julio 2026 – Página 2

admin Noticias, Trending apunta BYOVD cadena con conductores CYBERDEFENSA.MX fabricante japonés SilverFox ValleyRAT

SilverFox apunta al fabricante japonés con cadena BYOVD de 3 conductores y ValleyRAT – CYBERDEFENSA.MX

El grupo chino de cibercrimen conocido como Zorro plateado Se ha observado el uso de nuevos controladores como parte de ataques BYOVD (traiga su propio controlador vulnerable) dirigidos a una organización japonesa en el sector de fabricación industrial para, en última instancia, entregar ValleyRAT (también conocido como Winos 4.0) para acceso remoto persistente.

«En esta campaña, el grupo combina nuevos abusos de controladores vulnerables, abusos recientemente observados de aplicaciones legítimas para descarga de DLL, evasión de defensa y mecanismos de recuperación en capas para mantener ValleyRAT en funcionamiento», dijeron los investigadores de Cato Networks Shani Kurtzberg, Tomer Pugach, Dr. Guy Waizel, Zohar Buber, Idan Tarab y Shani Kurtzberg. dicho en un análisis.

La cadena de ataque comienza con un señuelo de phishing con tema de factura que utiliza contenido controlado por el atacante alojado en servicios legítimos de QQ y Tencent Cloud para activar una cadena de carga lateral de DLL a través de un archivo ZIP que allana el camino para la implementación de ValleyRAT, no sin antes aprovechar la técnica BYOVD para obtener acceso al kernel y afectar los controles de seguridad en el host comprometido para evadir la detección.

El archivo ZIP contiene un descargador ejecutable que recupera los componentes de la siguiente etapa necesarios para la carga lateral de DLL desde una infraestructura Tencent Cloud controlada por un atacante.

Si bien Silver Fox ha aprovechado anteriormente este método utilizando los controladores legítimos pero vulnerables «amsdk.sys» y «wsftprm.sys», la última campaña marca el uso de otros dos controladores: «BootRepair.sys» y «EnPortv.sys», que no han sido informados públicamente en relación con oleadas de ataques anteriores.

Específicamente, la DLL maliciosa («PDFCORE8.dll») descargada por «ConvertToPDF.exe» o «PDFDirect.exe» incorpora «BootRepair.sys», «EnPortv.sys» y wsftprm.sys», convirtiendo el malware en un marco BYOVD modular de tres controladores para la evasión de defensa. Ambos archivos binarios legítimos están asociados con Zeon Corporation.

La idea detrás de la incorporación de tres controladores diferentes es garantizar la resiliencia operativa en todos los entornos y convertir la implementación de BYOVD en un sistema plug-and-play que permita a los operadores intercambiar los controladores y reemplazarlos con otras opciones manteniendo intacto el resto del flujo de trabajo.

Además de eso, el malware utiliza el desenganche NTDLL para eliminar los ganchos en línea del modo de usuario colocados por el software de seguridad de endpoints para controlar la actividad de la API nativa de Windows.

«El malware integra Bring Your Own Vulnerable Driver (BYOVD), carga lateral de DLL, desconexión de NTDLL, inyección de procesos, almacenamiento de carga útil basado en el registro y dos mecanismos de recuperación independientes para afectar los controles de seguridad y mantener la ejecución», dijeron los investigadores.

El cargador de DLL, que actúa como un marco de ejecución autónomo, también es responsable de desencadenar un script de vigilancia por lotes que garantiza la persistencia mediante una tarea programada y se comunica con un servidor externo («43.128.26[.]132») para recuperar el código shell que se inyecta en un nuevo proceso «svchost.exe» usando una técnica llamada secuestro de contexto de hilo.

El implante de etapa final resultante es ValleyRAT, una variante de Gh0st RAT que ofrece funcionalidad de acceso remoto, incluida comunicación de comando y control (C2), ejecución de tareas y capacidades adicionales posteriores al compromiso.

Un aspecto definitorio de la secuencia de ataque es su diseño de doble vigilancia que garantiza la recuperación de la ejecución. Combina una rutina interna que monitorea la carga útil inyectada con el script de vigilancia externo antes mencionado que monitorea el cargador detrás de la creación de esa carga útil.

Este enfoque doble significa que la terminación de un componente por sí solo puede no neutralizar completamente la intrusión. Si la carga útil inyectada sale, el cargador la recrea. Si el cargador se termina, el script de vigilancia entra en acción para reiniciarlo.

«Este diseño en capas aumenta la resiliencia porque los defensores deben interrumpir ambos componentes y evitar que cualquiera de ellos restaure la otra etapa», dijo Cato.

«La arquitectura de recuperación también refuerza la modularidad observada en toda la muestra. La implementación del controlador, la terminación del proceso de seguridad, la inyección, el monitoreo de la carga útil y la recuperación del cargador se implementan como componentes coordinados en lugar de técnicas aisladas».

La revelación se produce mientras Silver Fox continúa refinando y ampliando activamente su arsenal con nuevas herramientas, como Atlas RAT (también conocido como AtlasCross RAT), RomulusLoader y SilentRunLoader, incluso cuando el grupo utiliza señuelos con temas fiscales para ofrecer Gh0st RAT y DCRat.

En un informe publicado esta semana, una empresa de ciberseguridad de Corea del Sur dijo que su búsqueda retrospectiva de 180 días del corpus VirusTotal identificó 146 muestras únicas de Atlas RAT que abarcan seis versiones de PDB, dos nombres de usuario de entornos de desarrollo y 27 linajes heurísticos.

«Se observa que tal escala y diversidad son inconsistentes con la gestión por parte de un solo operador, lo que plantea la posibilidad de que el malware haya sido desarrollado comercialmente o distribuido de forma privada», dijo la compañía. dicho. «Sin embargo, el vínculo con Silver Fox sólo se ha sugerido basándose en pruebas circunstanciales, y no hay pruebas suficientes para determinar de manera concluyente que son el mismo operador».

admin Noticias, Trending AIPowered attacks Chrome CYBERDEFENSA.MX DNS Flaws Hacking Hijacking SonicWall Stories

AI-Powered Hacking, 370 Chrome Flaws, SonicWall Attacks, DNS Hijacking + 22 More Stories – CYBERDEFENSA.MX

A lot of security still comes down to trusting the wrong screen.

This week, that screen might be a login page, an install guide, a recruiter call, or a familiar service behaving slightly wrong. Behind it: reused credentials, exposed systems, quiet loaders, abused trust, and exploit paths that should have been harder.

Some defenses improved. The loose parts still got found first. Anyway, here’s the mess.

The threats change every week. Subscribe, and we’ll alert you when each new ThreatsDay Bulletin is out.

Phishing delivers XWorm

A cybercrime group known as xplogs22 has been observed targeting Russia and other CIS countries with phishing emails that deliver Xworm. The group, per F6, is believed to have been active since November 2023. Prior attacks mounted by the threat actors leveraged Formbook and Snake Keylogger, before switching to XWorm around July 2025. In recent months, Russian customers of the banking sector have also been targeted by an Android trojan called LunaSpy as part of social engineering attacks. LunaSpy can capture camera streams, record audio and the screen, and collect sensitive data. The malware is disguised as an antivirus application to evade detection.

Custom ransomware targets Russia

The financially motivated extortion group known as Toy Ghouls (aka Bearlyfy and Labubu) has targeted organizations in the Russian Federation, primarily in the manufacturing, financial services, retail, and technology sectors, with a custom ransomware family called GenieLocker since March 2026. According to Kaspersky, the group previously relied on third-party encryptors like RedAlert, LockBit, and Babuk. «GenieLocker, apparently a custom design, upgrades their toolkit and reduces their reliance on third-party software,» Kaspersky said. In at least one case, initial access to the target environment was obtained via an OpenVPN connection originating from an external partner’s network, with the attackers likely exploiting the trusted relationship to breach the target, conduct reconnaissance, deliver additional tools for credential harvesting, and perform lateral movement via RDP and SSH to reach other Windows and Linux hosts. «During the impact phase, the attackers encrypted files on the compromised Windows machines with the PE version of the GenieLocker ransomware,» Kaspersky said. «On the compromised Linux and ESXi servers, they stopped active virtual machines and encrypted their disks using the ELF version of GenieLocker.» Details of the activity were first highlighted by F6 in March 2026.

Crypto-stealing payloads deployed

The malware loader known as CastleLoader, which has been previously used to deliver CastleStealer and a Python-based remote access trojan (RAT) via ClickFix-style lures, has now been used to distribute two payloads tied to the Needle Stealer framework: a Rust-based desktop wallet spoofer, and a Golang-based malicious browser extension installer. Arctic Wolf said it also identified a new shellcode loader variant spreading via digitally signed installers. The campaign has been codenamed Noidret. The introduction of these new tools is seen as an attempt to focus on cryptocurrency-specific targeting and establish browser-level persistence.

Fileless WebDAV execution

Speaking of ClickFix, CyberProof said it tracked a ClickFix variant that involves tricking victims into pasting a single command into the Windows Run dialog, which then communicates with a WebDAV endpoint and uses rundll32.exe to load a remote, non-DLL payload and call its first export by ordinal without having to leave any artifacts on disk. «The payload (gc.key, j.pm, or goog.ct) is a file served from the attacker WebDAV share and is not a standard DLL by extension,» CyberProof said. «It is invoked by rundll32.exe through ordinal #1, which runs its primary routine while keeping the export name off the command line.»

Fake Claude guide spreads malware

Victims searching Google for how to install Claude on a Mac are being served sponsored results that lead them to a weaponized claude.ai/share conversation dressed up as an Apple Support install guide. The «guide» instructs them to open Terminal and paste a single curl command, ultimately leading to execution of MacSync Stealer. «MacSync is a six-stage kill chain, not a smash-and-grab,» Huntress said. «The components are a thin zsh loader, a server-side AppleScript stealer that keeps the valuable logic off the endpoint and behind an api-key gate, a native Mach-O RAT for hands-on access, a separately signed helper built to steal a single TCC permission (Screen Recording), and a set of wallet-app trojans. Each stage sets up the ones that follow.»

