Un esfuerzo de un año para fortalecer la ciberseguridad y modernizar la tecnología en las agencias de inteligencia de EE. UU. ha llevado a estándares de políticas para el uso de IA para reforzar las defensas cibernéticas, un repositorio compartido de todas las aplicaciones que han sido sometidas a una revisión de ciberseguridad y más, anunció el jueves la Oficina del Director de Inteligencia Nacional.

Un resumen sin clasificar del trabajo de modernización cibernética y tecnológica durante el primer año de la dirección de DNI Tulsi Gabbard afirma que la oficina ha ampliado la automatización de la búsqueda de amenazas en las redes de la comunidad de inteligencia. (La Agencia de Seguridad de Infraestructura y Ciberseguridad lleva a cabo una búsqueda de amenazas en todas las agencias civiles federales).

La ODNI también ha desarrollado una estrategia de confianza cero que cambia “a un modelo de seguridad centrado en los datos que protege la información independientemente de la ubicación o la red”, según el resumen.

«Durante el año pasado, hemos tomado medidas significativas para comenzar a cumplir esa responsabilidad a través del mayor esfuerzo de modernización e inversión en tecnología de circuitos integrados de la historia», dijo Gabbard en un comunicado de prensa. «La comunidad de inteligencia del presidente Trump está avanzando más rápido y con mayor decisión que nunca en la modernización de la ciberseguridad y las inversiones en TI, ofreciendo defensas más sólidas, mayor eficiencia y ahorros de costos reales para el pueblo estadounidense».

Constituye el primer anuncio importante sobre ciberseguridad realizado por la oficina de Gabbard y la segunda administración de Trump.

Si bien el esfuerzo de un año comenzó antes del reciente lanzamiento de una estrategia cibernética nacional, las iniciativas de ODNI reflejan muchos de sus objetivos, incluida una mejor protección de las redes federales, el avance de la inteligencia artificial con fines defensivos y la ofensiva contra los ciberadversarios.

La ODNI ordenó a su Centro Nacional de Seguridad y Contrainteligencia “combatir proactivamente a los actores de inteligencia extranjeros que buscan participar en ciberataques contra intereses estadounidenses”, según el resumen.

La idea de un repositorio de autorizaciones de ciberseguridad de la comunidad de inteligencia es ahorrar tiempo y dinero, ya que permitiría a las agencias aprovechar las pruebas de aplicaciones que otras agencias han realizado sin tener que repetirlas.

En cuanto a la IA, la ODNI está «desarrollando el marco de políticas, la gobernanza y los estándares necesarios para acelerar la adopción de la IA para la ciberseguridad y otras tecnologías críticas», afirma el resumen.

«Proteger la información más sensible de nuestra nación de aquellos que buscan explotarla, y al mismo tiempo garantizar que nuestros profesionales de inteligencia tengan las herramientas y el acceso que necesitan para hacer su trabajo, no es opcional. Es esencial para nuestra seguridad nacional», dijo Gabbard.

La aparición de Gabbard a principios de este año durante una búsqueda del FBI en una oficina electoral en Georgia ha atraído el escrutinio del Congreso, una apariencia que ha defendido en parte citando el papel de su oficina en la coordinación y análisis de inteligencia. relacionado con la ciberseguridad. Las propias prácticas personales de ciberseguridad de Gabbard antes de asumir el puesto de DNI han también planteó preguntas.

La Comisión Federal de Comunicaciones está tomando medidas enérgicas contra las llamadas automáticas ilegales y el uso de centros de llamadas extranjeros.

En una reunión el jueves, la comisión de tres miembros aprobó por unanimidad una nueva reglamento propuesto aumentar los requisitos de certificación y divulgación para obtener números de teléfono, y al mismo tiempo ampliar esos mismos requisitos a todos los proveedores que buscan números de teléfono del Administrador del Plan de Numeración de América del Norte y de los revendedores.

La regla, que se configurará a través de comentarios públicos, tiene como objetivo dificultar que los spammers, estafadores y otros llamadores ilegales obtengan números de teléfono legítimos. La Oficina de Comunicaciones de la FCC dijo que la mayoría de las investigaciones de la agencia sobre llamadas automáticas ilegales han involucrado números revendidos.

También impondría requisitos de divulgación más estrictos a las empresas de telecomunicaciones sobre las personas que llaman en sus redes y sus identidades, información que ayudará a organizaciones como la Grupo de seguimiento de la industria rastrear e identificar a los llamadores automáticos a medida que sus llamadas saltan a través de las redes telefónicas descentralizadas y fragmentadas del país.

La comisionada Anna Gómez dijo que las reglas propuestas ayudarían a elevar el nivel para que los malos actores obtengan números de teléfono válidos y ayudarían a cerrar las brechas en los informes que dificultan que la industria y los reguladores encuentren y eliminen a los llamadores automáticos de las redes.

«En este momento, los malos actores están explotando las lagunas en un sistema de números telefónicos que fue diseñado para una época más simple», dijo Gómez.

