Los nuevos ataques DDoS con IA son más inteligentes. Aprenda cómo defenderse en este seminario web – CYBERDEFENSA.MX
admin Noticias, Trending
Los nuevos ataques DDoS con IA son más inteligentes. Aprenda cómo defenderse en este seminario web – CYBERDEFENSA.MX

Todos los días, los piratas informáticos encuentran nuevas formas de bloquear sitios web y robar datos.

Pero ahora algo ha cambiado. Los hackers ya no trabajan solos. Ahora están utilizando poderosas herramientas de Inteligencia Artificial (IA) para hacer que sus ataques sean más rápidos, más fuertes y mucho más difíciles de detener.

Según actualizaciones recientes de Las noticias de los piratas informáticoslos malos actores están utilizando la IA para encontrar puntos débiles en los sistemas y lanzar «ataques DDoS» masivos que pueden desconectar su empresa en segundos.

Si su sitio web deja de funcionar, pierde dinero, pierde la confianza de los clientes y pasa días tratando de solucionar el problema.

👉 Guarde su asiento gratuito para el seminario web

La antigua forma de protección ya no funciona

En el pasado, podías configurar un firewall simple, actualizar tu software y sentirte seguro.

Ya no. Los ataques asistidos por IA pueden pensar y adaptarse. No sólo golpean la puerta de entrada; buscan puntos de entrada ocultos, API inteligentes y pequeños errores en la configuración de su nube. Hacen en minutos lo que antes a los hackers humanos les llevaba semanas planificar.

Si confía en viejos hábitos de seguridad, dejará su empresa expuesta.

¿La buena noticia? Puedes usar la IA para defenderte. Sólo necesitas conocer las nuevas reglas del juego.

Lo que aprenderá en este seminario web de 45 minutos

Estamos organizando un evento en línea en vivo para mostrarle exactamente cómo proteger su red de estas nuevas amenazas que se mueven rápidamente. Aquí hay un adelanto de lo que cubriremos:

  • La ventana de 12 horas: Por qué los principales expertos en seguridad dicen que es necesario reparar las fallas más rápido que nunca y cómo hacerlo sin dañar sus sistemas.
  • La trampa de la IA: El error número uno que cometen las empresas al configurar la seguridad en la nube es el que en realidad facilita la entrada de los ataques de IA.
  • La defensa inteligente: Cómo utilizar herramientas automatizadas para detectar una amenaza antes de que llegue a sus servidores principales.
  • Plano en vivo: Una lista de verificación simple, paso a paso, que puede brindarle a su equipo para proteger su negocio esta semana.

Asegure su lugar para este seminario web ➜

La seguridad de la IA es un tema importante en este momento y las plazas se están llenando muy rápidamente. No espere hasta que su sitio web se desconecte para pensar en la seguridad. Regístrese hoy, aprenda cómo proteger sus activos digitales y mantenga su negocio seguro.

PD: Incluso si no puedes verlo en vivo, ¡regístrate de todos modos! Le enviaremos por correo electrónico la grabación completa y la lista de verificación inmediatamente después de que finalice el evento. Haga clic aquí para registrarse ahora.

¿Encontró interesante este artículo? Este artículo es una contribución de uno de nuestros valiosos socios. Síguenos en noticias de google, Gorjeo y LinkedIn para leer más contenido exclusivo que publicamos.

CERT-In exige parches de 12 horas para fallas en Internet en medio de ataques asistidos por IA – CYBERDEFENSA.MX
admin Noticias, Trending
CERT-In exige parches de 12 horas para fallas en Internet en medio de ataques asistidos por IA – CYBERDEFENSA.MX

El Equipo de Respuesta a Emergencias Informáticas de la India (CERT-In) ha emitido nuevas directrices que exigen a las organizaciones parchear las vulnerabilidades de seguridad críticas en los sistemas expuestos a Internet dentro de las 12 horas posteriores a su señalización cuando sean «factibles» para protegerse contra amenazas potenciales derivadas del abuso de herramientas de inteligencia artificial (IA) y modelos de lenguaje grande (LLM) por parte de los actores de amenazas para automatizar el descubrimiento y la explotación de vulnerabilidades, y mejorar la escala y velocidad de los ataques cibernéticos.

«La ciberexplotación asistida por IA reduce el tiempo necesario para que los adversarios identifiquen, utilicen como armas y exploten vulnerabilidades, servicios expuestos, identidades débiles, API inseguras y sistemas mal configurados», CERT-In dicho en un plan de 38 páginas publicado el lunes.

«A medida que las organizaciones se vuelven cada vez más dependientes de la infraestructura digital interconectada, los ecosistemas de nube, las cadenas de suministro de software, las tecnologías operativas y las plataformas habilitadas para IA, el impacto potencial de las ciberamenazas habilitadas por IA continúa aumentando en todos los sectores».

Dado que los actores de amenazas comienzan a depender cada vez más de la IA para una amplia gama de tareas, incluido el descubrimiento de superficies de ataque, el análisis de exploits, contenido de phishing convincente e incluso la generación de malware, pueden comprimir significativamente los cronogramas de preparación de ataques y eludir los controles de seguridad tradicionales.

Además, los sistemas habilitados para IA pueden convertirse en blanco de ataques maliciosos a través de inyecciones rápidas, vulnerabilidades de fuga de datos, técnicas de jailbreak, manipulación de modelos, envenenamiento de datos de entrenamiento, robo de modelos y compromisos de la canalización de orquestación, socavando efectivamente su confidencialidad e integridad.