Malware, intrusions, and influence ops

A Russian-speaking threat group is said to be behind an active campaign called Operation STANDOFF that combines commodity-malware distribution, a proxy-botnet that conscripts victims into relay infrastructure, targeted hands-on-keyboard intrusion of enterprise networks, and an AI-driven, multi-channel influence and engagement-manipulation capabilities under one roof. «The operation is materially more than a botnet,» VMRay Labs said. «It couples automated, scaled cybercrime with hands-on-keyboard, targeted intrusion and a coordinated influence capability, all on the same infrastructure and built by a common development team.» The influence apparatus uses networks of fake Telegram accounts and AI-generated personas to artificially boost the visibility of content, push commercial promotions, and drive traffic to gambling and fraud-adjacent services. The activity uses a pay-per-install (PPI) loader masquerading as software installers that delivers Raccoon Stealer, RedLine, Amadey, SmokeLoader, Socelars, Glupteba, and XMRig cryptocurrency miner, while a second, targeted operations layer relies on a bespoke, multi-operator command-and-control console through which human operators conduct hands-on-keyboard intrusions of selected victims.

Fleet takeover flaw exposed

Security researcher Eaton Zveare has disclosed details of a vulnerability in My Eicher, a fleet management system developed by the Volvo Group and Eicher Motors for Indian commercial vehicle customers, that enabled the discovery of unauthenticated internal and. admin APIs that could be exploited to gain high-level access to systems and even enable account takeover. «Account takeover made it possible to gain control over a person’s (or company’s) entire fleet, which could consist of hundreds of vehicles,» Zveare said. Following responsible disclosure on November 3, 2025, the issue was addressed at some point by November 20.

AI agents automate exploitation

A Chinese-speaking threat actor has been carrying out an AI-enabled autonomous hacking campaign, targeting infrastructure using seven vulnerabilities in Langflow (CVE-2026-33017), n8n (CVE-2026-21858, CVE-2025-68613), Citrix NetScaler (CVE-2026-3055), Apache Tomcat (CVE-2026-34486), Marimo Notebook (CVE-2026-39987), Palo Alto Networks PAN-OS (CVE-2026-0300), and Microsoft Windows IKE Extensions (CVE-2026-33824). The actor, operating under the aliases knaithe and KnYuan, has leveraged DeepSeek, via the Hermes Agent framework, as their autonomous offensive operator, while orchestrating the operation through Telegram to enumerate targets, source exploit tools, and initiate attacks without human intervention. «Hermes Agent provided orchestration (terminal access, Telegram-based command and control, and the skills system) while DeepSeek served as the reasoning engine for code generation, vulnerability assessment, target selection and decision-making,» Unit 42 said. Additionally, the threat actor is said to have used Claude Code, Codex, and Qwen Code in a limited capacity. «When initial exploitation failed due to the target environment’s restrictive configurations, their Hermes Agent autonomously conducted searches for known critical-severity Common Vulnerabilities and Exposures (CVEs),» Unit 42 said. «It initially surveyed 10 product families, scanning GitHub for trending proofs of concept (PoCs) and prioritizing vulnerabilities by attack surface.»

Trusted access fuels cryptomining

Details have emerged about a covert Linux XMRig campaign that exploits trusted access, and weaponizes Pluggable Authentication Modules (PAM) to create a forensic smokescreen and deploy a highly customized XMRig botnet implant. «Initial access was achieved by exploiting a trusted third-party relationship, highlighting critical supply chain risks,» Group-IB said. «The threat actor escalated to root access, but weaponised the pam_rootok policy to seamlessly impersonate multiple low-privileged users to create a forensic smokescreen designed to confuse incident responders and establish a ‘hydra-like’ redundant persistence across unmonitored accounts.» The campaign is characterized by efforts to actively suppress system visibility by disabling logging services and removing authentication logs to blind standard file-based monitoring. The campaign was first observed in March 2026.

Fake recruiter delivers stealer

Threat actors are masquerading as recruiters and trucking victims into installing a malicious application disguised as an AI meeting tool called Relay. The malware targets both macOS and Windows users, and attempts to steal sensitive data including browser credentials, wallet-related information, Keychain data, and Telegram sessions, per SlowMist.

900,000 customers affected

Australian energy company Origin Energy said it completed the initial phase of its review into a security incident that took place earlier this month, finding that «the information of approximately 900,000 current and former customers was accessed.» The information accessed may include name, address, date of birth, phone number, last four digits of a credit card, or the BSB and last three digits of a bank account, and account details.

Healthcare SaaS accounts targeted

Health-ISAC is warning of an increase in successful attacks conducted by ShinyHunters. «The group appears to prioritize identity compromise and SaaS access over traditional ransomware deployment,» it said. «The operational pattern described in recent incident reporting aligns to a repeatable chain: vishing (voice social engineering) → helpdesk/MFA reset or device re-enrollment → Microsoft Entra (or Okta/Google) SSO account takeover → pivot into connected SaaS platforms → rapid data exfiltration for extortion leverage. Even when victim statements indicate limited operational impact, the described tradecraft is the key defensive lesson. SSO is the control plane, and ShinyHunters’ leverage is created through data theft at cloud scale.»

Supply chain defenses tightened

GitHub has laid out the various steps it has taken to harden the supply chain at various stages and combat attacks that target weaknesses in package repositories and CI/CD systems for malware propagation. Some of these include: (1) npm adding preventive account protection for high-impact accounts, (2) safer pull_request_target defaults for GitHub Actions checkout, (3) better controls over who and what triggers GitHub Actions workflows, (4) read-only Actions cache for untrusted triggers, (5) support for CircleCI in npm trusted publishing, (6) Action workflow network firewall, (7) staged publishing for npm, (8) default package cooldown for Dependabot version updates, (9) self-service credential revocation for incident response, and (10) expanded credential revocation API support.

Seven critical Chrome flaws fixed

In an update released on July 29, 2026, Google shipped patches to address 370 flaws in its Chrome browser, including seven that are rated critical in severity (from CVE-2026-17650 through CVE-2026-17656). Of these, 349 flaws were reported by Google itself, with the tech giant noting that the bugs were detected using AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer, or AFL. None of the patched vulnerabilities have been flagged as actively exploited. The fixes are available in versions 151.0.7922.71/.72 for Windows and Mac and 151.0.7922.71 for Linux. Google has addressed over 1,800 vulnerabilities in Chrome since the beginning of the year.

Edge devices need forensic visibility

The U.K. National Cyber Security Centre (NCSC) has urged network device manufacturers to help incident response teams by making it easier to gather evidence after a compromise. «Forensic observability is particularly important for edge devices such as firewalls, VPN gateways and other network appliances,» NCSC said. «These systems often sit at trust boundaries and are increasingly targeted by sophisticated threat actors. Forensic observability means giving defenders reliable ways to understand what a device is doing, what it has done and whether it can still be trusted after an incident. This includes telemetry, logging, configuration state, and the ability to collect forensic data from both memory and data at rest. Manufacturers should provide supported mechanisms for gathering the evidence needed to investigate incidents, assess impact, and restore trust in affected systems.»

Phishing pages built in real time

Barracuda has revealed that LogoKit has evolved from a standard phishing kit into a «real-time deception platform» capable of building customized phishing pages for each victim. «LogoKit has moved beyond static fake login pages, such as pre-built replicas of popular brands, to the creation and use of real-time, highly personalized phishing experiences,» it said. «The platform uses legitimate commercial web services to recreate a victim’s corporate login experience, making phishing attacks more convincing and harder to detect. Every victim effectively receives a uniquely branded phishing page, making generic indicators of compromise harder to identify.» This involves capturing a real-time screenshot of the victim’s legitimate website and building phishing pages tailored to them. LogoKit uses the commercial Thum.io service to «create full, legitimate website screenshots for the phishing background and Clearbit to add legitimate brand logos.» The attackers also rely on legitimate services, including Google Favicon, ImageKit and Microlink APIs, to dynamically load authentic logos and website imagery in real-time. LogoKit campaigns use phishing emails bearing warnings about passwords or delivery failures and timesheet updates to direct victims to the fake pages.

Exploitation accelerates in 2026

A new analysis from VulnCheck has revealed that despite a significant uptick in vulnerability discovery and disclosure, 23.43% of known exploited vulnerabilities (KEVs) showed evidence of exploitation on or before the day the CVE was published. «At the same time, vulnerabilities appear to be being exploited faster, with the median time from CVE publication to KEV falling from 120 days in 2025 to 80 days during the first half of 2026,» VulnCheck said. «Of 1,061 vulnerabilities attributed to AI-assisted discovery, only 14, or 1.3%, have been confirmed as exploited in the wild, roughly matching the overall exploitation rate of all vulnerabilities in the first six months of the year.» The top technology categories being targeted by exploitation activity include CMS systems, network edge devices, operating systems, server software, and AI infrastructure (e.g., Langflow, Majordomo, lollms, LiteLLM, and dify).

Credential stuffing hits SonicWall

An active, broad, and opportunistic credential stuffing campaign has been observed since July 25, 2026, resulting in successful unauthorized logins to SonicWall VPN and firewall accounts. To date, 92 unique user accounts across 30 organizations have been impacted. «The activity stems from five IPs and relies on infrastructure hosted on DigitalOcean to compromise numerous, seemingly unrelated organizations,» Huntress said. «Current telemetry indicates this is an automated credential validation attack, consistent with similar campaigns targeting SonicWall VPNs throughout 2025 and 2026.»

Threat actors get new names

Google Threat Intelligence Group (GTIG) said it will be rolling out a unified naming schema for tracking threat actors as part of its effort to standardize tracking across platforms and public reporting. «The new naming convention aligns with industry standard threat actor naming systems,» GTIG said. To that end, the new schema utilizes a cryptonym-based approach employing two-word combinations for each distinct threat actor, similar to those adopted by CrowdStrike (e.g., Mustang Panda) and Microsoft (e.g., Twill Typhoon). The first word is a term chosen to represent the specific actor, while the second word categorizes threat clusters by motivation, attribution, or activity type. Going forward, APT44 (aka Sandworm) will be referred to as Sandworm Relic, where Relic is the category name for threat actors of Russian origin. Similarly, those from China will be grouped under Castle, Iran under Ion, North Korea under Neptune, and cybercriminal gangs under Comet. GTIG said it will continue to use UNC (or uncategorized) for threat clusters that are still in the early stages of investigation.