La comisión planea explorar una variedad de soluciones para fortalecer los requisitos y políticas de numeración, incluida la lucha contra tácticas comunes que dependen en gran medida de números revendidos, como el ciclo de números donde “los proveedores de servicios procesan grandes cantidades de números de teléfono”. [on] de forma rotativa e incluso de un solo uso para evadir la detección”.

La comisionada Olivia Trusty dijo que, si bien los cambios en la tecnología y el mercado han aportado importantes beneficios a los consumidores, también han «hacido que sea más difícil identificar quién utiliza los números de teléfono y con qué fines, lo que complica tanto la aplicación de las llamadas automáticas como la administración de la numeración».

El mes pasado, la FCC finalizó las regulaciones que requieren que las empresas de telecomunicaciones certifiquen anualmente que la información de sus llamadas es precisa y proporcionen información actualizada a la base de datos de mitigación de llamadas automáticas de la agencia.

Una propuesta separada regulación aprobada por la comisión el jueves impondría nuevas restricciones a la capacidad de los proveedores de telefonía estadounidenses de subcontratar sus servicios de call center a países extranjeros. Se pregunta específicamente sobre la viabilidad de dar a los consumidores la opción de exigir que sus llamadas sean enrutadas a centros de llamadas con sede en EE. UU., exigir que las llamadas que involucran «ciertos tipos de información sensible» se procesen en ubicaciones de EE. UU., exigir a los proveedores que revelen el uso de centros en el extranjero a las personas que llaman durante una llamada y exigir que los operadores hablen inglés con fluidez.

El presidente de la FCC, Brendan Carr, promocionó la iniciativa como parte de los esfuerzos declarados de la administración Trump para convencer a las empresas estadounidenses de que instalen más servicios en los EE. UU.

Pero organizaciones como AARP tienen también encontrado que los centros de llamadas en el extranjero que operan fuera de las leyes estadounidenses o internacionales desempeñan un papel importante en la epidemia de llamadas automáticas del país. En una conferencia de prensa después de la reunión, Carr se hizo eco de ese sentimiento y afirmó que algunos estafadores criminales que acosan a los estadounidenses hoy en día irrumpieron en la industria trabajando en centros de llamadas subcontratados.

«Creo que también nos ayuda a tomar medidas enérgicas contra algunos de los llamadores automáticos ilegales», dijo Carr sobre las nuevas reglas de deslocalización. «Al final del día, creo que las personas que llaman en Estados Unidos deberían esperar y merecer comunicarse con los centros de llamadas estadounidenses».

Una campaña en curso y de largo plazo atribuida a un actor amenazante del nexo con China se ha incrustado en las redes de telecomunicaciones para realizar espionaje contra las redes gubernamentales.

La actividad de posicionamiento estratégico, que implica implantar y mantener mecanismos de acceso sigiloso dentro de entornos críticos, se ha atribuido a Hombre rojoun grupo de amenazas que también se rastrea como Earth Bluecrow, DecisiveArchitect y Red Dev 18. El grupo tiene un historial de atacar a proveedores de telecomunicaciones en Medio Oriente y Asia desde al menos 2021.

Rapid7 describió los mecanismos de acceso encubierto como «algunas de las células durmientes digitales más sigilosas» jamás encontradas en las redes de telecomunicaciones.

La campaña se caracteriza por el uso de implantes a nivel de kernel, puertas traseras pasivas, utilidades de recolección de credenciales y marcos de comando multiplataforma, lo que brinda al actor de amenazas la capacidad de habitar persistentemente redes de interés. Una de las herramientas más reconocidas de su arsenal de malware es una puerta trasera de Linux llamada BPFDoor.

«A diferencia del malware convencional, BPFdoor no expone puertos de escucha ni mantiene canales de comando y control visibles», Rapid7 Labs dicho en un informe compartido con The Hacker News. «En cambio, abusa de la funcionalidad Berkeley Packet Filter (BPF) para inspeccionar el tráfico de red directamente dentro del kernel, activándose sólo cuando recibe un paquete de activación específicamente diseñado».

«No hay un oyente persistente ni una baliza obvia. El resultado es una trampilla oculta incrustada dentro del propio sistema operativo».

Las cadenas de ataques comienzan cuando el actor de la amenaza apunta a la infraestructura conectada a Internet y a los servicios de borde expuestos, como dispositivos VPN, firewalls y plataformas web asociadas con Ivanti, Cisco, Juniper Networks, Fortinet, VMware, Palo Alto Networks y Apache Struts, para obtener acceso inicial.

Al lograr un punto de apoyo exitoso, los marcos de balizas compatibles con Linux, como CrossC2 se implementa para facilitar las actividades posteriores a la explotación. También se lanzan Sliver, TinyShell (un puerta trasera Unix), registradores de pulsaciones de teclas y utilidades de fuerza bruta para facilitar la recolección de credenciales y el movimiento lateral.

