Cuando se habla de seguridad de credenciales, la atención suele centrarse en la prevención de infracciones. Esto tiene sentido cuando Informe de IBM sobre el costo de una vulneración de datos en 2025 sitúa el coste medio de una infracción en 4,4 millones de dólares. Evitar incluso un incidente importante es suficiente para justificar la mayoría de las inversiones en seguridad, pero esa cifra principal oscurece los problemas más persistentes causados ​​por incidentes recurrentes de credenciales.

Los bloqueos de cuentas y las credenciales comprometidas no son noticia. Se manifiestan como tickets repetidos del servicio de asistencia técnica, flujos de trabajo interrumpidos y pérdida de tiempo para trabajos de mayor valor. Individualmente, cada incidente parece menor, pero colectivamente ponen una constante carga para los equipos de TI y el negocio en general.

El costo real no reside sólo en la brecha que usted podría evitar, sino también en la interrupción diaria que ya enfrenta.

Los incidentes repetidos equivalen a costos repetidos

Si una organización sufre ataques basados ​​en credenciales o ataques repetidos a sus cuentas, la respuesta obvia es endurecer las políticas de contraseñas. Sin embargo, muchas organizaciones luchan por equilibrar la seguridad con la usabilidad. Y cuando algo no funciona, el servicio de asistencia técnica recibe la llamada.

Estimaciones de Forrester ese restablecimiento de contraseña representa hasta el 30% de todos los tickets del servicio de asistencia técnica, y cada uno cuesta alrededor de $70 si se tiene en cuenta el tiempo del personal y la pérdida de productividad. Para una organización mediana, se trata de un costo operativo significativo y continuo vinculado directamente a los incidentes de credenciales.

Interrupciones como estas se acumulan y significan que los equipos de TI pasan la mayor parte de su tiempo apagando incendios, mientras que los usuarios finales pierden impulso. La organización absorbe el costo de maneras que son fáciles de pasar por alto, pero difíciles de eliminar.

Cómo las malas políticas de contraseñas contribuyen a los incidentes de credenciales

Cuando los usuarios reciben mensajes de error vagos como «no cumple con los requisitos de complejidad», se quedan con dudas. ¿Qué regla rompieron? ¿Qué está faltando? Después de algunos intentos fallidos, la mayoría de los usuarios dejan de intentar comprender la política y comienzan a buscar la forma más rápida de superarla.

La gente recurre a reutilizar contraseñas antiguas con pequeños ajustes o a almacenar credenciales de forma insegura sólo para evitar volver a realizar el proceso. Nada de esto es malicioso, pero aumenta la probabilidad de que se repitan incidentes relacionados con credencialesdesde bloqueos hasta compromiso de cuentas.

Sin ningún tipo de control de contraseñas violadas, las organizaciones dependen de restablecimientos basados ​​en el tiempo para gestionar el riesgo. Pero una contraseña no deja de ser insegura porque sea antigua. Se vuelve inseguro cuando está expuesto.

Incluso con períodos de vencimiento cortos, los usuarios pueden continuar iniciando sesión con credenciales que ya han quedado expuestas en violaciones. Esas cuentas son vulnerabilidades que esperan ser explotadas, pero sin visibilidad sobre ellas, en realidad lo estás dejando al azar.

Al mismo tiempo, los equipos de TI todavía están lidiando con el impacto operativo de los reinicios innecesarios sin abordar el riesgo subyacente. Sin la capacidad de detectar credenciales expuestas, las organizaciones deben gestionar los síntomas en lugar de la causa raíz, y el ciclo de incidentes continúa.

Es aquí donde herramientas como Política de contraseñas de Specops ayuda. Su función Protección de contraseña infringida analiza continuamente sus cuentas de usuario con una base de datos de más de 5,8 mil millones de contraseñas comprometidas. Si aparece una contraseña en nuestra base de datos, alertas personalizables solicitan a los usuarios que la restablezcan, acortando la ventana de oportunidad para que los atacantes abusen de esas credenciales.

Política de contraseñas de Specops

Restablecimientos periódicos obligatorios de problemas de contraseña compuestos

Durante muchos años, el restablecimiento forzoso de contraseñas se consideró una medida de seguridad básica. En la práctica, tienden a crear más problemas de los que resuelven.

Cuando se exige a los usuarios que cambien sus contraseñas cada 60 o 90 días, el comportamiento se vuelve previsible. Las personas realizan pequeños cambios incrementales en las contraseñas existentes o eligen algo fácil de recordar bajo presión de tiempo. El resultado no son credenciales más sólidas, sino más vulnerables.

Más allá de crear contraseñas más débiles, estos intervalos de vencimiento fijos introducen interrupciones regulares en la jornada laboral. Cada reinicio es un bloqueo potencial, que se suma a la creciente pila de tickets del servicio de asistencia técnica que agotan sus recursos sin mejorar realmente su postura de seguridad.

Esta es la razón por la que la orientación de organismos como NIST se ha alejado de los cambios periódicos obligatorios y se ha centrado únicamente en restablecer las contraseñas cuando hay evidencia de una infracción. Si bien eliminar por completo el restablecimiento de contraseñas requiere una consideración cuidadosa, las pautas actualizadas deberían incitar a repensar las fechas de vencimiento arbitrarias.

Las políticas de contraseñas sólidas establecen la base para la seguridad de la identidad

Es fácil tratar las contraseñas como un problema heredado y algo que se debe minimizar a medida que se avanza hacia autenticación sin contraseña. Sin embargo, las contraseñas aún sustentan la seguridad de la identidad. Si esa base es débil, el impacto se nota en todas partes.

Las contraseñas comprometidas o simplistas introducen riesgos en la capa de identidad, donde los atacantes pueden obtener acceso legítimo y moverse lateralmente sin generar alarmas inmediatas.

Al imponer requisitos sólidos y fáciles de usar e identificar tempranamente las credenciales expuestas, se reduce la cantidad de puntos de entrada débiles en su entorno. Esto se vuelve especialmente importante a medida que las organizaciones evolucionan en sus estrategias de autenticación.

Specops Breached Password Protection bloquea continuamente más de 5 mil millones de contraseñas violadas

La opción sin contraseña todavía depende de credenciales subyacentes sólidas. Sin una base sólida, se corre el riesgo de trasladar las debilidades existentes a nuevos sistemas.

