Splunk ha publicado actualizaciones de seguridad para abordar una falla de seguridad crítica en Splunk Enterprise que podría explotarse para realizar operaciones de archivos no autenticados e incluso la ejecución remota de código.

La vulnerabilidad, rastreada como CVE-2026-20253tiene una calificación de 9,8 en el sistema de puntuación CVSS.

«En las versiones de Splunk Enterprise inferiores a 10.2.4 y 10.0.7, un usuario no autenticado podría crear o truncar archivos arbitrarios a través de un punto final de servicio secundario de PostgreSQL», Splunk dicho en una alerta esta semana.

«La vulnerabilidad existe porque el punto final del servicio complementario PostgreSQL carece de controles de autenticación, lo que permite que cualquier usuario accesible en la red invoque operaciones de archivos sin credenciales».

El problema se ha solucionado en las siguientes versiones:

• Splunk Enterprise 10.0.0 a 10.0.6: corregido en 10.0.7
• Splunk Enterprise 10.2.0 a 10.2.3: corregido en 10.2.4
• Splunk Enterprise 10.4: no afectado

Splunk, que es parte de Cisco, dijo que Splunk Cloud no se ve afectado por la vulnerabilidad ya que los sidecars de Postgres no se utilizan en el producto.

De qué se trata el defecto

El viernes, mira Tower Labs liberado detalles técnicos adicionales de CVE-2026-20253, que indican que podría explotarse para lograr la ejecución remota de código previamente autenticado en sistemas susceptibles a través de los puntos finales «/v1/postgres/recovery/backup» y «/v1/postgres/recovery/restore».

La cadena de ataque funciona de la siguiente manera:

• Conéctese a una base de datos controlada por un atacante y descargue su contenido en un archivo arbitrario usando el punto final /backup
• Cargue el volcado de la base de datos controlada por el atacante en la instancia local de PostgreSQL utilizando el punto final /restore incluyendo un argumento «passfile» que especifique la ruta a un «.pgpass«archivo («/opt/splunk/var/packages/data/postgres/.pgpass») que contiene la contraseña para el usuario «postgres_admin»
• Las consultas SQL definidas en el volcado de la base de datos serán ejecutadas por la instancia PostgreSQL de Splunk

Un atacante podría convertir esta debilidad en un arma para definir una nueva función que usa lo_exportar – una función utilizada para extraer un BLOB de la base de datos y guardarlo como un archivo en el sistema de archivos – para escribir contenido controlado por el atacante en un archivo, tras lo cual la función se ejecuta durante el proceso de restauración.

«En este punto, podemos autenticarnos, restaurar el SQL controlado por el atacante e interactuar con la base de datos local», dijeron los investigadores de seguridad Piotr Bazydlo y Yordan Ganchev. «Una vez que pudimos restaurar el SQL controlado por el atacante en la instancia local de PostgreSQL, rápidamente armamos una plantilla de volcado de base de datos que nos proporcionó una escritura de archivo controlada».

Armado con una primitiva de escritura de archivos arbitraria en el sistema de archivos Splunk, un atacante podría escalar aún más a la ejecución remota de código sobrescribiendo un script de Python que Splunk ejecuta con frecuencia (por ejemplo, «/opt/splunk/etc/apps/splunk_secure_gateway/bin/ssg_enable_modular_input.py») para incluir la carga maliciosa.

La secuencia completa de acciones se encuentra a continuación:

• Cree una base de datos y configúrela de modo que un usuario pueda autenticarse sin contraseña y otorgarle permisos suficientes para invocar funciones como lo_export.
• Utilice el punto final /backup para colocar un volcado de la base de datos remota en el sistema de archivos Splunk
• Utilice el punto final /restore para cargar el volcado de la base de datos malicioso, desencadenar la ejecución de la función maliciosa durante el proceso de restauración y escribir un script Python controlado por el atacante en el sistema de archivos Splunk.

Aunque no hay evidencia de que la falla haya sido explotada en la naturaleza, la disponibilidad de los detalles específicos de la vulnerabilidad puede ser suficiente para impulsar a los actores de amenazas a desencadenar intentos oportunistas. Es esencial que los usuarios actúen rápidamente para aplicar las correcciones y mantenerse protegidos.

antrópico dicho el viernes «inhabilitará abruptamente» sus modelos de inteligencia artificial (IA) más avanzados, Claude Fábula 5 y Mitos 5para todos los usuarios después de que el gobierno de EE. UU. le ordenara suspender el acceso a los modelos para ciudadanos extranjeros, ya sea dentro o fuera de EE. UU., citando preocupaciones de seguridad nacional.

La compañía AI dijo que recibió una orden a las 5:21 pm ET, instruyéndole a suspender todo acceso a los modelos por parte de ciudadanos extranjeros. Dijo que creía que había habido un «malentendido» y que estaba trabajando para restablecer el acceso a los modelos lo antes posible. El acceso a otros modelos no se verá afectado por la directiva de control de exportaciones.

«Tenemos entendido que el gobierno cree que se ha dado cuenta de un método para eludir o ‘liberar’ Fable 5», dijo la compañía.

«Revisamos una demostración de esta técnica específica que se utiliza para identificar una pequeña cantidad de vulnerabilidades menores previamente conocidas. Todas estas vulnerabilidades parecen relativamente simples, y hemos descubierto que otros modelos disponibles públicamente también pueden descubrirlas sin necesidad de pasar por alto».

