El proyecto de ley de inteligencia de la Cámara incluye disposiciones sobre inteligencia de amenazas estatales y locales, seguridad electoral e inteligencia artificial.
admin Latest
El proyecto de ley de inteligencia de la Cámara incluye disposiciones sobre inteligencia de amenazas estatales y locales, seguridad electoral e inteligencia artificial.

Un proyecto de ley anual sobre política de espionaje autorizaría un programa piloto de intercambio de inteligencia sobre amenazas cibernéticas para los gobiernos estatales y locales, y ordenaría una evaluación externa de cómo las agencias de inteligencia comparten actualmente esa información con esas jurisdicciones.

El Comité de Inteligencia de la Cámara aprobó el año fiscal 2027 legislación de autorización de inteligencia Lunes que también incluye disposiciones sobre seguridad electoral y que están destinadas a impulsar el uso de inteligencia artificial por parte de la comunidad de inteligencia (IC) para fines cibernéticos y de otro tipo.

El lenguaje de la medida sobre el intercambio de información estatal y local se produce en medio de una frustración generalizada con Trump. recortes administrativos sobre dicha ayuda del gobierno federal, y el presidente tomó medidas explícitas para transferir una mayor responsabilidad de las defensas cibernéticas al nivel local.

Según el programa piloto, la Oficina del Director de Inteligencia Nacional (ODNI) elegiría un estado para recibir informes mensuales de la ODNI, el Departamento de Seguridad Nacional, el FBI y otros para recibir informes mensuales sobre “información oportuna, específica y procesable sobre amenazas cibernéticas” en forma no clasificada. Después de un año, la ODNI proporcionaría un informe sobre la viabilidad de un programa informativo más amplio para los gobiernos estatales y locales.

El proyecto de ley requiere que la ODNI produzca una estrategia sobre el intercambio de información con estados y áreas locales, y requeriría que la Oficina de Responsabilidad Gubernamental realice una evaluación del estado de dicho intercambio ahora, incluido un resumen de los esfuerzos actuales de las agencias relevantes, cómo las agencias resuelven esos esfuerzos y qué tipo de obstáculos plantean las autorizaciones de seguridad para mejorar el intercambio de información.

El elegido por Trump para ocupar el cargo de DNI, Jay Clayton, enfatizó su deseo de centrarse en el intercambio de información sobre amenazas cibernéticas como parte de su investigación en el Senado la semana pasada, pero algunos miembros del Partido Republicano también están presionando para reducir significativamente el tamaño de su oficina.

El Director Nacional Cibernético, Sean Cairncross, también ha hablado sobre la creación de programas piloto para compartir información sobre amenazas cibernéticas con los gobiernos estatales y locales, pero ha habido poco movimiento en esa iniciativa.

Durante la deliberación del comité, los demócratas del panel lograron la adopción de una trío de enmiendas a la seguridad electoral.

Una enmienda del principal demócrata del panel, el representante Jim Himes de Connecticut, requeriría que la comunidad de inteligencia publique una evaluación no clasificada de las amenazas de inteligencia extranjera a las elecciones intermedias de 2026. La enmienda del representante Jason Crow, de Colorado, retendría parcialmente los fondos para la ODNI hasta que el Congreso reciba los informes atrasados ​​que había requerido sobre las elecciones de 2024 y 2026. Y la enmienda de la representante Chrissy Houlahan de Pensilvania “protegería a los analistas de represalias por parte de los líderes del CI por trabajar en productos de inteligencia relacionados con la influencia extranjera en las elecciones estadounidenses”, según un comunicado de prensa.

El impulso de los demócratas llega poco después de que el presidente Donald Trump pronunciara un discurso en horario de máxima audiencia en el que buscaba reforzar sus afirmaciones largamente desacreditadas de que le robaron las elecciones de 2020.

Según un republicano resumen de la facturaincluye disposiciones para “aumentar significativamente la financiación para ampliar el acceso y el uso de modelos fronterizos de IA para misiones de inteligencia y cibernéticas”, para codificar y ampliar el papel del Centro de Seguridad de Inteligencia Artificial de la Agencia de Seguridad Nacional y fortalecer el intercambio de información sobre las amenazas de la IA.