Menos cuentas comprometidas significan menos incidentes, menos tiempo dedicado a la reparación y menos interrupciones en las operaciones diarias.

Evite el costo de los repetidos incidentes de credenciales

Los controles estrictos de contraseñas ayudarán a reducir el riesgo. Pero la verdadera recompensa operativa radica en reducir el tiempo y los recursos dedicados a resolver un flujo constante de incidentes en toda la organización.

Cuando se tienen en cuenta menos bloqueos, menos solicitudes de reinicio y menos tiempo dedicado a lidiar con credenciales comprometidas, verá el impacto en una reducción de las interrupciones diarias tanto para los equipos de TI como para los usuarios finales.

Si los incidentes recurrentes con credenciales se están volviendo muy comunes en su entorno, vale la pena echarles un vistazo más de cerca.

¿Quiere ver cómo Specops puede ayudarle a fortalecer la seguridad de su identidad? Reserva una demostración para ver nuestras soluciones en acción.

Se ha observado una campaña activa dirigida a instancias expuestas a Internet que ejecutan ComfyUI, una popular plataforma de difusión estable, para incluirlas en una botnet proxy y de minería de criptomonedas.

«Un escáner Python especialmente diseñado barre continuamente los principales rangos de IP de la nube en busca de objetivos vulnerables, instalando automáticamente nodos maliciosos a través de ComfyUI-Manager si no hay ningún nodo explotable presente», dijo el investigador de seguridad de Censys, Mark Ellzey. dicho en un informe publicado el lunes.

La actividad de ataque, en esencia, busca sistemáticamente instancias expuestas de ComfyUI y explota una configuración incorrecta que permite la ejecución remota de código en implementaciones no autenticadas a través de nodos personalizados.

Tras una explotación exitosa, los hosts comprometidos se agregan a una operación de criptominería que extrae Monero a través de XMRig y Conflux a través de lolMiner, así como a una botnet Hysteria V2. Ambos se administran de forma centralizada a través de un panel de comando y control (C2) basado en Flask.

Los datos de las plataformas de gestión de superficies de ataque muestran que hay más de 1000 instancias de ComfyUI de acceso público. Si bien no es un número enorme, es suficiente para que un actor de amenazas ejecute campañas oportunistas para obtener ganancias financieras.

Censys dijo que descubrió la campaña el mes pasado después de identificar un directorio abierto en 77.110.96[.]200una dirección IP asociada con un proveedor de servicios de hosting a prueba de balas, Aeza Group. Se dice que el directorio contenía un conjunto de herramientas no documentadas previamente para llevar a cabo los ataques.

Esto incluye dos herramientas de reconocimiento para enumerar las instancias de ComfyUI expuestas en la infraestructura de la nube, identificar aquellas que tienen instalado ComfyUI-Manager y seleccionar aquellas que son susceptibles al exploit de ejecución de código.

Uno de los dos scripts de Python del escáner también funciona como un marco de explotación que utiliza los nodos personalizados de ComfyUI como arma para lograr la ejecución del código. Esta técnica, algunos aspectos de los cuales fueron documentado por Snyk en diciembre de 2024, aprovecha el hecho de que algunos nodos personalizados aceptan código Python sin formato como entrada y lo ejecutan directamente sin requerir ninguna autenticación.

Como resultado, un atacante puede escanear instancias expuestas de ComfyUI en busca de familias de nodos personalizados específicos que admitan la ejecución de código arbitrario, convirtiendo efectivamente el servicio en un canal para entregar cargas útiles de Python controladas por el atacante. Algunas de las familias de nodos personalizados que el ataque busca particularmente se enumeran a continuación:

• Vova75Rus/ComfyUI-Shell-Executor
• filliptm/ComfyUI_Fill-Nodes
• seanlynch/srl-nodos
• ruiqutech/ComfyUI-RuiquNodes

«Si ninguno de los nodos objetivo está presente, el escáner comprueba si ComfyUI-Manager está instalado», dijo Censys. «Si está disponible, instala él mismo un paquete de nodo vulnerable y luego vuelve a intentar la explotación».

Vale la pena señalar que «ComfyUI-Shell-Executor» es un paquete malicioso creado por el atacante para recuperar un script de shell de la siguiente etapa («ghost.sh») de la dirección IP antes mencionada. Una vez que se obtiene la ejecución del código, el escáner elimina la evidencia del exploit borrando el historial de mensajes de ComfyUI.

Una versión más nueva del escáner también incorpora mecanismos de persistencia que hacen que el script de shell se descargue cada seis horas y que el flujo de trabajo del exploit se vuelva a ejecutar cada vez que se inicia ComfyUI.

El script de shell, por su parte, desactiva el historial de shell, elimina a los mineros competidores, inicia el proceso de minería y utiliza el gancho LD_PRELOAD para ocultar un proceso de vigilancia que garantiza que el proceso de minería se recupere en caso de que finalice.

Además, el programa minero se copia en varias ubicaciones, de modo que incluso si se borra el directorio de instalación principal, se puede iniciar desde una de las ubicaciones alternativas. Un tercer mecanismo que utiliza el malware para garantizar la persistencia es el uso del «chattr +i«comando para bloquear los archivos binarios del minero y evitar que sean eliminados, modificados o renombrados, incluso por el usuario root.

«También hay un código dedicado dirigido a un competidor específico, ‘Hisana’ (al que se hace referencia en todo el código), que parece ser otra botnet de minería», explicó Censys. «En lugar de simplemente matarlo, ghost.sh sobrescribe su configuración para redirigir la producción minera de Hisana a su propia dirección de billetera, luego ocupa el puerto C2 de Hisana (10808) con un oyente Python ficticio para que Hisana no pueda reiniciarse».

Los hosts infectados se controlan mediante un panel C2 basado en Flask, que permite al operador enviar instrucciones o implementar cargas útiles adicionales, incluido un script de shell que instala Hysteria V2 con el objetivo probable de vender nodos comprometidos como servidores proxy.

Un análisis más detallado del historial de comandos de shell del atacante ha revelado un intento de inicio de sesión SSH como root en la dirección IP. 120.241.40[.]237que se ha relacionado con un campaña de gusanos en curso dirigido a servidores de bases de datos Redis expuestos.