Sin embargo, BPFDoor es fundamental para las operaciones de Red Menshen. Presenta dos componentes distintos: uno es una puerta trasera pasiva implementada en el sistema Linux comprometido para inspeccionar el tráfico entrante en busca de un paquete «mágico» predefinido instalando un filtro BPF y generando un shell remoto al recibir dicho paquete. La otra parte integral del marco es un controlador administrado por el atacante y es responsable de enviar los paquetes con formato especial.

«El controlador también está diseñado para operar dentro del propio entorno de la víctima», explicó Rapid7. «En este modo, puede hacerse pasar por procesos legítimos del sistema y desencadenar implantes adicionales en los hosts internos enviando paquetes de activación o abriendo un oyente local para recibir conexiones de shell, lo que permite efectivamente el movimiento lateral controlado entre sistemas comprometidos».

Es más, se ha descubierto que ciertos artefactos BPFDoor son compatibles con el protocolo de transmisión de control de flujo (SCTP), permitiendo potencialmente al adversario monitorear protocolos nativos de telecomunicaciones y obtener visibilidad del comportamiento y la ubicación de los suscriptores, e incluso rastrear individuos de interés.

Estos aspectos demuestran que la funcionalidad de BPFdoor va más allá de una puerta trasera sigilosa de Linux. «BPFdoor funciona como una capa de acceso integrada dentro de la red troncal de telecomunicaciones, proporcionando visibilidad silenciosa y a largo plazo de las operaciones críticas de la red», añadió el proveedor de seguridad.

No termina ahí. Una variante de BPFdoor previamente no documentada incorpora cambios arquitectónicos para hacerlo más evasivo y pasar desapercibido durante períodos prolongados en entornos empresariales y de telecomunicaciones modernos. Estos incluyen ocultar el paquete desencadenante dentro del tráfico HTTPS aparentemente legítimo e introducir un mecanismo de análisis novedoso que garantiza que la cadena «9999» aparezca en un desplazamiento de bytes fijo dentro de la solicitud.

Este camuflaje, a su vez, permite que el paquete mágico permanezca oculto dentro del tráfico HTTPS y evite provocar cambios en la posición de los datos dentro de la solicitud, y permite que el implante siempre busque el marcador en un desplazamiento de bytes específico y, si está presente, lo interprete como el comando de activación.

La muestra recién descubierta también presenta un «mecanismo de comunicación liviano» que utiliza el Protocolo de mensajes de control de Internet (ICMP) para interactuar entre dos hosts infectados.

«Estos hallazgos reflejan una evolución más amplia en el arte del adversario», dijo Rapid7. «Los atacantes están incorporando implantes más profundamente en la pila informática, apuntando a los núcleos del sistema operativo y las plataformas de infraestructura en lugar de depender únicamente del malware del espacio del usuario».

«Los entornos de telecomunicaciones, que combinan sistemas básicos, capas de virtualización, dispositivos de alto rendimiento y componentes centrales 4G/5G en contenedores, proporcionan un terreno ideal para una persistencia silenciosa y a largo plazo. Al combinarse con servicios de hardware legítimos y tiempos de ejecución de contenedores, los implantes pueden evadir el monitoreo tradicional de puntos finales y permanecer sin ser detectados durante períodos prolongados».

SAN FRANCISCO— Cuatro exdirectores de la Agencia de Seguridad Nacional compartieron diversas preocupaciones sobre la falta de una respuesta seria y generalizada a las crecientes amenazas en el ciberespacio durante una discusión en la Conferencia RSAC 2026 el martes.

Al acelerar las amenazas planteadas por la inteligencia artificial, China y los ciberdelincuentes en general están poniendo a prueba la determinación del país para fomentar una colaboración público-privada significativa, dijeron los ex comandantes del Comando Cibernético de EE. UU.

Si bien los oficiales militares de cuatro estrellas siguen confiando en los recursos del país y en las personas comprometidas con defender la nación de los ataques cibernéticos, expresaron inquietud por los desafíos que podrían alterar el dominio tecnológico y disminuir una respuesta colectiva a intrusiones graves.

«Creo que nos hemos vuelto insensibles», dijo el general retirado Paul Nakasone. «Seguimos viendo estas diferentes intrusiones, y las intrusiones han alcanzado un tamaño cuya escala me resulta simplemente increíble».

La nación y la industria no están a la altura de sus adversarios en medio de una fuga de cerebros en todo el gobierno de Estados Unidos, dijo el director fundador del Instituto de Seguridad Nacional de la Universidad de Vanderbilt.

«Hemos perdido terreno con respecto a nuestro acercamiento al sector privado» dentro de la Agencia de Seguridad de Infraestructura y Ciberseguridad, la Colaboración Conjunta de Ciberdefensa y el Centro de Colaboración de Ciberseguridad de la NSA, dijo Nakasone.