“Este año [bill] equilibra fuertes medidas de transparencia y rendición de cuentas al tiempo que equipa al CI con los recursos necesarios para combatir las amenazas en constante evolución de nuestros adversarios en todo el mundo, con un enfoque particularmente fuerte en la carrera global de IA”, dijo el presidente de Inteligencia de la Cámara de Representantes, Rick Crawford, republicano por Ark.

Otra evaluación de que el proyecto de ley vendría de la Oficina de Inteligencia y Contrainteligencia del Departamento de Energía sobre las ciberamenazas extranjeras a la infraestructura energética crítica, incluidas sus intenciones y riesgos.

La tendencia en el Congreso es que los legisladores incorporen el proyecto de ley de autorización anual de inteligencia, o algunas de sus disposiciones, en la Ley de Autorización de Defensa Nacional anual, que a menudo llega al escritorio del presidente al final de cada año calendario.

Tim Starks

Escrito por Tim Starks

Tim Starks es reportero senior de CyberScoop. Sus paradas anteriores incluyen trabajar en The Washington Post, POLITICO y Congressional Quarterly. Originario de Evansville, Indiana, se ocupa de la ciberseguridad desde 2003. Envíe un correo electrónico a Tim aquí: tim.starks@cyberscoop.com.

El nuevo GigaWiper Windows Backdoor incluye limpieza de disco, ransomware falso y software espía – CYBERDEFENSA.MX
admin Noticias, Trending
El nuevo GigaWiper Windows Backdoor incluye limpieza de disco, ransomware falso y software espía – CYBERDEFENSA.MX

Microsoft ha desmantelado una puerta trasera destructiva de Windows que llama GigaWiper. Lo que destaca es cómo está construido: no una herramienta sino tres programas destructivos antiguos unidos en uno, ofrecidos como comandos entre los que el operador puede elegir.

Cada una es una forma diferente de dañar una máquina: borrar todo el disco, sobrescribir la unidad de Windows o ejecutar un «ransomware» falso que codifica archivos con una clave que nunca guarda.

Debido a que se trata de malware y no de un solo defecto, no hay ningún parche que buscar; GigaWiper es lo que ejecuta un atacante después de que ya está dentro, lo que hace que la detección temprana y las copias de seguridad limpias y fuera de línea sean la verdadera defensa.

Los mismos archivos maliciosos aparecen en un segundo informe con otro nombre: CONEJO AZULuna puerta trasera de Binary Defense señalada el mes pasado.

Ciberseguridad

Microsoft enumera cuatro hashes para el Puerta trasera GigaWiper; Binary Defense enumera los mismos cuatro para CONEJO AZULy ambos servidores de comando coinciden. Binary Defense, citando al Threat Intelligence Group de Google, vincula el malware con un probable grupo nexo con Irán dirigido a organizaciones israelíes. Microsoft no nombra ningún país.

Tres formas de destruir una máquina

GigaWiper está escrito en Go (también llamado Golang) y se ejecuta en Windows. Toma las órdenes como comandos numerados, y tres de ellas destruyen la máquina, cada una de forma diferente:

  • Un limpiador de disco sin formato que sobrescribe la unidad física y borra la tabla de particiones (el mapa de cómo está distribuido el disco) antes de reiniciar. No es posible revertir la eliminación archivo por archivo; destruye el contenido del disco directamente.
  • ransomware falso creado a partir de un código antiguo llamado Crucio. Cifra archivos, agrega una extensión .candy y cambia el fondo de pantalla del escritorio a una imagen de advertencia alarmante. No hay nota de rescate ni clave guardada, por lo que no hay nada que pagar ni nada que descifrar. Esto es destrucción disfrazada de ransomware.
  • El último apunta a la unidad de Windows, sobrescribiéndola varias veces con diferentes patrones de datos. Microsoft dice que es una reescritura de Go de un limpiador que rastrea como FlockWiper.

Ninguno de estos deja un camino de regreso: los archivos cifrados no se pueden desbloquear porque la clave ya no está, y las unidades borradas solo se pueden reconstruir a partir de copias de seguridad limpias. El objetivo es una máquina muerta, no un pago.