«Gran parte de las herramientas en este repositorio parecen ensambladas apresuradamente, y las tácticas y técnicas generales podrían sugerir inicialmente una actividad poco sofisticada», dijo Censys. «Específicamente, el operador identifica instancias expuestas de ComfyUI que ejecutan nodos personalizados, determina cuáles de esos nodos exponen una funcionalidad insegura y luego los utiliza como vía para la ejecución remota de código».

«La infraestructura a la que accede el operador respalda aún más la idea de que esta actividad es parte de una campaña más amplia centrada en descubrir y explotar servicios expuestos, seguida del despliegue de herramientas personalizadas para persistencia, escaneo o monetización».

El descubrimiento coincide con la aparición de múltiples campañas de botnets en las últimas semanas.

• Explotación de vulnerabilidades de inyección de comandos en enrutadores n8n (CVE-2025-68613) y Tenda AC1206 (CVE-2025-7544) a agregarlos a una botnet basada en Mirai conocida como Zerobot.
• Explotación de vulnerabilidades en Apache ActiveMQ (CVE-2023-46604), Metabase (CVE-2023-38646) y React Server Components (CVE-2025-55182 también conocido como React2Shell) para entregar Kinsing, un malware persistente utilizado para la minería de criptomonedas y el lanzamiento de ataques de denegación de servicio distribuido (DDoS).
• Explotación de una supuesta vulnerabilidad de día cero en el almacenamiento conectado en red (NAS) de fnOS para atacar sistemas expuestos a Internet e implantarlos con un malware DDoS llamado netdragon. «NetDragon establece una interfaz de puerta trasera HTTP en los dispositivos comprometidos, lo que permite a los atacantes acceder y controlar de forma remota los sistemas infectados», dijo QiAnXin XLab. «Altera el archivo ‘hosts’ para secuestrar los dominios oficiales de actualización del sistema Feiniu NAS, evitando efectivamente que los dispositivos obtengan actualizaciones del sistema y parches de seguridad».
• Ampliación de la lista de exploits de RondoDox a 174 vulnerabilidades diferentes, al tiempo que se cambia la metodología de ataque de un «enfoque directo» a fallas más específicas y recientes que tienen más probabilidades de provocar infecciones.
• Explotación de vulnerabilidades de seguridad conocidas implementar una nueva variante de Condi, un malware de Linux que convierte los dispositivos Linux comprometidos en robots capaces de realizar ataques DDoS. El binario hace referencia a una cadena «QTXBOT», que indica el nombre de la versión bifurcada o el nombre del proyecto interno.
• Ataques de fuerza bruta contra servidores SSH para lanzar un minero XMRig y generar ingresos ilícitos en criptomonedas como parte de una operación activa de criptojacking llamada Mónaco. También se han identificado contraseñas SSH débiles. utilizados como vías de ataque para implementar malware que establece persistencia, mata a los mineros competidores, se conecta a un servidor externo y realiza un escaneo ZMap para propagar el malware en forma de gusano a otros hosts vulnerables.

«La actividad de botnets ha aumentado durante el último año, y Spauhaus observó aumentos del 26 % y del 24 % en los dos períodos de seis meses de enero a junio de 2025 y de julio a diciembre de 2025, respectivamente», Pulsedive dicho.

«Este aumento está asociado con la aparición de bots y nodos en los Estados Unidos. El aumento también se debe a la disponibilidad de código fuente para botnets como Mirai. Las ramas y variantes de Mirai son responsables de algunos de los mayores ataques DDoS por volumen».

Los investigadores de seguridad de Noma Security han revelado una nueva vulnerabilidad a la que llaman GrafanaGhost, un exploit capaz de robar silenciosamente datos confidenciales de entornos Grafana encadenando múltiples desvíos de seguridad, incluido un método que elude las barreras del modelo de IA de la plataforma sin requerir ninguna interacción del usuario.

Grafana se implementa ampliamente en organizaciones empresariales como un centro central para la observabilidad y el monitoreo de datos, y generalmente alberga métricas financieras en tiempo real, datos sobre el estado de la infraestructura, registros privados de clientes y telemetría operativa, entre otros usos. Esa concentración de información confidencial es lo que convierte a la plataforma en un objetivo importante. GrafanaGhost aprovecha cómo los componentes de inteligencia artificial de Grafana procesan la entrada controlada por el usuario para cerrar la brecha entre un entorno de datos privados y un servidor externo controlado por un atacante.

El ataque no requiere credenciales de inicio de sesión y no depende de que el usuario haga clic en un enlace malicioso. Comienza cuando un atacante crea una ruta URL específica utilizando parámetros de consulta que se originan fuera del entorno de la organización víctima. Debido a que Grafana maneja registros de entrada, un atacante puede obtener acceso a un entorno empresarial al que no tiene una conexión legítima. Luego, el atacante inyecta instrucciones ocultas que la IA de Grafana procesa (una táctica conocida como inyección rápida) utilizando palabras clave específicas para hacer que el modelo ignore sus propias barreras de seguridad.

Grafana tiene protecciones integradas diseñadas para evitar la inyección rápida, pero los investigadores de Noma encontraron una falla en la lógica subyacente a esa protección, una que podría explotarse formateando una dirección web de una manera que el control de seguridad de Grafana interpretara erróneamente como segura, mientras que el navegador la tratara como una solicitud a un servidor externo controlado por el atacante. La brecha entre lo que el control de seguridad creía que estaba permitiendo y lo que realmente sucedió fue suficiente para abrir la puerta al ataque.

El último obstáculo fue el propio instinto de autodefensa del modelo de IA. Cuando los investigadores intentaron por primera vez pasar instrucciones maliciosas, el modelo reconoció el patrón y se negó. Después de estudiar más a fondo cómo el modelo procesaba diferentes tipos de entradas, encontraron una palabra clave específica que provocó que se retirara, tratando lo que efectivamente era una instrucción de ataque como una solicitud rutinaria y legítima.

Con las tres circunvalaciones colocadas, el ataque se ejecuta por sí solo. La IA procesa la instrucción maliciosa, intenta cargar una imagen desde el servidor del atacante y, al hacerlo, transporta silenciosamente los datos confidenciales de la víctima junto con esa solicitud en una etiqueta de imagen. Los datos desaparecen antes de que alguien en la organización sepa que se realizó una solicitud.

Los investigadores de Noma notaron que había múltiples capas de seguridad presentes en la implementación de Grafana, pero cada una contenía su propia debilidad explotable. La lógica de validación del dominio, las barreras del modelo de IA y los controles de seguridad del contenido fallaron cuando se abordaron en secuencia.