Ciberseguridad

CERT-In ha advertido que las organizaciones deben esperar que los plazos de explotación colapsen significativamente y que los ataques se vuelvan autónomos, lo que requiere la adopción de mayores medidas de ciberseguridad que impliquen una evaluación continua de las amenazas, una reducción proactiva de la exposición y una preparación operativa.

Algunos de los principios defensivos descritos por la agencia de ciberseguridad para reducir la exposición y responder mejor a las ciberamenazas asistidas por IA se enumeran a continuación:

  • Asuma la infracción y prepárese para una rápida detección, contención y recuperación de escenarios comprometidos.
  • Adopte un enfoque de Confianza Cero imponiendo una verificación continua y un acceso con privilegios mínimos.
  • Implemente una estrategia de defensa en profundidad con controles en capas en toda la infraestructura para eliminar puntos únicos de falla y minimizar el impacto general de una infracción exitosa.
  • Supervise y reduzca la exposición a vulnerabilidades de seguridad.
  • Incorpore un paradigma de seguridad por diseño en sistemas, aplicaciones y flujos de trabajo de IA.
  • Mantener la continuidad operativa durante incidentes cibernéticos y escenarios de interrupción.
  • Proteja los datos confidenciales y operativamente críticos durante todo su ciclo de vida.
  • Reduzca los riesgos de la cadena de suministro de software que surgen del software de terceros, los modelos de IA y las dependencias a través de SBOM, validación de procedencia y evaluaciones.
  • Pruebe la eficacia de la seguridad frente a amenazas en evolución mediante equipos rojos, evaluaciones de vulnerabilidad, pruebas de penetración y auditorías independientes.
  • Priorice los controles en función de la criticidad operativa y la exposición a amenazas.
  • Establecer mecanismos formales de gobernanza con respecto al uso de sistemas de IA.
  • Mantenga la visibilidad de los sistemas de IA, las integraciones y el comportamiento operativo.

«Las organizaciones deben implementar controles técnicos en capas, basados ​​en riesgos y continuamente validados para reducir la exposición a las ciberamenazas asistidas por IA», dijo CERT-In. «Los controles deben priorizar la protección de los sistemas conectados a Internet, las aplicaciones comerciales críticas, las identidades, los entornos de nube, las API, los datos confidenciales, los sistemas habilitados para IA y la infraestructura operativa».

La agencia también insta a las organizaciones a adoptar «prácticas continuas de administración de parches y vulnerabilidades basadas en riesgos» para reducir la exposición que surge de fallas de seguridad, configuraciones incorrectas, API inseguras, servicios de acceso público e identidades débiles. Con ese fin, las vulnerabilidades explotadas conocidas que afectan a los sistemas críticos y conectados a Internet deben remediarse en un plazo de 12 horas, cuando corresponda.

Otros tiempos de remediación basados ​​en riesgos son los siguientes:

  • Vulnerabilidades críticas expuestas externamente: dentro de 1 día
  • Vulnerabilidades explotadas conocidas que afectan a los sistemas internos: dentro de 1 día, a menos que se implementen y documenten otras mitigaciones
  • Vulnerabilidades internas críticas que afectan a sistemas de alto valor: en 3 días
  • Vulnerabilidades de alta gravedad: dentro de 5 días según la priorización de riesgos

En escenarios en los que no hay parches disponibles de inmediato, se recomienda implementar mitigaciones temporales como aislamiento, restricción de acceso, protección WAF/API, monitoreo mejorado o desactivación de funciones hasta que se publique la solución.

Ciberseguridad

«Dada la naturaleza en rápida evolución de las amenazas cibernéticas asistidas por IA, las organizaciones deben reevaluar continuamente la exposición, validar los controles de seguridad, fortalecer las capacidades de resiliencia y mejorar la preparación operativa a través de auditorías, monitoreo, pruebas y gobernanza coordinada de la ciberseguridad continuas», dijo CERT-In.

El modelo llega un mes después del CERT-In liberado una advertencia sobre las crecientes capacidades cibernéticas de los modelos fronterizos de IA de Anthropic y OpenAI, indicando cómo su «naturaleza de doble uso» podría «reducir la barrera de entrada para los ciberactores maliciosos y aprovecharse para acelerar la ejecución de ataques, automatizar los flujos de trabajo de explotación y escalar las campañas cibernéticas».

«Seguir el ritmo de los avances cibernéticos impulsados ​​por la IA es fundamental para mantener la resiliencia cibernética», añadió. «Los controles básicos de ciberseguridad siguen siendo críticos y deben aplicarse rigurosamente».

Ghost CMS CVE-2026-26980 explotado para secuestrar más de 700 sitios para ataques ClickFix – CYBERDEFENSA.MX
admin Noticias, Trending
Ghost CMS CVE-2026-26980 explotado para secuestrar más de 700 sitios para ataques ClickFix – CYBERDEFENSA.MX

Los actores de amenazas están explotando una falla de seguridad crítica recientemente revelada en Ghost CMS para inyectar código JavaScript malicioso con el objetivo de impulsar los ataques ClickFix.

Según QiAnXin XLab, la actividad implica la explotación de CVE-2026-26980 (Puntuación CVSS: 9,4), un Vulnerabilidad de inyección SQL en la API de contenido de Ghost que podría permitir que un atacante no autenticado lea datos arbitrarios de la base de datos. La falla de seguridad se solucionó en febrero de 2026 en la versión 6.19.1. La vulnerabilidad fue descubierta por Anthropic usando Claude.

