Los atacantes están atacando a los clientes de Ivanti una vez más, regresando a un objetivo común y a un proveedor consistentemente susceptible en el espacio del borde de la red, al explotar una vulnerabilidad de día cero en uno de los productos más asediados de la compañía.
Ivanti advirtió a los clientes que los atacantes han explotado con éxito CVE-2026-6973un defecto de validación de entrada incorrecta en Ivanti Endpoint Manager Mobile (EPMM) que permite a los usuarios autenticados con privilegios administrativos ejecutar código de forma remota. La empresa alertó a los clientes sobre la amenaza en un aviso de seguridad el jueves y también reveló cuatro vulnerabilidades adicionales de alta gravedad en el mismo producto.
«En el momento de la divulgación, Ivanti es consciente de una explotación muy limitada de CVE-2026-6973, que requiere acceso administrativo autenticado para su implementación», dijo un portavoz de Ivanti en un comunicado.
Ivanti no dijo cuándo ocurrió el primer caso de explotación, ni exactamente cuántos clientes ya se han visto afectados.
La Agencia de Seguridad de Infraestructura y Ciberseguridad agregó el día cero a su catálogo de vulnerabilidades explotadas conocidas pocas horas después de la divulgación de Ivanti.
La compañía lanzó parches para las cinco vulnerabilidades el jueves, incluidos los cuatro defectos adicionales: CVE-2026-5787, CVE-2026-5788,CVE-2026-6973 y CVE-2026-7821 – que, según dijo, no han sido explotados en la naturaleza.
«Ivanti descubrió estas vulnerabilidades en las últimas semanas a través de procesos de detección internos respaldados por inteligencia artificial avanzada, colaboración con el cliente y divulgación responsable», dijo el portavoz de la compañía. Uno de los defectos fue descubierto y denunciado responsablemente a Ivanti por un antiguo empleado.
La compañía sugirió que al menos una de las causas fundamentales del último día cero puede deberse al riesgo persistente planteado por un par de días cero críticos y separados: CVE-2026-1281 y CVE-2026-1340 – que fueron explotados a partir de finales de enero. Las consecuencias de esas vulnerabilidades explotadas en Ivanti EPMM se extendieron a casi 100 víctimas, incluida la Autoridad Holandesa de Protección de Datos de los Países Bajos y el Consejo del Poder Judicial, a principios de febrero.
El último día cero de Ivanti EPMM «requiere acceso administrativo autenticado para explotar, razón por la cual los clientes que siguieron la recomendación de Ivanti en enero de rotar las credenciales de EPMM tienen un riesgo significativamente menor. Los clientes que no se vieron afectados por la vulnerabilidad anterior también corren un riesgo mucho menor», dijo el portavoz de la compañía.
Caitlin Condon, vicepresidenta de investigación de seguridad de VulnCheck, dijo que los privilegios administrativos necesarios para explotar CVE-2026-6973 indican que posiblemente fue explotado como parte de una cadena de ataque que dependía de otro método para el acceso inicial.
«No se compartió ninguna atribución sobre la explotación de CVE-2026-6973 por parte de los actores de amenazas, pero otros dos CVE de 2026 en Ivanti EPMM (CVE-2026-1281 y CVE-2026-1340) han sido explotados por una variedad de actores de amenazas, incluidos grupos atribuidos a China e Irán», dijo Condon a CyberScoop.
«Esas vulnerabilidades eran, en particular, vulnerabilidades de inyección de código que se podían explotar de forma remota sin autenticación, a diferencia de CVE-2026-6973», añadió. «Tanto CVE-2026-1281 como CVE-2026-1340 parecen haberse solucionado en la versión de Ivanti de hoy. Comparativamente, estas vulnerabilidades anteriores eran de mayor preocupación inicial que la nueva vulnerabilidad de día cero de hoy, que requiere autenticación de administrador».
Los ataques que involucran defectos de Ivanti son un problema recurrente para los clientes del proveedor y los profesionales de seguridad en general, incluidas muchas vulnerabilidades que los atacantes explotaron antes de que la empresa detectara o solucionara los errores.
La Agencia de Seguridad de Infraestructura y Ciberseguridad ha detectado 34 defectos de Ivanti en su catálogo de vulnerabilidades explotadas conocidas desde finales de 2021. Se han explotado al menos 22 defectos en los productos Ivanti en los últimos dos años, incluidas cinco vulnerabilidades en Ivanti EPMM en el último año.
Durante una entrevista con CyberScoop en marzo en la Conferencia RSAC, el director de seguridad de Ivanti, Daniel Spicer, dijo que la transparencia de la compañía explica en parte la gran cantidad de vulnerabilidades reportadas y reveladas en sus productos.
«Mi posición aquí en Ivanti es que no les hace ningún bien a nuestros clientes guardar silencio sobre esto», dijo, describiendo la postura de comunicación de la compañía con el público, CISA y los socios globales como «muy agresiva».
Ese no es siempre el caso con otros proveedores, dijo Spicer. «No sé si la transparencia es un elemento fundamental de todas las demás organizaciones».
La empresa, que presta servicios a muchas agencias gubernamentales y operadores de infraestructura crítica, también señala habitualmente que atacantes altamente capacitados y con recursos, incluidos aquellos respaldados por estados-nación, a menudo son responsables de estas oleadas de ataques contra sus clientes.
Ivanti sostiene que está intentando mejorar constantemente la seguridad de sus productos. «A través de una inversión continua en su programa de seguridad de productos, incluido el uso de IA avanzada combinada con verificación humana, Ivanti está fortaleciendo su capacidad para identificar, remediar y revelar problemas rápidamente, ayudando a los clientes a mantenerse a la vanguardia de un panorama de amenazas cada vez más comprimido», dijo el portavoz.
Como lo expresó Spicer en marzo: «Queremos asegurarnos de que la gente entienda que estamos tratando de hacer lo correcto».
La administración Trump está redirigiendo un programa de becas de ciberseguridad que requiere que los beneficiarios trabajen en el servicio gubernamental hacia la inteligencia artificial, dejando a algunos académicos del programa actual consternados y desconcertados.
En un correo electrónico a los coordinadores de programas escolares participantes obtenido por CyberScoop, la Oficina de Gestión de Personal y la Fundación Nacional de Ciencias dijeron que el programa CyberCorps Scholarship For Service ahora se conocería como CyberAI SFS.
«Los estudiantes de SFS que inscribimos hoy no serán empleables cuando se gradúen dentro de 2 o 3 años sin una experiencia significativa en IA», se lee en el correo electrónico. «Cualquier estudiante de SFS en este nuevo programa debe ser competente en el uso de la IA en ciberseguridad o en proporcionar seguridad y resiliencia para los sistemas de IA. Por lo tanto, los nuevos estudiantes en el programa CyberCorps heredado deben aprender a adquirir experiencia en IA para aumentar su experiencia en ciberseguridad».
«Con efecto inmediato, los nuevos becarios de SFS no serán aceptados en el programa Legacy CyberCorps(C) sin una descripción de cómo desarrollarán competencias en la intersección de la ciberseguridad y la IA», continúa el correo electrónico. «La descripción del desarrollo de competencias podría incluir, entre otros, un programa de estudio formal, aprendizaje experimental, actividades de investigación, proyectos finales, competencias, certificaciones y/o desarrollo profesional sin crédito a través de proveedores externos».
Un becario actual del programa que se graduó pronto dijo que estaba «decepcionado» por el cambio por varias razones. A principios de esta semana, las agencias que administran colectivamente el programa (OPM, NSF y el Departamento de Seguridad Nacional) no habían notificado a ningún participante del programa que se avecinaba algún cambio.
Por otro lado: «Me sorprendió un poco que saliera como un desprecio tan descarado de las personas que aún no se han graduado, que todos en mi grupo ya son considerados 'heredados', y el hecho de que dijera que las personas en el programa en el que estoy actualmente no serán empleables en los próximos años», dijeron.
El correo electrónico deja a los académicos inseguros sobre lo que sucederá mientras intentan cumplir su parte del acuerdo, especialmente porque hacerlo ya ha sido difícil en medio de recortes de empleos cibernéticos y otras preocupaciones sobre cómo se ha administrado recientemente el programa. El académico dijo a CyberScoop que hay alrededor de 300 personas en este grupo actual.
«Supongo que afectará las colocaciones», dijeron. «No puedo decir con certeza de una forma u otra, porque las ubicaciones ya se ven muy afectadas por todo lo que ha estado sucediendo. No sé qué se debe a la falta de experiencia en IA y qué se debe a todo lo demás».