Debido a que el exploit se activa mediante una inyección indirecta en lugar de un enlace sospechoso o una intrusión obvia, no hay nada que un usuario pueda notar, ningún error de acceso denegado que un administrador pueda encontrar y ningún evento anómalo que un equipo de seguridad deba investigar. Para un equipo de datos, un ingeniero de DevSecOps o un CISO, la actividad es indistinguible de los procesos rutinarios.

«La carga útil se encuentra dentro de lo que parece una fuente de datos externa legítima. La exfiltración ocurre a través de un canal que la propia IA inicia, lo que parece un comportamiento normal de la IA para cualquier observador. Las reglas SIEM tradicionales, las herramientas DLP y el monitoreo de endpoints no están diseñados para interrogar si la llamada saliente de una IA fue instruida por un usuario o por un mensaje inyectado», dijo a CyberScoop Sasi Levi, líder de investigación de vulnerabilidades en Noma Labs. «Sin una protección en tiempo de ejecución que entienda el comportamiento específico de la IA, monitoreando lo que se le preguntó al modelo, lo que recuperó y las acciones que tomó, este ataque sería efectivamente invisible».

El ataque es otro ejemplo de un cambio más amplio en la forma en que los adversarios abordan los entornos empresariales que tienen funciones integradas asistidas por IA. En lugar de explotar el código de aplicación roto en el sentido tradicional, los atacantes apuntan cada vez más a superficies de seguridad de IA débiles y métodos de inyección rápida indirecta que les permiten acceder y extraer activos de datos críticos mientras permanecen completamente invisibles para los equipos de seguridad responsables de protegerlos.

nomá ha encontrado problemas similares durante el año pasadoy Levi le dijo a CyberScoop que los investigadores siguen viendo la misma brecha fundamental: las funciones de IA se están incorporando a plataformas que nunca fueron diseñadas teniendo en mente modelos de amenazas específicos de IA.

«La superficie de ataque no es un firewall mal configurado o una biblioteca sin parches, sino que es la utilización como arma del propio razonamiento y comportamiento de recuperación de la IA. Estas plataformas confían demasiado implícitamente en el contenido que ingieren», dijo Levi.

La investigación es otro ejemplo de cómo los atacantes pueden convertir la IA en un arma de una manera que las defensas actuales no pueden seguir, lo que hace extremadamente difícil para los defensores mantener el ritmo.

“Los investigadores ofensivos y, cada vez más, los actores de amenazas sofisticados están muy por delante de la mayoría de los defensores empresariales en esto”, dijo Levi. «Los marcos, las firmas de detección y los manuales de respuesta a incidentes para ataques nativos de IA simplemente no existen a escala todavía. Lo que nos da cierto optimismo es que la conciencia está creciendo rápidamente, pero la conciencia y la preparación son cosas muy diferentes».

Grafana Labs fue notificado a través de protocolos de divulgación responsable, trabajó con Noma para validar los hallazgos y emitió una solución.

En la rápida evolución del panorama de amenazas de 2026, ha surgido una paradoja frustrante para los CISO y los líderes de seguridad: Los programas de identidad están madurando, pero el riesgo en realidad está aumentando.

Según una nueva investigación del Instituto Ponemoncientos de aplicaciones dentro de una empresa típica permanecen desconectadas de los sistemas de identidad centralizados. Estas aplicaciones de «materia oscura» operan fuera del alcance de la gobernanza estándar, creando una superficie de ataque masiva y no administrada que ahora está siendo explotada agresivamente, no sólo por actores de amenazas humanas, sino también por agentes autónomos de IA.

La amenaza invisible: aplicaciones desconectadas y amplificación de IA

Las empresas modernas han invertido mucho en IAM y Zero Trust, pero la «última milla» de la identidad (aplicaciones heredadas, cuentas localizadas y SaaS aislado) sigue siendo un punto ciego obstinado.

La entrada de la IA en la fuerza laboral ha convertido esta brecha de un dolor de cabeza en materia de cumplimiento a una vulnerabilidad crítica. A medida que las organizaciones implementan copilotos de IA y agentes autónomos para aumentar la productividad, estos agentes a menudo requieren acceso a los mismos sistemas que se encuentran fuera de su control centralizado.

¿El resultado? Los agentes de IA están amplificando inadvertidamente los riesgos de credenciales, reutilizando tokens obsoletos y navegando por caminos de menor resistencia que su equipo de seguridad ni siquiera puede ver.

Únase a la sesión informativa sobre madurez de identidad 2026

Para ayudar a los líderes de seguridad a superar esta «brecha de confianza», Las noticias de los piratas informáticos es organizar un seminario web exclusivo que presenta Mike Fitzpatrick (Instituto Ponemon) y Matt Chiodi (CSO, Cerby).

Desglosarán los últimos hallazgos de más de 600 líderes de TI y seguridad y proporcionar una hoja de ruta táctica para cerrar las brechas de identidad que conducen a fricciones en las auditorías y al estancamiento de las iniciativas digitales.

En esta sesión descubrirás:

• Datos de referencia exclusivos de 2026: Vea cómo se compara la madurez de su identidad con la de sus pares.
• El factor «IA en la sombra»: Comprenda cómo los agentes de IA están ampliando su superficie desconectada.
• El costo de la gestión manual: Por qué confiar en correcciones manuales de contraseñas y credenciales es una estrategia perdedora en 2026.
• Pasos prácticos de remediación:Descubra exactamente qué están haciendo las organizaciones líderes ahora para recuperar el control de cada aplicación.

Por qué deberías asistir

Si lidera una estrategia de identidad, seguridad o cumplimiento, «hacer más de lo mismo» ya no es una opción. Esta conversación está diseñada para llevarlo más allá de la madurez teórica y hacia control operativo.

Asegura tu lugar ahora para obtener la información basada en datos que necesita para proteger el activo más fragmentado y más específico de su organización: Identidad.

Regístrese para el seminario web: Madurez de la identidad bajo presión →

Una nueva investigación académica ha identificado múltiples ataques RowHammer contra unidades de procesamiento de gráficos (GPU) de alto rendimiento que podrían explotarse para aumentar los privilegios y, en algunos casos, incluso tomar el control total de un host.

Los esfuerzos han recibido el nombre en clave. Incumplimiento de GPU, GDDRMartilloy GeForge.

