también ayuda a los MSP a cumplir con las expectativas de los marcos de ciberseguridad modernos, muchos de los cuales requieren evaluaciones de riesgos formales y continuas. Al incorporar la gestión de riesgos en sus ofertas de servicios, abre la puerta a contratos más lucrativos y ventas adicionales basadas en el cumplimiento.

Seis desafíos que la gestión de riesgos impulsada por la IA resuelve para los MSP

Ofrecer servicios de gestión de riesgos ofrece un valor claro, pero incluso los MSP experimentados encuentran obstáculos que obstaculizan la prestación de servicios, reducen la escalabilidad y hacen más difícil mostrar su impacto a los clientes.

Estas son las seis barreras más comunes al crecimiento que enfrentan las MSP:

• Evaluaciones manuales: Consume mucho tiempo, es propenso a errores y difícil de escalar
• Sin hoja de ruta de remediación: Los hallazgos sin planes de acción claros frustran a los clientes
• Complejidad del cumplimiento: La alineación manual con múltiples marcos requiere mucho tiempo y es inconsistente
• Falta de contexto empresarial.: Los informes son demasiado técnicos para los responsables de la toma de decisiones
• Escasez de talento: Los expertos en riesgos cualificados son difíciles de encontrar y retener
• Riesgo de terceros no gestionado: La mayoría de las plataformas ignoran el riesgo del proveedor

Para convertir una estrategia de ciberseguridad basada en riesgos en un modelo de servicio rentable y escalable, los MSP necesitan la tecnología adecuada.

Ahí es donde entran en juego las plataformas de gestión de riesgos impulsadas por IA. Estas plataformas agilizan cada paso, desde la evaluación hasta la remediación y la generación de informes, al tiempo que incorporan experiencia de nivel CISO en la prestación de sus servicios.

Seleccionar la plataforma adecuada de gestión de riesgos basada en IA: qué exigir y por qué

Qué esperar de una plataforma moderna de gestión de riesgos

La plataforma de gestión de riesgos adecuada basada en IA evalúa las amenazas y al mismo tiempo acelera la entrega de resultados que impulsan el crecimiento empresarial. Los proveedores de servicios deben esperar:

• Incorporación y prestación de servicios más rápidas con evaluaciones de riesgos automatizadas y fáciles de usar
• Gestión de cumplimiento mejorada a través de la alineación del marco integrado, mapeo automático y monitoreo continuo
• Mayor satisfacción y confianza del cliente con informes de riesgos claros y centrados en el negocio.
• Retorno de la inversión medible al reducir las cargas de trabajo manuales, aumentar la eficiencia y permitir una prestación de servicios más rentable a escala
• Mayores oportunidades de ventas adicionales al identificar los servicios adicionales que los clientes necesitan en función de su perfil de riesgo único.

Cómo elegir la plataforma de gestión de riesgos adecuada basada en IA

Elegir la solución de gestión de riesgos adecuada es clave para ampliar los servicios de ciberseguridad. La plataforma adecuada debería mejorar la eficiencia operativa, ayudar a priorizar las acciones y comunicar los riesgos de manera que resuenen con las partes interesadas del negocio.

Las capacidades clave que se deben buscar en una plataforma moderna de gestión de riesgos incluyen:

• Evaluaciones de riesgos automatizadas: Ofrezca resultados en días en lugar de meses, reduzca el error humano y garantice resultados consistentes y repetibles
• Registro de riesgos dinámico con mapas de calor: Visualice y priorice instantáneamente los riesgos según la gravedad y la probabilidad para centrar los esfuerzos donde más importan.
• Planes de remediación viables: Convierta los hallazgos en tareas claras y priorizadas alineadas con los objetivos comerciales y los requisitos de cumplimiento.
• Tolerancias de riesgo personalizables: Adaptar la puntuación de riesgo y las recomendaciones a los objetivos específicos y al apetito de riesgo de cada cliente.

Para obtener la lista completa de capacidades que debe buscar, descargue La guía de crecimiento de MSP: cómo los MSP utilizan la gestión de riesgos impulsada por IA para escalar su negocio de ciberseguridad.

Cuando estas capacidades se integran en su modelo de servicio, desbloquea la capacidad de escalar operaciones, aumentar los márgenes y aumentar los ingresos sin ampliar la plantilla.

Convertir la gestión de riesgos impulsada por la IA en una ventaja estratégica

La gestión de riesgos basada en IA ayuda a los MSP y MSSP a escalar servicios, mejorar la eficiencia y ofrecer valor continuo a los clientes. Agiliza las evaluaciones, prioriza los riesgos en función del impacto empresarial y respalda la prestación de servicios consistente y de alta calidad.

La guía de crecimiento de MSP: cómo los MSP utilizan la gestión de riesgos basada en IA para escalar su negocio de ciberseguridad muestra cómo integrar la gestión de riesgos impulsada por la IA en su oferta para impulsar el crecimiento a largo plazo.

Descarga la guía para aprender cómo escalar de manera más inteligente, fortalecer las relaciones con los clientes y utilizar la gestión de riesgos como una ventaja competitiva.