Otro académico dijo que estaba mal que la OPM «siguiera afirmando repetidamente que están actuando en nuestro mejor interés», cuando «nos quedan abandonados». El grupo actual de académicos ya se ha sentido frustrado por su incapacidad para obtener respuestas a sus preguntas.
«Si somos CyberCorps heredados, ¿cómo aborda eso algo?» preguntó el erudito. «Simplemente estamos siendo empujados a un armario y olvidados. Ahora, en ese correo electrónico, decían que no nos podrían contratar dentro de dos años sin todo este material de IA en nuestro haber. Pero al mismo tiempo, casi todas nuestras universidades estaban desalentando activamente el uso de la IA».
Otra parte del correo electrónico trajo buenas noticias a esos académicos: una flexibilización temporal de los requisitos del programa, incluida la regla 70-20-10 que establece objetivos para empleos en el gobierno federal, los gobiernos estatales y locales y el sector educativo, así como las reglas para asegurar una pasantía. Aún así, los académicos dicen que todavía no han recibido ninguna información directa sobre los cambios.
Un portavoz de NSF dijo que ha habido algunos malentendidos sobre el correo electrónico a los coordinadores de programas escolares (conocidos como investigadores principales), pero no abordó las preocupaciones de los académicos actuales sobre la comunicación.
«La guía no exige que los académicos posean estas competencias al ingresar», dijo el portavoz, Michael Englund. «Más bien, requiere que los investigadores principales (PI) describan claramente cómo sus programas prepararán a los académicos para desarrollar competencias relacionadas con la IA cuando se gradúen (generalmente dentro de dos o tres años). En otras palabras, los programas deben tener un plan concreto e inmediato para garantizar que los académicos adquieran estas habilidades durante el curso de sus estudios, no antes de la admisión».
Un portavoz de la OPM abordó las dos mayores preocupaciones de los participantes actuales.
«No hay cambios en los requisitos de colocación», dijo el portavoz. «Como se señaló, las actualizaciones de NSF miran hacia el futuro para garantizar que las cohortes futuras estén preparadas para las necesidades cambiantes de la fuerza laboral. NSF ha alentado a las instituciones a utilizar fondos de desarrollo profesional para ampliar la capacitación relacionada con la IA cuando sea necesario. En OPM, también estamos ampliando la capacitación en IA y hemos introducido embajadores de IA para apoyar la adopción».
Sobre la comunicación: “Los investigadores principales (PI) siguen siendo el principal punto de contacto para los académicos, pero la OPM planea aumentar el alcance directo y planea emitir comunicaciones de seguimiento a los académicos sobre los esfuerzos de colocación”, dijo el portavoz.
El correo electrónico de la semana pasada es el último giro del programa, ya que la Agencia de Seguridad de Infraestructura y Ciberseguridad declaró el mes pasado que cancelaría las pasantías de verano debido a la falta de financiación para algunas agencias del DHS. Desde entonces, el Congreso ha proporcionado financiación para CISA.
La agencia no respondió a la pregunta sobre si esa decisión de cancelación se revocó como resultado.
Investigadores de ciberseguridad han revelado detalles de un nuevo marco de robo de credenciales denominado PCPJack que apunta a la infraestructura de la nube expuesta y elimina cualquier artefacto vinculado a TeamPCP de los entornos.
«El conjunto de herramientas recopila credenciales de la nube, contenedores, desarrolladores, productividad y servicios financieros, luego extrae los datos a través de una infraestructura controlada por el atacante mientras intenta difundirlos a hosts adicionales», dijo el investigador de seguridad de SentinelOne, Alex Delamotte. dicho en un informe publicado hoy.
PCPJack está diseñado específicamente para apuntar a servicios en la nube como Docker, Kubernetes, Redis, MongoDB, RayML y aplicaciones web vulnerables, lo que permite a los operadores propagarse como un gusano, así como moverse lateralmente dentro de las redes comprometidas.
Se considera que el objetivo final de la campaña de ataque a la nube es generar ingresos ilícitos para los actores de la amenaza mediante el robo de credenciales, fraude, spam, extorsión o reventa de acceso robado. El
Lo que hace que esta actividad sea notable es que comparte importantes coincidencias de objetivos con TeamPCP, un actor de amenazas que saltó a la fama a fines del año pasado al explotar vulnerabilidades de seguridad conocidas (por ejemplo, reaccionar2shell) y configuraciones erróneas en los servicios en la nube para incluir los puntos finales en una red en constante expansión para llevar a cabo el robo de datos y otras acciones posteriores a la explotación.
Al mismo tiempo, PCPJack carece de un componente de minería de criptomonedas, a diferencia de TeamPCP. Si bien no se sabe por qué no se adoptó esta obvia estrategia de monetización, las similitudes entre los dos grupos indican que PCPJack podría ser obra de un ex miembro de TeamPCP que está familiarizado con el oficio del grupo.
El punto de partida del ataque es un script de shell de arranque que se utiliza para preparar el entorno (como configurar el host de carga útil) y descargar herramientas de la siguiente etapa, mientras simultáneamente toma medidas para infectar su propia infraestructura, terminar y eliminar procesos o artefactos asociados con TeamPCP, instalar Python, establecer persistencia, descargar seis scripts de Python, iniciar el script de orquestación y eliminarse.
Las seis cargas útiles de Python son las siguientes:
gusano.py (escrito en el disco como monitor.py), el orquestador principal que lanza los módulos especialmente diseñados, realiza el robo de credenciales locales y propaga el conjunto de herramientas a otros hosts explotando fallas conocidas (CVE-2025-55182, CVE-2025-29927, CVE-2026-1357, CVE-2025-9501y CVE-2025-48703), y usa Telegram para comando y control (C2)
analizador.py (utils.py), para manejar la extracción de credenciales para categorizar claves y secretos robados
lateral.py (_lat.py), para facilitar el reconocimiento, recopilar secretos y permitir el movimiento lateral entre los servicios SSH, Kubernetes, Docker, Redis, RayML y MongoDB.
cripto_util.py (_cu.py), para cifrar las credenciales antes de la filtración al canal de Telegram del atacante
rangos_nube.py (_cr.py), para recopilar rangos de direcciones IP asignados a Amazon Web Services (AWS), Google Cloud, Microsoft Azure, Cloudflare, Cloudfront y Fastly, y actualizar los datos cada 24 horas.
cloud_scan.py (_csc.py), para ejecutar el escaneo de puertos en la nube para propagación externa a través de los servicios Docker, Kubernetes, MongoDB, RayML o Redis
Los objetivos de propagación del script del orquestador provienen de archivos parquet que el gusano extrae directamente de Common Crawl, una organización sin fines de lucro que rastrea la web y proporciona sus archivos y conjuntos de datos al público sin costo adicional.
«Al extraer información y credenciales del sistema, el operador de PCPJack incluso recopila métricas de éxito sobre si TeamPCP ha sido desalojado de entornos específicos en un campo ‘PCP reemplazado’ enviado al C2», dijo Delamotte. Esto «implica un enfoque directo en las actividades del actor de la amenaza en lugar de un puro oportunismo de ataque a la nube».
Un análisis más detallado de la infraestructura del actor de amenazas ha descubierto otro script de shell («check.sh») que detecta la arquitectura de la CPU y recupera el binario Sliver apropiado. También escanea los puntos finales del Servicio de metadatos de instancia (IMDS), las cuentas de servicio de Kubernetes y las instancias de Docker en busca de credenciales asociadas con Anthropic, Digital Ocean, Discord, Google API, Grafana Cloud, HashiCorp Vault, OnePassword y OpenAI, y las transmite a un servidor externo.
«En general, los dos conjuntos de herramientas están bien desarrollados e indican que el propietario valora la creación de código como un marco modular, a pesar de algunas redundancias en el comportamiento», dijo SentinelOne. «Esta campaña no [deploy miners]y elimina deliberadamente las funciones de minero asociadas con TeamPCP. A pesar de eso, este actor tiene alcances bien definidos para extraer credenciales de criptomonedas».
Ivanti advierte que se ha explorado una nueva falla de seguridad que afecta a Endpoint Manager Mobile (EPMM) en ataques limitados en la naturaleza.
La vulnerabilidad de alta gravedad, CVE-2026-6973 (Puntuación CVSS: 7.2), es un caso de validación de entrada incorrecta que afecta a EPMM antes de las versiones 12.6.1.1, 12.7.0.1 y 12.8.0.1.
Permite a «un usuario autenticado remotamente con acceso administrativo lograr la ejecución remota de código», Ivanti dicho en un aviso publicado hoy.