También espía

La destrucción es sólo la mitad. La misma puerta trasera puede vigilar y controlar silenciosamente una PC infectada. Toma capturas de pantalla de cada monitor, graba la pantalla mientras alguien está trabajando y puede abrir una sesión VNC oculta que transmite la pantalla y permite al atacante escribir y mover el mouse.

También recopila detalles del sistema, administra programas y servicios en ejecución, edita el registro y puede borrar los registros de eventos de Windows para cubrir sus huellas. Microsoft encontró más comandos inactivos en las muestras que examinó, incluidos códigos auxiliares para un registrador de teclas y limpiadores adicionales.

Para permanecer fuera de la vista, GigaWiper pretende ser OneDrive. Crea una tarea programada llamada OneDrive Update que se ejecuta cada minuto y se rastrea en una clave de registro en HKCU\SOFTWARE\OneDrive\Environment. Cuando abre su canal de control remoto, se esconde detrás de una regla de firewall que lleva el nombre de un componente real de Windows, Microsoft.Windows.CloudExperienceHost.

Para su tráfico de comandos, omite las solicitudes web ordinarias y, en su lugar, utiliza servicios empresariales reales: RabbitMQ para tareas, Redis para resultados y MinIO para exfiltración. Debido a que se trata de herramientas legítimas y no de un canal de malware personalizado, el tráfico parece normal en las redes que ya las ejecutan.

De donde vino GigaWiper

Microsoft rastrea el código de ransomware falso de GigaWiper hasta Crucio y su limpiador de múltiples pasadas hasta FlockWiper, y evalúa que el mismo desarrollador creó los tres. No nombra ningún país. Pero Crucio no es anónimo. Su código figuraba como sospechoso de ransomware en un informe de diciembre de 2023. Asesoramiento CISA sobre CyberAv3ngers, un grupo vinculado al Cuerpo de la Guardia Revolucionaria Islámica de Irán.

Se trata del mismo equipo, informó THN, que irrumpió en sitios de agua y energía en los EE. UU., Israel, el Reino Unido e Irlanda en 2023, iniciando sesión en controladores industriales expuestos a Internet. En un caso, tomaron el control de una estación de refuerzo en una autoridad de agua de Pensilvania. La muestra de Crucio que cita Microsoft lleva la misma huella digital que figura en ese aviso.

Microsoft también encontró una etiqueta recurrente, «GRAT», tanto en las rutas de depuración de FlockWiper como en los nombres de las funciones propias de GigaWiper, uniendo las dos herramientas e insinuando un componente adicional que aún no ha aparecido. El momento difiere según la fuente: Microsoft fecha la actividad destructiva en octubre de 2025, mientras que Binary Defense vio por primera vez los mismos archivos que BLUERABBIT en marzo de 2026.

Parte de una ola más grande

La actividad de limpieza vinculada a Irán contra Israel ha generado repetidas advertencias hasta 2025 y 2026. Palo Alto Networks Unidad 42 ha seguido un aumento paralelo, en gran parte proveniente de un grupo separado, Handala Hack, y en marzo de 2026 la Dirección Nacional Cibernética de Israel advirtió sobre ataques iraníes contra organizaciones locales.

La táctica que utiliza GigaWiper es antigua: NotPetya en 2017 también se hizo pasar por ransomware mientras destruía datos silenciosamente. El disfraz le da tiempo al atacante: una máquina destrozada primero parece un caso de ransomware del que alguien podría recuperarse, no la pérdida total que es.

Microsoft enmarca a GigaWiper como operadores que combinan herramientas separadas en una plataforma flexible. Para los defensores, la consecuencia es concreta: cuando un solo implante puede vigilar, robar o destruir, la herramienta ya no revela el objetivo. Solías leer la intención del malware que encontrabas; aquí el operador decide cuando ya están dentro.

Ciberseguridad

Una plataforma, dos nombres de proveedores y códigos auxiliares inactivos que aún están en el código indican que aún se está desarrollando una herramienta.

¿Qué deben hacer los defensores?