Lo que hace que la vulnerabilidad sea grave es que permite a un atacante obtener acceso a la información de un sitio. clave API de administrador sin permiso, lo que les otorga la capacidad de envenenar el sitio inyectando código malicioso. La clave API de administración se puede utilizar para invocar la API de administración y puede modificar directamente los artículos publicados en el sistema de gestión de contenidos.

El actor de amenazas aprovechó la falla de seguridad para «obtener la clave API de administración del sitio objetivo sin autorización, y luego usó la API de administración Ghost para manipular artículos en masa, inyectando cargadores de JavaScript maliciosos en la parte inferior de las páginas para ayudar a ataques CAPTCHA falsos», XLab dicho.

Ciberseguridad

La actividad ha sido descrita por el proveedor de seguridad chino como una campaña de «intoxicación a gran escala» que utiliza como arma la falla de Ghost CMS. Se considera que al menos dos grupos de amenazas diferentes están detrás de la campaña, y en algunos casos implantan códigos maliciosos en ciertos sitios en un solo día. Fue detectado por primera vez el 7 de mayo de 2026.

En total, la campaña ha comprometido más de 700 sitios web, que abarcan universidadesblockchain, inteligencia artificial, software como servicio (SaaS), investigación de seguridad, medios y tecnología financiera. El hecho de que se hayan violado sitios web legítimos podría aumentar aún más la tasa de éxito de los ataques ClickFix, dijo XLab.

El código JavaScript inyectado al final de un artículo funciona como un cargador de dos etapas que es responsable de recuperar la carga útil principal en tiempo de ejecución desde un dominio externo («clo4shara[.]xyz/11z77u3.php»). Esta arquitectura ofrece flexibilidad adicional, ya que permite al actor de amenazas intercambiar las cargas útiles según diferentes criterios, manteniendo intacta la funcionalidad del cargador en varios sitios comprometidos.

«Accediendo directamente a clo4shara[.]xyz/11z77u3.php revela un fragmento de código, que en realidad es un script de distribución de tráfico típico», explicó XLab. «Su función principal es recopilar diversa información de huellas dactilares del navegador del usuario y cargarla en el servidor, luego realizar acciones como redirección, ventanas emergentes y descargas basadas en las instrucciones devueltas». El script PHP funciona con Adspect, un servicio de encubrimiento comercial.

La idea detrás del uso del script de encubrimiento es garantizar que solo las víctimas reales reciban la carga útil real, mientras que los escáneres y rastreadores de seguridad solo verán una página web benigna. El script también admite 19 comandos diferentes para ejecutar código JavaScript arbitrario y facilitar el control remoto del navegador de la víctima.

Los visitantes del sitio considerados objetivos previstos finalmente reciben una página de verificación CAPTCHA falsa dentro de un elemento HTML iframe para demostrar que son humanos. Esto, a su vez, desencadena un ataque ClickFix, como parte del cual se les indica que copie y pegue un comando codificado en Base64 en el cuadro de diálogo Ejecutar de Windows.

Ciberseguridad

El comando sirve como cuentagotas para entregar un archivo ZIP, extrae de él un script por lotes de Windows y lo ejecuta. El script, por su parte, ejecuta un comando de PowerShell para descargar un archivo DLL desde un dominio remoto, ejecutarlo usando «rundll32.exe» y abrir una página web falsa para el usuario como distracción.

Se ha descubierto que las iteraciones posteriores del malware reemplazan la DLL con una carga útil de JavaScript. Independientemente del tipo de carga útil, el objetivo final del ataque es eliminar un ejecutable de Windows. En el caso de la DLL, el ejecutable es un cliente PuTTY con un certificado de firma de código válido. El binario distribuido a través de JavaScript es un instalador de Inno Setup para una aplicación de Electron.

La aplicación es una versión modificada del código abierto. Cliente de escritorio de uva que está diseñado para lograr persistencia y sondear un servidor remoto («web-telegram[.]ug») cada 30 segundos para procesar las instrucciones emitidas por el atacante, incluida la ejecución de código JavaScript o archivos ejecutables.

Se recomienda a los usuarios de Ghost CMS que actualicen sus instancias a la última versión, roten todas las credenciales, limpien los sitios, auditen los registros de acceso en busca de signos de actividad sospechosa y notifiquen a los usuarios que puedan haber visitado los sitios durante el período de contaminación para detectar posibles compromisos.

npm agrega controles de instalación de paquetes y publicación controlados por 2FA contra ataques a la cadena de suministro – CYBERDEFENSA.MX
admin Noticias, Trending
npm agrega controles de instalación de paquetes y publicación controlados por 2FA contra ataques a la cadena de suministro – CYBERDEFENSA.MX

GitHub ha implementado nuevos controles para npm para mejorar la seguridad de la cadena de suministro de software, brindando a los mantenedores la capacidad de aprobar explícitamente una versión antes de que los paquetes estén disponibles públicamente para su instalación.

La función, denominada publicación por etapas, ahora está disponible de forma generalizada en npm. Exige que un mantenedor humano pase un desafío de autenticación de dos factores (2FA) para aprobar un paquete antes de enviarlo a npmjs.[.]com.