Hidden desktop hijacks sessions

A new remote access trojan (RAT) called MedusaHVNC is being sold as malware-as-a-service (MaaS), per BlackFog. The malware embeds a hidden virtual network computing (HVNC) module that opens a browser on a separate Windows desktop that’s out of sight of the victim. «The browser still runs on the victim’s device, so it can load an existing profile, including cookies and session state,» BlackFog said. «This gives the operator access to live, logged-in sessions while the activity continues to come from the victim’s usual machine.» The seller lists Chrome, Edge, Brave, Firefox, and Telegram as supported applications. The malware uses a 5-stage infection chain. It begins when the legitimate «wscript.exe» binary executes a JavaScript launcher, which then sets off the subsequent steps, including dropping additional payloads and using AutoIT to decrypt and launch MedusaHVNC, which then communicates with an external server to exfiltrate data.

DNS hijack exposed credentials

CubePilot has announced an operational disruption stemming from a DNS hijacking attack. Unknown threat actors are said to have gained control of the cubepilot[.]org domain DNS settings on July 24, allowing them to intercept traffic intended for internal systems. The threat actors also obtained TLS certificates covering all cubepilot.org subdomains. «The certificates obtained by the attacker covered every cubepilot.org subdomain, so credentials entered on any of our services on 24 July may have been captured – the portal and the forum included,» CubePilot said. «If you used the same password anywhere else, change it there now.» CubePilot has since regained control of its domains and revoked the fraudulently issued certificates.

Spear-phishing delivers SpyGlace

The threat actor known as APT-C-60 has continued to target Japanese organizations with spear-phishing emails to deliver SpyGlace malware. «While several changes have been identified, such as a shift in infrastructure from Bitbucket to GitHub and updates to the malware itself, many characteristics remain consistent, including the abuse of legitimate services and the behavior of the malware,» JPCERT/CC said late last year. As of 2026, the spear-phishing emails contain a Proton Drive link to trick recipients into downloading a RAR archive containing a LNK file, which then deploys SpyGlace by downloading an intermediate payload from jsDelivr. «By using legitimate services, the threat actor may be attempting to make communications and downloads appear to be normal access,» JPCERT/CC said.

AI agent validates exploitable flaws

Google has launched a preview of CodeMender, an AI agent designed to scan codebases for security flaws, confirm they are exploitable and eliminate false positives, and generate fixes for developers to review. The tool supports C/C++, Go, Java, Python, Ruby, Rust, and TypeScript. «The agent goes beyond static code-pattern analysis by simulating an attack with exploit code it builds and runs in an isolated, customer-managed sandbox,» Google said. «The agent uses this proof-of-concept exploit to verify that the security flaw poses a legitimate risk. This critical verification phase allows your security practitioners and developers to prioritize validated risks by eliminating false positives.» CodeMender will add support for third-party frontier models later this year.

4,340 extremist URLs flagged

Europol said it supported an action targeting nihilistic violent extremist content online between June and July 2026 with an aim to disrupt The Com online ecosystem and restrict propaganda dissemination. The agency and its partners have flagged 4,340 «horrific» URLs linked to The Com for removal. Belgium, Finland, Hungary, Ireland, Luxembourg, Netherlands, Portugal, Spain, and Sweden participated in the effort. «Groups affiliated with The Com recruit members and groom victims on social media, messaging apps, and gaming platforms to engage in self-harm, animal torture, violent attacks, and the production of child sexual abuse material,» Europol said. «They distribute propaganda on accessible platforms to attract young individuals, funnelling potential members and victims into private forums and chat rooms where radicalisation and victimisation occur. Victims are typically coerced into remaining under the perpetrators’ influence through (s)extortion.» Members of the loose-knit collective also participate in cybercrime, extortion, doxxing, swatting, real-life shootings, stabbings, and other physical violence.

Fake games deliver Amatera

Fake downloads of games, mods, cracks, and software are being used to spread RenPy Loader (aka RenEngine Loader). «Once installed, the loader starts a complex, multi-stage infection chain that abuses MSBuild and the EtherHiding technique before ultimately delivering Amatera Stealer,» Malwarebytes said. «RenPy Loader has also been observed delivering other malware, including Hijack Loader and Lumma Stealer, showing that the final payload can vary between campaigns.»

Most failures stay quiet until someone relies on them.

A login works. A partner is trusted. A tool behaves as expected. Then one assumption turns out to be doing all the security work.

That is the part worth checking before next week finds it first.

30 JUL 2026

admin Latest ataques como Estamos haciendo las los nuestras proteger Sabemos Simplemente telecomunicaciones tropas

Sabemos cómo proteger a nuestras tropas de los ataques a las telecomunicaciones. Simplemente no lo estamos haciendo.

A medida que se intensifica la lucha con Irán, la revelación de principios de este mes, informado por primera vez por The Financial Times – que Irán esté atacando al personal militar estadounidense a través de sus teléfonos inteligentes – no debería sorprendernos. La guerra en Ucrania ha proporcionado numerosas historias tanto de ucranio y ruso Soldados asesinados cuando sus teléfonos móviles revelaron su ubicación. Y, sin embargo, es probable que los militares estadounidenses en Medio Oriente sigan usando sus teléfonos celulares, tal como lo hacen los soldados ucranianos y rusos en Europa.

Lo sé, porque hace una generación, en la guerra de Irak, yo era sargento de comunicaciones de las Fuerzas Especiales del Ejército, con la tarea de mantener a mi equipo en contacto con el mando. Llevaba más de 100 libras de equipo de radio en mi mochila, pero también siempre llevaba un teléfono móvil en el bolsillo. A pesar de decenas de miles de dólares en equipos de comunicaciones, lo que sabía que siempre funcionaría cada vez que lo encendía era mi teléfono celular.

Los teléfonos móviles no han hecho más que mejorar desde entonces y su adopción (incluida la adopción militar) se ha ampliado. La telefonía móvil comercial está en casi todas partes, es fiable y está integrada en nuestras vidas. Incluso los altos funcionarios estadounidenses (que tienen equipos dedicados a transportar equipos de comunicaciones clasificados) se han metido en problemas al utilizar sus teléfonos inteligentes personales para comunicaciones confidenciales.

La guerra moderna, al igual que el resto de la vida moderna, se ejecuta en redes celulares comerciales, que funcionan muy bien pero que nuestros adversarios ponen en peligro fácilmente. Moscú aprendió esto cuando Ucrania pilotó drones en lo profundo de Rusia, utilizando las propias redes celulares de Rusia para hacer estallar. miles de millones de dólares de aviones militares. Pero Rusia no puede cerrar permanentemente su red celular, como tampoco podemos lograr que nuestros soldados dejen de usar teléfonos celulares.

Los ataques a las telecomunicaciones de Irán no son particularmente nuevos ni inventivos. El conocimiento de los ataques de señalización SS7 utilizados por Irán existe desde hace décadas. Los miembros del Congreso de ambos partidos han hecho sonar la alarma repetidamente a lo largo de los años, y en 2024, un funcionario de la Agencia de Seguridad de Infraestructura y Ciberseguridad informó que “numeroso” Los intentos exitosos han robado datos de ubicación, monitoreado mensajes de voz y de texto, entregado software espía e influenciado a los votantes estadounidenses desde el extranjero a través de mensajes de texto.

Los ataques de señalización aprovechan los mensajes de máquina a máquina que utilizan las redes de telecomunicaciones para verificar que usted paga su factura, verificar su ubicación y enrutar sus llamadas, mensajes o tráfico web. La señalización ocurre en segundo plano, invisible para los usuarios, y ha conectado a operadores globales durante décadas; considérelo como un sistema privado exclusivo para telecomunicaciones. Los ingenieros de telecomunicaciones diseñaron los protocolos que permiten la señalización en una era en la que sólo un pequeño número de grandes empresas de telecomunicaciones podían unirse al sistema, y el modelo de seguridad refleja ese legado. Hoy en día, miles de entidades tienen acceso, pero los protocolos de telecomunicaciones aún aceptan cualquiera de sus mensajes de señalización como legítimos.

El resultado es que un atacante con acceso a la red troncal de señalización global, ya sea a través de un contrato de arrendamiento comercial o de un operador comprometido, puede enviar mensajes que los operadores de todo el mundo consideran confiables. Esto les permite rastrear la ubicación de un objetivo en tiempo real, interceptar llamadas y mensajes de texto, usar números de teléfono falsos y negar el servicio. Para el miembro del servicio desplegado, esto significa que los adversarios pueden analizar rápidamente sus patrones diarios y cualquier cambio en ellos, sin instalar malware, enviar un enlace de phishing o dejar ningún rastro en su dispositivo.

Entonces, ¿qué hacer? Los ataques a las redes de telecomunicaciones son especialmente peligrosos porque los usuarios no pueden protegerse mediante mejores hábitos de seguridad o precaución. Incluso si desactivas el uso compartido de ubicación y pones tu teléfono en modo de bloqueo, tu teléfono aún tiene que conectarse a redes celulares para poder funcionar. El diseño en sí permite a los adversarios acceder a él de forma remota. La solución no requiere del individuo, sino de la industria, los legisladores y el Pentágono.

En primer lugar, la industria mundial de las telecomunicaciones debería reforzar el control sobre el acceso a la red arrendado a terceros mal examinados. Los organismos de normalización deberían exigir transparencia y salvaguardias para los arrendamientos comerciales para evitar que los operadores de vigilancia adquieran credenciales legítimas. Cuando los reguladores detectan un mal comportamiento, deben actuar con rapidez para poner fin a esos acuerdos.

En segundo lugar, el Congreso y los reguladores deberían presionar a las principales aerolíneas para que fortalezcan sus defensas. En este momento, tienen pocas razones para corregir sus vulnerabilidades. Todas las principales aerolíneas estadounidenses han sufrido incumplimiento tras incumplimiento sin enfrentar consecuencias reales. Para responsabilizarlos, los operadores deberían publicar auditorías de seguridad, informar sobre sus firewalls y someterse a pruebas de penetración anuales. Después de los ataques del gobierno chino con el “Tifón de la Sal” contra las principales empresas de telecomunicaciones estadounidenses, Los senadores Ron Wyden y Eric Schmitt exigió al gobierno obtener auditorías de ciberseguridad de los operadores. Los transportistas se negaron, una respuesta inaceptable ahora que se han perdido vidas porque la industria ignoró este problema.