La medida inesperada se produce días después del lanzamiento de Claude Fable 5 y su homólogo Mythos 5, que utiliza el mismo modelo subyacente pero con las salvaguardias eliminadas en algunas áreas, como la ciberseguridad. Este último, descrito como el que tiene «las mayores capacidades de ciberseguridad de cualquier modelo en el mundo», sigue siendo accesible a un grupo examinado de ciberdefensores y operadores de infraestructura crítica.

Anthropic enfatizó que ha implementado barreras de seguridad «fuertes» para evitar el uso indebido de sus modelos para tareas relacionadas con la ciberseguridad. Específicamente, esto está respaldado por un conjunto de clasificadores de seguridad que se utilizan para detectar posibles usos indebidos, incluidos intentos de jailbreak, y prohíben que el modelo principal responda.

El clasificador de ciberseguridad está diseñado para bloquear solicitudes dañinas de un solo turno relacionadas con la planificación de un ciberataque, el desarrollo de exploits o la evasión de defensa, y la compañía señala que los modelos de clase Mythos son expertos en encontrar y explotar vulnerabilidades de software, brindando así a los atacantes una ventaja estratégica.

La semana pasada, Anthropic reveló que su modelo de clase Mythos puede convertir vulnerabilidades de software recientemente reveladas en exploits funcionales en horas, o incluso minutos en algunos casos, en lugar de semanas, convirtiendo N días en N horas. Los hallazgos sugieren que los modelos de frontera pueden ser igual de buenos para convertir rápidamente en armas los defectos que se han revelado públicamente.

«Un operador solitario ahora puede convertir los parches de un mes en exploits funcionales en una sola tarde, por unos pocos miles de dólares y sin experiencia especializada», dijo el equipo rojo de Anthropic. dicho. «Esto significa que el típico manual de parches que los desarrolladores de software utilizan hoy en día – con cadencias de lanzamiento mensuales, implementaciones por etapas de varias semanas y un desfase entre los canales de prelanzamiento y estables – ya no se cumple».

Las protecciones de Fable 5 significan que las consultas sobre temas de ciberseguridad recibirán una respuesta de Claude Opus 4.8, el próximo modelo capaz de la compañía.

En su última declaración, la compañía argumentó que no se han desarrollado métodos universales de jailbreak contra los últimos modelos hasta la fecha, y agregó que los ejercicios internos y de terceros han descubierto que sus salvaguardas son «sustancialmente más efectivas que las de cualquier modelo implementado anteriormente».

Además, Anthropic afirmó que «la resistencia perfecta al jailbreak» no es posible para ningún proveedor modelo, ya que cada salvaguarda utilizada por la industria es susceptible a jailbreaks no universales que son «efectivos en contextos muy limitados o requieren un esfuerzo adicional para adaptarse a cada nueva situación».

«Hasta la fecha, el gobierno sólo nos ha dado evidencia verbal de un potencial jailbreak limitado y no universal, que esencialmente consiste en pedirle al modelo que lea una base de código específica y corrija cualquier falla de software», dijo.

«Tenemos entendido que se compartió un posible jailbreak con el gobierno. Hemos revisado un informe que creemos que es la base de la directiva del gobierno y validamos que el nivel de capacidad mostrado allí está ampliamente disponible en otros modelos (incluido el GPT-5.5 de OpenAI), y es utilizado todos los días por los defensores que mantienen seguros los sistemas».

Anthropic también señaló que si bien corresponde al gobierno bloquear los despliegues inseguros de IA, dijo que el descubrimiento de un «posible jailbreak estrecho» no debería ser la razón para retirar un modelo comercial que se ha implementado ampliamente. El proceso legal debe ser «transparente, justo, claro y basado en hechos técnicos», añadió.

A principios de este año, el Departamento de Defensa de EE.UU. calificó a Anthropic como un «riesgo para la cadena de suministro» después de que el fabricante de Claude intentara trazar líneas rojas sobre el uso militar de su tecnología. La empresa ha presentado dos demandas para bloquear la designación.

En lugar de esconderse en las computadoras portátiles y servidores que los defensores vigilan más de cerca, un grupo del nexo con China pasó cerca de una década escondido dentro del propio sistema de inicio de sesión de Linux.

Sygnia, que rastrea al grupo como Hormiga de terciopelodice que puso una puerta trasera en los componentes PAM y OpenSSH que deciden quién puede iniciar sesión, colocando su acceso donde la limpieza ordinaria no podría alcanzarlo. La red a la que apuntaba no tenía acceso directo a Internet, por lo que el grupo primero utilizó sistemas conectados a Internet para llegar allí.

Los primeros rastros se remontan a 2016. En lugar de lanzar nuevo malware que un escáner podría detectar, el atacante cambió los propios programas de inicio de sesión confiables. No apareció nada obvio y no fue necesario ningún exploit, por lo que la actividad parecía una administración normal.

En muchas máquinas, el atacante reemplazó el módulo de inicio de sesión PAM principal con copias con puerta trasera. Algunos les dejan entrar con una contraseña secreta; otros registraron silenciosamente nombres de usuarios y contraseñas reales cuando las personas iniciaron sesión.

Los investigadores encontraron nueve versiones distintas. Los programas OpenSSH se modificaron de la misma manera, registrando las credenciales y cada comando escrito, con un interruptor oculto para desactivar ese registro cuando fuera necesario.

Llegar a la red aislada requirió un trabajo extra. El atacante utilizó otras herramientas encubiertas y un servidor web con acceso a Internet como puente, pasando comandos a través de él para abrir sesiones remotas en lo más profundo del segmento que no tenía acceso directo a Internet.

Debido a que el propio sistema de inicio de sesión se vio comprometido, la contención normal sirvió de poco. Los restablecimientos de contraseñas y las sesiones canceladas no ayudan cuando lo que verifica esas credenciales está funcionando para el atacante.