«Somos conscientes de un número muy limitado de clientes explotados con CVE-2026-6973. La explotación exitosa requiere autenticación de administrador. Si los clientes siguieron la recomendación de Ivanti en enero de rotar las credenciales si fueron explotados con CVE-2026-1281 y CVE-2026-1340, entonces su riesgo de explotación por CVE-2026-6973 se reduce significativamente».
Actualmente no se sabe quién está detrás de los esfuerzos de explotación, si alguno de esos ataques tuvo éxito y cuáles eran los objetivos finales de los ataques.
El desarrollo ha llevado a la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) a agregar la falla de sus vulnerabilidades explotadas conocidas (KEV), que exige que las agencias del Poder Ejecutivo Civil Federal (FCEB) apliquen las correcciones antes del 10 de mayo de 2026.
También parcheados por Ivanti en EPMM hay otras cuatro fallas:
CVE-2026-5786 (Puntuación CVSS: 8,8): una vulnerabilidad de control de acceso inadecuado que permite a un atacante autenticado remoto obtener acceso administrativo.
CVE-2026-5787 (Puntuación CVSS: 8,9): una vulnerabilidad de validación de certificados incorrecta que permite a un atacante remoto no autenticado hacerse pasar por hosts Sentry registrados y obtener certificados de cliente válidos firmados por una CA.
CVE-2026-5788 (Puntuación CVSS: 7,0): una vulnerabilidad de control de acceso inadecuado que permite a un atacante remoto no autenticado invocar métodos arbitrarios.
CVE-2026-7821 (Puntuación CVSS: 7,4): una vulnerabilidad de validación de certificados incorrecta que permite a un atacante remoto no autenticado inscribir un dispositivo que pertenece a un conjunto restringido de dispositivos no inscritos, lo que lleva a la divulgación de información sobre el dispositivo EPMM y afecta la integridad de la identidad del dispositivo recién inscrito.
«Los problemas solo afectan al producto EPMM local y no están presentes en Ivanti Neurons for MDM, la solución de gestión unificada de terminales basada en la nube de Ivanti, Ivanti EPM (un producto con un nombre similar pero diferente), Ivanti Sentry o cualquier otro producto de Ivanti», dijo la compañía. dicho.
Palo Alto Networks ha revelado que los actores de amenazas pueden haber intentado explotar sin éxito una falla de seguridad crítica recientemente revelada ya el 9 de abril de 2026.
La vulnerabilidad en cuestión es CVE-2026-0300 (Puntuación CVSS: 9.3/8.7), una vulnerabilidad de desbordamiento de búfer en el servicio Portal de autenticación de ID de usuario del software PAN-OS de Palo Alto Networks que podría permitir a un atacante no autenticado ejecutar código arbitrario con privilegios de root mediante el envío de paquetes especialmente diseñados.
Si bien se espera que las correcciones se publiquen a partir del 13 de mayo de 2026, se recomienda a los clientes que aseguren el acceso al Portal de autenticación de ID de usuario de PAN-OS restringiendo el acceso a zonas confiables o deshabilitándolo por completo si no se usa.
En un aviso emitido el miércoles, la empresa de seguridad de red dijo que tiene conocimiento de la explotación limitada de la falla. Está rastreando la actividad bajo el CL-STA-1132un grupo de amenazas presuntamente patrocinado por el estado de procedencia desconocida.
«El atacante detrás de esta actividad aprovechó CVE-2026-0300 para lograr la ejecución remota de código (RCE) no autenticado en el software PAN-OS. Tras la explotación exitosa, el atacante pudo inyectar código shell en un proceso de trabajo nginx», Unidad 42 de Palo Alto Networks dicho.
La compañía de ciberseguridad dijo que observó intentos fallidos de explotación contra un dispositivo PAN-OS a partir del 9 de abril de 2026, una semana después de los cuales los atacantes lograron obtener con éxito la ejecución remota de código contra el dispositivo e inyectar shellcode.
Tan pronto como se logró el acceso inicial, los actores de amenazas tomaron medidas para borrar los mensajes de fallas del kernel, eliminar las entradas de fallas de nginx y los registros de fallas de nginx, y eliminar los archivos de volcado del núcleo de fallas en un intento de cubrir las pistas.
Las actividades posteriores a la explotación realizadas por el adversario incluyeron la realización de una enumeración de Active Directory (AD) y el lanzamiento de cargas útiles adicionales como EarthWorm y ReverseSocks5 contra un segundo dispositivo el 29 de abril de 2026. Ambas herramientas han sido utilizadas anteriormente por varios grupos de piratería del nexo con China.
«Durante los últimos cinco años, los actores de amenazas de los estados-nación involucrados en el ciberespionaje han centrado cada vez más sus esfuerzos en los activos tecnológicos de la red de borde, incluidos firewalls, enrutadores, dispositivos de IoT, hipervisores y varias soluciones VPN, que brindan acceso con altos privilegios, aunque a menudo carecen de los robustos agentes de registro y seguridad que se encuentran en los puntos finales estándar», dijo la Unidad 42.
«La dependencia de los atacantes detrás de CL-STA-1132 en herramientas de código abierto, en lugar de malware patentado, minimizó la detección basada en firmas y facilitó la integración perfecta del entorno. Esta elección técnica, combinada con una cadencia operativa disciplinada de sesiones interactivas intermitentes durante un período de varias semanas, se mantuvo intencionalmente por debajo de los umbrales de comportamiento de la mayoría de los sistemas de alerta automatizados».
La parte más difícil de la ciberseguridad no es la tecnología, sino las personas.
Todas las filtraciones importantes sobre las que has leído últimamente suelen empezar de la misma manera: un empleado, un correo electrónico inteligente y una infección de «Paciente Cero».
En 2026, los piratas informáticos utilizarán la inteligencia artificial para hacer que estos «primeros clics» sean casi imposibles de detectar. Si una sola computadora portátil de su reloj se ve comprometida, ¿tiene algún plan para evitar que acabe con toda la empresa?
En medicina, el Paciente Cero es la primera persona que transmite una enfermedad a una población. En ciberseguridad, es el primer dispositivo al que ataca un atacante. Una vez que están «dentro», no se quedan allí: se mueven rápidamente para encontrar sus datos, sus contraseñas y sus copias de seguridad.
Lo que aprenderás
Esta no es una conferencia aburrida. Es una inmersión técnica profunda sobre cómo comienzan las infracciones modernas y cómo eliminarlas instantáneamente. Estamos cubriendo:
El phishing de la IA: Cómo los atacantes utilizan la IA generativa para eludir los filtros actuales.
La ventana de 5 minutos: Por qué los primeros minutos de una infección determinan si aparecerás en las noticias mañana.
Confianza Cero en Acción: Cómo aislar un dispositivo infectado para que el «virus» no tenga adónde ir.
El plan de recuperación: Qué hacer en el momento en que te das cuenta de que tienes un Paciente Cero.
Por qué no te puedes perder esto
La mayoría de las herramientas de seguridad son excelentes para encontrar virus «conocidos». Pero tienen problemas con ataques sigilosos y personalizados diseñados específicamente para su empresa.
Este seminario web le muestra cómo crear una defensa que suponga que alguien hará clic en un enlace incorrecto y garantice que el clic no le cueste millones.
¿Encontró interesante este artículo? Este artículo es una contribución de uno de nuestros valiosos socios. Síguenos en noticias de google, Gorjeo y LinkedIn para leer más contenido exclusivo que publicamos.
Dos ciudadanos estadounidenses fueron sentenciado a 18 meses en prisión por administrar granjas de computadoras portátiles que facilitaron el plan expansivo de trabajadores remotos de TI de Corea del Norte, dijo el miércoles el Departamento de Justicia.
Matthew Issac Knoot y Erick Ntekereze Prince recibieron y alojaron computadoras portátiles en sus residencias para engañar a las empresas estadounidenses haciéndoles creer que los trabajadores de TI remotos que contrataban estaban ubicados en el país. Los planes separados de ambos afectaron a casi 70 empresas estadounidenses y generaron en conjunto 1,2 millones de dólares en ingresos para el régimen norcoreano.
«El FBI y nuestros socios seguirán perturbando la capacidad de Corea del Norte para eludir las sanciones y financiar su régimen totalitario», dijo en un comunicado Brett Leatherman, director de la División Cibernética del FBI. «Estos casos no deberían dejar dudas de que los estadounidenses que decidan facilitar estos planes serán identificados y responsabilizados. Hospedar computadoras portátiles para trabajadores de TI de la RPDC es un delito federal que impacta directamente nuestra seguridad nacional, y estas sentencias deberían servir como una advertencia para cualquiera que esté considerando hacerlo».