Detectarlo rápidamente se reduce a algunas señales específicas:

  • Una tarea programada de actualización de OneDrive que se repite cada minuto.
  • Tráfico de RabbitMQ o Redis desde escritorios normales en lugar de servidores.
  • Procesos que utilizan takeown e icacls para tomar posesión de los archivos de arranque de Windows como bootmgr y ntoskrnl.exe fuera de las ventanas de mantenimiento.

En cuanto al producto, Microsoft recomienda activar la protección contra manipulaciones para que los atacantes no puedan desactivar su antivirus, bloqueando los dos servidores de comando conocidos (185.182.193[.]21 y 212.8.248[.]104), ejecutando la detección de puntos finales en modo de bloque y habilitando la protección entregada en la nube y la corrección automática. La lista completa de hashes de archivos, direcciones de servidores y nombres de detección se encuentra en informe de microsoft.

The Hacker News se comunicó con Microsoft y Binary Defense para confirmar que GigaWiper y BLUERABBIT son el mismo malware y para obtener detalles sobre el alcance y la atribución de las víctimas, y actualizará esta historia con cualquier respuesta.

¿Qué cambia cuando su cadena de suministro de software incluye IA escribiendo su código? – CYBERDEFENSA.MX
admin Noticias, Trending
¿Qué cambia cuando su cadena de suministro de software incluye IA escribiendo su código? – CYBERDEFENSA.MX

La seguridad de la cadena de suministro de software ya era bastante difícil. Luego, la IA se unió al proceso de construcción.

Durante cinco años, la «seguridad de la cadena de suministro de software» significó una pregunta: ¿qué hay en su código? ¿Qué paquetes de código abierto, qué versiones, qué dependencias transitivas de tres capas de profundidad que nadie eligió a propósito?

Utilidades SolarWinds, Log4Shell y XZ Todos enseñaron la misma lección: el riesgo reside menos en el código que escribe un equipo y más en todo lo que lo produce. Shai-Hulud, la campaña de paquetes maliciosos autopropagados que se difundió a través de las cadenas de herramientas de los desarrolladores este año, enseñó al siguiente: saber qué hay en su código todavía es necesario, pero ya no es suficiente.

En los aproximadamente 20 meses transcurridos desde el lanzamiento del Protocolo de contexto modelo, las herramientas, los modelos y la infraestructura de inteligencia artificial que los rodea se han convertido en partes que soportan la carga de cómo se construye, implementa y ejecuta el software. El código lo escriben los agentes. Los paquetes son recogidos por herramientas autónomas que deciden si son necesarios. Las indicaciones se han convertido en una entrada real para la compilación, lo que significa que son una forma real de comprometerla. Nada de esto estaba dentro del alcance cuando se diseñaron la mayoría de los programas de seguridad.

Dónde se movió realmente el riesgo

Es tentador tratar el código generado por IA como simplemente más código, ejecutarlo a través de los mismos escáneres y considerarlo cubierto. Eso malinterpreta hacia dónde se movió el riesgo.

La cuestión de la procedencia que siempre ha definido la seguridad de la cadena de suministro (de dónde viene y si puedo confiar en ella) ahora se aplica al modelo, el agente y las herramientas, no sólo al artefacto. Un asistente de codificación de IA sugiere una dependencia y un desarrollador la acepta sin que el paquete cruce nunca el modelo de amenaza de un humano. Un agente autónomo busca una herramienta a través de MCP para completar una tarea, y esa herramienta busca otra. Un mensaje, elaborado por un atacante y colocado en algún lugar donde el modelo pueda leerlo, dirige lo que se escribe o lo que se introduce.

Validar el código generado por IA antes de confirmarlo es algo que está en juego. El problema más difícil es gobernar a los agentes que escriben y las herramientas que utilizan.

Cómo se ve un programa cuando la IA está dentro de su alcance

A los equipos con los que trabajamos no les faltan hallazgos. Se están ahogando en ellos. Agregar «escanear también la salida de IA» a una cola ya sobrecargada hace que la pila de alertas sea más alta, no que el programa sea más fuerte. Dos cosas cambian cuando la IA está realmente dentro de su alcance.