Esto no es nuevo para el grupo. Cada vez que los defensores encuentran un punto de apoyo, Velvet Ant se mueve hacia el equipo que miran menos y se instala allí. en un caso 2024Sygnia descubrió que el mismo actor convertía dispositivos F5 BIG-IP expuestos a Internet en servidores de comando internos.

Más tarde ese año, informó que el grupo explotaba una falla de Cisco NX-OS, CVE-2024-20399para colocar una puerta trasera en los interruptores. Ese error necesita primero acceso de administrador, por lo que es una herramienta de persistencia, no una irrupción remota. Cisco lo parchó en julio de 2024 y CISA lo marcó como explotado al día siguiente.

Operación Highland Es la misma idea, un nivel más profundo. Los balanceadores de carga, los conmutadores y el propio software de inicio de sesión son confiables de forma predeterminada y rara vez se verifican, razón por la cual un atacante paciente se esconde dentro de ellos.

La Operación Highland no es un problema de un solo CVE. El atacante cambió los programas confiables después de ingresar, por lo que la solución es la verificación, no la aplicación de parches, y la limpieza es delicada: un reemplazo incorrecto puede bloquear a los administradores de un sistema activo.

• Mira los archivos de inicio de sesión. Supervise los programas PAM y OpenSSH y sus archivos clave para detectar cualquier cambio y avise cuando cambien.
• Caza comprobando qué cambióno esperando una alerta. Compare estos programas con copias en buen estado, porque nada los marcará por usted.
• Retire la puerta trasera antes de restablecer las contraseñaso los nuevos los roban de la misma manera. Pruebe cualquier reemplazo en un laboratorio primero.

Los casos anteriores de F5 y Cisco tienen sus propias comprobaciones: aplique el parche CVE-2024-20399 en el equipo Cisco Nexus y observe las casillas F5 para detectar conexiones salientes inesperadas.

La lección más amplia es clara: la infraestructura que se encuentra fuera del monitoreo normal todavía necesita controles de integridad, y eso ahora incluye la capa de inicio de sesión.

Google dijo el viernes que está emprendiendo acciones legales contra una red china de cibercrimen, acusándola de utilizar su agente de inteligencia artificial (IA) Gemini para enviar mensajes de texto de phishing dirigidos a estadounidenses. Se dice que la red está detrás del desarrollo y gestión de un kit de software de phishing como servicio (PhaaS) llamado Outsider, según el gigante tecnológico. «La operación convirtió a Gemini en un arma para ayudar

El FBI, junto con Google y Lumen Technologies, desmanteló una importante red de delitos cibernéticos con sede en China que fue responsable de pérdidas estimadas en 1.900 millones de dólares, dijeron funcionarios el viernes.

Outsider, que proporcionó kits de phishing e infraestructura alojada para ciberdelincuentes desde julio de 2023, facilitó una ola de ataques de phishing contra personas y empresas en 55 países, incluido Estados Unidos, dijo el FBI en un publicación en LinkedIn.

El esfuerzo coordinado conjuntamente denominado «Operación Ghost Hook» logró la incautación de varios dominios de los servidores de administración principales del grupo, una tienda Shopify, aproximadamente $100,000 de billeteras de pago de Outsider y miles de dominios registrados a través de proveedores con sede en EE. UU., dijeron los funcionarios.

El FBI dijo que también utilizó un bot Outsider Telegram para acceder a información sobre los clientes de la red de cibercrimen.

«Los delincuentes detrás de Outsider Enterprise construyeron un negocio haciéndose pasar por marcas confiables para defraudar a cientos de miles de víctimas», dijo en un comunicado Brett Leatherman, subdirector de la división cibernética del FBI.

Las autoridades rastrearon los dominios de phishing de Outsider hasta casi 3,9 millones de tarjetas de crédito robadas.

Google, uno de los proveedores personificados por los kits de phishing, describió a Outsider como una operación masiva impulsada por inteligencia artificial.

Outsider proporcionó su kit de phishing, que permitía a los ciberdelincuentes crear sitios falsos y campañas de phishing para robar tarjetas de crédito, credenciales de cuentas bancarias y datos personales, por una suscripción semanal de tan solo 88 dólares por semana, dijo la compañía en una demanda civil que presentó para desmantelar la infraestructura de la red de cibercrimen.

El grupo con sede en China detrás de la operación alentó y proporcionó instrucciones paso a paso para que los clientes usaran Gemini y otras plataformas de inteligencia artificial para generar códigos personalizados para señuelos de phishing y los sitios correspondientes para paquetes ilegítimos perdidos, peajes de autopistas vencidos, infracciones de estacionamiento, problemas con una cuenta de corretaje o recompensas de proveedores de servicios inalámbricos.

«El software Outsider permite a los estafadores solicitar múltiples tipos de verificación a las víctimas, incluidos SMS, PIN, correo electrónico y verificación de aplicaciones», escribió Google en la demanda presentada en el distrito estadounidense del Distrito Sur de Nueva York. «Esta flexibilidad permite a la empresa vencer varias formas de seguridad de autenticación».

Google dijo que está trabajando con AT&T, T-Mobile y Verizon para interceptar los mensajes de spam antes de que lleguen a los clientes, pero este tipo de ataques de phishing prevalecen y se han estado propagando durante años.

Google también está presionando para que se tomen medidas legislativas, incluida una serie de proyectos de ley, para combatir estas estafas, escribió la asesora general Halimah DeLaine Prado en un publicación de blog.