«En lugar de una publicación directa que pone inmediatamente a disposición de los consumidores una versión del paquete, el tarball prediseñado se carga en una cola de espera donde un responsable de mantenimiento debe aprobarlo explícitamente antes de que sea instalable», GitHub dicho.

La subsidiaria propiedad de Microsoft dijo que el cambio garantiza una «prueba de presencia» para cada publicación, incluidas aquellas que provienen de flujos de trabajo CI/CD no interactivos y publicaciones confiables con autenticación OpenID Connect (OIDC).

Antes de usar publicación en escenalos mantenedores de paquetes deben cumplir los siguientes criterios:

  • Tener acceso de publicación al paquete.
  • El paquete ya existe en el registro npm, lo que significa que no se puede preparar un paquete nuevo
  • 2FA está habilitado para la cuenta

Los desarrolladores pueden utilizar el comando «npm stage Publish» desde el directorio raíz del paquete para enviarlo a un área de preparación. Para utilizar este comando, es esencial actualizar a npm CLI 11.15.0 o posterior. Para una protección óptima, GitHub recomienda que la publicación por etapas se combine con publicación confiable utilizando OIDC.

Ciberseguridad

Una segunda actualización centrada en npm se relaciona con la introducción de tres nuevos indicadores de fuente de instalación junto con el indicador existente -allow-git –

  • –allow-file: Controla las instalaciones desde rutas de archivos locales y archivos tar locales
  • –allow-remote: controla las instalaciones desde URL remotas, incluidos archivos tar https
  • –allow-directory: Controla las instalaciones desde directorios locales

Las banderas permiten a los desarrolladores «aplicar el mismo enfoque de lista permitida explícita a cada fuente de instalación que no sea del registro», dijo GitHub.

El desarrollo se produce en medio de un aumento masivo de ataques a la cadena de suministro de software dirigidos a ecosistemas de código abierto en los últimos meses, con un grupo cibercriminal conocido como TeamPCP involucrado en envenenar paquetes populares a una escala sin precedentes a través de un ciclo de compromisos que se perpetúa a sí mismo.

Operador de botnet Kimwolf DDoS arrestado en Canadá por ataques DDoS contratados – CYBERDEFENSA.MX
admin Noticias, Trending
Operador de botnet Kimwolf DDoS arrestado en Canadá por ataques DDoS contratados – CYBERDEFENSA.MX

El Departamento de Justicia de Estados Unidos (DoJ) anunció el jueves el arresto de un hombre canadiense en relación con la presunta operación de una botnet distribuida de denegación de servicio (DDoS) conocida como kimlobo.

Al mismo tiempo, Jacob Butler (también conocido como Dort), de 23 años, de Ottawa, Canadá, ha sido acusado de delitos relacionados con el desarrollo y funcionamiento de la botnet. Se considera que Kimwolf es una variante de AISURU.

«Kimwolf apuntó a dispositivos infectados que tradicionalmente estaban ‘protegidos’ del resto de Internet, como marcos de fotos digitales y cámaras web», dijo el Departamento de Justicia. dicho. «Los dispositivos infectados fueron esclavizados por los operadores de botnets.»

«Los operadores luego utilizaron un modelo de ‘cibercrimen como servicio’ para vender el acceso a los dispositivos infectados a otros ciberdelincuentes. Los operadores y sus clientes obligaron a los dispositivos víctimas a participar en ataques DDoS, dirigidos a computadoras y servidores ubicados en todo el mundo, incluidas las direcciones IP de la Red de Información del Departamento de Defensa (DoDIN). «

Documentos judiciales muestran que Butler estaba vinculado a la administración de la botnet KimWolf a través de la dirección IP, información de la cuenta en línea y registros de mensajes de Discord publicados por una cuenta llamada resi.[.]a.

Ciberseguridad

Que Butler estaba detrás de la botnet Kimwolf fue expuesto por primera vez por el periodista de seguridad independiente Brian Krebs a principios de febrero. En ese momento, el acusado afirmó que no había utilizado la personalidad «Dort» desde 2021 y que otra parte se estaba haciendo pasar por él después de comprometer su antigua cuenta.

Los cargos se presentan exactamente dos meses después de que las autoridades estadounidenses, en asociación con Canadá y Alemania, perturbaran la infraestructura de comando y control (C2) asociada con Kimwolf, AISURU, JackSkid y Mossad como parte de una operación policial autorizada por el tribunal.

Según el Departamento de Justicia, se estima que Kimwolf emitió más de 25.000 comandos de ataque. Antes de su eliminación, las botnets AISURU/Kimwolf fueron atribuidas a algunos de los ataques DDoS que batieron récords hasta la fecha, inundando objetivos con tráfico basura que alcanzó un máximo de 31,4 Terabits por segundo (Tbps).

Además del arresto de Butler, se han revelado órdenes de incautación dirigidas a servicios en línea que respaldan 45 plataformas de alquiler de DDoS, lo que permitió a las fuerzas del orden desmantelarlas. Se dice que una de las plataformas colaboró ​​con Kimwolf.

Butler ha sido acusado de un cargo de complicidad en la intrusión informática. Si es declarado culpable, enfrenta hasta 10 años de prisión.

Una falla central altamente crítica de Drupal expone los sitios PostgreSQL a ataques RCE – CYBERDEFENSA.MX
admin Noticias, Trending
Una falla central altamente crítica de Drupal expone los sitios PostgreSQL a ataques RCE – CYBERDEFENSA.MX

Drupal ha publicado actualizaciones de seguridad para una vulnerabilidad de seguridad «altamente crítica» en Drupal Core que podría ser aprovechada por atacantes para lograr la ejecución remota de código, escalada de privilegios o divulgación de información.