GPUBreach va un paso más allá que GPUHammer, demostrando por primera vez que los cambios de bits de RowHammer en la memoria de la GPU pueden inducir mucho más que corrupción de datos y permitir una escalada de privilegios y llevar a un compromiso total del sistema.

«Al corromper las tablas de páginas de la GPU a través de cambios de bits GDDR6, un proceso sin privilegios puede obtener lectura/escritura arbitraria de la memoria de la GPU y luego encadenarla en una escalada completa de privilegios de la CPU, generando un shell raíz, explotando errores de seguridad de la memoria en el controlador NVIDIA», Gururaj Saileshwar, uno de los autores del estudio y profesor asistente en la Universidad de Toronto, dicho en una publicación en LinkedIn.

Lo que hace notable a GPUBreach es que funciona incluso sin tener que desactivar la unidad de administración de memoria de entrada-salida (IOMMU), un componente de hardware crucial que garantiza la seguridad de la memoria al prevenir ataques de acceso directo a la memoria (DMA) y aislando cada periférico en su propio espacio de memoria.

«GPUBreach muestra que no es suficiente: al corromper el estado confiable del controlador dentro de los buffers permitidos por IOMMU, activamos escrituras fuera de límites a nivel del kernel, evitando por completo las protecciones de IOMMU sin necesidad de desactivarlo», agregó Saileshwar. «Esto tiene serias implicaciones para la infraestructura de IA en la nube, las implementaciones de GPU multiinquilino y los entornos HPC».

RowHammer es un error de confiabilidad de la memoria dinámica de acceso aleatorio (DRAM) de larga data donde los accesos repetidos (es decir, martilleo) a una fila de memoria pueden causar interferencia eléctrica que invierte bits (cambiando de 0 a 1 m o viceversa) en filas adyacentes. Esto socava las garantías de aislamiento fundamentales para los sistemas operativos y sandboxes modernos.

Los fabricantes de DRAM han implementado mitigaciones a nivel de hardware, como el Código de corrección de errores (ECC) y la Actualización de fila de destino (TRR), para contrarrestar esta línea de ataque.

Sin embargo, una investigación publicada en julio de 2025 por investigadores de la Universidad de Toronto amplió la amenaza a las GPU. GPUHammer, como se llama, es el primer ataque práctico RowHammer dirigido a GPU NVIDIA que utilizan memoria GDDR6. Emplea técnicas como el martilleo paralelo de subprocesos múltiples para superar los desafíos arquitectónicos inherentes a las GPU que anteriormente las hacían inmunes a los cambios de bits.

La consecuencia de un exploit exitoso de GPUHammer es una caída en la precisión del modelo de aprendizaje automático (ML), que puede degradarse hasta en un 80% cuando se ejecuta en una GPU.

GPUBreach extiende este enfoque para corromper las tablas de páginas de la GPU con RowHammer y lograr una escalada de privilegios, lo que resulta en lectura/escritura arbitraria en la memoria de la GPU. Más importante aún, se ha descubierto que el ataque filtró claves criptográficas secretas de NVIDIA CUPQCorganizar ataques de degradación de la precisión del modelo y obtener una escalada de privilegios de CPU con IOMMU habilitado.

«La GPU comprometida emite DMA (utilizando los bits de apertura en los PTE) en una región de la memoria de la CPU que permite el IOMMU (los propios buffers del controlador de la GPU)», dijeron los investigadores. «Al corromper este estado confiable del controlador, el ataque desencadena errores de seguridad de la memoria en el controlador del kernel de NVIDIA y obtiene una primitiva de escritura del kernel arbitraria, que luego se usa para generar un shell raíz».

Esta divulgación de GPUBreach coincide con otros dos trabajos simultáneos, GDDRHammer y GeForge, que también giran en torno a la corrupción de la tabla de páginas de la GPU a través de GDDR6 RowHammer y facilitan la escalada de privilegios del lado de la GPU. Al igual que GPUBreach, ambas técnicas se pueden utilizar para obtener acceso arbitrario de lectura/escritura a la memoria de la CPU.

Lo que GPUBreach se distingue es que también permite una escalada completa de privilegios de CPU, lo que lo convierte en un ataque más potente. GeForge, en particular, requiere que IOMMU esté deshabilitado para que funcione, mientras que GDDRHammer modifica el campo de apertura de la entrada de la tabla de páginas de la GPU para permitir que los usuarios sin privilegios CUDA kernel para leer y escribir toda la memoria de la CPU del host.

«Una diferencia principal es que GDDRHammer explota la tabla de páginas de último nivel (PT) y GeForge explota el directorio de páginas de último nivel (PD0)», dijeron los equipos detrás de los dos exploits de memoria de GPU. «Sin embargo, ambos trabajos pueden lograr el mismo objetivo de secuestrar la traducción de la tabla de páginas de la GPU para obtener acceso de lectura/escritura a la GPU y a la memoria del host».

Una mitigación temporal para hacer frente a estos ataques es habilitar ECC en la GPU. Dicho esto, cabe señalar que se ha descubierto que los ataques RowHammer como ECCploit y ECC.fail superan esta contramedida.

«Sin embargo, si los patrones de ataque inducen cambios de más de dos bits (que se muestran factibles en sistemas DDR4 y DDR5), el ECC existente no puede corregirlos e incluso puede causar una corrupción silenciosa de los datos; por lo que ECC no es una mitigación infalible contra GPUBreach», dijeron los investigadores. «En las GPU de escritorio o portátiles, donde ECC no está disponible actualmente, no conocemos mitigaciones».

Un actor de amenazas con sede en China conocido por implementar el ransomware Medusa ha sido vinculado al uso como arma de una combinación de vulnerabilidades de día cero y día N para orquestar ataques de «alta velocidad» e irrumpir en sistemas susceptibles conectados a Internet.

«El alto ritmo operativo del actor de amenazas y su habilidad para identificar activos perimetrales expuestos han demostrado ser exitosos, con intrusiones recientes que han impactado fuertemente a las organizaciones de atención médica, así como a aquellas en los sectores de educación, servicios profesionales y finanzas en Australia, el Reino Unido y los Estados Unidos», dijo el equipo de Microsoft Threat Intelligence. dicho.