«El litigio por sí solo no pondrá fin a esto», escribió. «A medida que las amenazas evolucionan, nuestras leyes también deben evolucionar».

Google dijo que no conoce los nombres reales de las personas o entidades involucradas en Outsider, pero dijo que la operación cuenta con el apoyo de múltiples grupos de delitos cibernéticos que desempeñan diferentes funciones con infraestructura superpuesta.

El FBI dijo que la eliminación fue parte de la Operación Riptide, una campaña en curso dirigida a los ciberdelincuentes y la infraestructura y las redes financieras que utilizan para cometer fraude.

Los atacantes se apoderaron de más de 400 paquetes en el Arch User Repository (AUR) esta semana y reescribieron sus scripts de compilación para instalar un ladrón de credenciales en cualquier máquina que los haya creado.

El malware es un binario de Rust creado para recopilar secretos de los desarrolladores. Cuando aterriza con root, también puede cargar un rootkit eBPF para ocultarse. AUR es la colección de paquetes comunitarios de Arch Linux y está separada de los repositorios oficiales de Arch, que no se vieron afectados.

Si instaló o actualizó un paquete AUR a partir del 11 de junio, compárelo con las listas actuales de paquetes afectados antes de confiar en el host. La lista de nombres es larga, sigue creciendo y aún no está completa.

Este ataque persigue el modelo de confianza, no una falla de software. Los paquetes comprometidos conservaron sus nombres, sus historias y la confianza que los acompañaban. Sólo cambiaron las instrucciones de construcción.

La trampa estaba en la receta, dejando el paquete exactamente igual al software que los usuarios pretendían instalar. Ningún exploit, ningún día cero y ninguna señal de que los propios sistemas de Arch hayan sido violados.

Los atacantes adoptaron paquetes abandonados, editaron los archivos de compilación y permitieron a los usuarios ejecutar la carga útil por ellos. Sonatype, que nombró la campaña Arco Atómicolos encontró persiguiendo proyectos huérfanos: paquetes cuyos mantenedores se habían retirado, dejándolos abiertos para que cualquiera los adoptara.

También falsificaron los metadatos de git commit para que los cambios parecieran provenir de un mantenedor de larga data, una cuenta que un usuario de confianza de Arch Linux confirmó más tarde que nunca estuvo comprometida.

Una vez que se adoptaba un paquete, se editaba su script PKGBUILD o .install para ejecutar npm install atomic-lockfile durante la compilación, colocando el paquete npm malicioso junto con un par de paquetes legítimos para cubrirse. Ese paquete, atomic-lockfile@1.4.2, lleva un gancho de preinstalación que ejecuta un ELF de Linux incluido llamado deps. Compile el paquete y el binario se ejecutará.

Los ejemplos confirmados reportados a la lista de correo de Arch incluyen los paquetes alvr y premake-git.

Qué hace el malware

Investigador independiente Whanos ingeniería inversa la carga útil de deps y describe un ladrón de credenciales de Rust dirigido a estaciones de trabajo de desarrolladores y sistemas de compilación. Recoge:

• Cookies, tokens y almacenamiento local de navegadores basados ​​en Chromium (Chrome, Edge, Brave y muchos más)
• Datos de sesión de aplicaciones de Electron, incluidos Slack, Discord y Microsoft Teams
• Tokens de GitHub, npm y HashiCorp Vault, además de material al portador OpenAI/ChatGPT y metadatos de cuenta
• Claves SSH, hosts_conocidos e historiales de shell
• Credenciales de Docker y Podman y perfiles VPN

Los archivos robados se envían a través de HTTP a temp.sh. El comando y el control se ejecutan a través de un servicio cebolla Tor a través de un proxy de bucle invertido local.

Para lograr persistencia, instala un servicio systemd con Restart=always. Con root, se copia a sí mismo en /var/lib/ y escribe una unidad en /etc/systemd/system/; como usuario normal, utiliza el directorio de inicio y una unidad por usuario en ~/.config/systemd/user/. De cualquier manera, quiere volver.

Los primeros artículos sobrevendieron el rootkit eBPF. Es opcional y solo se carga cuando el binario ya tiene raíz y la capacidad adecuada. No se utiliza para ganar privilegios. Cuando se activa, oculta los propios procesos del malware, los nombres de los procesos y los inodos de socket de las herramientas estándar, utilizando mapas BPF anclados llamados hide_pids, hide_names y hide_inodes, y elimina los intentos de adjuntar un depurador.

Eso cambia los consejos de limpieza. Eliminar el paquete AUR no es suficiente una vez que se ha ejecutado la carga útil. Un administrador de paquetes puede eliminar los archivos que conoce. No puede demostrar que la máquina esté limpia después de que una carga útil compatible con rootkit haya tenido la oportunidad de ejecutarse.

El binario también presenta un segundo archivo vinculado a monero-wallet-gui que el análisis señala como un posible criptominero no analizado. Un rootkit eBPF acoplado a un ladrón que ataca y atrapa es inusual, y es por eso que éste vale más que encogerse de hombros.

Alcance y una segunda ola

El primer artículo de Sonatype contó más de 20 paquetes secuestrados. En un día, los rastreadores comunitarios y el Arco hilo general de aur había catalogado más de 400, con una lista maestra compilada al buscar el espejo git de AUR, colocándola alrededor de 408, y listas consolidadas subiendo más.

El paquete atomic-lockfile npm en sí mostró solo 134 descargas semanales en Enchufe antes de que fuera retirado del registro, por lo que la exposición real es la ruta de compilación de AUR en lugar de las instalaciones de npm.