Knoot, de Nashville, Tennessee, y Prince, de Nueva York, recibieron las computadoras portátiles de empresas estadounidenses desprevenidas e instalaron aplicaciones de escritorio remoto en las máquinas para permitir a los co-conspiradores trabajar desde cualquier lugar mientras parecían estar en sus respectivas residencias.
La empresa de Prince, Taggcar, fue contratada para suministrar trabajadores de TI a las empresas estadounidenses víctimas desde junio de 2020 hasta agosto de 2024. Se declaró culpable en noviembre de 2025 de conspiración de fraude electrónico por su participación durante años en el plan de trabajadores de TI de Corea del Norte.
El príncipe era acusado y acusado en enero de 2025 junto con sus presuntos cómplices, quienes colectivamente consiguieron trabajo para trabajadores de TI norcoreanos en 64 empresas estadounidenses, ganando casi 950.000 dólares en salarios.
Un juez federal condenó a Prince el miércoles y le ordenó perder 89.000 dólares, que es la cantidad que obtuvo personalmente.
Knoot fue arrestado en agosto de 2024, un año después de que el FBI registrara su casa. Las autoridades dijeron que hizo múltiples declaraciones falsas y engañosas y destruyó pruebas para obstruir la investigación en ese momento.
Las empresas víctimas pagaron a los trabajadores norcoreanos vinculados a la granja de portátiles de Knoot más de 250.000 dólares desde julio de 2022 hasta agosto de 2023. Los trabajadores remotos de TI transfirieron esos fondos a Knoot y a cuentas asociadas con ciudadanos norcoreanos y chinos, dijeron los funcionarios.
Knoot fue sentenciado el 1 de mayo y se le ordenó pagar 15.1000 dólares en restitución a las empresas víctimas y perder 15.100 dólares adicionales, lo que equivale al monto de lo que obtuvo directamente del plan.
El par de agentes norcoreanos se unen a una lista cada vez mayor de personas que han sido acusadas y encarceladas por apoyar el plan del régimen que genera cientos de millones de dólares anualmente para el ejército del país y las organizaciones involucradas en sus programas de armas.
Las autoridades han estado tomando medidas enérgicas contra la actividad interna maliciosa incautando criptomonedas vinculadas al robo y apuntando a facilitadores con sede en EE. UU. que proporcionaron identidades falsificadas o robadas y albergaron granjas de computadoras portátiles para agentes norcoreanos.
Las contramedidas se están acumulando, pero el plan está muy extendido y se ha infiltrado en un número indeterminado de empresas, incluidas cientos de empresas de Fortune 500.
Los jueces federales condenaron anteriormente a otras personas a prisión por su participación en el plan, entre ellas Keija Wang y Zhenxing Wang; Audricus Phagnasay, Jason Salazar y Alexander Paul Travis; Oleksandr Didenko y Christina Chapman.
«Estas sentencias responsabilizan a los ciudadanos estadounidenses que permitieron los esfuerzos ilícitos de Corea del Norte para infiltrarse en las redes estadounidenses y obtener ganancias a costa de empresas estadounidenses», dijo en un comunicado John A. Eisenberg, fiscal general adjunto para la seguridad nacional.
«Estos acusados ayudaron a los 'trabajadores de TI' norcoreanos a hacerse pasar por empleados legítimos, comprometiendo las redes corporativas estadounidenses y ayudando a generar ingresos para un régimen corrupto y fuertemente sancionado», añadió. «La División de Seguridad Nacional seguirá persiguiendo a quienes, mediante engaños y fraudes cibernéticos, amenacen nuestra seguridad nacional».
Having an incident response retainer, or even a pre-approved external incident response firm, is not the same as being ready for an incident. A retainer means someone will answer the phone. Operational readiness determines whether that team can do meaningful work the moment they do.
That distinction matters far more than many organizations realize. In the first hours of a security incident, attackers are not waiting for your identity team to provision emergency accounts, for legal to decide whether an outside firm can access sensitive systems, or for someone to figure out who owns the EDR console. Every delay gives the attacker more uninterrupted time in your environment. Every hour lost to logistics increases the likelihood of deeper compromise, broader impact, and more expensive recovery.
The same is true internally. An organization may have an incident response plan, a capable security team, and a list of escalation contacts, yet still be unprepared to respond under pressure. Readiness is not measured by what exists on paper. It is measured by how quickly responders, internal or external, can gain visibility, understand what the attacker has already touched, and make informed decisions.
On Day Zero, responders are not asking for unlimited control. They are asking for visibility first and authority second. Without visibility, containment decisions are made blindly, timelines cannot be reconstructed, and the true scope of the compromise remains unknown while the response team debates access and approvals.
This guide outlines what responders need on Day Zero, where organizations most often fall short, and how to ensure your internal team and external IR partner can begin effective work immediately when an incident is declared.
What determines response speed
Whether the first responders are internal security staff, an external retainer firm, or both working in parallel, they need access to the same core systems. Internal teams may already have some of that access. External responders usually do not unless it has been prepared in advance.
Not all access is equally urgent. Identity comes first, because identity reveals the blast radius. It shows how the attacker got in, which credentials are compromised, how privilege may have changed, and where the attacker is likely to move next. Cloud, endpoint, and logging access are all critical, but without identity visibility, responders are building a timeline on guesswork.
Identity and authentication access
Modern attacks run on identity. Stolen credentials, abused tokens, misconfigured privileges, and compromised sessions are now central to how attackers gain persistence and move laterally. If responders cannot see identity activity, they cannot explain the initial compromise, trace privilege escalation, or identify which accounts are already unsafe to trust.
For external IR firms, identity access is often the first major bottleneck. Organizations delay access while teams debate permissions, search for the right administrator, or attempt to create accounts during the incident itself. During that delay, responders are effectively blind to the attacker’s movement.
On Day Zero, responders need read and investigative access to the identity provider, directory services, SSO platforms, and federation layers. They need visibility into authentication logs, MFA events, token issuance, session activity, privileged accounts, service accounts, and recent permission changes. They also need a defined path for urgent actions such as credential resets, token invalidation, or temporary restrictions on privileged users.
Cloud and SaaS access
In cloud environments, attacker activity often looks normal unless responders can see it in context. It may appear as API calls, configuration changes, new role assignments, service account abuse, or use of legitimate automation. Without immediate access, critical evidence may disappear before it is reviewed.
On Day Zero, responders need read access to relevant cloud accounts, subscriptions, and SaaS platforms. They need visibility into audit logs, control plane activity, IAM and RBAC configurations, compute workloads, storage access patterns, serverless functions, service accounts, and secrets management. Delays in cloud access are especially damaging because some telemetry is ephemeral. If it is not captured quickly, it may be gone permanently.
Endpoint and EDR access
Endpoint telemetry often provides the clearest picture of attacker behavior, especially in the early stages of an investigation. Process execution, command-line activity, credential dumping, persistence mechanisms, and lateral movement frequently show up first in the EDR.
Without direct access, responders are forced to rely on screenshots, summaries, or findings relayed through internal teams who are already under pressure. That is not a serious investigation. It is a game of telephone during a crisis.
On Day Zero, responders need investigator-level access to EDR tools, visibility into process and network activity, the ability to query historical telemetry across hosts, and the authority to isolate systems or initiate containment when needed. If those permissions are not ready in advance, valuable time is lost, and the risk of misunderstanding grows.
Logging and monitoring access
Logs are how responders reconstruct the full story of an attack, not just what happened after detection, but what happened before it. Too often, organizations discover that their retention periods are designed for compliance or cost efficiency rather than investigation.
Fourteen days of retention is common. Ninety days should be the minimum baseline. If an attacker has been active for six weeks before detection, a 14-day window means the initial access event, early reconnaissance, and much of the lateral movement may already be gone.
Responders need access to centralized SIEM or log aggregation tools, firewall and IDS/IPS logs, VPN and remote access logs, email security logs, cloud and SaaS audit trails across all relevant tenants. If those logs are incomplete, siloed, or overwritten, responders are forced to make high-stakes decisions with partial evidence.
Access must be real, not theoretical
Access is only useful if it can be activated immediately. If access depends on a chain of approvals, manual setup, or first-time configuration, it will fail when the pressure is highest.
Operational readiness means required accounts already exist across identity, cloud, EDR, and logging systems. MFA enrollment must already be completed. Permissions must already be approved and mapped to responder roles. The team responsible for enabling access must know exactly how to do it and must have practiced the procedure before.