La vulnerabilidad, ahora rastreada como CVE-2026-9082tiene una puntuación CVSS de 6,5 sobre 10,0, según CVE.org. Drupal dijo que la vulnerabilidad reside en una API de abstracción de base de datos que se utiliza en Drupal Core para validar consultas y garantizar que estén desinfectadas contra ataques de inyección SQL.

«Una vulnerabilidad en esta API permite a un atacante enviar solicitudes especialmente diseñadas, lo que resulta en una inyección SQL arbitraria para sitios que utilizan bases de datos PostgreSQL», dijo. dicho. «Esto puede conducir a la divulgación de información y, en algunos casos, a una escalada de privilegios, a la ejecución remota de código u otros ataques».

Drupal señaló que la falla de seguridad puede ser explotada por usuarios anónimos y afecta solo a los sitios que usan PostgreSQL. Las siguientes versiones abordan el problema:

  • Drupal 11.3.10
  • Drupal 11.2.12
  • Drupal 11.1.10
  • Drupal 10.6.9
  • Drupal 10.5.10
  • Drupal 10.4.10
Ciberseguridad

Drupal 7 no se ve afectado. Las versiones para las ramas compatibles (versiones 11.3, 11.2, 10.6 y 10.5) incluyen actualizaciones de seguridad ascendentes para Symfony y Twig, por lo que es esencial que estén instaladas las últimas versiones.

Como lo reveló anteriormente Drupal, también se lanzaron parches manuales para las versiones 9 y 8 de Drupal, que han llegado al final de su vida útil.

«Drupal 11.1.x, Drupal 11.0.x, Drupal 10.4.x y versiones anteriores están al final de su vida útil y no reciben cobertura de seguridad», dijo Drupal. «Tanto Drupal 8 como Drupal 9 han llegado al final de su vida útil.

«Debido a la gravedad de este problema, las versiones no compatibles y los parches para las versiones no compatibles se proporcionan como un mejor esfuerzo. Esas versiones no compatibles aún tendrán otras vulnerabilidades de seguridad previamente reveladas».

Microsoft elimina el servicio de firma de malware detrás de los ataques de ransomware – CYBERDEFENSA.MX
admin Noticias, Trending
Microsoft elimina el servicio de firma de malware detrás de los ataques de ransomware – CYBERDEFENSA.MX

Microsoft dijo el martes que interrumpió una operación de firma de malware como servicio (MSaaS) que utilizó como arma el sistema Artifact Signing de la compañía para entregar código malicioso y realizar ransomware y otros ataques, comprometiendo miles de máquinas y redes en todo el mundo.

El gigante tecnológico atribuyó la actividad a un actor de amenazas al que llama Tempestad de zorrosque según dijo ofrecía el esquema MSaaS para permitir a los ciberdelincuentes disfrazar malware como software legítimo. El actor de amenazas ha estado activo desde mayo de 2025. El esfuerzo de incautación lleva el nombre en código OpFauxSign.

«Para interrumpir el servicio, nos apoderamos del espacio de señalización del sitio web de Fox Tempest.[.]nube, desconectó cientos de máquinas virtuales que ejecutaban la operación y bloqueó el acceso a un sitio que aloja el código subyacente», dijo Steven Masada, asesor general adjunto de la Unidad de Delitos Digitales de Microsoft, dicho.

Microsoft señaló que la operación permitió la implementación del ransomware Rhysida por parte de actores de amenazas como Vanilla Tempest, junto con otras familias de malware como Oyster, Lumma Stealer y Vidar, lo que ilustra el papel crucial desempeñado por Fox Tempest dentro del ecosistema del cibercrimen.

Ciberseguridad

Además, se han descubierto conexiones entre el actor de amenazas y los afiliados asociados con varias cepas de ransomware destacadas, incluidas INC, Qilin, BlackByte y Akira. Los ataques organizados por estas operaciones se han dirigido a servicios de salud, educación, gobierno y financieros ubicados en Estados Unidos, Francia, India y China.

Firma de artefactos (anteriormente Azure Trusted Signing) es la solución de firma de extremo a extremo totalmente administrada de Microsoft que permite a los desarrolladores crear y distribuir aplicaciones fácilmente, al tiempo que garantiza que el software sea legítimo y no haya sido modificado por partes no autorizadas.

Se dice que Fox Tempest aprovechó este mecanismo para generar certificados de firma de código fraudulentos de corta duración y utilizarlos para entregar malware firmado y confiable y eludir los controles de seguridad. Los certificados tenían una validez de sólo 72 horas.

«Para obtener certificados firmados legítimos a través de la firma de artefactos, el solicitante debe pasar procesos detallados de validación de identidad de acuerdo con las credenciales verificables (VC) estándar de la industria, lo que sugiere que el actor de amenazas muy probablemente utilizó identidades robadas con base en los Estados Unidos y Canadá para hacerse pasar por una entidad legítima y obtener las credenciales digitales necesarias para firmar», Microsoft explicado.

«El sitio web de SignSpace se creó sobre la firma de artefactos y permitió la firma segura de archivos a través de un panel de administración y una página de usuario, aprovechando las suscripciones de Azure, los certificados y una base de datos estructurada para administrar usuarios y archivos».