Una segunda ola utilizó bun install js-digest, impulsado desde un conjunto separado de cuentas que los rastreadores de la comunidad vinculan al mismo editor npm que atomic-lockfile. Su carga útil es un binario diferente, un ELF separado por su hash, que la comunidad también marcó como malicioso.

Aún se está contando hasta qué punto se ha extendido esta ola. Los primeros desgloses enumeraron unas pocas docenas de paquetes, mientras que las búsquedas posteriores basadas en grep en el espejo AUR arrojaron números mucho más altos que pueden incluir la deserción a medida que se eliminan las confirmaciones. De cualquier manera, no es una nota a pie de página de la primera ola, así que verifique tanto atomic-lockfile como js-digest.

Que hacer ahora

Los mantenedores de Arch están restableciendo las confirmaciones maliciosas, prohibiendo las cuentas y pidiendo a los usuarios que sigan informando paquetes sospechosos en el hilo de la lista de correo.

Trate la lista publicada de paquetes afectados como incompleta. Por tu parte:

• Verifique cualquier paquete AUR instalado o actualizado a partir del 11 de junio con las listas de paquetes de la comunidad y los scripts de detección, que comparan sus paquetes externos con el conjunto defectuoso conocido. Grep historial de compilación reciente y cachés para npm install atomic-lockfile, bun install js-digest y la ruta de carga útil src/hooks/deps.
• Si se ejecutó un paquete marcado, trate al host como con credenciales comprometidas. Rote todo lo que toca el ladrón: sesiones de navegador, claves SSH, tokens de GitHub y npm, sesiones de Slack, Teams y Discord, tokens de Vault, credenciales de Docker y Podman, y cualquier clave de nube.
• Caza por la perseverancia. Busque servicios systemd desconocidos (tanto unidades del sistema como ~/.config/systemd/user/) y archivos inesperados en /var/lib/. Inspeccione /sys/fs/bpf/ para ver los mapas Hidden_pids, Hidden_names y Hidden_inodes. Revisar las conexiones salientes a Tor y cargar servicios.
• Si el paquete se ejecutó como root, asuma que el rootkit está presente y reinstálelo desde un medio confiable. De lo contrario, no hay forma de confiar en el sistema.
• En el futuro, lea PKGBUILD y cualquier enlace .install antes de compilar, especialmente para paquetes adoptados recientemente o que se activan repentinamente después de un largo período de inactividad. Si no comprende las instrucciones de compilación, no instale el paquete.

Para la detección, el SHA-256 de la carga útil principal es 6144d433f8a0316869877b5f834c801251bbb936e5f1577c5680878c7443c98b; el conjunto completo de indicadores, incluido el host cebolla C2, se encuentra en el análisis ioctl.fail.

La misma táctica de adopción afectó a un paquete de visor de PDF abandonado en 2018; la versión 2026 simplemente la amplió, como parte de una serie más amplia de ataques a la cadena de suministro que secuestran proyectos huérfanos para heredar la confianza en lugar de utilizar errores tipográficos para engañar a los usuarios. La lista de afectados aún está incompleta y no se ha asignado ningún CVE; Sonatype rastrea la campaña como Sonatype-2026-003775 (CVSS 8.7).

El ataque funcionó porque la AUR todavía confía en el nombre y el historial de un paquete antes que en quién lo mantiene ahora. Un paquete adoptado recientemente, o uno del que de repente surgen nuevos ganchos de instalación, ahora merece la misma sospecha que un paquete de un extraño.

Los atacantes se apoderaron de más de 400 paquetes en el Arch User Repository (AUR) esta semana y reescribieron sus scripts de compilación para instalar un ladrón de credenciales en cualquier máquina que los haya creado.

El malware es un binario de Rust creado para recopilar secretos de los desarrolladores. Cuando aterriza con root, también puede cargar un rootkit eBPF para ocultarse. AUR es la colección de paquetes comunitarios de Arch Linux y está separada de los repositorios oficiales de Arch, que no se vieron afectados.

Si instaló o actualizó un paquete AUR a partir del 11 de junio, compárelo con las listas actuales de paquetes afectados antes de confiar en el host. La lista de nombres es larga, sigue creciendo y aún no está completa.

Este ataque persigue el modelo de confianza, no una falla de software. Los paquetes comprometidos conservaron sus nombres, sus historias y la confianza que los acompañaban. Sólo cambiaron las instrucciones de construcción.

La trampa estaba en la receta, dejando el paquete exactamente igual al software que los usuarios pretendían instalar. Ningún exploit, ningún día cero y ninguna señal de que los propios sistemas de Arch hayan sido violados.

Los atacantes adoptaron paquetes abandonados, editaron los archivos de compilación y permitieron a los usuarios ejecutar la carga útil por ellos. Sonatype, que nombró la campaña Arco Atómicolos encontró persiguiendo proyectos huérfanos: paquetes cuyos mantenedores se habían retirado, dejándolos abiertos para que cualquiera los adoptara.

También falsificaron los metadatos de git commit para que los cambios parecieran provenir de un mantenedor de larga data, una cuenta que un usuario de confianza de Arch Linux confirmó más tarde que nunca estuvo comprometida.

Una vez que se adoptaba un paquete, se editaba su script PKGBUILD o .install para ejecutar npm install atomic-lockfile durante la compilación, colocando el paquete npm malicioso junto con un par de paquetes legítimos para cubrirse. Ese paquete, atomic-lockfile@1.4.2, lleva un gancho de preinstalación que ejecuta un ELF de Linux incluido llamado deps. Compile el paquete y el binario se ejecutará.