En tercer lugar, el Departamento de Defensa debería equipar a nuestros miembros del servicio con un servicio celular más seguro. Los teléfonos móviles siempre estarán en el campo de batalla, y ninguna formación o procedimiento puede solucionar un problema que no requiere software espía ni error del usuario para explotarlo. Las tecnologías innovadoras pueden abordar esta vulnerabilidad, pero como he previamente llamadonuestros soldados no pueden usarlos porque el Pentágono asegura el servicio celular a través de un contrato general de diez años, Espiral 4, que se renovó por última vez en 2024. La próxima oportunidad de cambiar a algo mejor no llegará hasta 2034.

Esta era de guerra conectada con adversarios técnicamente capacitados como Irán, Rusia y China hace que las vulnerabilidades de la infraestructura de telecomunicaciones sean una cuestión de vida o muerte. Sabemos esto desde hace décadas y la industria, el Congreso y el Pentágono pueden solucionarlo. Conozco la comodidad y el peligro de ese teléfono en mi bolsillo de carga, y debemos proteger la red de la que depende esta generación de soldados.

Escrito por John Doyle

John Doyle es el fundador y director ejecutivo de Cape, el operador de telefonía móvil que prioriza la privacidad.

30 JUL 2026

admin Noticias, Trending acceder Azure base clave Cosmos cualquier CYBERDEFENSA.MX datos expuesta falla plataforma podría

Falla de Azure Cosmos DB expuesta en clave de plataforma que podría acceder a cualquier base de datos – CYBERDEFENSA.MX

Una vulnerabilidad ahora parcheada en Azure Cosmos DB podría haber permitido que un atacante escapara del entorno limitado de consultas Gremlin del servicio y obtuviera acceso completo de lectura y escritura a las bases de datos de todos los inquilinos de los clientes, según Wiz.

Fenómenoque nombró en código la cadena CosmosEscapedijo que la cadena de exploits comenzó con una consulta diseñada contra una base de datos Gremlin controlada por el atacante. A partir de ahí, la ejecución de código en una puerta de enlace multiinquilino expuso un secreto de firma para toda la plataforma y un directorio de cuentas regional, lo que permitió a los investigadores localizar un objetivo y recuperar su clave de cuenta principal.

Microsoft bloqueó el punto de entrada vulnerable de Gremlin dentro de las 48 horas posteriores al informe de noviembre de 2025. Wiz dijo que Microsoft completó la solución a largo plazo en todas las regiones en julio de 2026 y eliminó la clave para toda la plataforma.

«Apreciamos el trabajo de Wiz al identificar e informar este problema mediante la divulgación coordinada de vulnerabilidades», dijo un portavoz de Microsoft a The Hacker News. «Hemos abordado completamente el problema y no encontramos evidencia de impacto en el cliente según nuestras investigaciones. Continuamos invirtiendo en mejoras de seguridad adicionales en toda la plataforma».

Microsoft dijo que su revisión no encontró actividad no autorizada fuera de las pruebas de los investigadores. Dijo que no se accedió a los datos del cliente y que no se requiere ninguna acción del cliente.

The Hacker News también se comunicó con Wiz para aclarar los requisitos previos del exploit y el alcance probado. Esta historia se actualizará con cualquier respuesta.

La cadena publicada comienza con una base de datos Gremlin controlada por el atacante y las credenciales de esa cuenta, no con acceso a una base de datos de la víctima.

Guía de conexión actual de Microsoft requiere un host de cuenta, una base de datos, una ruta de gráfico y una clave principal antes de que un cliente pueda enviar consultas de Gremlin. Wiz no ha publicado si el exploit requería algo más allá de ese punto de partida.

De acuerdo a Informe técnico de Wizel motor Gremlin personalizado de Cosmos DB traduce las consultas de Gremlin a código .NET y las ejecuta dentro de un entorno restringido. Wiz dijo que las restricciones no tuvieron en cuenta la reflexión de .NET, lo que permitió a los investigadores crear primitivas de lectura y escritura de archivos antes de alcanzar la ejecución de código arbitrario.

La divulgación pública muestra el resultado de una consulta diseñada que ejecutó el comando de nombre de host en el backend de Cosmos DB, pero no la consulta en sí. Los investigadores dijeron que presentarán la cadena completa en una Sesión informativa de Black Hat USA el 6 de agosto.

La ejecución del código aterrizó en un componente que Wiz llama DB Gateway, que ejecuta consultas de clientes en clústeres multiinquilino de Azure Service Fabric. Las bases de datos de los clientes no se almacenaban en esos clústeres, pero la puerta de enlace podía recuperar la clave principal de una cuenta de Cosmos DB solicitada. documentación de microsoft dice que la clave principal de una cuenta de Cosmos DB otorga control total sobre todos los recursos de esa cuenta.

Las credenciales disponibles para la puerta de enlace también proporcionaron acceso a una clave de firma que Wiz denominó Cosmos Master Key. Wiz dijo que la clave de firma de la puerta de enlace podría recuperar la clave principal de cualquier cuenta entre inquilinos, regiones y las API de SQL, MongoDB, Cassandra y Gremlin.

El mismo secreto abrió una base de datos regional llamada Config Store, descrita por Wiz como un directorio que contiene nombres de cuentas de Cosmos DB, identificadores de suscripción y inquilino, configuraciones de red y etiquetas. Un atacante podría usarlo para encontrar las cuentas de una organización específica y luego solicitar sus claves principales.

Wiz dijo que la cadena también podría llegar a cuentas privadas y aisladas de la red porque la puerta de enlace comprometida imponía esos límites de la red desde dentro del servicio. El acceso de escritura de los investigadores a Config Store sugirió que la configuración de red también podría cambiarse, aunque el informe no dice que lo demostraron con la cuenta de otro cliente.

documentación de microsoft dice que los datos de los mensajes de Teams permanecen en Cosmos DB, mientras que un Puesto de ingeniería de Microsoft. dice que Copilot almacena allí las consultas de los usuarios y los historiales de conversaciones. Wiz dijo que las bases de datos que respaldan esos productos eran potencialmente accesibles, pero no informó haber accedido a sus datos.

El registro público no dice cuándo el motor vulnerable y la ruta de la clave de firma entraron en producción o qué período cubrió la revisión del registro de Microsoft. Por lo tanto, se desconoce la duración de la posible exposición, aunque desde entonces se ha cerrado el camino conocido.

La divulgación no incluye ningún identificador CVE ni puntuación de gravedad. CosmosEscape está técnicamente separado de las fallas de ChaosDB y CosMiss reveladas en 2021 y 2022, que involucraron la función Jupyter Notebook de Cosmos DB.

30 JUL 2026

admin Noticias, Trending control convertido CYBERDEFENSA.MX plano red seguridad

La red se ha convertido en el plano de control de la seguridad de la IA – CYBERDEFENSA.MX

Los firewalls de red son los caballos de batalla de la ciberseguridad moderna. Se confía en ellos para proteger la red, bloquear el tráfico malicioso y prevenir intrusiones y violaciones. Y durante décadas, los equipos de seguridad de redes han creado controles en torno a un modelo relativamente estable: los usuarios se conectan a las aplicaciones, las aplicaciones intercambian datos y las herramientas de seguridad inspeccionan paquetes, protocolos y destinos. Los cortafuegos se volvieron excepcionalmente buenos para comprender hacia dónde se dirigía el tráfico y si debía permitirse.

Pero así como la IA está remodelando todos los aspectos del mundo empresarial, también ha tenido un impacto monumental en la forma en que los equipos de seguridad ven el tráfico de la red y el firewall.

La IA está impulsando nuevas dinámicas de red que las políticas de seguridad tradicionales nunca fueron diseñadas para gobernar. Los empleados, las aplicaciones y los agentes envían indicaciones, llaman a modelos, se conectan a servicios y desencadenan acciones en todo el entorno, actividad que la mayoría de los firewalls no pueden ver, y mucho menos comprender. Los agentes de IA interactúan con servicios externos, recuperan información, ejecutan acciones y se comunican cada vez más con otros agentes de forma autónoma.

Reinventando el firewall para la era de la IA

La red es el centro central para el uso de la IA y el único punto de control donde se puede proteger en tiempo real. Y esta nueva realidad exige un nuevo tipo de seguridad de red basada en la IA y diseñada para proteger su red del siempre dinámico panorama de amenazas actual.

Estamos presentando el primero de la industria Cortafuegos de red de IA para ofrecer seguridad de IA integral a nivel de red que proteja el uso de IA de los empleados, las aplicaciones de IA y los agentes de IA directamente desde los firewalls que las organizaciones ya ejecutan. El AI Network Firewall está completamente integrado en Check Point Avión de defensa AIconvirtiendo el firewall existente en una capa de aplicación consciente de la intención para detectar, inspeccionar y controlar la actividad de IA en toda la empresa, incluidas todas las redes, nubes, sucursales y centros de datos de IA.

Abordar la brecha de visibilidad en la empresa de IA

El desafío que enfrentan las organizaciones hoy en día es doble: no sólo se está adoptando rápidamente la IA, sino que también ha cambiado fundamentalmente la naturaleza de la actividad de la red. Los controles de seguridad tradicionales fueron diseñados para inspeccionar conexiones, aplicaciones y flujos de tráfico. Pueden identificar hacia dónde se dirige el tráfico y si se debe permitir una conexión, pero nunca fueron creados para comprender el contexto y la intención detrás de las interacciones de IA.

Esta brecha de visibilidad es un problema creciente. Los empleados envían indicaciones a plataformas de IA generativa, las aplicaciones realizan llamadas modelo entre bastidores y los agentes autónomos se comunican cada vez más con otros sistemas y servicios sin participación humana. Gran parte de esta actividad atraviesa la red empresarial, pero los firewalls convencionales no pueden inspeccionar un mensaje, determinar si se está expuesta información confidencial, controlar las interacciones entre agentes o identificar actividades maliciosas impulsadas por la IA.

Nuestra respuesta a este desafío es una evolución del propio firewall. Para proteger la empresa de IA, los controles de seguridad deben ir más allá de la inspección del tráfico y ser conscientes de la intención. Al comprender indicaciones, interacciones de modelos, cargas de archivos, llamadas API y comportamiento de los agentes en tiempo real, un AI Network Firewall proporciona la visibilidad y el control que las organizaciones necesitan para adoptar la IA a escala de forma segura.

En lugar de tratar la IA como una pila de tecnología aislada, incorpora la gobernanza directamente en el punto de control de la red que ya se encuentra en el camino de la actividad empresarial. Esto permite a los equipos de seguridad prevenir ataques de inyección rápida, detener la filtración de datos, detectar abusos de API, gobernar servidores MCP y mantener una supervisión centralizada del uso de IA entre empleados, aplicaciones y agentes autónomos.