El servicio permitía a los clientes cibercriminales pagar subir archivos maliciosos para firmar códigos utilizando certificados obtenidos de manera fraudulenta por Fox Tempest. Esto, a su vez, permitió que el malware y el ransomware se hicieran pasar por software legítimo como AnyDesk, Microsoft Teams, PuTTY y Cisco Webex. El servicio cuesta entre $5.000 y $9.000.

A partir de febrero de 2026, se dice que el actor de amenazas pasó a proporcionar a los clientes máquinas virtuales (VM) preconfiguradas alojadas en Cloudzy, lo que permite cargar directamente los artefactos necesarios a la infraestructura controlada por el atacante y recibir archivos binarios firmados a cambio.

Ciberseguridad

«Esta evolución de la infraestructura redujo la fricción para los clientes, mejoró la seguridad operativa de Fox Tempest y simplificó aún más la entrega de malware firmado, malicioso pero confiable a escala», dijo Microsoft.

Se ha descubierto que los actores de amenazas como Vanilla Tempest distribuyen archivos binarios firmados a través del servicio a través de anuncios comprados legítimamente que redirigen a los usuarios que buscan Microsoft Teams a páginas de descarga falsas, allanando el camino para la implementación de Oyster (también conocido como Broomstick o CleanUpLoader), un implante y cargador modular responsable de entregar el ransomware Rhysida.

Microsoft dijo que Fox Tempest ha adaptado continuamente su oficio a medida que la compañía implementó contramedidas, como deshabilitar cuentas fraudulentas y revocar los certificados obtenidos ilícitamente, y el actor de amenazas incluso intentó cambiar a un servicio de firma de código diferente. Los documentos judiciales revelan que Microsoft trabajó con una «fuente cooperativa» para comprar y probar el servicio entre febrero y marzo de 2026.

«Cuando los atacantes pueden hacer que el software malicioso parezca legítimo, socava la forma en que las personas y los sistemas deciden qué es seguro», dijo Redmond. «Interrumpir esa capacidad es clave para aumentar el costo del cibercrimen».

La botnet xlabs_v1 basada en Mirai explota ADB para secuestrar dispositivos IoT para ataques DDoS – CYBERDEFENSA.MX
admin Noticias, Trending
La botnet xlabs_v1 basada en Mirai explota ADB para secuestrar dispositivos IoT para ataques DDoS – CYBERDEFENSA.MX

Investigadores de ciberseguridad han expuesto una nueva botnet derivada de Mirai que se autoidentifica como xlabs_v1 y apunta a dispositivos expuestos a Internet que ejecutan Android Debug Bridge (BAsD) para alistarlos en una red capaz de llevar a cabo ataques distribuidos de denegación de servicio (DDoS).

Hunt.io, que detallado el malware, dijo que hizo el descubrimiento después de identificar un directorio expuesto en un servidor alojado en los Países Bajos en la dirección IP «176.65.139[.]44» sin necesidad de autenticación.

El malware admite «21 variantes de inundación en TCP, UDP y protocolos sin formato, incluidos RakNet y UDP en forma de OpenVPN, capaces de eludir la protección DDoS de nivel de consumidor», dijo Hunt.io, y agregó que se ofrece como un servicio DDoS de alquiler diseñado para apuntar a servidores de juegos y hosts de Minecraft.

Lo que hace que xlabs_v1 sea notable es que busca dispositivos Android que ejecutan un servicio ADB expuesto en el puerto TCP 5555, lo que significa que cualquier equipo que venga con la herramienta habilitada de forma predeterminada, como cajas de TV Android, decodificadores y televisores inteligentes, podría ser un objetivo potencial.

Ciberseguridad

Además de un APK de Android («boot.apk», el malware admite compilaciones de múltiples arquitecturas que cubren ARM, MIPS, x86-64 y ARC, lo que indica que también está diseñado para apuntar a enrutadores residenciales y hardware de Internet de las cosas (IoT).

El resultado es una botnet especialmente diseñada para recibir un comando de ataque desde el panel del operador («xlabslover[.]lol») y generar una avalancha de tráfico basura bajo demanda, dirigiendo específicamente el ataque DDoS contra los servidores del juego.

«El bot está vinculado estáticamente a ARMv7, se ejecuta en firmwares de Android eliminados y se entrega a través de pegados de ADB-shell en /data/local/tmp», explicó Hunt.io. «La lista de carga útil de nueve variantes del operador está adaptada a decodificadores de TV Android, decodificadores, televisores inteligentes y hardware ARM de grado IoT que se envía con ADB habilitado».

Existe evidencia que indica que el servicio de alquiler de DDoS presenta precios por niveles de ancho de banda. Esta evaluación se basa en la presencia de una rutina de creación de perfiles de ancho de banda que recopila el ancho de banda y la geolocalización de la víctima.

Este componente abre 8.192 sockets TCP paralelos al servidor Speedtest geográficamente más cercano, los satura durante 10 segundos e informa la velocidad de transferencia de datos medida al panel. El objetivo, señaló Hunt.io, es asignar cada dispositivo comprometido a un nivel de precios para sus clientes de pago.

Un aspecto importante a destacar aquí es que la botnet existe después de enviar la información del ancho de banda en Megabits por segundo (Mbps), por lo que el operador debe reinfectar el dispositivo por segunda vez a través del mismo canal de explotación ADB, dada la ausencia de un mecanismo de persistencia.