Los ejemplos confirmados reportados a la lista de correo de Arch incluyen los paquetes alvr y premake-git.

Qué hace el malware

Investigador independiente Whanos ingeniería inversa la carga útil de deps y describe un ladrón de credenciales de Rust dirigido a estaciones de trabajo de desarrolladores y sistemas de compilación. Recoge:

• Cookies, tokens y almacenamiento local de navegadores basados ​​en Chromium (Chrome, Edge, Brave y muchos más)
• Datos de sesión de aplicaciones de Electron, incluidos Slack, Discord y Microsoft Teams
• Tokens de GitHub, npm y HashiCorp Vault, además de material al portador OpenAI/ChatGPT y metadatos de cuenta
• Claves SSH, hosts_conocidos e historiales de shell
• Credenciales de Docker y Podman y perfiles VPN

Los archivos robados se envían a través de HTTP a temp.sh. El comando y el control se ejecutan a través de un servicio cebolla Tor a través de un proxy de bucle invertido local.

Para lograr persistencia, instala un servicio systemd con Restart=always. Con root, se copia a sí mismo en /var/lib/ y escribe una unidad en /etc/systemd/system/; como usuario normal, utiliza el directorio de inicio y una unidad por usuario en ~/.config/systemd/user/. De cualquier manera, quiere volver.

Los primeros artículos sobrevendieron el rootkit eBPF. Es opcional y solo se carga cuando el binario ya tiene raíz y la capacidad adecuada. No se utiliza para ganar privilegios. Cuando se activa, oculta los propios procesos del malware, los nombres de los procesos y los inodos de socket de las herramientas estándar, utilizando mapas BPF anclados llamados hide_pids, hide_names y hide_inodes, y elimina los intentos de adjuntar un depurador.

Eso cambia los consejos de limpieza. Eliminar el paquete AUR no es suficiente una vez que se ha ejecutado la carga útil. Un administrador de paquetes puede eliminar los archivos que conoce. No puede demostrar que la máquina esté limpia después de que una carga útil compatible con rootkit haya tenido la oportunidad de ejecutarse.

El binario también presenta un segundo archivo vinculado a monero-wallet-gui que el análisis señala como un posible criptominero no analizado. Un rootkit eBPF acoplado a un ladrón que ataca y atrapa es inusual, y es por eso que éste vale más que encogerse de hombros.

Alcance y una segunda ola

El primer artículo de Sonatype contó más de 20 paquetes secuestrados. En un día, los rastreadores comunitarios y el Arco hilo general de aur había catalogado más de 400, con una lista maestra compilada al buscar el espejo git de AUR, colocándola alrededor de 408, y listas consolidadas subiendo más.

El paquete atomic-lockfile npm en sí mostró solo 134 descargas semanales en Enchufe antes de que fuera retirado del registro, por lo que la exposición real es la ruta de compilación de AUR en lugar de las instalaciones de npm.

Una segunda ola utilizó bun install js-digest, impulsado desde un conjunto separado de cuentas que los rastreadores de la comunidad vinculan al mismo editor npm que atomic-lockfile. Su carga útil es un binario diferente, un ELF separado por su hash, que la comunidad también marcó como malicioso.

Aún se está contando hasta qué punto se ha extendido esta ola. Los primeros desgloses enumeraron unas pocas docenas de paquetes, mientras que las búsquedas posteriores basadas en grep en el espejo AUR arrojaron números mucho más altos que pueden incluir la deserción a medida que se eliminan las confirmaciones. De cualquier manera, no es una nota a pie de página de la primera ola, así que verifique tanto atomic-lockfile como js-digest.

Que hacer ahora

Los mantenedores de Arch están restableciendo las confirmaciones maliciosas, prohibiendo las cuentas y pidiendo a los usuarios que sigan informando paquetes sospechosos en el hilo de la lista de correo.

Trate la lista publicada de paquetes afectados como incompleta. Por tu parte:

• Verifique cualquier paquete AUR instalado o actualizado a partir del 11 de junio con las listas de paquetes de la comunidad y los scripts de detección, que comparan sus paquetes externos con el conjunto defectuoso conocido. Grep historial de compilación reciente y cachés para npm install atomic-lockfile, bun install js-digest y la ruta de carga útil src/hooks/deps.
• Si se ejecutó un paquete marcado, trate al host como con credenciales comprometidas. Rote todo lo que toca el ladrón: sesiones de navegador, claves SSH, tokens de GitHub y npm, sesiones de Slack, Teams y Discord, tokens de Vault, credenciales de Docker y Podman, y cualquier clave de nube.
• Caza por la perseverancia. Busque servicios systemd desconocidos (tanto unidades del sistema como ~/.config/systemd/user/) y archivos inesperados en /var/lib/. Inspeccione /sys/fs/bpf/ para ver los mapas Hidden_pids, Hidden_names y Hidden_inodes. Revisar las conexiones salientes a Tor y cargar servicios.
• Si el paquete se ejecutó como root, asuma que el rootkit está presente y reinstálelo desde un medio confiable. De lo contrario, no hay forma de confiar en el sistema.
• En el futuro, lea PKGBUILD y cualquier enlace .install antes de compilar, especialmente para paquetes adoptados recientemente o que se activan repentinamente después de un largo período de inactividad. Si no comprende las instrucciones de compilación, no instale el paquete.

Para la detección, el SHA-256 de la carga útil principal es 6144d433f8a0316869877b5f834c801251bbb936e5f1577c5680878c7443c98b; el conjunto completo de indicadores, incluido el host cebolla C2, se encuentra en el análisis ioctl.fail.