El almirante retirado de la Armada estadounidense Mike Rogers también criticó al gobierno estadounidense por áreas de inacción y decadencia. «Veo un gobierno que no está dispuesto a gastar capital político para impulsar realmente un cambio fundamental en el ámbito cibernético, y es un reflejo del hecho de que políticamente estamos muy divididos y como sociedad estamos muy divididos», afirmó.

«Somos la economía más grande del mundo. No tenemos un marco federal único de privacidad. No tenemos una sola pieza importante de legislación cibernética», añadió Rogers. «Eso me frustra muchísimo».

El general retirado Keith Alexander, primer jefe del Comando Cibernético de Estados Unidos, dijo que los actores clave siguen comprometidos y están trabajando tan duro como siempre para combatir las amenazas cibernéticas. Sin embargo, le preocupa lo que está haciendo la nación para enfrentar a China y todas las formas en que podría causar daño, particularmente en el ámbito de la IA.

«Seremos desafiados en esta área. Lucharemos en esta área, y tanto el gobierno como todos ustedes ayudarán a proteger este país para garantizar que lo superemos», dijo Alexander.

Los esfuerzos de colaboración del gobierno de Estados Unidos con empresas privadas proporcionan una ventaja de inteligencia increíble, dijo el general retirado Tim Haugh. Pero, advirtió, China ha replicado capacidades similares y se ha posicionado previamente dentro de redes de infraestructura críticas.

Bajo su liderazgo, Haugh dijo que intentó fomentar el debate entre los responsables políticos para considerar respuestas más ofensivas a las actividades cibernéticas maliciosas de China, en particular acciones que podrían ser equivalentes a los efectos que se producirían en un conflicto armado.

La frustración y la creciente preocupación eran palpables cuando los ex jefes de la NSA y del Comando Cibernético de EE. UU. subieron juntos al escenario por primera vez esta semana.

«Estamos empezando a aceptar esto, en cierto modo, como el precio de vivir en la era digital. Y todavía no hemos tenido un nivel de trauma que haya impulsado un cambio de comportamiento fundamental», dijo Rogers. «No hemos tenido miles de muertos. Espero que nunca lo hagamos, no me malinterpreten, pero parece que simplemente no hemos tenido un nivel de dolor que haya cambiado fundamentalmente el cálculo».

Some weeks in security feel loud. This one feels sneaky. Less big dramatic fireworks, more of that slow creeping sense that too many people are getting way too comfortable abusing things they probably shouldn’t even be touching.

There’s a little bit of everything in this one, too. Weird delivery tricks, old problems coming back in slightly worse forms, shady infrastructure doing shady infrastructure things, and the usual reminder that if criminals find a workflow annoying, they’ll just make a new one by Friday. Efficient little parasites. You almost have to respect the commitment.

A few of these updates have that nasty “yeah, that tracks” energy. Stuff that sounds niche right up until you picture it landing in a real environment with real users clicking real nonsense because they’re busy and tired and just trying to get through the day. Then it stops being abstract pretty fast.

So yeah, this week’s ThreatsDay Bulletin is a solid scroll-before-you-log-off kind of read. Nothing here needs a full panic spiral, but some of it definitely deserves a raised eyebrow and maybe a muttered: “Oh come on.” Let’s get into it.

Disruptions don’t really stick anymore. Stuff gets taken down, shuffled around, then quietly comes back like nothing happened. Same tactics, slightly cleaner execution.

A lot of this leans on built-in trust. Familiar tools, normal flows, things people stop questioning. That gap between “looks fine” and “definitely not fine” is still doing most of the work.

Nothing here is shocking on its own. Put together, though, it’s a bit uncomfortable. Scroll on.

Desenmascarar a los impostores es algo que el mundo del arte ha enfrentado durante décadas, y hay lecciones valiosas de las obras de Elmyr de Hory que pueden aplicarse al mundo de la ciberseguridad defensiva. Durante la década de 1960, De Hory ganó fama como falsificador de primer nivel, haciendo pasar obras maestras falsificadas de Picasso, Matisse y Renoir a coleccionistas desprevenidos y museos de renombre. Durante las siguientes décadas, más de mil de sus obras pasaron desapercibidas para los expertos que confiaban en firmas confiables, patrones familiares y procedencia acreditada.

No es diferente a los desafíos que enfrentan los SOC ahora. Estamos firmemente en la Era de la Imitación. Los ciberatacantes, equipados con inteligencia artificial, están dominando el arte de imitar lo familiar, haciéndose pasar por usuarios confiables y enmascarando su actividad dentro de procesos legítimos y tráfico de red ordinario. Como muestra la historia, a menudo es más fácil identificar a los impostores cuando sabes qué buscar.