«El bot no se escribe en ubicaciones de persistencia del disco, no modifica los scripts de inicio, no crea unidades systemd y no registra trabajos cron», dijo Hunt.io. «Este diseño sugiere que el operador ve el sondeo del ancho de banda como una operación poco frecuente de actualización de niveles de flota en lugar de una verificación previa al vuelo por ataque, y el ciclo resultante de salida y reinfección es la intención del diseño».

xlabs_v1 también cuenta con un subsistema «asesino» para eliminar a los competidores de modo que pueda usurpar todo el ancho de banda ascendente del dispositivo víctima y usarlo para llevar a cabo el ataque DDoS. Actualmente no se sabe quién está detrás del malware, pero el actor de la amenaza se conoce con el apodo de «Tadashi», como lo demuestra una cadena cifrada con ChaCha20 incrustada en cada versión del bot.

Un análisis más detallado de la infraestructura coubicada ha descubierto un kit de herramientas de minería VLTRig Monero en el host 176.65.139[.]42, aunque actualmente no se sabe si los dos conjuntos de actividades son obra del mismo actor de amenazas.

Ciberseguridad

«En términos comercial-criminales, xlabs_v1 es de nivel medio. Es más sofisticado que el típico fork de Mirai para niños. […]pero menos sofisticado que el nivel superior de operaciones comerciales de alquiler de DDoS», dijo Hunt.io. «Este operador compite en precio y variedad de ataques, no en sofisticación técnica. El objetivo son los dispositivos IoT de consumo, los enrutadores residenciales y los operadores de servidores de juegos pequeños».

El desarrollo se produce cuando Darktrace reveló que una instancia de Jenkins mal configurada intencionalmente en su red honeypot fue atacada por actores de amenazas desconocidos para implementar una botnet DDoS descargada desde un servidor remoto («103.177.110[.]202»), mientras simultáneamente tomaba medidas para evadir la detección.

«La presencia de técnicas DoS específicas de los juegos resalta aún más que la industria del juego sigue siendo un objetivo generalizado de los ciberatacantes», dijo la empresa. dicho. «Es probable que esta botnet ya se haya utilizado contra servidores de juegos, lo que sirve como recordatorio para que los operadores de servidores se aseguren de que se implementen las mitigaciones adecuadas».

Las aplicaciones de Android de Google obtienen verificación pública para detener los ataques a la cadena de suministro – CYBERDEFENSA.MX
admin Noticias, Trending
Las aplicaciones de Android de Google obtienen verificación pública para detener los ataques a la cadena de suministro – CYBERDEFENSA.MX

Google ha anunciado una ampliación Transparencia binaria para Android como una forma de salvaguardar el ecosistema de ataques a la cadena de suministro.

«Este nuevo libro público garantiza que las aplicaciones de Google en su dispositivo sean exactamente lo que pretendíamos crear y distribuir», dijeron los equipos de seguridad y productos de Google. dicho.

La iniciativa se basa en la base de Transparencia binaria de píxelesque Google introducido en octubre de 2021 para reforzar la integridad del software garantizando que los dispositivos Pixel solo ejecuten software de sistema operativo (SO) verificado manteniendo un registro criptográfico público que registra metadatos sobre imágenes oficiales de fábrica.

Los espejos de infraestructura de seguridad verificables Transparencia del certificadoun marco abierto que requiere que todos los certificados SSL/TLS emitidos se registren en registros públicos, de solo anexo y verificables criptográficamente para ayudar a detectar certificados emitidos incorrectamente o maliciosos.

Ciberseguridad

La medida tiene como objetivo contrarrestar los riesgos que plantean los ataques binarios a la cadena de suministro, que han encontrado varias formas de entregar código malicioso envenenando los canales de actualización de software, manteniendo intactas sus firmas digitales. El último ejemplo es el compromiso de los instaladores de Windows del software DAEMON Tools para servir una puerta trasera liviana, que luego actúa como un conducto para un implante denominado QUIC RAT.

Además, los instaladores se distribuyen desde el sitio web legítimo de DAEMON Tools y están firmados con certificados digitales pertenecientes a los desarrolladores de DAEMON Tools.

«Se está volviendo insuficiente confiar únicamente en la firma del binario, ya que una firma no puede garantizar que este binario en particular fuera el que su autor pretendía hacer público», dijo Google. «Las firmas digitales son un certificado de origen, pero la transparencia binaria es un certificado de intención.»

Al expandir Binary Transparency en Android, la compañía dijo que la idea es brindar garantías de que el software de Google en el dispositivo de un usuario es exactamente lo que se pretendía construir y distribuir. Con ese fin, las aplicaciones de Android de producción de Google lanzadas después del 1 de mayo de 2026 tendrán una entrada criptográfica correspondiente que confirme su autenticidad.

La iniciativa incluye actualmente la producción aplicaciones de googleincluidos los servicios de Google Play y las aplicaciones independientes de Google, así como Módulos principales que forman parte del sistema operativo y se pueden actualizar dinámicamente fuera del ciclo de lanzamiento normal.

«Esto proporciona una ‘Fuente de la verdad’ transparente que permite a cualquiera verificar que el software de Google en su dispositivo Android es una versión de producción autorizada por Google y no ha sido modificado por un atacante», señaló Google. «Si el software no está en el libro mayor, Google no lo lanzó como software de producción. Cualquier intento de implementar una versión ‘única’ será detectable».