Ataques montados por Tormenta-1175 También han aprovechado exploits de día cero, en algunos casos, antes de que se revelaran públicamente, así como vulnerabilidades reveladas recientemente para obtener acceso inicial. Algunos incidentes han involucrado al actor de amenazas encadenando múltiples exploits (por ejemplo, OWASSRF) para una actividad posterior al compromiso.

Una vez que logra afianzarse, el actor cibercriminal con motivación financiera actúa rápidamente para exfiltrar datos e implementar el ransomware Medusa en un lapso de unos pocos días o, en incidentes selectos, dentro de 24 horas.

Para ayudar en estos esfuerzos, el grupo crea persistencia creando nuevas cuentas de usuario, implementando web shells o software legítimo de administración y monitoreo remoto (RMM) para el movimiento lateral, realizando robo de credenciales e interfiriendo con el funcionamiento normal de las soluciones de seguridad, antes de eliminar el ransomware.

Desde 2023, Storm-1175 se ha relacionado con la explotación de más de 16 vulnerabilidades:

Se dice que tanto CVE-2025-10035 como CVE-2026-23760 fueron explotados como días cero antes de ser divulgados públicamente. A finales de 2024, el equipo de hackers ha demostrado habilidad para atacar sistemas Linux, incluida la explotación de instancias vulnerables de Oracle WebLogic en varias organizaciones. Sin embargo, aún se desconoce la vulnerabilidad exacta que se utilizó como arma en estos ataques.

«Storm-1175 rota los exploits rápidamente durante el tiempo entre la divulgación y la disponibilidad o adopción del parche, aprovechando el período en el que muchas organizaciones permanecen desprotegidas», dijo Microsoft.

Algunas de las tacticas notables observadas en estos ataques son las siguientes:

• Uso de binarios que viven fuera de la tierra (LOLBins), incluidos PowerShell y PsExec, junto con Impacket para movimiento lateral.
• Confiar en PDQ Deployer tanto para el movimiento lateral como para la entrega de carga útil, incluido el ransomware Medusa, en toda la red.
• Modificar las políticas de Firewall de Windows para habilitar el Protocolo de escritorio remoto (RDP) y enviar cargas útiles maliciosas a otros dispositivos.
• Realización de volcado de credenciales mediante Impacket y Mimikatz.
• Configurar las exclusiones de Microsoft Defender Antivirus para evitar que bloquee las cargas útiles de ransomware.
• Aprovechando Bandizip y Rclone para la recopilación y exfiltración de datos, respectivamente.

La implicación más importante aquí es que las herramientas RMM como AnyDesk, Atera, MeshAgent, ConnectWise ScreenConnect o SimpleHelp se están convirtiendo en infraestructuras de doble uso para operaciones encubiertas, ya que permiten a los actores de amenazas combinar tráfico malicioso en plataformas cifradas y confiables y reducir la probabilidad de detección.

Los actores de amenazas están explotando una falla de seguridad de máxima gravedad en fluiruna plataforma de inteligencia artificial (IA) de código abierto, según nuevos hallazgos de VulnCheck.

La vulnerabilidad en cuestión es CVE-2025-59528 (Puntuación CVSS: 10.0), una vulnerabilidad de inyección de código que podría resultar en la ejecución remota de código.

«El nodo CustomMCP permite a los usuarios ingresar ajustes de configuración para conectarse a un servidor MCP (Protocolo de contexto modelo) externo», Flowise dicho en un aviso publicado en septiembre de 2025. «Este nodo analiza la cadena mcpServerConfig proporcionada por el usuario para crear la configuración del servidor MCP. Sin embargo, durante este proceso, ejecuta código JavaScript sin ninguna validación de seguridad».

Flowise señaló que la explotación exitosa de la vulnerabilidad puede permitir el acceso a módulos peligrosos como child_process (ejecución de comandos) y fs (sistema de archivos), ya que se ejecuta con privilegios completos de tiempo de ejecución de Node.js.

Dicho de otra manera, un actor de amenazas que utiliza la falla como arma puede ejecutar código JavaScript arbitrario en el servidor Flowise, lo que compromete todo el sistema, el acceso al sistema de archivos, la ejecución de comandos y la filtración de datos confidenciales.

«Como sólo se requiere un token API, esto plantea un riesgo de seguridad extremo para la continuidad del negocio y los datos de los clientes», añadió Flowise. Le dio crédito a Kim SooHyun por descubrir e informar la falla. El problema se solucionó en la versión 3.0.6 del paquete npm.

Según los detalles compartidos por VulnCheck, la actividad de explotación de la vulnerabilidad se originó en una única dirección IP de Starlink. CVE-2025-59528 es el tercer defecto de Flowise con explotación salvaje después CVE-2025-8943 (Puntuación CVSS: 9,8), un comando del sistema operativo, ejecución remota de código, y CVE-2025-26319 (Puntuación CVSS: 8,9), una carga de archivo arbitraria.

«Este es un error de gravedad crítica en una popular plataforma de inteligencia artificial utilizada por varias grandes corporaciones», dijo a The Hacker News Caitlin Condon, vicepresidenta de investigación de seguridad de VulnCheck, en un comunicado.

«Esta vulnerabilidad específica ha sido pública durante más de seis meses, lo que significa que los defensores han tenido tiempo para priorizar y parchear la vulnerabilidad. La superficie de ataque de Internet de más de 12.000 instancias expuestas hace que los intentos de exploración y explotación activos que estamos viendo sean más serios, ya que significa que los atacantes tienen muchos objetivos para reconocer y explotar de manera oportunista».

Fortinet lanzó una actualización de software de emergencia durante el fin de semana para abordar una vulnerabilidad explotada activamente en FortiClient EMS, una herramienta de administración de terminales para dispositivos de clientes.

La vulnerabilidad de día cero CVE-2026-35616 – tiene una calificación CVSS de 9,8 y se agregó a la Agencia de Seguridad de Infraestructura y Ciberseguridad catálogo de vulnerabilidades explotadas conocidas Lunes.

Fortinet dijo un sábado aviso de seguridad que ha visto la vulnerabilidad siendo explotada activamente en la naturaleza. La compañía emitió una revisión y planea lanzar una actualización de software más completa más adelante, aunque esa actualización aún no está disponible.

El proveedor de seguridad no dijo cuándo ocurrió el primer exploit conocido ni cuántas instancias ya se han visto afectadas.

Se observó por primera vez a atacantes desconocidos intentando explotar la vulnerabilidad el 31 de marzo, dijo a CyberScoop Benjamin Harris, fundador y director ejecutivo de watchTowr.