Conclusiones clave para los defensores:

• El mimetismo es la nueva normalidad: El 81% de los ataques están libres de malware
• La IA agente ayuda a los atacantes a esconderse de manera más efectiva dentro del tráfico y comportamientos inocentes de la red.
• La defensa por capas ahora requiere más capas para extender la protección a través de las cadenas de suministro de software y las identidades federadas.
• NDR mejora la visibilidad para detectar y neutralizar «falsificaciones»

El auge del mimetismo en los ataques modernos

Así como De Hory reutilizó lienzos y pigmentos viejos para hacer que sus pinturas parecieran más auténticas, los atacantes emplean métodos similares en el ámbito digital, aprovechando herramientas y credenciales confiables para mezclar su actividad maliciosa. Y si bien las técnicas basadas en la imitación han sido durante mucho tiempo un elemento básico del manual del atacante, en los últimos años se han vuelto más sofisticadas. Los ataques Living-off-the-Land (LotL) y las herramientas de ataque mejoradas con IA han elevado el listón de la falsificación. Informe de amenazas globales 2026 de CrowdStrike afirma que el 81% de los ataques ahora están libres de malware y se basan en herramientas y técnicas legítimas, que es el sello distintivo de las tácticas de LotL. Detectar estas falsificaciones rápidamente no es sólo una opción: es una de las mejores posibilidades de interrumpir un ataque antes de que cause un daño real.

Una guía de campo para la falsificación de redes:

Actores agentes asistidos por IA

Autónomos o semiautónomos, generan identidades falsas, códigos e imitan comportamientos a escala.

de Hory contaba con una compleja red de apoyo para vender sus pinturas, en la que participaban marchantes de arte y otros representantes de muchos países y ciudades. Cuando algunos compradores potenciales empezaron a sospechar, empezó a vender sus obras bajo diversos seudónimos. Esto es similar a lo que está sucediendo ahora con el uso de agentes de IA económicos. Estos no sólo están acostumbrados a forjar identidades creíbles para realizar fraude, pero ahora se utilizan para producir explotar código para filtrar secretos y scripts para infectar puntos finales, formando la base de un ataque a mayor escala. Agentes sofisticados y de autoaprendizaje observan el comportamiento de la red y ajustan continuamente su propio tráfico, reflejando sus patrones para engañar las detecciones de anomalías. Cambian el tráfico C2 en ráfagas que coinciden con picos legítimos y manipulan sus señales lo suficiente para evitar destacarse. Y se están utilizando agentes legítimos como orquestadores de otras herramientas de explotación para automatizar y ampliar los ataques.

Impostores de la cadena de suministro y la nube

Componentes falsificados o comprometidos que se hacen pasar por software, actualizaciones o servicios en la nube confiables.

Los atacantes utilizan agentes de inteligencia artificial maliciosos para crear una capa de complejidad para las cadenas de suministro de software. Los agentes sustituyen software malicioso y disfrazan este código como otra actualización benigna, lo que hace que los orígenes del exploit y las causas fundamentales sean más difíciles de descubrir. Este tipo de exploits significa que los atacantes no necesitan engañar directamente a los defensores de la red o a los desarrolladores de software. esto es lo que Investigadores de Microsoft encontraron el gusano Shai Hulud v2. Los atacantes modificaron cientos de paquetes de software para proporcionar un ecosistema coordinado para recolectar credenciales de desarrollador y secretos de API, luego aumentaron su potencia propagándose a través de recursos compartidos de red internos confiables, todo mientras se hacían pasar por actualizaciones de software legítimas. Si bien los ataques a la cadena de suministro existen desde hace muchos años (piense en SolarWinds), los agentes de inteligencia artificial han hecho que su producción y distribución sean más rápidas.

El engaño basado en la nube también se ha acelerado. Durante años, los atacantes han utilizado páginas de inicio de sesión falsas y repositorios en la nube falsificados que imitan el diseño y la marca de servicios legítimos para engañar a los usuarios para que entreguen sus credenciales. Las herramientas impulsadas por IA tienen el potencial de intensificar la creación de estas falsificaciones convincentes, permitiendo a los atacantes generar sitios fraudulentos más rápidamente y a mayor escala.

Túneles encubiertos

Técnicas que ocultan el tráfico malicioso dentro de protocolos permitidos o canales cifrados

de Hory amplió su red utilizando galerías y otros representantes para enmascarar sus transacciones y vender sus falsificaciones. Los atacantes actuales hacen algo similar: ocultan sus conversaciones de red mediante túneles IP para ocultar la actividad maliciosa dentro del tráfico que parece legítimo. Otro mecanismo de encubrimiento utiliza solicitudes y respuestas intencionalmente no coincidentes, como solicitar datos web confidenciales desde un destino previamente desconocido para evadir la detección. Los atacantes también utilizan estos métodos para desactivar las protecciones de seguridad y luego permanecen inactivos dentro de una red corporativa durante meses, esperando el momento adecuado para atacar. A estos métodos se suman las tiendas de aplicaciones móviles, que han estado plagadas durante años de aplicaciones falsas que contienen malware, como este ejemplo más reciente de un herramienta de búsqueda visual que oculta un exploit de ejecución remota.

Infraestructura fraudulenta

Servidores, dominios o servicios controlados por atacantes diseñados para imitar infraestructura legítima.