Ciberseguridad

Como parte de este esfuerzo, el gigante tecnológico también está poner a disposición herramientas de verificación que los usuarios e investigadores pueden aprovechar para verificar el estado de transparencia de los tipos de software compatibles.

El desarrollo se produce en medio de una serie de ataques a la cadena de suministro que se han dirigido a desarrolladores y usuarios intermedios de software popular en los últimos meses. Los delincuentes comprometen cada vez más las cuentas de los desarrolladores y abusan de ese acceso para enviar malware, lo que les permite atacar a varios usuarios a la vez.

«Este es un pilar crítico para la privacidad y seguridad del usuario porque cambia la dinámica de poder fundamental de las actualizaciones de software», dijo Google. «Este nivel de transparencia sirve como otra capa de protección de la integridad de nuestro software, actuando como un poderoso elemento disuasivo contra las liberaciones binarias no autorizadas».

Nacional letón condenado por ataques de ransomware dirigidos por exlíderes de Conti
admin Latest
Nacional letón condenado por ataques de ransomware dirigidos por exlíderes de Conti

Un juez federal condenó a un ciudadano letón a 102 meses de prisión por su participación en una serie de ataques de ransomware durante más de dos años antes de su arresto en 2023, dijo el lunes el Departamento de Justicia.

Deniss Zolotarjovs, residente en Moscú en ese momento, ayudó a una organización dirigida por exlíderes del grupo de ransomware Conti a extorsionar a más de 54 empresas.

Al hombre de 35 años le correspondía principalmente presionar a las víctimas de la tripulación. En un caso, Zolotarjovs instó a los cómplices a filtrar o vender registros médicos de niños robados de una empresa de atención médica pediátrica y, en última instancia, envió una recopilación de datos confidenciales a “cientos de pacientes”, según registros judiciales.

El equipo de ransomware se identificó en notas de rescate con varios nombres durante la participación de Zolotarjovs, incluidos Conti, Karakurt, Royal, TommyLeaks, SchoolBoys Ransomware, Akira y otros.

Zolotarjov y sus cómplices extorsionaron a sus víctimas con casi 16 millones de dólares en pagos de rescate confirmados. Las autoridades estiman que los crímenes del grupo resultaron en pérdidas por cientos de millones de dólares, sin incluir la exposición psicológica y financiera futura que enfrentarán decenas de miles de personas cuyos datos personales fueron robados.

«Deniss Zolotarjovs ayudó a su banda de ransomware a beneficiarse de los ataques a docenas de empresas, e incluso a una entidad gubernamental cuyo sistema 911 se vio obligado a desconectarse», dijo en un comunicado A. Tysen Duva, fiscal general adjunto de la División Penal del Departamento de Justicia.

Los funcionarios dijeron que Zolotarjovs buscó puntos de influencia después de investigar las empresas víctimas y analizar los datos robados. Muchas de las víctimas impactadas durante su participación activa entre junio de 2021 y agosto de 2023 estaban radicadas en Estados Unidos.

Zolotarjov fue arrestado en el país de Georgia en diciembre de 2023 y extraditado a Estados Unidos en agosto de 2024. Se declaró culpable de lavado de dinero y fraude electrónico en julio de 2025.

«Los ciberdelincuentes podrían pensar que son invulnerables al esconderse detrás de herramientas de anonimización y patrones complejos de criptomonedas mientras atacan a víctimas estadounidenses de países no extraditados», dijo en un comunicado Dominick S. Gerace II, fiscal estadounidense para el Distrito Sur de Ohio. «Pero el procesamiento de Zolotarjovs demuestra que las autoridades federales también tienen un alcance global, y haremos responsables a los malos actores como Zolotarjovs, que ahora pasarán mucho tiempo en prisión».

El equipo ruso de ransomware fue prolífico y se dividió en varios equipos, confiando en empresas registradas en Rusia, Europa y Estados Unidos para ocultar sus operaciones. Las autoridades dijeron que el grupo incluía a ex agentes de la ley rusos cuyas conexiones permitían a los miembros acceder a bases de datos del gobierno ruso para acosar a detractores e identificar posibles nuevos reclutas.

Conti estuvo durante un tiempo entre los grupos de ransomware más prolíficos a nivel mundial, lo que afectó a cientos de proveedores de infraestructura crítica, al gobierno de Costa Rica en 2022 y, en última instancia, llevó al Departamento de Estado a ofrecer una recompensa de 10 millones de dólares por información relacionada con los líderes de Conti. El grupo fue notoriamente resistente, se recuperó con nueva infraestructura y alcanzó nuevos objetivos después de que una filtración masiva expusiera chats entre los miembros del grupo en 2022.

Conti se disolvió más tarde ese año, pero los miembros del grupo en cirílico cambiaron su nombre a tres subgrupos: Zeon, Black Basta y Quantum, que rápidamente pasó a llamarse Royal, antes de volver a llamarse BlackSuit en 2024.

Matt Kapko

Escrito por Matt Kapko

Matt Kapko es reportero de CyberScoop. Su ámbito incluye delitos cibernéticos, ransomware, defectos de software y (mala) gestión de vulnerabilidades. El californiano de toda la vida comenzó su carrera periodística en 2001 con paradas anteriores en Cybersecurity Dive, CIO, SDxCentral y RCR Wireless News. Matt tiene una licenciatura en periodismo e historia de la Universidad Estatal de Humboldt.