En primer lugar, el linaje debe extenderse a todo lo que entra en el proceso, incluidos los modelos y agentes. Un enfoque es extender el linaje al propio proceso: rastrear la actividad, la procedencia y los cambios de configuración desde el primer compromiso hasta el tiempo de ejecución, y aplicar el mismo rigor a los modelos y agentes que a cualquier otra dependencia.

En segundo lugar, la priorización debe basarse en la explotabilidad real, no en el volumen. Correlacionar los hallazgos con el contexto del tiempo de ejecución con lo que realmente se puede alcanzar es la diferencia entre una lista de vulnerabilidades y una cadena viable de explotación. Esa diferencia importa más, no menos, una vez que un agente puede generar mil líneas de código plausible antes del almuerzo.

Esta es la brecha que Gartner formalizó en junio cuando publicó el Cuadrante Mágico inaugural para la seguridad de la cadena de suministro de software: el reconocimiento del mercado de que un problema que los equipos han estado defendiendo sin una línea presupuestaria es ahora algo que vale la pena evaluar sistemáticamente.

El 22 de julio, los investigadores de OX organizarán un seminario web: Cómo la IA está remodelando la seguridad de la cadena de suministro tal como la conocemos – recorrer nuevas investigaciones junto con los líderes de seguridad que realizan este trabajo desde adentro. Cubriremos cómo la integración de la IA cambió la superficie de ataque, los hallazgos de la primera mirada sistemática a los servidores MCP en la naturaleza y cómo se ve realmente un programa de seguridad de la cadena de suministro cuando la IA está dentro del alcance en lugar de incorporarse después.

Regístrate aquí. Traiga preguntas difíciles.

¿Encontró interesante este artículo? Este artículo es una contribución de uno de nuestros valiosos socios. Síguenos en noticias de google, Gorjeo y LinkedIn para leer más contenido exclusivo que publicamos.

El nuevo marco de malware Avalon incluye capacidades de ransomware CrownX – CYBERDEFENSA.MX
admin Noticias, Trending
El nuevo marco de malware Avalon incluye capacidades de ransomware CrownX – CYBERDEFENSA.MX

Investigadores de ciberseguridad han descubierto un marco de malware modular previamente no documentado con nombre en código Ávalón que se distribuye mediante una cadena de phishing de varias etapas capaz de burlar los controles de seguridad tradicionales.

Avalon combina recopilación de credenciales, movimiento lateral, acceso remoto, interrupción de la recuperación y ejecución de ransomware, reuniendo diversas funciones bajo un mismo paraguas. El componente de ransomware se ha denominado internamente CrownX.

«El ataque comenzó con un correo electrónico con un documento legal falsificado que dirigía a los destinatarios a un archivo protegido con contraseña en Proton Drive», afirman los investigadores de Blackpoint Cyber, Nevan Beal y Sam Decker. dicho. «El contenido malicioso se incrustó dentro de una imagen ISO en lugar de adjuntarse directamente, lo que redujo la probabilidad de detección en la capa de correo electrónico».

Si el destinatario del correo electrónico interactúa con un acceso directo de Windows con tema de documento («Documento seguro CA-283505.pdf.lnk») dentro de la imagen montada, se desencadena una secuencia de malware preparada que culmina con la implementación de Avalon. Específicamente, el acceso directo ejecuta un comando para iniciar un proyecto de MSBuild ubicado en la imagen ISO.

El proyecto MSBuild, por su parte, carga un ensamblado .NET integrado, que luego interfiere con el funcionamiento normal de Event Tracing para Windows (ETW) para reducir la visibilidad forense y descargar una carga útil de la siguiente etapa a través de HTTPS responsable del lanzamiento de Avalon.

Ciberseguridad

El marco de malware cuenta con un extenso subsistema de evasión de defensa que tiene como objetivo evadir la detección, al tiempo que incorpora métodos específicos para ocultar la ejecución de las herramientas de seguridad asociadas con Microsoft Defender, SentinelOne, CrowdStrike, Sophos, Elastic Endpoint, FortiEDR, ESET, McAfee y Bitdefender.