La misma táctica de adopción afectó a un paquete de visor de PDF abandonado en 2018; la versión 2026 simplemente la amplió, como parte de una serie más amplia de ataques a la cadena de suministro que secuestran proyectos huérfanos para heredar la confianza en lugar de utilizar errores tipográficos para engañar a los usuarios. La lista de afectados aún está incompleta y no se ha asignado ningún CVE; Sonatype rastrea la campaña como Sonatype-2026-003775 (CVSS 8.7).

El ataque funcionó porque la AUR todavía confía en el nombre y el historial de un paquete antes que en quién lo mantiene ahora. Un paquete adoptado recientemente, o uno del que de repente surgen nuevos ganchos de instalación, ahora merece la misma sospecha que un paquete de un extraño.

Los Departamentos de Justicia y Seguridad Nacional de EE.UU. confiscaron varios dominios de Internet esta semana, acusándolos de estar acostumbrados a publicar miles de imágenes y vídeos de mujeres desnudas alterados digitalmente o mediante IA.

Los dominios, CFAKE.com y SOCFAKE.com, se especializaban en falsificaciones digitales que “parecían ser imágenes sexuales de mujeres famosas, incluidos políticos, primeras damas de varios países, miembros de la realeza, periodistas, presentadores de televisión, atletas, artistas y otros” ya sea desnudos o involucrados en actividades sexuales”, según un comunicado del Departamento de Justicia.

Además de crear imágenes y vídeos sexuales de mujeres sin su consentimiento, el servicio permitía a las personas buscar por temas, incluidos «violación», «forzada» y «degradación».

Esa descripción proviene de un Departamento de Justicia. liberar describiendo el contenido de su declaración jurada de causa probable y órdenes de registro. CyberScoop no ha visto los documentos judiciales.

Los sitios fueron incautados en virtud de la Ley TAKE IT DOWN, una ley aprobada el año pasado que otorga a las autoridades federales la capacidad de procesar penalmente a quienes crean y distribuyen pornografía deepfake. La ley fue un raro momento de acuerdo bipartidista en Washington DC, y obtuvo el apoyo tanto de demócratas como de republicanos que dijeron que sus electores exigían leyes más estrictas para frenar el uso de IA para crear pornografía deepfake no consensuada.

La operación supone una de las mayores incautaciones desde que la ley entró en vigor. Los detalles de la operación divulgados por el gobierno muestran cómo los creadores de pornografía deepfake dependen de una red de activos e infraestructura internacionales para evadir la aplicación de la ley.

Robert Fraiser, fiscal federal para el distrito de Nueva Jersey, dijo que las autoridades estadounidenses trabajaron en coordinación con agencias policiales en Francia e Italia. Según funcionarios estadounidenses, la Polizia de Stato italiana les notificó por primera vez sobre el sitio web, mientras que una investigación paralela dirigida por la Fiscalía de París en Francia resultó en el arresto de un sospechoso relacionado con el sitio, junto con los fondos en criptomonedas incautados.

«Estas incautaciones detuvieron un sitio web que traficaba con humillación, explotación y violación de la privacidad personal a escala masiva», dijo Frazer en un comunicado. «Para las víctimas cuyas imágenes fueron distribuidas sin su consentimiento, el daño no es virtual: es profundamente personal y, a menudo, duradero».

Según el Fiscalía de ParísCyrille B., ciudadano francés de 47 años, fue detenido y acusado de ser administrador de CFAKE. Una búsqueda en su casa en Niza encontró equipos informáticos relacionados con el sitio y un poco más de 48.000 dólares en criptomonedas Ethereum que, según dijeron, procedían de la publicidad del sitio.

La investigación francesa identificó 300.000 imágenes y 7.000 vídeos que representan a 14.000 personas de diferentes países. El sitio tenía aproximadamente 200.000 cuentas de usuarios, 4 millones de visitas al mes y subía 50 contenidos nuevos cada día.

El sospechoso no tenía antecedentes penales y irá a juicio el 7 de julio. Los cargos conllevan posibles penas de hasta siete años de prisión y 500.000 euros.

La división de Investigación de Seguridad Nacional del Servicio de Inmigración y Control de Aduanas de EE.UU. está liderando la investigación federal, en conjunto con la oficina del Fiscal Federal de Nueva Jersey.

Ex miembro de Conti desde hace mucho tiempo, un grupo de ransomware que atacó a más de 1000 organizaciones en todo el mundo antes de disolverse en 2022, se declaró culpable de participar en algunos de esos ataques en un tribunal federal el miércoles, dijo el Departamento de Justicia.

Oleksii Oleksiyovych Lytvynenko, también conocido como Alexsey Alexseevich Litvinenko, admitió que se unió al prolífico grupo de cibercrimen en septiembre de 2021 y tenía datos sobre 12 víctimas, incluidas ocho con sede en Estados Unidos. Según los funcionarios, el hombre de 44 años dijo al tribunal que desarrolló malware que Conti utilizó en algunos de sus ataques.

«El acusado y sus conspiradores utilizaron el ransomware Conti para aterrorizar a personas y empresas en Estados Unidos y en todo el mundo, causando millones de dólares en daños», dijo en un comunicado A. Tysen Duva, fiscal general adjunto de la división penal del Departamento de Justicia.

Lytvynenko y sus cómplices utilizaron el ransomware para atacar a más de 1.000 víctimas en todo el mundo, atrapando víctimas en 47 estados, Washington, Puerto Rico y alrededor de 31 países, según el Departamento de Justicia. El FBI estima que Conti extorsionó a las víctimas por más de 150 millones de dólares en pagos de rescate.