De Hory evadió la detección moviéndose con frecuencia, de ciudad en ciudad, alrededor del mundo. Los ciberatacantes emplean una estrategia similar: ponen bajo su control servidores, dominios y servicios similares que se hacen pasar por una infraestructura confiable. Reciente investigación de microsoft muestra actores de amenazas que atraen a los usuarios con mensajes falsos de reuniones de Teams que condujeron a sitios de recolección de credenciales disfrazados de páginas de inicio de sesión legítimas. Conexiones falsas como esta pueden ser precursoras de una serie de movimientos para tomar el control de los recursos y datos de su red. Luego se pueden emplear servidores falsos para comprometer y extraer datos confidenciales, y luego aprovechar la información para lanzar una campaña de ransomware.

Finalmente, el phishing

Y la falsificación es el núcleo de cualquier campaña de phishing. Las campañas actuales utilizan todo tipo de falsificaciones, incluido el uso de direcciones de correo electrónico falsas que parecen ser parte de su dominio pero que son parte de ataques de homoglifos u homógrafos. Estos ataques pueden falsificar dominios legítimos con caracteres sustitutos similares para redirigir conversaciones bajo el control de un pirata informático o usarse como parte de campañas de phishing posteriores. De Hory estaría encantado, ya que se esforzó mucho en copiar las pinceladas, las opciones de color y los estilos de los maestros en sus falsificaciones.

Cómo NDR puede exponer las falsificaciones

Los paralelismos entre las falsificaciones de De Hory y los ciberataques modernos son sorprendentes. Ambos se basan en el mimetismo, el movimiento y la explotación de sistemas confiables. De Hory finalmente quedó expuesto cuando los expertos compararon múltiples obras y detectaron las huellas estilísticas que no podía ocultar. La detección y respuesta de red (NDR) puede detectar a los atacantes de la misma manera, al observar patrones de comportamiento y anomalías que delatan lo que realmente está sucediendo en la red.

Estas son algunas de las formas en que NDR ayuda a exponer actividades maliciosas ocultas a simple vista:

• Detección de anomalías de comportamiento: Identificar desviaciones de las líneas de base de red establecidas, como tiempos de inicio de sesión inusuales, transferencias de datos atípicas o movimientos laterales inesperados que pueden indicar que un impostor está trabajando, incluso cuando las credenciales parecen legítimas.
• Revelar inconsistencias de protocolo y metadatos: Detectar discrepancias que los atacantes no pueden ocultar fácilmente, como combinaciones extrañas de protocolos, tráfico a dominios homógrafos o recién registrados, o sesiones cifradas con detalles de certificados sospechosos.
• Proporcionar contexto: Enriquecer el tráfico sin procesar con metadatos que expliquen el panorama más amplio, como dónde se originan las conexiones, cómo se comportan a lo largo del tiempo y si se ajustan a patrones normales, para que los analistas puedan separar rápidamente las amenazas reales del ruido, como este ejemplo, que muestra cómo un analista de SOC puede probar varias hipótesis para descubrir un ataque.

A medida que los atacantes se vuelven más sofisticados y aprovechan la IA para ampliar su engaño, los defensores necesitan herramientas que puedan ver a través del ruido. NDR, en colaboración con otros productos de seguridad, brinda a los SOC la visibilidad necesaria para detectar estas amenazas de manera temprana, antes de que causen daños reales.

Plataforma NDR abierta de Corelight permite a los SOC detectar amenazas emergentes, incluidas aquellas que aprovechan las técnicas de IA. Su enfoque de detección de múltiples capas incluye detecciones de comportamiento y anomalías que pueden identificar una variedad de actividades de red únicas e inusuales. A medida que los adversarios desarrollan nuevos métodos de ataque, los equipos de seguridad que implementan NDR pueden fortalecer el juego defensivo de su empresa. Visita corelight.com/elitedefense para aprender más.

Investigadores de ciberseguridad han revelado una vulnerabilidad en la extensión Claude Google Chrome de Anthropic que podría haber sido explotada para activar mensajes maliciosos simplemente visitando una página web.

La falla «permitió que cualquier sitio web inyectara silenciosamente mensajes en ese asistente como si el usuario los hubiera escrito», dijo Oren Yomtov, investigador de Koi Security. dicho en un informe compartido con The Hacker News. «Sin clics, sin solicitudes de permiso. Simplemente visite una página y un atacante controlará completamente su navegador».

El problema encadena dos fallas subyacentes:

• Una lista de origen demasiado permisiva en la extensión que permitía que cualquier subdominio que coincidiera con el patrón (*.claude.ai) enviara un mensaje a Claude para su ejecución.
• Un modelo de objeto de documento (DOMINGO) basado en secuencias de comandos entre sitios (XSS) vulnerabilidad en un componente CAPTCHA de Arkose Labs alojado en «a-cdn.claude[.]ai.»