On Day Zero, access should function like a switch: predefined, controlled, and fast to activate. Anything else is a delay, and in incident response, delay always benefits the attacker.
Communication under breach conditions
Access problems receive the most attention in readiness discussions, but communication failures are just as damaging. Even with perfect technical visibility, an incident response breaks down quickly if teams cannot coordinate, make decisions, and share sensitive information securely.
Assume normal channels may be compromised
During an active breach, organizations should assume that email, chat platforms, and internal collaboration tools may no longer be private. If the attacker has access to those systems, then discussions about containment, investigative findings, and next steps may also be visible.
That applies to internal conversations and communication with an external IR firm. Sharing credentials, containment plans, or investigative conclusions over a compromised channel can give the attacker visibility into your response in real time.
Establish out-of-band communication
Every organization needs an out-of-band communication method that is separate from corporate identity, production email, and the internal network. This could be a dedicated secure messaging platform, a preconfigured encrypted group, or a structured phone-based process. The specific tool matters less than the requirements.
The channel must be independent of the compromised environment. It must include internal responders and external retainer contacts. It must support secure sharing of sensitive information. Most importantly, it must be tested. A communication channel that has never been used is not a response plan. It is an experiment being conducted in the middle of a crisis.
Designate an incident manager
Every response needs a single point of coordination. This is not necessarily the most senior person in the room. It is the person with the clearest operational ownership and the authority to keep the response aligned.
The incident manager coordinates activity across security, IT, legal, leadership, and external responders. They control information flow, maintain a consistent picture of scope and status, and serve as the primary interface to the IR firm. Without that role, organizations drift into fragmented communication, conflicting instructions, and slow decision-making.
Define stakeholder notification paths
Who gets notified, when, and by whom should never become a live debate during an incident. Notification tiers need to be defined in advance. Internal escalation thresholds, executive updates, legal and regulatory decision-making, customer communications, and external messaging all need clear ownership.
Organizations should also define exactly what information is shared with the IR firm on initial contact, who acts as the consistent liaison, and how updates are handled. Poor communication is not just inconvenient. It measurably slows containment and increases damage.
Building a pre-approved IR access policy
A pre-approved incident response access policy exists to eliminate decision-making overhead at the worst possible moment. When an incident is declared, the question of who can access what should already be answered.
What the policy should define
The most common failure in IR access policies is vagueness. A statement such as “responders will be granted appropriate access upon incident declaration” is not an operational policy. It is a placeholder that guarantees confusion later.
An effective policy should clearly define who can declare an incident and trigger emergency procedures. This should not require a full executive chain. A CISO, security leader, or designated on-call authority should be empowered to make that call.
It should define who can approve temporary access for external responders without reopening procurement, legal review, or vendor onboarding. Those controls matter, but they are not built for incident timelines unless pre-cleared.
It should specify the scope of access by responder role, such as IR investigator or IR lead, rather than negotiating permissions during a live event. It should also define time-boxed access, with a clear review and revocation cadence, and designate who is responsible for removing access once the incident stabilizes.
Finally, it should require post-incident cleanup, access validation, and governance review. Governance should catch up after stabilization, not slow down the first hours of investigation.
Pre-created accounts and tested workflows
Policy is only as good as the workflows behind it. If the accounts do not exist, the permissions have not been validated, or the identity team has never enabled them under realistic conditions, then the organization does not have a capability. It has documentation.
Dormant IR accounts should be created in advance across the identity provider, EDR, SIEM, and cloud tenants. They should be disabled by default, with a documented and tested enable procedure. MFA enrollment should already be complete. Hardware tokens or secure authentication workflows should be assigned before an incident occurs.
Role assignments should also be pre-approved. Enabling emergency access should be a single action, not the beginning of a conversation.
Background checks and legal friction
Background checks are a common friction point, especially in regulated sectors. The issue is not whether checks are appropriate. It is when they are enforced.
If background checks are first raised during an active incident, the organization has already failed the readiness test. Reputable IR firms handle vetting, certifications, and internal controls during onboarding. Those conversations belong in the retainer setup phase, not in the first hours of a breach.
The same is true of legal approval. If legal needs to decide in real time whether external responders can access production systems or regulated data, the response will slow immediately. Those decisions should be resolved before the incident.
A practical Day Zero readiness checklist
Organizations can test readiness by asking simple, operational questions.
Can a dormant IR account be enabled and used to pull authentication logs within 30 minutes?
Is a scoped read-only cloud role already defined, and are audit logs enabled across all relevant tenants?
Does the EDR platform have an investigator role that an external responder can use immediately, with access to at least 30 days of historical telemetry?
Can an external responder query the SIEM directly, and does retention cover at least 90 days across identity, endpoint, network, and cloud sources?
Who can authorize host isolation, VPN shutdown, credential rotation, or account suspension, and has that authority been exercised in an exercise?
If any of these questions produce hesitation, uncertainty, or the phrase “we’ll figure it out during an incident,” then that area is not ready.
For organizations with an IR retainer, additional questions matter. Are dormant accounts already created for retainer responders? Is MFA preconfigured? Are legal approvals complete? Does the IR firm have current contact information for the incident manager, CISO, and identity lead? Is there an established out-of-band channel that includes the IR firm? Has the full activation workflow been tested in a tabletop exercise from initial call through working access?
If several of these answers are no, the retainer is a contract, not an operational capability.
What organizations commonly overlook
Even mature organizations with strong security tooling and formal plans routinely discover important gaps only after a real incident begins.
Backups are a common example. Many organizations know backup jobs are completing, but have not verified that backups are isolated from the environment that an attacker has already compromised. If the same credentials, networks, or service accounts can reach backup infrastructure, attackers may be able to destroy recovery options before deploying ransomware. A backup that has never been restored, and never been tested for isolation, is still an assumption.
Containment authority is another frequent gap. Teams may know whether a system should be isolated or credentials should be rotated, but no one has explicit authority to disrupt operations. As the decision moves through leadership, legal, finance, or business operations, the attacker remains active. Prepared organizations decide in advance which systems can be shut down immediately, who can authorize those actions, and how emergency decisions will be escalated when necessary.
Short or fragmented logging retention is also common. Logs may exist but only for seven to fourteen days, or they may be scattered across tools and teams with no centralized access. In those cases, the organization can often see what is happening now but not how it started.
Untested response plans are equally dangerous. Many plans look complete in a binder and fail in practice because people do not know their roles, approvals take too long, and critical steps have never been exercised. Testing does not need to be elaborate. It needs to be realistic, cross-functional, and honest about what breaks.
Finally, many organizations lack a current asset inventory or network map. Systems are deployed outside formal processes, cloud resources are spun up without central registration, and ownership is unclear. Responders cannot investigate what they do not know exists. Untracked assets are not just documentation gaps. They are blind spots that attackers actively exploit.
A readiness exercise you can run now
Most of the recommendations in this guide can be tested this week with the people and systems already in place.
Start with access. Create dormant IR accounts and measure how long it takes to enable them. Attempt to pull 90 days of authentication logs. Ask your EDR administrator to create or validate an external investigator role. Confirm cloud audit logging is enabled across all relevant tenants and that a scoped read-only role can be activated immediately.
Then test the response itself. Run a tabletop exercise in which the IR firm has just been called in. Measure how long it takes before they can access identity logs, endpoint telemetry, and cloud audit trails. Test whether the incident manager can be reached and whether the out-of-band channel can be established quickly. Run a containment decision through the approval chain and time it.
Whatever fails in that exercise will fail the same way during a real incident. The difference is that during a real breach, the attacker is operating inside that gap while the organization is still figuring it out.
Conclusion
Readiness is not a policy document, a signed retainer, or a successful audit. It is the result of practical decisions made before an incident begins: access provisioned, authority clarified, communication paths tested, and operational gaps closed before an attacker can exploit them.
The organizations that contain incidents quickly are rarely the ones with the most impressive slide decks. They are the ones who did the unglamorous work in advance. They created the accounts, tested the workflows, validated the logs, practiced the decisions, and ensured that when the call came in, the response could begin immediately.
That is the real meaning of Day Zero readiness: not just having help available but being prepared to use it the moment it matters most.
Found this article interesting? This article is a contributed piece from one of our valued partners. Follow us on Google News, Twitter and LinkedIn to read more exclusive content we post.