El ciudadano ucraniano se declaró culpable de conspiración para cometer fraude electrónico y enfrenta hasta 20 años de prisión al momento de su sentencia, que está programada para el 10 de septiembre.

Lytvynenko fue arrestado en Irlanda en julio de 2023, extraditado a Estados Unidos en octubre de 2025 y permanece bajo custodia federal en Tennessee, donde se encuentran al menos tres de sus víctimas. Salió de Ucrania en 2022 y obtuvo un estatus de protección temporal en Irlanda, residiendo en Cork en el momento de su arresto.

Los fiscales dijeron que Lytvynenko y sus cómplices extorsionaron alrededor de 634.000 dólares en Bitcoin a dos víctimas en Tennessee, incluida una entidad gubernamental no revelada que resultó en el compromiso de un departamento del sheriff, servicios médicos de emergencia locales y un departamento de policía local. Según una acusación que se hizo pública el otoño pasado, Lytvynenko y sus cómplices también filtraron datos que robaron de otra víctima de Tennessee después de que se negó a pagar una demanda de rescate de 3 millones de dólares.

Cuatro de los presuntos cómplices de Lytvynenko (Maksim Galochkin, Maksim Rudenskiy, Mikhail Mikhailovich Tsarev y Andrey Yuryevich Zhuykov) fueron acusado en 2023 en el mismo tribunal federal por delitos relacionados con su presunta participación en los ataques de Conti de 2020 a 2022.

Las autoridades dijeron que Lytvynenko participó en delitos cibernéticos después de que Conti se disolviera y sus miembros se dividieran en nuevos grupos, y agregaron que «estaba dormido pero al alcance de una computadora portátil abierta que ejecutaba Cobalt Strike» en el momento de su arresto.

En un momento, Conti estuvo entre los grupos de ransomware más prolíficos a nivel mundial, lo que afectó a cientos de proveedores de infraestructura crítica, al gobierno de Costa Rica en 2022 y, en última instancia, llevó al Departamento de Estado a ofrecer una recompensa de 10 millones de dólares por información relacionada con los líderes de Conti. El grupo fue notoriamente resistente, se recuperó con nueva infraestructura y alcanzó nuevos objetivos después de que una filtración masiva expusiera chats entre los miembros del grupo en 2022.

Conti se disolvió más tarde ese año, pero los miembros del grupo en cirílico cambiaron su nombre a tres subgrupos: Zeon, Black Basta y Quantum, que rápidamente pasó a llamarse Royal, antes de volver a llamarse BlackSuit en 2024.

«La declaración de culpabilidad de Lytvynenko es un paso importante para responsabilizar a los ciberdelincuentes por el daño que infligen a las víctimas en todo el mundo», dijo Brett Leatherman, subdirector de la división cibernética del FBI, en un comunicado. «Lytvynenko se benefició del miedo y la coerción, conspirando para utilizar el ransomware Conti para extorsionar a las víctimas y robar sus datos».

Los investigadores advierten que los ciberdelincuentes explotaron una vulnerabilidad de día cero de Oracle PeopleSoft y potencialmente se infiltraron en las redes de más de 100 organizaciones en una ola de ataques que afectó en gran medida a la educación superior.

Mandiant y Google Threat Intelligence Group dijeron que se enteraron de los ataques a principios de este mes como parte de su monitoreo continuo de las operaciones de ShinyHunters. El notorio grupo de cibercrimen afirma que pirateó más de 100 organizaciones y comenzó a nombrar a las víctimas y a publicar datos presuntamente robados el martes.

La Universidad de Nottingham, una de las presuntas víctimas de ShinyHunters, confirmó el miércoles una Se robó una cantidad significativa de datos de los estudiantes. durante un ciberataque después de que el grupo de amenazas filtrara algunos de los datos de la escuela.

Los ataques se remontan al menos al 27 de mayo, según Mandiant, e implican la explotación de CVE-2026-35273un defecto en Oracle PeopleSoft PeopleTools que permite a atacantes no autenticados ejecutar código remoto y tomar el control de los servidores afectados.

Oráculo reveló la vulnerabilidad y recomendó algunas medidas de mitigación el miércoles, semanas después de que los ataques ya estuvieran en marcha. El proveedor no ha lanzado un parche para solucionar el defecto y no respondió a una solicitud de comentarios.

Google dijo que alertó más de 100 organizaciones de puntos finales potencialmente vulnerables en sus entornos, pero se negó a confirmar cuántas víctimas están comprometidas.

«Esta campaña todavía está activa. Hemos observado a ShinyHunters enviando extorsiones incluso hoy», dijo a CyberScoop Charles Carmakal, director de tecnología de Mandiant Consulting, el jueves por la noche. Añadió que más víctimas, más allá de la visibilidad de Google, podrían verse afectadas.

La mayor parte del grupo de víctimas potenciales tiene su sede en Estados Unidos y el 68% está en el sector de la educación superior, según Google.

«Hemos observado anteriormente que ShinyHunters se dirige al sector educativo este año, sin embargo, es posible que este objetivo sea representativo de la mayoría de las instancias expuestas de PeopleSoft que pertenecen al sector», dijo Carmakal.

Oracle PeopleSoft PeopleTools incluye más de 40 herramientas para la gestión de recursos humanos y relaciones con los clientes.

Los ataques se producen menos de un año después de que el grupo de ransomware Clop explotara un día cero en Oracle E-Business Suite que afectó a decenas de víctimas. La campaña de extorsión por robo de datos que siguió a esos ataques, que comenzó en agosto, no comenzó hasta octubre.