Seguridad que funciona a la velocidad de la IA

La velocidad a la que se está adoptando la IA está creando un segundo desafío: la complejidad operativa. Los equipos de seguridad se esfuerzan por seguir el ritmo de un flujo constante de nuevas aplicaciones de IA, requisitos comerciales cambiantes y amenazas emergentes. Las operaciones de seguridad tradicionales a menudo dependen de traducir las solicitudes comerciales en políticas técnicas, coordinar manualmente los cambios en múltiples sistemas y mantener la coherencia en entornos dispares. A la velocidad de la IA, ese enfoque se vuelve cada vez más insostenible.

Aquí es donde la inteligencia debe extenderse más allá de la aplicación de la ley y abarcar las operaciones. La seguridad de la IA moderna requiere plataformas que puedan simplificar la creación de políticas, automatizar el análisis y la corrección, e integrarse directamente con el contexto empresarial que las organizaciones ya han establecido. La gestión de políticas en lenguaje humano, el análisis de eventos automatizado y la orquestación de agentes permiten a los equipos de seguridad responder más rápido y, al mismo tiempo, reducir el riesgo de error humano.

En lugar de duplicar políticas en múltiples herramientas, las organizaciones pueden aprovechar etiquetas, etiquetas, identidades y clasificaciones de activos existentes en todo su ecosistema tecnológico para aplicar un modelo de control de acceso único y consistente. El resultado es una mayor eficiencia, menos errores operativos y una mayor alineación entre los objetivos de seguridad y las prioridades comerciales.

Escalando la seguridad en toda la empresa moderna

El desafío final es la escala. Los entornos empresariales están más distribuidos que nunca y abarcan centros de datos, nubes públicas, sucursales, implementaciones de SD-WAN, arquitecturas SASE y la propia infraestructura de IA. Los equipos de seguridad deben proteger esta creciente huella manteniendo al mismo tiempo la seguridad que prioriza la prevención, minimizando el tiempo de inactividad y evitando cuellos de botella operativos.

Un firewall de IA consciente de la intención proporciona la base para una seguridad consistente en todos los entornos. A través de la administración centralizada, la aplicación de políticas unificadas, las operaciones automatizadas del ciclo de vida y el monitoreo continuo, las organizaciones pueden extender el mismo nivel de visibilidad, control y protección en toda su infraestructura. Las operaciones de seguridad se vuelven más fáciles de administrar a medida que los entornos crecen, mientras que las políticas siguen siendo consistentes y auditables independientemente de dónde residan las cargas de trabajo de IA o los usuarios.

Proteger lo que viene después: IA, inteligencia y confianza

La próxima generación de firewalls no se limitará a proteger las conexiones. Comprenderán las interacciones de la IA. Dirigida por nuestro nuevo AI Network Firewall, esta capa de seguridad identificará indicaciones, modelará llamadas, solicitudes de agentes y flujos de trabajo impulsados por IA, aplicará políticas dinámicamente basadas en el contexto empresarial y la intención de seguridad, y llevará la gobernanza directamente a la infraestructura de la que ya dependen las organizaciones para proteger sus redes.

En última instancia, el valor no es sólo una mayor seguridad. Está permitiendo a las organizaciones adoptar la IA con confianza y por completo, sin riesgos innecesarios. Los empleados pueden innovar, los desarrolladores pueden crear aplicaciones basadas en inteligencia artificial y los agentes pueden automatizar procesos comerciales, todo ello bajo modelos de gobernanza que brindan visibilidad, responsabilidad y protección.

En una era en la que la IA está transformando la forma en que se realiza el trabajo, el firewall debe transformarse con ella. La red se está convirtiendo en algo más que una capa de transporte. Se está convirtiendo en el plano de control de la seguridad de la IA.

Y las organizaciones que reconozcan este cambio primero estarán en mejor posición para adoptar la IA de forma segura y a escala.

Nota: Este artículo ha sido escrito y contribuido por Aviv Abramovich, vicepresidente de gestión de productos y seguridad de red de Check Point Software.

¿Encontró interesante este artículo? Este artículo es una contribución de uno de nuestros valiosos socios. Síguenos en noticias de google, Gorjeo y LinkedIn para leer más contenido exclusivo que publicamos.

30 JUL 2026

admin Latest años condenado dólares estafas Ghana millones nacional por prisión robar románticas víctimas

Nacional de Ghana condenado a 7 años de prisión por robar 10 millones de dólares a víctimas de estafas románticas

Un ciudadano ghanés de 41 años fue condenado a 85 meses de prisión por robar más de 10 millones de dólares a víctimas, en su mayoría mayores, solitarias y vulnerables, mediante estafas románticas, dijo el martes el Departamento de Justicia.

Derrick Van Yeboah fue miembro de alto rango y durante mucho tiempo de una organización criminal con sede principalmente en Ghana vinculada con más de 100 millones de dólares robados en estafas románticas y compromisos de correo electrónico comercial, dijeron funcionarios. Van Yeboah actuó como un “niño sakawa”, haciéndose pasar por parejas románticas falsas e interactuando directamente con las víctimas en línea desde febrero de 2015 hasta octubre de 2024.

“Los estafadores románticos no se limitan a robar dinero: utilizan la confianza como arma”, dijo en un comunicado Jay Clayton, fiscal federal para el Distrito Sur de Nueva York.

Van Yeboah fue arrestado en Ghana en junio de 2025, a petición del Departamento de Justicia, y extraditado a Estados Unidos dos meses después. Se declaró culpable de conspiración para cometer fraude electrónico y acordó perder 10,15 millones de dólares en ganancias fraudulentas como parte de un acuerdo de culpabilidad en marzo.

Las autoridades dijeron que identificaron al menos a 20 de las víctimas de Van Yeboah, y señalaron que algunas fueron engañadas para enviar su dinero a la organización criminal, crear empresas y utilizar esas entidades para lavar fondos de otras víctimas sin saberlo.

Las víctimas incluyen una mujer de Delaware que envió o lavó 1,9 millones de dólares, una mujer de Ohio que envió o lavó 2,3 millones de dólares y otra mujer que envió o lavó alrededor de 1 millón de dólares. Van Yeboah también engañó a un hombre de Carolina del Norte para que le enviara 123.000 dólares, alegando que necesitaba un préstamo para pagar los gastos del funeral de su madre y sacar oro y diamantes imaginarios del almacenamiento en Italia, según registros judiciales.

Las autoridades dijeron que Van Yeboah recibió una cantidad sustancial de dinero por sus actos criminales. Dijo a los servicios previos al juicio que sus activos incluyen una casa valorada en 1,5 millones de dólares y joyas por valor de 515.000 dólares. Cuando fue arrestado, la policía de Ghana lo encontró en posesión de dos vehículos robados de Estados Unidos y Canadá.

«Las víctimas perdieron gran parte de los ahorros de toda su vida, dinero con el que habían contado para la jubilación. Quedaron emocionalmente devastadas al saber que las personas con las que habían estado hablando todos los días, personas que decían estar enamoradas de ellas, eran en realidad fraudes», escribió Clayton en una carta al tribunal previa a la sentencia.

La conducta de Van Yeboah fue cruel y comprendía plenamente el daño financiero y emocional que estaba causando a sus víctimas, añadió.

«La conducta de Van Yeboah estuvo lejos de ser una aberración. Van Yeboah participó en el plan de fraude durante nueve años. No fue una conducta aislada; no fue un incidente», escribió Clayton. «De hecho, parece ser el único trabajo real que Van Yeboah ha tenido. Día tras día, durante años, se centró en víctimas vulnerables, les mintió y les robó».

Escrito por Matt Kapko

Matt Kapko es reportero de CyberScoop. Su área incluye delitos cibernéticos, ransomware, defectos de software y (mala) gestión de vulnerabilidades. El californiano de toda la vida comenzó su carrera periodística en 2001 con paradas anteriores en Cybersecurity Dive, CIO, SDxCentral y RCR Wireless News. Matt tiene una licenciatura en periodismo e historia de la Universidad Estatal de Humboldt.

30 JUL 2026

admin Noticias, Trending copiar Copilot CYBERDEFENSA.MX documentos mensajes Microsoft nuevos ocultos para puede Word

Microsoft Copilot para Word puede copiar mensajes ocultos en documentos nuevos – CYBERDEFENSA.MX

Las instrucciones ocultas en un documento de Word pueden hacer que Microsoft 365 Copilot reescriba las cifras de un informe y luego copie las mismas instrucciones en el archivo terminado. Håkon Måløy reveló la técnica el 28 de julio, 144 días después de informarlo a Microsoft.

En su prueba de concepto, el archivo generado internamente desencadenó el mismo comportamiento cuando se usó en una segunda sesión de redacción de Copilot.

El cronograma de Måløy dice que Microsoft confirmó el comportamiento reportado el 31 de marzo e implementó dos mitigaciones. El primero bloqueó la redacción original del mensaje; el segundo actualizó el modelo subyacente a GPT-5.5.

Dijo que la cadena completa funcionó con instrucciones modificadas en GPT-5.6 al día siguiente, y la clase de ataque aún se reprodujo el 28 de julio. «Por lo tanto, la clase de vulnerabilidad sigue siendo explotable en el momento de la publicación», dijo Måløy.

El ataque no es de clic cero y no ejecuta malware convencional. Requiere una operación de redacción o edición de Copilot, y el documento malicioso debe ingresar al contexto del modelo como un archivo adjunto o como una fuente de OneDrive seleccionada por Work IQ, el motor de inteligencia detrás de Microsoft 365 Copilot.

La divulgación no informa sobre explotación en la naturaleza y Måløy retuvo la carga útil completa. Recomienda tratar los documentos externos como no confiables, revisar los documentos adjuntos antes de comenzar una generación o edición, y verificar los archivos generados o editados por Copilot antes de reutilizarlos o compartirlos.

La cadena recorre el texto del documento y el propio comportamiento de redacción de Copilot. Copilot lee los archivos fuente para decidir qué pertenece a un borrador y puede cometer errores instrucciones en su interior para parte de la solicitud del usuario. En la prueba de concepto, redujo a la mitad cada cifra financiera, copió el mensaje completo en el resultado en texto blanco de ocho puntos y no reveló ninguno de los cambios.