Específicamente, la vulnerabilidad XSS permite la ejecución de código JavaScript arbitrario en el contexto de «a-cdn.claude[.]ai.» Un actor de amenazas podría aprovechar este comportamiento para inyectar JavaScript que emita un mensaje a la extensión Claude.

La extensión, por su parte, permite que el mensaje llegue a la barra lateral de Claude como si fuera una solicitud de usuario legítima simplemente porque proviene de un dominio incluido en la lista de permitidos.

«La página del atacante incorpora el componente vulnerable Arkose en un lugar oculto.

La explotación exitosa de esta vulnerabilidad podría permitir al adversario robar datos confidenciales (p. ej., tokens de acceso), acceder al historial de conversaciones con el agente de IA e incluso realizar acciones en nombre de la víctima (p. ej., enviar correos electrónicos suplantándolos, solicitar datos confidenciales).

Tras la divulgación responsable el 27 de diciembre de 2025, Anthropic implementó un parche en la extensión de Chrome que impone una estricta verificación de origen que requiere una coincidencia exacta con el dominio «claude[.]ai.» Desde entonces, Arkose Labs ha solucionado la falla XSS al final del 19 de febrero de 2026.

«Cuanto más capaces se vuelven los asistentes de navegador de IA, más valiosos son como objetivos de ataque», dijo Koi. «Una extensión que puede navegar por su navegador, leer sus credenciales y enviar correos electrónicos en su nombre es un agente autónomo. Y la seguridad de ese agente es tan fuerte como el origen más débil en su límite de confianza».

La mayoría de los equipos cuentan con herramientas de seguridad. Las alertas se activan, los paneles se ven limpios, la información sobre amenazas fluye. A primera vista, todo parece estar bajo control.

Pero una pregunta suele quedar sin respuesta: ¿sus defensas realmente detendrían un ataque real?

Ahí es donde las cosas se ponen inestables. Existe un control, por lo que se supone que funciona. Hay una regla de detección activa, por lo que se espera que detecte algo. Pero muy pocos equipos están probando constantemente cómo se mantiene todo esto cuando alguien intenta activamente abrirse paso, paso a paso.

Esta es exactamente la brecha en la que se centra este seminario web.

Resiliencia impulsada por la exposición: automatice las pruebas para validar y mejorar su postura de seguridad Es una sesión práctica basada en una idea: deja de adivinar, empieza a demostrar. En lugar de depender de pruebas o suposiciones ocasionales, muestra cómo validar su postura de seguridad continuamente utilizando el comportamiento real de un atacante.

La sesión explica cómo realizar pruebas de presión tanto de sus controles como de sus procesos, cómo utilizar la inteligencia sobre amenazas para guiar lo que prueba y cómo incorporar esto al SOC cotidiano y a los flujos de trabajo de respuesta a incidentes sin agregar complejidad innecesaria.

También escucharás directamente de Jermain Njemanze y Sebastián Miguelquien explicará cómo funciona esto en la práctica y realizará una demostración en vivo.

Si desea pruebas claras de que sus defensas funcionan, no solo señales de que existen, vale la pena dedicar tiempo a ello. Reserva un asiento y únete a la sesión.

📅 Guarde su lugar hoy: Regístrese para el seminario web aquí.

El exploit del kernel para dos vulnerabilidades de seguridad utilizadas en el kit de exploits Apple iOS recientemente descubierto conocido como La Coruña es una versión actualizada del mismo exploit que se utilizó en la campaña Operación Triangulación en 2023, según nuevos hallazgos de Kaspersky.

«Cuando se informó por primera vez sobre Coruña, la evidencia pública no era suficiente para vincular su código con la triangulación; las vulnerabilidades compartidas por sí solas no prueban la autoría compartida», dijo Boris Larin, investigador principal de seguridad de Kaspersky GReAT, a The Hacker News en un comunicado.

«Coruña no es un mosaico de exploits públicos; es una evolución mantenida continuamente del marco original de Operación Triangulación. La inclusión de comprobaciones para procesadores recientes como el M3 y versiones más recientes de iOS muestra que los desarrolladores originales han expandido activamente esta base de código. Lo que comenzó como una herramienta de espionaje de precisión ahora se implementa indiscriminadamente».

Coruña fue documentado por primera vez por Google e iVerify a principios de este mes apuntando a modelos de iPhone de Apple que ejecutan versiones de iOS entre 13.0 y 17.2.1.

Aunque el uso del kit fue utilizado por primera vez por un cliente de una empresa de vigilancia anónima a principios del año pasado, desde entonces ha sido aprovechado por un presunto actor-estado-nación alineado con Rusia en ataques a pozos de agua en Ucrania y en una campaña de explotación masiva que empleó un grupo de sitios web chinos falsos de apuestas y criptomonedas para entregar un malware de robo de datos conocido como PlasmaLoader (también conocido como PLASMAGRID).