Turns out the easiest way to get hacked in 2026 is still the same old garbage: shady packages, fake apps, forgotten DNS junk, scam ads, and stolen logins getting dumped into Discord channels like it’s normal. Some of these attack chains don’t even feel sophisticated anymore. More like some tired guy with a Telegram account and too much free time. The worst part is how often this stuff still works.
Meanwhile, AI tools are speeding up exploit hunting, browsers are keeping passwords sitting in memory for “performance reasons,” and even ransomware crews are pushing broken builds into the wild. Everybody’s scrambling to patch faster because attackers are automating faster.
Anyway. ThreatsDay’s rough this week. Let’s get into it.
Credential theft campaign
A new stealer called MicroStealer has been observed targeting education and telecom sectors to steal sensitive data. It was first observed in the wild in December 2025. «It specializes in stealing browser credentials, active session data, screenshots, cryptocurrency wallets, and system information,» ANY.RUN said. «It spreads quickly with low detection rates thanks to a sophisticated multi-stage delivery chain and exfiltrates data via Discord webhooks and attacker-controlled servers.»
Location data crackdown
The Federal Trade Commission (FTC) and location data broker Kochava said they agreed to a settlement in which the company and its subsidiary Collective Data Solutions would be blocked from selling, sharing, or disclosing sensitive location data without consumers’ explicit consent. The company was found to be illegally obtaining and selling consumers’ yearly incomes, mobile device IDs, app usage, and nearly real-time geolocation data within 10 meters without their consent or awareness. While the proposed order does not impose a fine on Kochava, the company is required to establish a data retention schedule that will mandate consumers’ data be deleted in a predetermined time frame.
Quantum-safe email upgrade
Proton has added support for post-quantum encryption as an optional feature in Proton Mail. «Once enabled, Proton Mail can generate and use post-quantum-ready keys for new encrypted emails to protect your personal messages and business communications against today’s threats and a future where current public-key cryptography may no longer be enough,» the Swiss privacy-focused company said. «Enabling PQC helps protect new encrypted emails going forward. It does not retroactively re-encrypt the emails already in your mailbox, for now.»
Supply chain hardening
pnpm 11 has been released with new supply chain protections in place, including defaulting the minimum release age to 24 hours to reduce the risk of installing compromised packages and blocking exotic sub-dependencies that resolve from non-standard sources, such as Git repositories or direct tarball URLs. «Newly published package versions are not resolved until they are at least one day old. Teams can opt out by setting minimumReleaseAge: 0, but pnpm’s default posture now favors a built-in waiting period before fresh package releases enter installs,» Socket said. With most package compromise campaigns relying on automated installs to expand their reach, the new effort aims to reduce the risk of packages getting installed immediately after publication.
AI age verification push
Meta said it’s deploying artificial intelligence (AI) tools to bolster its underage enforcement measures and remove people under 13 from its services like Facebook and Instagram. Acknowledging that «knowing someone’s age online is a complex, industry-wide challenge,» the company said it’s using AI to analyze profiles for contextual clues, as well as scan photos and videos for physical cues to assess whether a user is under 13 on Instagram and Facebook. «We want to be clear: this is not facial recognition. Our AI looks at general themes and visual cues, for example, height or bone structure, to estimate someone’s general age; it does not identify the specific person in the image,» Meta said. «By combining these visual insights with our analysis of text and interactions, we can significantly increase the number of underage accounts we identify and remove.»
North Korea-linked cybercrime case
South Korea’s highest court has upheld the one-year prison term for a man, identified as Oh Dae-hyun, who hired an unnamed North Korean cybercriminal to conduct attacks against rival game servers in exchange for a payment of more than $16,300 between October 2014 and March 2015. Per details revealed by NK News last November, the defendant operated an illegal online game server for Lineage and sought access to a file that would allow him to bypass the game’s security system and enable users to play the game at a lower cost. To obtain the file, the defendant is said to have communicated with a North Korean cyber actor via the Chinese messaging app QQ. The court also found Oh recruiting the same North Korean national to conduct distributed denial-of-service (DDoS) attacks on rival gaming servers. Per court documents, the North Korean national is a head of the development team at a trading company under the Workers’ Party of Korea. The company is also believed to have been involved in the creation and sale of DDoS attack programs and cyberterrorism tools to generate revenue for Pyongyang.
Critical ICS security flaws
Two security vulnerabilities have been disclosed in Eclipse BaSyx V2 that pose a severe risk to industrial environments. The vulnerabilities in question are CVE-2026-7411 (CVSS score: 10.0), an unauthenticated path traversal flaw that could be exploited to write arbitrary files, leading to code execution, and CVE-2026-7412 (CVSS score: 8.6), a blind SSRF flaw that forces the BaSyx server to act as a proxy and execute HTTP POST requests to arbitrary internal or external targets. The issues have been patched in version 2.0.0-milestone-10. «By chaining or utilizing these flaws, an external attacker can completely bypass network segmentation,» Mohamed Lemine Ahmed Jidou, security researcher and founder of AegisSec, told The Hacker News. «The compromised Digital Twin server can be weaponized to pivot internally and send unauthorized commands directly to isolated Programmable Logic Controllers (PLCs) and industrial sensors, posing a direct threat to physical manufacturing lines.»
Critical MOVEit exposure
Attack surface management platform Censys said it has observed less than 100 exposed MOVEit Automation web admin interfaces globally, with nearly two-thirds of hosts located in the U.S. The development comes in the aftermath of CVE-2026-4670 (CVSS score: 9.8), a critical authentication bypass flaw in MOVEit Automation that could potentially result in CVE-2026-4670 is a critical authentication bypass vulnerability in MOVEit Automation that could result in unauthorized access, administrative control, and data exposure.
Broken ransomware encryption
A new analysis of VECT 2.0 ransomware binaries has uncovered multiple critical flaws in both full and intermittent encryption modes, making data recovery impossible even if a ransom payment is made. «VECT’s FULL encryptor contains an insufficient memory allocation flaw that restricts successful encryption to files 32 KB or smaller,» Halcyon said. «VECT’s intermittent mode discards the nonces for all encrypted segments except the final one, retaining only the last 12-byte nonce in the file footer. The decryption algorithm requires the unique nonce for each segment, all segments preceding the final block are cryptographically unrecoverable by the victim and the attacker alike.» What’s more, a race condition vulnerability exists in the multi-threaded encryption implementation that causes files to be renamed with the .vect extension without their contents being encrypted. In some cases, the contents of one file is saved and renamed as a different file name, or two different files are encrypted and saved with the same name, potentially resulting in the loss of one file. «These issues collectively undermine the reliability and repeatability of the Vect2.0 encryption and renaming logic,» Halcyon said.
Oracle accelerates patching
Oracle said it will supplement the quarterly Critical Patch Update (CPU) fixes with monthly security releases focused on high-priority vulnerabilities, citing the increased pace of AI-assisted vulnerability disclosures stemming from the adoption of AI models like Anthriopic Mythos to aid with code analysis, security testing, and vulnerability detection. Several vendors like Microsoft, SAP, Adobe, andGoogle (for Android) already release patches on a monthly cadence, most of which occur on the second Tuesday of each month. Oracle’s release cycle, however, will be on the third Tuesday of each month. The first monthly Critical Security Patch Updates (CSPUs) will arrive on May 28, 2026. «CSPUs provide targeted fixes for critical vulnerabilities in a smaller, more focused format, allowing customers to address high-priority issues without waiting for the next quarterly release,» Oracle said. «Security depends on identifying vulnerabilities quickly and applying fixes just as quickly.»
Global smishing surge
Scammers are sending tens of thousands of fraudulent text messages to mobile users across 12 countries, impersonating transport authorities, toll operators, and parking services, as part of a new mass smishing campaign, per Bitdefender Labs. The active campaign, called Operation Road Trap, has been active since December 2025. More than 79,000 fraudulent messages have already been detected in 40 distinct SMS scam campaigns. Countries targeted include the U.S., Canada, Australia, New Zealand, France, Spain, Colombia, Brazil, India, the U.K., Ireland, and Luxembourg. «All messages share a common goal: to persuade recipients to pay a fake fine, hand over sensitive information, or install spyware,» the company said. «At this stage, there’s no confirmed link tying these campaigns together, beyond a shared theme of messages about unpaid tolls, parking violations, or traffic fines.» The activity has not been attributed to a specific threat actor or group.