Måløy dijo que Word elimina el color y el tamaño de fuente antes de enviar el texto del documento al modelo de lenguaje grande, dejando instrucciones en blanco sobre blanco legibles para el modelo. Una parte de la carga útil alteró el documento; el otro le dijo a Copilot que copiara y ocultara las instrucciones, enmarcando esos comandos como requisitos de legibilidad y seguimiento del origen.

Microsoft dice que Word puede moler un borrador en hasta 20 archivoscorreos electrónicos o reuniones, y Editar con copiloto puede utilizar Work IQ. Editar con Copilot todavía se está implementando en todo el mundo para usuarios con licencias elegibles. En la prueba de Måløy, Copilot buscó en OneDrive un informe trimestral, encontró el análisis de mercado malicioso fuera de la carpeta que contenía las otras fuentes y lo incluyó. Work IQ todavía tenía que juzgar el expediente como relevante.

Sin el documento malicioso original y solo adjunto el informe infectado del primer trimestre, Copilot redujo a la mitad las cifras en un borrador del segundo trimestre y volvió a agregar el mensaje. El nuevo soporte era un documento ordinario generado internamente. La cadena no se propaga por sí sola: cada salto requiere otra operación de redacción o edición del Copilot en la que el transportista ingresa al contexto del modelo.

El formato oculto es sólo el punto de entrada. Una vez que Copilot copia las instrucciones en un documento generado internamente, la fuente original ya no está presente cuando ese archivo ingresa a la siguiente sesión. Måløy sostiene que esta ruptura en el rastro de procedencia hace que la manipulación sea más difícil de rastrear.

Al momento de su publicación, The Hacker News no encontró ningún CVE público o aviso independiente de Microsoft para Word en búsquedas de NVD, CVE.org y Microsoft. Guía de actualización de seguridad. Microsoft dice que los clasificadores de jailbreak y ataque de inyección cruzada (XPIA) ayudan a bloquear mensajes de alto riesgo, aunque es posible que no estén disponibles en todos los escenarios de Copilot.

Defensor para Office 365 agrega inspección del flujo de correo para el correo electrónico entrante. Microsoft describe las salvaguardias de tiempo de ejecución de Copilot como que cubren instrucciones inyectadas a partir de contenido fundamentado. Ni Microsoft ni Måløy dicen si esta carga útil exacta se detecta en alguna de las capas.

Según Måløy, ninguna solución por parte del cliente soluciona completamente el problema. Su argumento es que los bloques específicos de la carga útil no llegan a la clase: un modelo debe procesar el contenido controlado por el atacante para decidir si es malicioso, de modo que «el contenido que se inspecciona participa en el acto de inspección».

Microsoft hizo un comentario relacionado en una publicación de junio sobre la memoria de IA, escribiendo que «las indicaciones por sí solas no son un límite de seguridad confiable» y que acceso a memoria y aislamiento debe ser controlado por sistemas deterministas en lugar de instrucciones modelo.

30 JUL 2026

admin Noticias, Trending AnySign4PC aprovechan avisos coreanos CYBERDEFENSA.MX informáticos instalar los para piratas pirateados puertas sin sitios traseras través

Los piratas informáticos aprovechan AnySign4PC a través de sitios coreanos pirateados para instalar puertas traseras sin avisos – CYBERDEFENSA.MX

Las autoridades de Corea del Sur y cuatro empresas de seguridad han revelado una campaña patrocinada por el Estado que comprometió sitios web nacionales confiables. Los atacantes utilizaron esos sitios para explotar el software de seguridad financiera instalado localmente e infectar a los visitantes específicos con SIGNBT o Cobertura de cobre puertas traseras.

Una página comprometida podría infectar un sistema que ejecuta una versión vulnerable de AnySign4PC sin un aviso o una descarga iniciada por el usuario. La Agencia de Seguridad e Internet de Corea (KISA) dice que las versiones 1.1.4.4 a 1.1.4.6 de AnySign4PC están afectadas y enumera la versión 1.1.5.0 como la versión corregida. Recomienda eliminar las instalaciones vulnerables.

AhnLab se refiere a dos productos explotados únicamente como software de seguridad financiera A e I. Su informe no revela sus identidades, versiones afectadas o reparadas, ni identificadores de vulnerabilidad.

AhnLab dijo que identificó evidencia de ataques relacionados en 72 organizaciones en 2026. La compañía también encontró 15 sitios web legítimos utilizados como abrevaderos. Su investigación también encontró superposiciones con ataques que terminaron con ransomware gunra.

La evidencia compartida incluía la misma vulnerabilidad de acceso inicial, nombres de archivos de malware y patrones de ejecución, huella digital de clave SSH e infraestructura de red. AhnLab dijo que la evidencia no establece que un actor haya realizado ambas operaciones. El informe no dice qué pruebas ponen a una organización en el recuento, por lo que 72 no es un recuento de compromisos totales igualmente confirmados. El aviso no nombra al grupo patrocinado por el estado.

Una visita a la página fue suficiente

El asesoramiento conjunto fue emitido por KISA, el Servicio Nacional de Inteligencia, la Agencia Nacional de Policía y el Instituto de Seguridad Financiera, según un análisis realizado con AhnLab, S2W, ENKI Whitehat y Plainbit.

KISA dijo que se siguen identificando ataques de phishing y abrevaderos de este tipo patrocinados por el estado. Los informes públicos no dicen si los atacantes continuaron explotando AnySign4PC después de que la versión 1.1.5.0 estuvo disponible.

Los atacantes enviaron mensajes de phishing disfrazados de currículums, enfoques de reclutamiento, material de inversión y encuestas de la industria. También comprometieron noticias, atención médica, educación, manufactura y sitios web más pequeños y poco seguros que las víctimas previstas probablemente visitarían.

ENKI Sombrero Blanco identificado AnySign4PCsoftware utilizado para firmas electrónicas basadas en certificados, como uno de los productos vulnerables y dijo que los atacantes habían explotado una falla de día cero. ENKI observó la actividad desde la segunda mitad de 2025, antes de que KISA publicara su aviso de parche de junio de 2026.

AhnLab Informe Operación Doble Barril describe una cadena de exploits que utilizó cuatro imágenes PNG para intercambiar claves, verificar la versión del software instalado, entregar código de exploit específico de la versión e informar si la ejecución fue exitosa. La página maliciosa se comunicó con el programa de seguridad local a través de WebSocket y provocó un desbordamiento del búfer para ejecutar shellcode.

Luego, la carga útil se inyectó en procesos legítimos de Microsoft. Dependiendo de la intrusión, los atacantes instalaron Luchaque AhnLab asigna a SIGNBT 3.0, o Brandorel nombre de la puerta trasera COPPERHEDGE. El malware admitía la ejecución remota de comandos, el robo de archivos, el reconocimiento interno, la inyección de procesos y la entrega de cargas útiles adicionales.

Plainbit reconstruyó de forma independiente uno de los incidentes del abrevadero en su informe forense. Los atacantes mapearon los sistemas de Internet de la víctima, comprometieron su sitio web, instalaron un webshell e insertaron JavaScript en una página de artículo de noticias legítima. Cuando un objetivo lo visitó, el programa de seguridad vulnerable generó un error y creó una DLL maliciosa sin un mensaje de descarga u otra interacción del usuario.

La puerta trasera resultante descifró etapas posteriores en la memoria, inyectó código en svchost.exe y leyó información de comando y control del registro de Windows. Posteriormente, los atacantes utilizaron exploits de escalada de privilegios, Mimikatz y otras herramientas de credenciales, conexiones de protocolo de escritorio remoto y NLBrute para moverse a través de la red.

S2W análisis de tres grupos de malware encontró un patrón recurrente de carga lateral de DLL, blobs de registro cifrados y carga de ejecutables portátiles en memoria. Dos clústeres implementaron las versiones 0.0.1 y 1.2 de SIGNBT, mientras que un tercer cargador descifró una carga útil externa que los investigadores no pudieron recuperar.

El sendero Gunra

Una intrusión de ransomware Gunra en marzo de 2026 utilizó el mismo sitio web de atención médica comprometido y la misma vulnerabilidad en el producto que AhnLab llama software de seguridad financiera A. Luego, tanto la cadena patrocinada por el estado como la de ransomware inyectaron código en SyncHost.exe. AhnLab no identifica el software A, por lo que el informe no establece que la vulnerabilidad vinculada a Gunra fuera AnySign4PC.

AhnLab también descubrió que ambas operaciones utilizaban los nombres de archivo net.tmp e inet.tmp. El argumento inet.tmp era idéntico, mientras que los argumentos net.tmp seguían un formato GUID similar. Ambas operaciones utilizaron la misma huella digital de clave pública SSH Qr1to32lQHxEu6phzNyrTZrU0iElrOfVWMBLnqoen24. También utilizaron la misma dirección de túnel inverso 176.65.128.[.]26. El dominio jshosting[.]Me utilizaron para distribuir scripts de explotación en ambos conjuntos de ataques.

Los atacantes también siguieron el mismo procedimiento antiforense, cambiando el nombre de los archivos maliciosos a nombres aleatorios de cuatro caracteres antes de eliminarlos. Plainbit observó destrucción de evidencia adicional usando SDelete y CCleaner.

AhnLab evaluó que la evidencia muestra un vínculo técnico probable, pero dijo que no podía determinar la relación entre los operadores. La compañía enumeró varias explicaciones posibles, incluida la colaboración limitada, herramientas o infraestructura compartida, el uso de un corredor de acceso común o el acceso a los mismos recursos operativos.

Las superposiciones muestran una ruta de acceso compartida o reutilizada desde el sitio web comprometido a través de la ejecución del host y la infraestructura de soporte. No demuestran que el mismo operador controlara ambos ataques.

Gunra opera como un programa de ransomware como servicio, según investigación separada de S2W.

La empresa dijo que la operación había afectado a 32 empresas hasta el 9 de marzo de 2026, incluidas cinco empresas surcoreanas, y había pasado del ransomware derivado de Conti a sus propias versiones de Windows y Linux.

La atribución no llega a Lázaro

El aviso gubernamental actual y el informe de la Operación Doble Cañón describen al operador centrado en el espionaje sólo como un grupo de amenaza patrocinado por el estado. Ninguno de los documentos atribuye formalmente la campaña completa de 2025 a 2026 a Lazarus, y ninguno conecta a Lazarus con Gunra.