«Estas capacidades le dan al marco una multitud de formas de reducir la telemetría, evitar el monitoreo del modo de usuario y ajustar su ejecución dependiendo de los controles defensivos presentes en el host», dijeron los investigadores.

El conjunto completo de funciones integradas en Avalon es el siguiente:

  • Obtenga credenciales, cookies, historial y marcadores de navegadores basados ​​en Chromium y Mozilla Firefox.
  • Recopile datos de aplicaciones de billeteras de criptomonedas como MetaMask, Phantom, Coinbase Wallet, Exodus, Electrum, Atomic Wallet, Ledger Live y Bitcoin Core, junto con Discord, Slack, Teams, OpenVPN, WireGuard y Windows Credential Manager.
  • Recopile detalles sobre hosts conocidos de SSH, conexiones RDP guardadas, perfiles de Wi-Fi y artefactos de contraseña de preferencias de política de grupo.
  • Exfiltrar datos a un servidor remoto («helloxcherry[.]com») y sondea el servidor para recibir comandos de tareas.
  • Realice reconocimientos y priorice sistemas que puedan ampliar el alcance del compromiso.
  • Cifre archivos asociados con operaciones comerciales, desarrollo de software, ingeniería, almacenamiento de datos e infraestructura virtual mediante Windows. API de criptografía y entregar una nota de rescate que contenga instrucciones de pago y temporizadores de fecha límite que muestren cuánto tiempo queda antes de que se aumente el monto del rescate.
  • Inhiba la recuperación del sistema finalizando el Servicio de instantáneas de volumen y eliminando las instantáneas.
  • Elimine rastros de artefactos utilizando un subsistema de limpieza antiforense para complicar los esfuerzos de respuesta a incidentes.
  • Interactúa directamente con las estructuras del disco, probablemente en un esfuerzo por dañar la información de la partición, los registros de arranque u otras áreas críticas de la unidad, lo que efectivamente inutiliza el sistema.

«CrownX representó la etapa final de extorsión, pero el daño se extendió mucho más allá del cifrado en sí», dijo la compañía. «Para cuando apareció la nota de rescate, el marco más amplio ya había recopilado credenciales, establecido comunicaciones C2, preparado múltiples caminos para el movimiento lateral y debilitado las opciones de recuperación local».

Otro detalle importante es que Avalon muestra signos de desarrollo asistido por inteligencia artificial (IA), un desarrollo que ha ensamblado múltiples componentes sin tener en cuenta las técnicas sofisticadas o la seguridad operativa, algo que requiere una experiencia significativa para construir.

Los hallazgos son otra señal más de cómo la IA puede reducir la barrera de entrada, haciendo que el desarrollo de malware sea más accesible con poco tiempo y esfuerzo, e incluso permitiendo a actores con poca experiencia técnica y recursos idear herramientas que pueden requerir un gran esfuerzo de desarrollo. En otras palabras, la presencia de una determinada capacidad ya no es un indicador confiable de la sofisticación o madurez operativa de un actor de amenazas.

«La cadena de destrucción ilustra cómo un atractivo comercial familiar puede progresar hacia un marco reutilizable y de múltiples capacidades diseñado para recolectar credenciales, recuperar cargas útiles posteriores completamente en la memoria y organizar múltiples acciones de seguimiento desde un único punto final comprometido», dijo Blackpoint Cyber.

LLM detrás de un ataque de ransomware agente

La divulgación se produce cuando Sysdig detalló lo que dijo fue la primera infección de ransomware agente documentada públicamente impulsada por un modelo de lenguaje grande de principio a fin, mientras reintentaba y ajustaba sus acciones en tiempo real para completar tareas. El actor de amenaza agente (ATA) detrás de la operación recibió el nombre en código JADEPUFFER.

El operador «obtuvo acceso inicial a una instancia de Langflow orientada a Internet a través de CVE-2025-3248 y ejecutó una campaña adaptativa y totalmente automatizada, que finalmente giró hacia el objetivo previsto y ejecutó un manual destructivo de extorsión de bases de datos contra el servidor de bases de datos de producción de la víctima», dijo Michael Clark de Sysdig.