«Los intentos de explotación y las investigaciones fueron inicialmente limitados, lo que refleja el deseo típico de los atacantes de intentar evitar el uso de un día cero desde el descubrimiento y la observación», añadió. «A partir del 6 de abril, dada la atención y Fortinet emitiendo una revisión, la explotación ha aumentado, lo que indica un creciente interés de los atacantes y probablemente un objetivo más amplio».

Escaneos de Shadowserver encontrados casi 2.000 casos expuestos públicamente de FortiClient EMS el domingo. No está claro cuántas de esas instancias ejecutan versiones vulnerables del software.

El día cero recientemente descubierto comparte similitudes con CVE-2026-21643otro defecto no autenticado de FortiClient EMS que Fortinet revelado 6 de febrero. El vendedor y autoridades cibernéticas La semana pasada advirtió que CVE-2026-21643 había sido explotado en estado salvaje.

Los investigadores aún tienen que encontrar un vínculo significativo entre las vulnerabilidades o atribuir los ataques a actores de amenazas conocidos, pero ambos defectos fueron explotados activamente en un corto período de tiempo y ambos permiten a los atacantes ejecutar código de forma remota.

«Las soluciones de Fortinet son objetivos populares para los actores de amenazas en general, por lo que la explotación no es necesariamente sorprendente», dijo Caitlin Condon, vicepresidenta de investigación de seguridad de VulnCheck.

CISA ha añadido 10 defectos de Fortinet a su catálogo de vulnerabilidades explotadas conocidas desde principios de 2025.

Si bien no existe un parche completo para CVE-2026-35616, Harris le dio crédito a Fortinet por lanzar una revisión durante un fin de semana festivo, y agregó que refleja la urgencia con la que la compañía está tratando el asunto.

«El momento en el que se intensifica la explotación salvaje de este día cero probablemente no sea una coincidencia», afirmó. «Los atacantes han demostrado repetidamente que los fines de semana festivos son el mejor momento para actuar. Los equipos de seguridad están a la mitad de sus efectivos, los ingenieros de guardia están distraídos y la ventana entre el compromiso y la detección se extiende de horas a días. La Semana Santa, como cualquier otro día festivo, representa una oportunidad».

Un portavoz de Fortinet dijo que los esfuerzos de respuesta y remediación están en curso y que la compañía se está comunicando directamente con los clientes para asesorarlos sobre las acciones necesarias.

«El mejor momento para aplicar la revisión fue ayer», dijo Harris. «El segundo mejor momento es ahora».

Se sospecha que un actor de amenazas del nexo con Irán está detrás de una campaña de pulverización de contraseñas dirigida a entornos de Microsoft 365 en Israel y los Emiratos Árabes Unidos en medio del conflicto en curso en el Medio Oriente.

La actividad, considerada en curso, se llevó a cabo en tres oleadas de ataques distintas que tuvieron lugar el 3 de marzo, el 13 de marzo y el 23 de marzo de 2026, según Check Point.

«La campaña se centra principalmente en Israel y los Emiratos Árabes Unidos, impactando a más de 300 organizaciones en Israel y más de 25 en los Emiratos Árabes Unidos», dijo la empresa israelí de ciberseguridad. dicho. «También se observó actividad asociada con el mismo actor contra un número limitado de objetivos en Europa, Estados Unidos, Reino Unido y Arabia Saudita».

Se considera que la campaña se ha dirigido a entornos de nube de entidades gubernamentales, municipios, organizaciones de tecnología, transporte, sector energético y empresas del sector privado de la región.

La pulverización de contraseñas es una forma de ataque de fuerza bruta en la que un actor de amenazas intenta utilizar una única contraseña común contra varios nombres de usuario en la misma aplicación. También se considera una forma más eficaz de descubrir credenciales débiles a escala sin activar defensas que limiten la velocidad.

Check Point dijo que se sabe que la técnica fue adoptada por grupos de hackers iraníes como Peach Sandstorm y Gray Sandstorm (anteriormente DEV-0343) en el pasado para infiltrarse en las redes objetivo.

Básicamente, la campaña se desarrolla en tres fases: escaneo agresivo o pulverización de contraseñas realizado desde los nodos de salida de Tor, seguido de la realización del proceso de inicio de sesión y la filtración de datos confidenciales, como el contenido del buzón.

«El análisis de los registros de M365 sugiere similitudes con Gray Sandstorm, incluido el uso de herramientas del equipo rojo para realizar estos ataques a través de nodos de salida Tor», dijo Check Point. «El actor de amenazas utilizó nodos VPN comerciales alojados en AS35758 (Rachamim Aviel Twito), lo que se alinea con la actividad reciente vinculada a las operaciones del nexo con Irán en el Medio Oriente».

Para contrarrestar la amenaza, se recomienda a las organizaciones que supervisen los registros de inicio de sesión en busca de signos de pulverización de contraseñas, apliquen controles de acceso condicional para limitar la autenticación a ubicaciones geográficas aprobadas, apliquen la autenticación multifactor (MFA) para todos los usuarios y habiliten registros de auditoría para la investigación posterior al compromiso.

Irán revive las operaciones clave de Pay2

La divulgación se produce cuando una organización de atención médica estadounidense fue atacada a fines de febrero de 2026 por Pay2Key, una banda de ransomware iraní con vínculos con el gobierno del país. La operación de ransomware como servicio (RaaS), que tiene vínculos con el grupo Fox Kitten, surgió por primera vez en 2020.

La variante implementada en el ataque es una actualización de campañas anteriores observadas en julio de 2025, que utiliza técnicas mejoradas de evasión, ejecución y antiforenses para lograr sus objetivos. Según Beazley Security y Halcyon, no se exfiltró ningún dato durante el ataque, un cambio con respecto al manual de doble extorsión del grupo.

Se dice que el ataque aprovechó una ruta de acceso indeterminada para violar la organización, utilizando una herramienta legítima de acceso remoto como TeamViewer para establecer un punto de apoyo, luego recolectar credenciales para el movimiento lateral, desarmar Microsoft Defender Antivirus al señalar falsamente que un producto antivirus de terceros está activo, inhibir la recuperación, implementar ransomware, enviar una nota de rescate y borrar registros para cubrir las pistas.

«Al borrar los registros al final de la ejecución en lugar de al principio, los actores garantizan que incluso se borre la propia actividad del ransomware, no solo lo que la precedió», Halcyon dicho.