AhnLab, sin embargo, atribuir un ataque de abrevadero AnySign4PC de marzo de 2026 a Lázaro en un informe separado publicado en abril. Kaspersky También documentó a Lázaro usando abrevaderos, software de seguridad de Corea del Sur, SIGNBT y COPPERHEDGE durante la Operación SyncHole anterior.

Esos informes documentan el uso previo de Lazarus de AnySign4PC, SIGNBT, COPPERHEDGE y la explotación de abrevaderos. No atribuyen la Operación Doble Cañón ni las intrusiones de Gunra a Lazarus.

Parchee el software, busque el comportamiento

KISA Aviso de seguridad del 1 de junio identifica las versiones 1.1.4.4 a 1.1.4.6 de AnySign4PC como vulnerables a un desbordamiento del búfer que permite la ejecución remota de código. Enumera la versión 1.1.5.0 como la versión corregida y recomienda eliminar las instalaciones vulnerables.

Los informes recomiendan buscar cargas de DLL sospechosas mediante ejecutables legítimos, datos cifrados almacenados en entradas de registro de servicios, ejecución de PE en memoria, creación de servicios inusuales, inyección en SyncHost.exe o svchost.exe y túneles SSH salientes inesperados.

ENKI descubrió que su puerta trasera Tipo 1 eliminó sus archivos de configuración de registro, cargador y puerta trasera después de copiarlos en la memoria cuando se ejecutaba en los modos 1, 2, 4 o 5 con la autoprotección habilitada. Una vez inicializados, los archivos estuvieron ausentes del disco hasta que un apagado limpio los volvió a escribir y el cargador restaurado tenía un hash diferente. Eso hace que la telemetría conductual sea más útil que un indicador de archivo estable.

Plainbit observó una cadena de persistencia en la que una tarea programada llamada RuntimeBroker lanzaba task.vbs, que luego ejecutaba un cliente SSH renombrado como SearchHost.exe para establecer un túnel inverso. S2W recomienda preservar la memoria del proceso, las líneas de comando, los valores del registro, los eventos de carga de DLL y los registros de la red antes de finalizar procesos o aislar sistemas.

AhnLab también descubrió que varios sitios web comprometidos estaban conectados a la misma empresa de desarrollo y gestión, lo que describió como una posible ruta de la cadena de suministro. La evidencia disponible no establece que el código fuente de la empresa, el proceso de actualización de software o la plataforma de gestión central estuvieran comprometidos.

El aviso de KISA del 1 de junio no incluye un identificador CVE para la falla AnySign4PC. Al 30 de julio de 2026, The Hacker News encontró solo CVE-2020-7882 en el programa CVE público y NVD busca AnySign4PC, una vulnerabilidad de cruce de directorios no relacionada que afecta a versiones anteriores. Ese resultado no descarta un identificador reservado, inédito o descrito de otra manera. El software A y yo de AhnLab permanecemos sin identificar en su informe, que tampoco revela sus versiones afectadas o reparadas.

30 JUL 2026

admin Noticias, Trending acceso aprovechan buzón credenciales después falla informáticos los mantener Microsoft OWA para piratas rotación rusos

Los piratas informáticos rusos aprovechan la falla de Microsoft OWA para mantener el acceso al buzón después de la rotación de credenciales

Los actores de amenazas rusos vinculados recientemente con la explotación de una vulnerabilidad ahora parcheada en Zimbra han sido observado explotando otra vulnerabilidad, esta vez en Microsoft Outlook Web Access (OWA), para apuntar a entidades gubernamentales de EE. UU. y Europa, así como a los sectores de telecomunicaciones, financiero, hotelero y aeroespacial.

La actividad, que comenzó el 22 de julio de 2026, implica la utilización de CVE-2026-42897 (puntuación CVSS: 8,1), una vulnerabilidad de secuencias de comandos entre sitios (XSS) en OWA. Microsoft lo señaló como explotado en ataques que se remontan a mayo de 2026.

La empresa de seguridad empresarial Proofpoint ha atribuido la actividad a Oso de lavandería (también conocido como CL-STA-1114, TA488, UNK_PitStop y Void Blizzard), que recientemente se atribuyó a la explotación de día cero de CVE-2025-66376, una falla XSS en la interfaz de usuario clásica de Zimbra, desde al menos julio de 2025 antes de que fuera parcheada cuatro meses después.

En estos ataques, los actores de amenazas enviaron mensajes desde cuentas de Proton Mail controladas por el adversario y desde direcciones previamente comprometidas que desencadenaron un exploit para CVE-2025-66376 tan pronto como los correos electrónicos fueron vistos a través de una versión vulnerable de Zimbra, lo que finalmente resultó en la implementación de una carga útil de JavaScript denominada ZimReaper que es capaz de recolectar 90 días del correo de la víctima y otros datos valiosos.

«TA488 está duplicando el uso de exploits de ‘medio clic’, donde abrir el correo electrónico es suficiente para provocar un compromiso, con mecanismos de carga, técnicas y malware significativamente mejorados, lo que indica una mejora en el oficio y la capacidad del grupo», dijeron los investigadores de Proofpoint Greg Lesnewich, Stuart Del Caliz, Nick Attfield, Konstantin Klinger, Saher Naumaan y Mark Kelly.

Como antes, la actividad se basa en cuentas comprometidas para enviar correos electrónicos explotando la falla. El volumen de los mensajes de phishing y la amplitud de la orientación es una desviación de las campañas TA488 anteriores y se considera un esfuerzo intencionalmente amplio para mezclarse con el spam de correo masivo y pasar desapercibido.

Los correos electrónicos en sí presentan mensajes vagos que no requieren ninguna acción por parte del destinatario. Se ha descubierto que los mensajes imitan correos electrónicos informativos sobre temas como análisis de la cadena de suministro, actualizaciones de investigaciones y métricas para el turismo o los mercados del gas.

El uso de estos correos electrónicos genéricos es una vez más un sello consistente en las cadenas de exploits de medio clic del actor de amenazas, ya que la idea aquí es darles una ilusión de legitimidad y no despertar sospechas de la víctima al excluir intencionalmente cualquier URL o archivo adjunto. Al hacerlo, aumenta la probabilidad de que un destinatario abra y lea el mensaje, activando efectivamente el exploit para CVE-2026-42897 en el proceso.

«Esto permite que una parte del cargador de JavaScript utilice el cargar = evento controlador para analizar el resto del cuerpo del mensaje, ensamblar un fragmento Base64 y ejecutarlo como JavaScript codificado», explicó Proofpoint. «El desencadenante inicial del exploit y los blobs de carga útiles relevantes se almacenan en los íconos de redes sociales que se muestran en el cuerpo HTML del mensaje. Los datos de carga útil de la siguiente etapa se almacenan después de los símbolos #, en los que el navegador se detiene al analizar imágenes de Base64».

La nueva ola de explotación que gira en torno a CVE-2026-42897 culmina con la implementación de un implante basado en navegador JavaScript previamente desconocido con nombre en código OWAReaper que está diseñado específicamente para acceso persistente dentro del cliente de correo web de Microsoft.

Descrito como la puerta trasera más sofisticada entregada mediante exploits de medio clic, el malware es una evolución de ZimReaper, aunque comparte importantes código fuente y superposiciones de comportamiento. Se ejecuta dentro del panel de lectura de OWA. Una vez ejecutado, utiliza las API de Outlook para reescribir el correo electrónico en el servidor Exchange y eliminar el contenido explotado.

Al mismo tiempo, el malware toma medidas para desactivar las ventanas emergentes OWA y la capacidad de hacer clic derecho durante su ejecución. También crea una clave de sesión que es única para el objetivo, antes de proceder a recopilar la dirección de correo electrónico, el nombre de usuario y la configuración de Outlook del objetivo. Luego crea dos elementos de entrada invisibles en el Modelo de objetos de documento (DOM) de la página web para capturar las credenciales guardadas en OWA de la víctima a través de la función de autocompletar del navegador.

El siguiente paso implica escribir una versión cifrada de sí mismo y un contenedor de descifrado en el almacenamiento local del navegador. Esto, a su vez, hace que el malware se ejecute automáticamente cada vez que un usuario desprevenido abre una pestaña OWA en el navegador.

OWAReaper busca complementos de Outlook instalados con permisos ReadWriteMailbox y, si los encuentra, los usa para robar tokens de OAuth y se otorga permisos de nivel de propietario para el usuario predeterminado en cada carpeta de correo. Este proceso otorga acceso completo al buzón de correo a cualquier usuario autenticado en la misma organización.

«Este es un aspecto clave de la cadena de infección; si TA488 tiene acceso a otras cuentas de la organización, el grupo mantiene un acceso persistente al buzón de correo del objetivo», señalaron los investigadores. «Este acceso persistente reside en el lado del servidor y requiere la eliminación deliberada del servidor Exchange; la rotación de credenciales e incluso la nueva creación de imágenes completa del dispositivo del usuario objetivo no desalojarán al actor».

Además, el malware crea un segundo método de persistencia agregando un elemento iframe oculto a los mensajes almacenados en el caché de mensajes IndexedDB fuera de línea de OWA y habilitando el almacenamiento en caché. El iframe se ejecuta cada vez que la víctima abre un correo electrónico malicioso desde la memoria caché, reinfectando así al objetivo incluso después de que se vuelva a crear una imagen del host.

OWAReaper también se destaca por emplear dos métodos de comando y control (C&C o C2): usar GitHub o correos electrónicos enviados por atacantes para analizar comandos y ejecutarlos en el host. El script consulta la API de búsqueda de confirmación de GitHub cada 24 horas en busca de mensajes de confirmación que contengan la dirección de correo electrónico del objetivo.

Si encuentra uno, los datos se analizan y descifran utilizando una clave codificada de JavaScript y una clave AES por sesión, probablemente en un intento de evitar que otras partes extraigan los comandos. Los datos decodificados contienen un encabezado de cuatro caracteres que indica un tipo de comando específico:

código, para reemplazar todo el código del kit de herramientas de OWAReaper

domn, para rotar los servidores C&C

cmnd, para ejecutar código JavaScript arbitrario a través de eval()

Alternativamente, OWAReaper puede analizar los correos electrónicos entrantes enviados por los operadores TA488 para procesar y ejecutar los mismos tipos de comandos observados en el método GitHub. Comprueba en IndexedDB los cuerpos de los mensajes con la estructura {target_email_address}{space}{Base64text}.