El kit de exploits contiene cinco cadenas completas de exploits para iOS y un total de 23 exploits, incluidos CVE-2023-32434 y CVE-2023-38606, los cuales fueron Se utilizó por primera vez como día cero en la Operación Triangulación, una sofisticada campaña dirigida a dispositivos iOS que implicó la explotación de cuatro vulnerabilidades en el sistema operativo móvil de Apple.

Los últimos hallazgos de Kaspersky indicaron que los exploits del kernel tanto en Triangulation como en Coruna fueron creados por el mismo autor, y Coruna también utilizó cuatro exploits del kernel adicionales. El proveedor de seguridad ruso dijo que todos estos exploits se basan en el mismo marco de explotación del kernel y comparten un código común.

Específicamente, el código incluye soporte para los procesadores A17, M3, M3 Pro y M3 Max de Apple, junto con comprobaciones de iOS 17.2 y iOS versión 16.5 beta 4, la última de las cuales parchó las cuatro vulnerabilidades explotadas como parte de la Operación Triangulación. La verificación para iOS 17.2, por otro lado, está destinada a tener en cuenta los exploits más nuevos, dijo Kaspersky.

El punto de partida del ataque es cuando un usuario visita un sitio web comprometido en Safari, lo que hace que un stager tome las huellas digitales del navegador y realice el exploit apropiado según el navegador y la versión del sistema operativo. Esto, a su vez, allana el camino para la ejecución de una carga útil que activa el exploit del kernel.

«Después de descargar los componentes necesarios, la carga útil comienza a ejecutar exploits del kernel, cargadores Mach-O y el lanzador de malware», dijo Kaspersky. «La carga útil selecciona un cargador Mach-O apropiado según la versión del firmware, la CPU y la presencia del permiso de servicio abierto iokit».

El lanzador es el principal orquestador responsable de iniciar las actividades posteriores a la explotación, aprovechando el exploit del kernel para colocar y ejecutar el implante final. También limpia los artefactos de explotación para encubrir el rastro forense.

«Originalmente desarrollado con fines de ciberespionaje, este marco ahora está siendo utilizado por ciberdelincuentes de un tipo más amplio, poniendo en riesgo a millones de usuarios con dispositivos sin parches», dijo Larin. «Dado su diseño modular y su facilidad de reutilización, esperamos que otros actores de amenazas comiencen a incorporarlo en sus ataques».

El desarrollo se produce cuando se filtró en GitHub una nueva versión del kit de explotación de iPhone DarkSword. planteando preocupaciones que podría equipar a más actores de amenazas con capacidades avanzadas para comprometer dispositivos, convirtiendo efectivamente lo que alguna vez fue una herramienta de piratería de élite en un marco de explotación masiva. El lanzamiento de la nueva versión fue el primero. reportado por TechCrunch.

Investigadores de ciberseguridad han descubierto un nuevo skimmer de pagos que utiliza Canales de datos WebRTC como medio para recibir cargas útiles y exfiltrar datos, evitando efectivamente los controles de seguridad.

«En lugar de las habituales solicitudes HTTP o balizas de imágenes, este malware utiliza canales de datos WebRTC para cargar su carga útil y filtrar datos de pago robados», Sansec dicho en un informe publicado esta semana.

Se dice que el ataque, que tuvo como objetivo el sitio web de comercio electrónico de un fabricante de automóviles, fue facilitado por PolyShell, una nueva vulnerabilidad que afecta a Magento Open Source y Adobe Commerce y que permite a atacantes no autenticados cargar ejecutables arbitrarios a través de la API REST y lograr la ejecución de código.

En particular, desde entonces la vulnerabilidad ha sido objeto de explotación masiva desde el 19 de marzo de 2026, con más de 50 direcciones IP participando en la actividad de escaneo. La empresa de seguridad holandesa dijo que encontró ataques PolyShell en el 56,7% de todas las tiendas vulnerables.

El skimmer está diseñado como un script autoejecutable que establece una conexión entre pares WebRTC a una dirección IP codificada («202.181.177[.]177») a través del puerto UDP 3479 y recupera código JavaScript que posteriormente se inyecta en la página web para robar información de pago.

El uso de WebRTC marca una evolución significativa en los ataques skimmer, ya que elude la Política de seguridad de contenidos (CSP) directivas.

«Una tienda con un CSP estricto que bloquea todas las conexiones HTTP no autorizadas todavía está abierta a la exfiltración basada en WebRTC», señaló Sansec. «El tráfico en sí también es más difícil de detectar. Los WebRTC DataChannels se ejecutan sobre UDP cifrado con DTLS, no sobre HTTP. Las herramientas de seguridad de red que inspeccionan el tráfico HTTP nunca verán salir los datos robados».

Adobe lanzó una solución para PolyShell en versión 2.4.9-beta1 lanzado el 10 de marzo de 2026. Pero el parche aún no ha llegado a las versiones de producción.

Como mitigación, se recomienda a los propietarios de sitios bloquear el acceso al directorio «pub/media/custom_options/» y escanear las tiendas en busca de shells web, puertas traseras y otro malware.