Ciberseguridad

«Las habilidades para ejecutar ransomware se han reducido a lo que cueste ejecutar un agente, y si ese agente se ejecuta con credenciales robadas a través de LLMjacking, el costo para un atacante es cercano a cero».

Malware de IA que utiliza LLM en un ataque sin código

Los hallazgos también siguen al descubrimiento de un malware de inteligencia artificial que combina un bot de Telegram con una API pública de LLM para diseñar un ataque sin código. Una vez lanzado, el implante transmite detalles básicos sobre el sistema comprometido al bot de Telegram del atacante y entra en un bucle de comando y control (C2) que sondea la API del bot cada 5 segundos en busca de nuevos mensajes. Los resultados de la ejecución del comando se extraen utilizando el mismo canal.

La especialidad de este malware es que cada mensaje del operador se reenvía a un punto final público de la API LLM («api.groq[.]com/openai/v1/chat/completions»), que luego traduce las instrucciones en lenguaje natural proporcionadas por el atacante a su comando de shell equivalente. El artefacto fue subido a la plataforma VirusTotal el 11 de marzo de 2026 y hasta la fecha no ha tenido detecciones en todos los motores.

«Este trabajo introduce una capa de traducción LLM que reemplaza la sintaxis del shell con texto sin formato. El atacante escribe instrucciones de texto sin formato en Telegram», Unidad 42 de Palo Alto Networks dicho. «El LLM traduce las instrucciones en comandos de shell. Y la víctima ejecuta los comandos de shell. No se requieren conocimientos de línea de comandos».

La sentencia del fabricante de stalkerware de pcTattleTale incluye una liberación supervisada y multada
admin Latest
La sentencia del fabricante de stalkerware de pcTattleTale incluye una liberación supervisada y multada

Un juez federal condenó al fabricante de stalkerware pcTattleTale, que cerró después de una violación de datos, a liberación supervisada y una multa de 5.000 dólares.

Bryan Fleming se declaró culpable en enero de un cargo de fabricación, posesión o venta intencional de un dispositivo a sabiendas de que se utilizaría principalmente para la interceptación subrepticia de comunicaciones. El viernes, un juez dictó la sentencia de Fleming.

Fue la primera condena por stalkerware desde 2014, cuando el fabricante de StealthGenie se declaró culpable y tampoco cumplió condena en prisión, sino que recibió una condena. Multa de 500.000 dólares de la corte.

Según el acuerdo de culpabilidad de Fleming, su actividad incriminatoria comenzó ya en 2017, como propietario de Fleming Technologies LLC.

«El software del demandado permitió a los compradores monitorear de forma encubierta y remota las actividades informáticas y del teléfono celular de la víctima, incluidos mensajes de texto, correos electrónicos, llamadas telefónicas, ubicación geográfica y navegación web», establece el acuerdo. «El acusado comenzó a anunciar directamente su software de espionaje a personas que querían espiar a sus cónyuges o parejas sin su conocimiento».

Continuó: «El software de espionaje del acusado creó de manera encubierta un video cada vez que se usaba el dispositivo de la víctima, que capturaba toda la actividad que ocurría en el dispositivo. La persona que monitoreaba el dispositivo podía iniciar sesión en un panel remoto y monitorear la actividad en el dispositivo de la víctima».

Un agente encubierto de Investigaciones de Seguridad Nacional, una división del Servicio de Inmigración y Control de Aduanas de EE. UU., se hizo pasar por un afiliado de marketing y cliente para comunicarse con Fleming, según un acusación 2022.

pcTattletale salió del negocio en 2024 tras sufrir una filtración de datos. Los investigadores han descubierto que las aplicaciones de stalkerware a menudo no protegen la información personal recopilada durante su uso.

Un abogado de Fleming no respondió de inmediato a una solicitud de comentarios el lunes por la mañana.

Tim Starks

Escrito por Tim Starks

Tim Starks es reportero senior de CyberScoop. Sus paradas anteriores incluyen trabajar en The Washington Post, POLITICO y Congressional Quarterly. Originario de Evansville, Indiana, se ocupa de la ciberseguridad desde 2003. Envíe un correo electrónico a Tim aquí: tim.starks@cyberscoop.com.