Entre los cambios clave que el grupo promulgó tras su regreso el año pasado estuvo ofrecer a sus afiliados un recorte del 80% de las ganancias del rescate, frente al 70%, por participar en ataques contra los enemigos de Irán. Un mes después, se detectó en libertad una variante para Linux del ransomware Pay2Key.

«La muestra se basa en la configuración, requiere privilegios de nivel raíz para su ejecución y está diseñada para atravesar un amplio alcance del sistema de archivos, clasificar montajes y cifrar datos usando ChaCha20 en modo total o parcial», Ilia Kulmin, investigadora de Morphisec dicho en un informe publicado el mes pasado.

«Antes del cifrado, debilita las defensas y elimina la fricción al detener servicios, eliminar procesos, deshabilitar SELinux y AppArmor e instalar una entrada cron en el momento del reinicio. Esto permite que el cifrador se ejecute más rápido y sobreviva a los reinicios».

En marzo de 2026, Halcyon también reveló que el administrador del ransomware Sicarii, Uke, instó a los operadores proiraníes a utilizar Baqiyat 313 Locker (también conocido como BQTlock) debido a la afluencia de solicitudes de afiliados. BQTLock, que opera con motivos propalestinos, ha apuntado a los Emiratos Árabes Unidos, Estados Unidos e Israel desde julio de 2025.

«Irán tiene un largo historial de uso de operaciones cibernéticas para tomar represalias contra desaires políticos percibidos», dijo la empresa de ciberseguridad. dicho. «El ransomware se incorpora cada vez más a estas operaciones, con campañas de ransomware que desdibujan la línea entre la extorsión criminal y el sabotaje patrocinado por el Estado».

Se ha observado que actores de amenazas probablemente asociados con la República Popular Democrática de Corea (RPDC) utilizan GitHub como infraestructura de comando y control (C2) en ataques de múltiples etapas dirigidos a organizaciones en Corea del Sur.

La cadena de ataque, por Laboratorios Fortinet FortiGuardinvolucra archivos de acceso directo de Windows (LNK) ofuscados que actúan como punto de partida para colocar un documento PDF señuelo y un script de PowerShell que prepara el escenario para la siguiente fase del ataque. Se considera que estos archivos LNK se distribuyen a través de correos electrónicos de phishing.

Tan pronto como se descargan las cargas útiles, a la víctima se le muestra el documento PDF, mientras que el script malicioso de PowerShell se ejecuta silenciosamente en segundo plano. El script de PowerShell realiza comprobaciones para resistir el análisis mediante la búsqueda de procesos en ejecución relacionados con máquinas virtuales, depuradores y herramientas forenses. Si se detecta alguno de esos procesos, el script finaliza inmediatamente.

De lo contrario, extrae un script de Visual Basic (VBScript) y configura la persistencia mediante una tarea programada que inicia la carga útil de PowerShell cada 30 minutos en una ventana oculta para evitar la detección. Esto garantiza que el script de PowerShell se ejecute automáticamente después de cada reinicio del sistema.

Luego, el script de PowerShell perfila el host comprometido, guarda el resultado en un archivo de registro y lo extrae a un repositorio de GitHub creado bajo la cuenta «motoralis» utilizando un token de acceso codificado. Algunas de las cuentas de GitHub creadas como parte de la campaña incluyen «God0808RAMA», «Pigresy80», «entire73», «pandora0009» y «brandonleeodd93-blip».

Luego, el script analiza un archivo específico en el mismo repositorio de GitHub para obtener módulos o instrucciones adicionales, lo que permite al operador utilizar como arma la confianza asociada con una plataforma como GitHub para integrarse y mantener un control persistente sobre el host infectado.

Fortinet dijo que las versiones anteriores de la campaña se basaban en archivos LNK para difundir familias de malware como Xeno RAT. Vale la pena señalar que el uso de GitHub C2 para distribuir Xeno RAT y su variante MoonPeak fue documentado por ENKI y Trellix el año pasado. Estos ataques fueron atribuidos a un grupo patrocinado por el Estado norcoreano conocido como Kimsuky.

«En lugar de depender de un complejo malware personalizado, el actor de amenazas utiliza herramientas nativas de Windows para su implementación, evasión y persistencia», dijo la investigadora de seguridad Cara Lin. «Al minimizar el uso de archivos PE caídos y aprovechar LolBins, el atacante puede apuntar a una audiencia amplia con una tasa de detección baja».

La divulgación llega como AhnLab detallado una cadena de infección similar basada en LNK de Kimsuky que, en última instancia, resulta en la implementación de una puerta trasera basada en Python.

Los archivos LNK, como antes, ejecutan un script de PowerShell y crean una carpeta oculta en la ruta «C:\windirr» para organizar las cargas útiles, incluido un PDF señuelo y otro archivo LNK que imita un documento de procesador de textos Hangul (HWP). También se implementan cargas útiles intermedias para configurar la persistencia e iniciar un script de PowerShell, que luego usa Dropbox como canal C2 para recuperar un script por lotes.

Luego, el archivo por lotes descarga dos fragmentos de archivos ZIP separados desde un servidor remoto («quickcon[.]store») y los combina para crear un único archivo y extrae de él un programador de tareas XML y una puerta trasera de Python. El programador de tareas se utiliza para iniciar el implante.

El malware basado en Python admite la capacidad de descargar cargas útiles adicionales y ejecutar comandos emitidos desde el servidor C2. Las instrucciones le permiten ejecutar scripts de shell, enumerar directorios, cargar/descargar/eliminar archivos y ejecutar archivos BAT, VBScript y EXE.

Los hallazgos también coinciden con el cambio de ScarCruft de las tradicionales cadenas de ataque basadas en LNK a un dropper basado en HWP OLE para entregar RokRAT, un troyano de acceso remoto utilizado exclusivamente por el grupo de hackers norcoreano, según S2W. Específicamente, el malware está incrustado como un objeto OLE dentro de un documento HWP y se ejecuta mediante carga lateral de DLL.

«A diferencia de cadenas de ataques anteriores que progresaron desde scripts BAT lanzados por LNK hasta shellcode, este caso confirma el uso de malware dropper y downloader recientemente desarrollado para entregar shellcode y la carga útil ROKRAT», dijo la compañía de seguridad de Corea del Sur. dicho.