Encrypted backup hardening
Meta has updated its infrastructure used for protecting end-to-end encrypted backups for WhatsApp and Messenger using a hardware security module (HSM)-based Backup Key Vault with two updates: over-the-air fleet key distribution for Messenger and a commitment to publishing evidence of secure fleet deployments. «The vault is deployed as a geographically distributed fleet across multiple datacenters, providing resilience through majority-consensus replication,» Meta said. «To verify the authenticity of the HSM fleet, clients validate the fleet’s public keys before establishing a session. In WhatsApp, these keys are hardcoded into the application. To support Messenger – where new HSM fleets need to be deployed without requiring an app update – we built a mechanism to distribute fleet public keys over the air as part of the HSM response.»
Fake ManageWP ads
Guardio has detailed a phishing campaign that’s delivered through Google sponsored search results and aims to steal credentials for ManageWP, GoDaddy’s WordPress admin platform, using an adversary-in-the-middle (AitM) phishing page. «The ad click first hits a cloaker, then flips real users to a fake ManageWP login while too easily dodging Google’s inspection of who authorized this sponsored search result,» Guardio said. «Attacker gets real-time login attempts to Telegram and controls it all from their C2. They log in to the victims’ accounts on their end while orchestrating a fake login flow on the victim’s screen.»
NuGet supply chain threat
Five malicious NuGet packages published under the account bmrxntfj have been found to typosquat widely used Chinese .NET UI and infrastructure libraries. «Each package grafts a .NET Reactor protected infostealer payload onto a decompiled copy of a legitimate open source library,» Socket said. «The stealer targets saved credentials across 12 browsers, 8 desktop cryptocurrency wallets, 5 browser wallet extensions and exfiltrates to a newly-registered C2 domain.» The packages, IR.DantUI, IR.Infrastructure.Core, IR.Infrastructure.DataService.Core, IR.iplus32, and IR.OscarUI,have been collectively downloaded approximately 65,000 times.
Critical Salesforce flaws
Details have emerged about five now-patched, critical vulnerabilities in Salesforce Marketing Cloud that could be exploited to leak the entire contacts DB via a template injection and even access all emails ever sent using the service. The vulnerabilities have been assigned the identifiers: CVE-2026-22585, CVE-2026-22586, CVE-2026-22582, CVE-2026-22583, and CVE-2026-2298. The issues were fixed by Salesforce on January 24, 2026, following responsible disclosure by Searchlight Cyber. There is no evidence that the flaws were exploited to obtain unauthorized access to or misuse of customer data.
Rust malware aviation campaign
Unmanned Aerial Systems (UAS) and aviation sectors in Russia, Tajikistan, Central Asia, Europe, and the Middle East are the target of a new campaign that uses spear-phishing lures to deliver ZIP archives containing a Rust-based executable (along with multiple decoy documents), which displays one of the lure documents, fingerprint the system, and contacts an attacker-controlled domain to fetch and execute a next-stage payload. The activity, codenamed Operation Silent Rotor, has not been attributed to any known threat actor. «The campaign uses realistic aviation-related documents to gain the victim’s trust, with content linked to the ‘Unmanned Aviation 2026’ forum in Moscow,» Seqrite Labs said. «The delivered malware is a Rust-based executable that collects system information, communicates with a remote server over encrypted HTTPS, and downloads a second-stage payload for execution.»
Stealthy Vidar infection chain
A new multi-stage malware campaign has employed layered obfuscation and trusted Windows components to achieve stealthy execution and persistence, ultimately leading to the deployment of Vidar Stealer. The initial infection vectors for Vidar have leveraged various methods to deceive unsuspecting users: fake CAPTCHA or ClickFix pages, free game cheats, legitimate-but-compromised sites, and fake or trojanized GitHub repositories disguised as legitimate utilities, cracked software, or leaked development tools. In one case detailed by Point Wild, the entry point is a Go-compiled dropper binary that extracts and deploys a VBScript file, which contains embedded PowerShell code to continue the infection chain. «The PowerShell script connects to a remote IP-based server and downloads the next-stage payload, which is delivered in JPEG and TXT file formats used as disguised carriers for malicious content or staged payload data rather than conventional executables,» the company said. «These files are further processed to retrieve or reconstruct the final payload, ultimately leading to Vidar execution.»
Silent AI model downloads
A new analysis from web privacy expert Alexander Hanff has found that Google Chrome installs a 4GB on-device AI model file to disk without users’ consent. It is a weights file associated with Gemini Nano. If a user deletes the file, it’s automatically re-downloaded unless the «on-device AI» setting is turned off. Google noted in October 2025 that the «Gemini Nano model is automatically deleted if the device’s free disk space drops below a certain threshold» and is «purged if an enterprise policy disables the feature, or if a user hasn’t met other eligibility criteria for 30 days.» The company also said the on-device AI model is used for scam detection, tab organization, and summarization. Last month, the researcher detailed the various browser fingerprinting techniques (e.g., WebGL, WebGPU, CNAME cloaking, link decoration, and canvas fingerprinting, among others) used by online trackers and how Chrome doesn’t do anything to block them. In all, Chrome ships with over 30 active fingerprinting vectors, 23 distinct storage and tracking mechanisms, no native CNAME cloaking protection, and no fingerprinting defenses of any kind. It’s worth mentioning that Google abandoned its plans to deprecate third-party tracking cookies in Chrome after a six-year effort called Privacy Sandbox.
Edge memory exposure
An attacker with administrative privileges can gain access to Microsoft Edge user passwords even when they’re not in use by taking advantage of the fact that the browser stores them in cleartext in process memory. An attacker could exploit this behavior to create a memory dump of Edge’s «browser» sub-task via the Windows Task Manager. Security researcher Tom Jøran Sønstebyseter Rønning, who revealed the issue, said: «When you save passwords in Edge, the browser decrypts every credential at startup and keeps them, resident in process memory. This happens even if you never visit a site that uses those credentials. At the same time, Edge requires you to re-authenticate before showing those same passwords in the Password Manager UI – yet the browser process already has them all in plaintext.» Further testing has revealed that Edge is the only Chromium-based browser that exhibits this behavior, which Microsoft has described as by design to speed up the sign-in process. Unlike Edge, other browsers built on Chromium encrypt credentials only when needed, instead of keeping all passwords in memory at all times. It’s worth noting that to pull off a successful attack, a threat actor must have already compromised the device by some other means. A similar method to extract cleartext credentials directly from Chromium’s memory was demonstrated by CyberArk in 2022. As VX-Underground noted in a post on X: «This method is interesting, I like the research performed, however, it isn’t something super critical. If you’re using this method in an enterprise environment, then that company has been completely compromised down to the bone, and they’ve got much larger issues.»
72-hour patch mandate
U.S. cybersecurity officials are considering sharply shorter deadlines for fixing critical flaws in government IT systems, amid concerns bad actors could exploit them using artificial intelligence tools, Reuters reported. Under the new proposal, the deadline for patching vulnerabilities added to the Known Exploited Vulnerabilities (KEV) catalog would be slashed from three weeks to three days. According to a Flashpoint study, the time between vulnerability disclosure and exploitation has plunged 94% over the past five years. The time to exploit (TTE) dropped from 745 days in 2020 to just 44 days last year, dramatically reducing the time security and IT teams have to patch. This phenomenon has exacerbated in recent months, with threat actors attempting to exploit newly disclosed flaws within 24 hours of public disclosure. «At face value, three days is aggressive. Traditional patching workflows involve change control, testing, and stakeholder sign-off, and compressing them into 72 hours runs counter to how most enterprises actually operate,» Ryan Dewhurst, watchTowr’s head of threat intelligence, told The Hacker News. » But the trend over recent months has been unambiguous. Exploitation of emerging threats is accelerating, and industry data consistently shows high-impact vulnerabilities being weaponized far faster than a 3-day window would allow. CISA’s shift to a 3-day deadline is a candid acknowledgment of how little time defenders actually have, balanced against the operational realities that still make patching complex. The uncomfortable truth: if you need three days, you’re already operating behind the threat.»
SEBI flags AI cyber risks
The Securities and Exchange Board of India (SEBI) has released an advisory, stating the emergence of tools like Mythos «may give rise to heightened risk exposure by enabling identification and potential exploitation of existing vulnerabilities using speed and scale,» adding «it may also introduce concerns relating to data confidentiality, application integrity, and reliability of outputs.» SEBI said it’s also establishing a cyber task force to examine the cybersecurity risks posed by AI models and devise a mitigation strategy, facilitate threat intelligence sharing, flag vulnerabilities that could impact the securities markets, and review third-party vendors for their cybersecurity posture.