La exfiltración de datos se logra principalmente a través de HTTPS con rutas URI cifradas AES-CTR. Si este enfoque falla, el malware utiliza un túnel de etiquetas DNS para contrabandear datos dentro de consultas DNS estándar de un dominio controlado por un actor.

Proofpoint señaló que la primera infraestructura utilizada en esta campaña se creó en marzo de 2026, dos meses antes de que Microsoft revelara CVE-2026-42897, lo que plantea la posibilidad de que haya sido explotada como un día cero. La compañía también dijo que no detectó ninguna actividad en TA488 entre febrero y el 22 de julio de 2026.

«OWAReaper se ejecuta dentro del contexto del navegador OWA, operando como un implante sigiloso sin huella de host, utilizando dos canales de comunicación C&C y dos protocolos de exfiltración de datos», dijo Proofpoint. «Es capaz de sobrevivir a reinicios del navegador, rotación de credenciales y nueva creación de imágenes completa del dispositivo de la víctima».

«Basado en la actividad recientemente observada, TA488 parece demostrar interés en una amplia gama de sectores mientras mantiene prioridades para la recopilación de inteligencia contra el gobierno y la defensa. Los temas atractivos siguen siendo genéricos y sin complicaciones, por lo que el objetivo está más inclinado a abrir y hojear el correo electrónico, pero finalmente lo pasa por alto».

30 JUL 2026

admin Noticias, Trending activamente Cisco confidenciales credenciales CYBERDEFENSA.MX datos estáticas explotadas exponer FMC las podrían ZeroDay

Las credenciales estáticas y explotadas activamente de Cisco FMC Zero-Day podrían exponer datos confidenciales – CYBERDEFENSA.MX

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) el miércoles agregado una falla de seguridad recientemente revelada que afecta el software Cisco Secure Firewall Management Center (FMC) a sus vulnerabilidades explotadas conocidas (KEV) catálogo, tras informes de explotación de día cero.

La vulnerabilidad, asignada CVE-2026-20316 (Puntuación CVSS: 5,3), podría permitir que un atacante remoto no autenticado inicie sesión en un dispositivo afectado utilizando una cuenta con pocos privilegios para acceder a datos confidenciales dentro de sistemas susceptibles.

«Esta vulnerabilidad se debe a la presencia de credenciales de usuario estáticas para una cuenta con pocos privilegios», Cisco dicho en una alerta publicada el miércoles. «Un atacante podría aprovechar esta vulnerabilidad utilizando la cuenta para iniciar sesión en un sistema afectado».

«Un exploit exitoso podría permitir al atacante iniciar sesión en el sistema afectado y acceder a datos confidenciales como usuario con pocos privilegios».

Cisco señaló que la superficie de ataque asociada con la vulnerabilidad se reduce si la interfaz de administración del FMC no tiene acceso público a Internet. La compañía de equipos de red también dijo que le está asignando una Clasificación de Impacto de Seguridad (SIR) de Alto en lugar de Medio debido al hecho de que se puede encadenar con otras vulnerabilidades del software Cisco Secure FMC para elevar los privilegios.

Al investigador de seguridad Jimi Sebree de Horizon3.ai se le atribuye el mérito de descubrir e informar la falla. Cisco también reconoció que fue explotado activamente a principios de este mes, aunque no reveló cuándo comenzaron los ataques, quién está detrás de ellos o cómo se explota la vulnerabilidad en estos esfuerzos.

El problema se ha solucionado en las siguientes versiones de revisión del software Cisco Secure FMC:

7.0 – Cisco_Firepower_Mgmt_Center_Hotfix_GB-7.0.9.1-3.sh.REL.tar

7.2 – Cisco_Secure_FW_Mgmt_Center_Hotfix_HL-7.2.11.1-4.sh.REL.tar

7.4 – Cisco_Secure_FW_Mgmt_Center_Hotfix_HG-7.4.7.1-3.sh.REL.tar

7.6 – Cisco_Secure_FW_Mgmt_Center_Hotfix_CY-7.6.5.1-2.sh.REL.tar

7.7 – Cisco_Secure_FW_Mgmt_Center_Hotfix_AM-7.7.12.1-2.sh.REL.tar

10.0 – Cisco_Secure_FW_Mgmt_Center_Hotfix_P-10.0.1.1-2.sh.REL.tar

Como indicadores de compromiso (IoC), Cisco insta a los clientes a utilizar el comando CLI «cat /var/log/messages | grep licenses» en modo experto. Si el resultado del comando incluye «/var/tmp/license.tmp», existe la posibilidad de que la vulnerabilidad haya sido explotada en el dispositivo Cisco Secure FMC.

root@firepower:/home/admin# cat /var/log/messages | grep license Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm

En conjunto, Cisco ha actualizó su aviso para CVE-2026-20079 (puntaje CVSS: 10.0), una falla crítica de omisión de autenticación que afecta al software Cisco Secure FMC, para incluir una segunda ID de error («CSCwt95974»), los mismos indicadores de compromiso y correcciones urgentes.

Sin embargo, la compañía dijo que no tiene conocimiento de una explotación maliciosa de esta vulnerabilidad. Dado que CVE-2026-20079 permite la ejecución de archivos de script ejecutables arbitrarios para obtener acceso de root, la inclusión del mismo indicador /var/tmp/license.tmp indica que los actores de amenazas podrían posiblemente encadenar los dos fallos para la ejecución del código.

A la luz de la explotación activa, se recomienda a las agencias del Poder Ejecutivo Civil Federal (FCEB) que apliquen las correcciones antes del 1 de agosto de 2026.

Paginación de entradas

1 2 3 … 37

Buscar
Categories

Análisis Forense

Ataques cibernéticos

Featured

Latest

Noticias

Popular

Sport

Sport2

Trending

Uncategorized

Latest Posts
Detectan el primer malware diseñado para las pantallas multimedia de los vehículos

Un ciberataque de hackers iraníes paraliza una central eléctrica británica durante cuatro días

Pillan a AliExpress ‘espiando’ los audios de sus usuarios

JabaROOT DZ publica un enlace para acceder a los datos de 70.000 supuestos agentes marroquíes

Descubierta una campaña de phishing a gran escala dirigida contra más de 9.000 organizaciones en todo el mundo

Calendar
julio 2026

L M X J V S D

1 2 3 4 5

6 7 8 9 10 11 12

13 14 15 16 17 18 19

20 21 22 23 24 25 26

27 28 29 30 31

« Jun Ago »

Breaking News

Detectan el primer malware diseñado para las pantallas multimedia de los vehículos

Un ciberataque de hackers iraníes paraliza una central eléctrica británica durante cuatro días

Pillan a AliExpress ‘espiando’ los audios de sus usuarios

JabaROOT DZ publica un enlace para acceder a los datos de 70.000 supuestos agentes marroquíes

Descubierta una campaña de phishing a gran escala dirigida contra más de 9.000 organizaciones en todo el mundo

This2Shell, That2Shell, Everything’s an RCE? Rogue AI, Supply Chain Chaos and More – CYBERDEFENSA.MX

Piratean la cuenta de HBO Max en Reddit para difundir malware

La IA ayudará mucho más a los ciberatacantes que a los ciberdefensores, según un alto mando británico

Hackean servicios del FBI y los atacantes aseguran tener los datos de todos sus empleados

El regulador de privacidad holandés pide prohibir el uso de gafas inteligentes en juzgados y hospitales

Uncategorized
Detectan el primer malware diseñado para las pantallas multimedia de los vehículos

octubre 26, 2026

Uncategorized
Un ciberataque de hackers iraníes paraliza una central eléctrica británica durante cuatro días

octubre 26, 2026

Uncategorized
Pillan a AliExpress ‘espiando’ los audios de sus usuarios

octubre 26, 2026

Uncategorized
JabaROOT DZ publica un enlace para acceder a los datos de 70.000 supuestos agentes marroquíes

octubre 26, 2026

Uncategorized
Descubierta una campaña de phishing a gran escala dirigida contra más de 9.000 organizaciones en todo el mundo

octubre 26, 2026

Noticias, Trending
This2Shell, That2Shell, Everything’s an RCE? Rogue AI, Supply Chain Chaos and More – CYBERDEFENSA.MX

octubre 26, 2026

Uncategorized
Piratean la cuenta de HBO Max en Reddit para difundir malware

octubre 22, 2026

Uncategorized
La IA ayudará mucho más a los ciberatacantes que a los ciberdefensores, según un alto mando británico

octubre 22, 2026

Uncategorized
Hackean servicios del FBI y los atacantes aseguran tener los datos de todos sus empleados

octubre 22, 2026

Uncategorized
El regulador de privacidad holandés pide prohibir el uso de gafas inteligentes en juzgados y hospitales

octubre 22, 2026

It is a long established fact that reader will be distracted by the readable content of a page when looking at its layout.

Categories

Análisis Forense

Ataques cibernéticos

Featured

Latest

Noticias

Popular

Sport

Sport2

Trending

Uncategorized

Latest Posts
Detectan el primer malware diseñado para las pantallas multimedia de los vehículos

Un ciberataque de hackers iraníes paraliza una central eléctrica británica durante cuatro días

Pillan a AliExpress ‘espiando’ los audios de sus usuarios

JabaROOT DZ publica un enlace para acceder a los datos de 70.000 supuestos agentes marroquíes

Descubierta una campaña de phishing a gran escala dirigida contra más de 9.000 organizaciones en todo el mundo

Calendar
julio 2026

L M X J V S D

1 2 3 4 5

6 7 8 9 10 11 12

13 14 15 16 17 18 19

20 21 22 23 24 25 26

27 28 29 30 31

« Jun Ago »

LIVE
NEWS

Download App

facebook

twitter

instagram

pinterest

youtube

envelope

Copyright © 2026 | Powered by News25 WordPress Theme

Or Check Our Popuplar Categories...

Monthly Archives: julio 2026

Reinventando el firewall para la era de la IA

Abordar la brecha de visibilidad en la empresa de IA

Seguridad que funciona a la velocidad de la IA

Escalando la seguridad en toda la empresa moderna

Proteger lo que viene después: IA, inteligencia y confianza

Una visita a la página fue suficiente

El sendero Gunra

La atribución no llega a Lázaro

Parchee el software, busque el comportamiento