AI-fueled cyber race
Anthropic CEO Dario Amodei has warned that AI has created a narrow window of about six to 12 months for organizations across the world to fix tens of thousands of software vulnerabilities found by its AI model before Chinese AI catches up. The development comes as AI models like Anthropic Mythos are being used to find vulnerabilities in widely used software, including over 270 flaws in Mozilla Firefox. An evaluation of Mythos and OpenAI GPT-5.5 has revealed that both models are capable of solving multi-step cyber attack simulations end-to-end. According to Axios, the U.S. National Security Agency has been testing the model despite the Pentagon’s insistence that the company poses a supply chain risk. The release of Mythos and OpenAI’s GPT-5.4-Cyber has also raised concerns that it could outpace current cybersecurity defenses, turbocharge exploit development, and expose weaknesses faster than they can be fixed. OpenAI also released its own advanced cyber model with similar capabilities. The worries stem from the dual-use nature of these systems, as the same capability that helps defenders identify hundreds of flaws can be turned against them if they end up in the wrong hands. Late last month, Bloomberg reported that a «small group of unauthorized users» had had access to Mythos through a third-party contractor that works for Anthropic since the day the model was officially announced. «These capabilities, however guardrailed, will not stay contained. Similar advances will appear across other major AI labs, Chinese models, and open source models,» Palo Alto Networks said. «Attackers will find the seams in those guardrails. They will use advanced AI to discover zero-day vulnerabilities at scale, generate exploits in near real time, and develop autonomous attack agents unlike anything the industry has faced.»
Android banking malware spike
A new analysis from Zimperium has uncovered that Android malware-driven financial transactions have increased 67% year-on-year. The mobile security company said it tracked 34 active malware families targeting 1,243 financial brands across 90 countries in 2025. TsarBot, Copybara, and HOOK are the top three malware families that collectively target more than 60% of the global banking and fintech apps analyzed. «The U.S. has the highest concentration of targeted apps globally, with 162 banking applications under active targeting, up from 109 in 2023,» the company said. «Nearly half of the malware families analyzed have financial extortion capabilities, including ransomware capabilities, allowing attackers to encrypt files on the device.»
Major cybercrime prosecutions
Bryan Fleming, the founder of the surveillance tool pcTattletale, was sentenced to time served and a $5,000 fine for operating stalkerware that allowed users to secretly keep tabs on victims. This case marks the first federal conviction of a spyware developer in more than a decade and signals a potential shift in how the government prosecutes creators of intrusive tracking technology. Fleming pleaded guilty earlier this January. pcTattletale shut down in 2024 after suffering a data breach. Other actions announced by the U.S. Department of Justice include the indictment of Jonathan Spalletta, a Maryland resident, in connection with theft of more than $50 million from decentralized cryptocurrency exchange Uranium Finance in 2021, leading to its shutdown; the extradition of Gavril Sandu, a Romanian national, to the U.S. for his alleged role in a voice phishing scheme; and the sentencing of Latvian national Deniss Zolotarjovs, a member of the Karakurt group, to 102 months in prison for his involvement in a series of ransomware attacks and extort payments from more than 54 companies. Zolotarjovs was extradited to the U.S. in August 2024.
Hijacked .edu subdomains
Bad actors have been observed taking over subdomains for the Massachusetts Institute of Technology, Harvard, Stanford, Johns Hopkins, and dozens of other universities to post explicit porn spam that Google indexed under the trusted «.edu» domains. The attack was carried out by hijacking DNS records that the universities had abandoned.
Fake AI app malware wave
Malvertising campaigns on Google Search are using lures for Antigravity to direct users to a fake website that serves a trojanized installer designed to deliver a stealer malware capable of harvesting sensitive data from the compromised system. Similar campaigns have leveraged Google Ads to serve fake landing pages for Claude to deliver MacSync infostealer on macOS. The activity has been codenamed Claude Fraud. In another campaign spotted by Malwarebytes, fake websites impersonating legitimate services like Proton VPN, code hosting platforms, and free web hosting providers such as onworks[.]net are being used to stage malicious payloads that deliver a new Rust-based infostealer dubbed NWHStealer. «Once installed, it can collect browser data, saved passwords, and cryptocurrency wallet information, which attackers may use to access accounts, steal funds, or carry out further attacks,» the company said. A new evolution of the Browser runtime to distribute the stealer. The use of fake websites as lures has been observed in two other campaigns: a fake website promoting a tool called TradingClaw that acts as a delivery vehicle for a stealer codenamed Needle Stealer and a typosquatting website impersonating Slack that’s used to drop a modified installer. The executable, besides launching a working copy of Slack, sets up a HVNC session for remote attackers to browse, access accounts, and interact with the system.
That’s the week. Same internet, new fires.
Patch what you can, double-check what you install, and don’t trust random ads pretending to be tools. See you next ThreatsDay.
Un demócrata de la Cámara de Representantes que ha estado a la vanguardia de los esfuerzos del Congreso para escudriñar el uso de software espía comercial por parte del gobierno federal quiere que el Departamento de Comercio informe al Capitolio en medio del temor de que la administración Trump pueda adoptar aún más la tecnología.
La representante Summer Lee, demócrata por Pensilvania, envió una carta al departamento el jueves solicitando información sobre varios acontecimientos derivados del reconocimiento por parte del Servicio de Inmigración y Control de Aduanas de su uso del software espía Graphite de Paragon, así como de una empresa estadounidense. comprar una participación mayoritaria en el grupo NSO de Israel. El Departamento de Comercio sancionó a NSO Group durante la presidencia del ex presidente Joe Biden después de acusaciones generalizadas de abuso, incluidas escuchas a funcionarios gubernamentales, activistas y periodistas.
“La administración Trump parece ser ampliamente receptiva al uso de software espía comercial para infiltrarse en teléfonos móviles y permitir la inversión estadounidense en empresas de software espía sancionadas como NSO Group”, escribió Lee en su carta al secretario de Comercio, Howard Lutnick, sobre la cual CyberScoop informa por primera vez.
El nuevo presidente ejecutivo de NSO Group, David Friedman, es ex embajador de Trump en Israel y fue su abogado de quiebras. En noviembre dijo que espera que la administración será “receptivo” al uso de la tecnología de NSO Group.
«Dados esos estrechos vínculos entre NSO Group y la Administración Trump, y las serias preocupaciones sobre cómo la tecnología de NSO podría usarse para espiar a los estadounidenses, escribimos para solicitar información sobre la compra de NSO Group por una empresa estadounidense y el uso potencial de software espía de NSO Group por parte de las autoridades federales», escribió Lee, quien forma parte del panel de Supervisión y Reforma Gubernamental y es el principal demócrata en su Subcomité Federal de Aplicación de la Ley.
Lee fue uno de los autores de una carta demócrata reciente en busca de confirmación del uso de grafito de Paragon por parte de ICE, que ICE reconoció. Pero criticaron a la administración por no responder a todas sus preguntas, además de indignarse.
En su última carta, Lee pidió al Departamento de Comercio que informara al personal del Comité de Supervisión y Reforma Gubernamental sobre las deliberaciones internas del departamento, la comunicación del Departamento de Comercio con la Casa Blanca y cualquier conversación externa (incluso con Friedman) sobre el uso gubernamental de la tecnología de NSO Group o cualquier otro software espía comercial, y la inversión estadounidense en NSO.
NSO Group “parece ver a la administración Trump como amigable con sus intereses en los Estados Unidos, presentándose como una herramienta vital para que el gobierno de los EE. UU. salvaguarde la seguridad nacional”, escribió Lee, citando presentaciones judiciales de la compañía de que “es razonablemente previsible que una agencia de aplicación de la ley o de inteligencia de los Estados Unidos utilice Pegasus”.
Las sanciones de la administración Biden y las pérdidas judiciales en un caso contra Meta representaron reveses para las ambiciones de NSO Group. Y antes de que la empresa de inversiones estadounidense controlara la compra de participación el otoño pasado, el Departamento de Comercio bajo Trump esfuerzos rechazados para eliminar a NSO Group de su lista de sanciones.
NSO Group sostiene que sus productos están diseñados únicamente para ayudar a las fuerzas del orden y a los servicios de inteligencia a luchar contra el terrorismo y el crimen, y que examina a sus clientes con antelación e investiga el uso indebido. Las noticias y otras investigaciones han revelado una multitud de abusos.
Ha habido informes dispersos sobre el coqueteo de Estados Unidos con el uso de la tecnología de NSO Group. El FBI reconoció que había compró una licencia de Pegasuspero no llegó a implementarlo. El Times de Londres informó que “se cree” La Agencia Central de Inteligencia utilizó el software espía Pegasus como parte de una misión de rescate el mes pasado para un aviador estadounidense derribado en Irán.
