Una falla de seguridad de alta gravedad en el software de videoconferencia del cliente TrueConf ha sido explotada como un día cero como parte de una campaña dirigida a entidades gubernamentales en el sudeste asiático denominada Verdadero Caos.

La vulnerabilidad en cuestión es CVE-2026-3502 (Puntuación CVSS: 7,8), falta de verificación de integridad al recuperar el código de actualización de la aplicación, lo que permite a un atacante distribuir una actualización manipulada, lo que resulta en la ejecución de código arbitrario. Se ha parcheado en el cliente TrueConf de Windows a partir de versión 8.5.3lanzado a principios de este mes.

«La falla surge del abuso del mecanismo de validación del actualizador de TrueConf, lo que permite a un atacante que controla el servidor TrueConf local distribuir y ejecutar archivos arbitrarios en todos los puntos finales conectados», Check Point dicho en un informe publicado hoy.

En otras palabras, un atacante que logra hacerse con el control del servidor TrueConf local puede sustituir el paquete de actualización por una versión envenenada, que luego es extraída por la aplicación cliente instalada en los terminales de los clientes, debido al hecho de que no aplica una validación adecuada para garantizar que la actualización proporcionada por el servidor no haya sido manipulada.

Se ha descubierto que la campaña TrueChaos utiliza esta falla en el mecanismo de actualización como arma para probablemente implementar el marco de comando y control (C2) de código abierto Havoc en puntos finales vulnerables. La actividad se ha atribuido con moderada confianza a un actor de amenaza del nexo chino.

Los ataques que explotan la vulnerabilidad fueron registrados por primera vez por la empresa de ciberseguridad a principios de 2026, y la confianza implícita que el cliente deposita en el mecanismo de actualización se utilizó como arma para impulsar un instalador fraudulento que, a su vez, aprovecha la carga lateral de DLL para lanzar una puerta trasera de DLL.

También se ha observado que el implante DLL («7z-x64.dll») realiza acciones prácticas en el teclado para realizar reconocimiento, configurar la persistencia y recuperar cargas útiles adicionales («iscsiexe.dll») desde un servidor FTP («47.237.15).[.]197»). El objetivo principal de «iscsiexe.dll» es garantizar la ejecución de un binario benigno («poweriso.exe») que se coloca para cargar la puerta trasera.

Aunque no está claro cuál es el malware exacto de la etapa final entregado como parte del ataque, se evalúa con alta confianza que el objetivo final es implementar el implante Havoc.

Los vínculos de TrueChaos con un actor de amenazas del nexo chino se basan en las tácticas observadas, como el uso de carga lateral de DLL, Alibaba Cloud y Tencent para la infraestructura C2, y el hecho de que la misma víctima fue atacada en el mismo período de tiempo por ShadowPad, una sofisticada puerta trasera ampliamente utilizada por grupos de hackers vinculados a China.

Además de eso, el uso de Havoc se ha atribuido a otro actor de amenazas chino llamado Amaranth-Dragon en intrusiones dirigidas a agencias gubernamentales y policiales en todo el sudeste asiático en 2025.

«La explotación de CVE-2026-3502 no requirió que el atacante comprometiera cada punto final individualmente», dijo Check Point. «En cambio, el atacante abusó de la relación de confianza entre un servidor central TrueConf local y sus clientes. Al reemplazar una actualización legítima por una maliciosa, convirtieron el flujo de actualización normal del producto en un canal de distribución de malware a través de múltiples redes gubernamentales conectadas».

Una campaña en curso y de largo plazo atribuida a un actor amenazante del nexo con China se ha incrustado en las redes de telecomunicaciones para realizar espionaje contra las redes gubernamentales.

La actividad de posicionamiento estratégico, que implica implantar y mantener mecanismos de acceso sigiloso dentro de entornos críticos, se ha atribuido a Hombre rojoun grupo de amenazas que también se rastrea como Earth Bluecrow, DecisiveArchitect y Red Dev 18. El grupo tiene un historial de atacar a proveedores de telecomunicaciones en Medio Oriente y Asia desde al menos 2021.

Rapid7 describió los mecanismos de acceso encubierto como «algunas de las células durmientes digitales más sigilosas» jamás encontradas en las redes de telecomunicaciones.

La campaña se caracteriza por el uso de implantes a nivel de kernel, puertas traseras pasivas, utilidades de recolección de credenciales y marcos de comando multiplataforma, lo que brinda al actor de amenazas la capacidad de habitar persistentemente redes de interés. Una de las herramientas más reconocidas de su arsenal de malware es una puerta trasera de Linux llamada BPFDoor.

«A diferencia del malware convencional, BPFdoor no expone puertos de escucha ni mantiene canales de comando y control visibles», Rapid7 Labs dicho en un informe compartido con The Hacker News. «En cambio, abusa de la funcionalidad Berkeley Packet Filter (BPF) para inspeccionar el tráfico de red directamente dentro del kernel, activándose sólo cuando recibe un paquete de activación específicamente diseñado».

«No hay un oyente persistente ni una baliza obvia. El resultado es una trampilla oculta incrustada dentro del propio sistema operativo».

Las cadenas de ataques comienzan cuando el actor de la amenaza apunta a la infraestructura conectada a Internet y a los servicios de borde expuestos, como dispositivos VPN, firewalls y plataformas web asociadas con Ivanti, Cisco, Juniper Networks, Fortinet, VMware, Palo Alto Networks y Apache Struts, para obtener acceso inicial.

Al lograr un punto de apoyo exitoso, los marcos de balizas compatibles con Linux, como CrossC2 se implementa para facilitar las actividades posteriores a la explotación. También se lanzan Sliver, TinyShell (un puerta trasera Unix), registradores de pulsaciones de teclas y utilidades de fuerza bruta para facilitar la recolección de credenciales y el movimiento lateral.

Sin embargo, BPFDoor es fundamental para las operaciones de Red Menshen. Presenta dos componentes distintos: uno es una puerta trasera pasiva implementada en el sistema Linux comprometido para inspeccionar el tráfico entrante en busca de un paquete «mágico» predefinido instalando un filtro BPF y generando un shell remoto al recibir dicho paquete. La otra parte integral del marco es un controlador administrado por el atacante y es responsable de enviar los paquetes con formato especial.

«El controlador también está diseñado para operar dentro del propio entorno de la víctima», explicó Rapid7. «En este modo, puede hacerse pasar por procesos legítimos del sistema y desencadenar implantes adicionales en los hosts internos enviando paquetes de activación o abriendo un oyente local para recibir conexiones de shell, lo que permite efectivamente el movimiento lateral controlado entre sistemas comprometidos».

Es más, se ha descubierto que ciertos artefactos BPFDoor son compatibles con el protocolo de transmisión de control de flujo (SCTP), permitiendo potencialmente al adversario monitorear protocolos nativos de telecomunicaciones y obtener visibilidad del comportamiento y la ubicación de los suscriptores, e incluso rastrear individuos de interés.

Estos aspectos demuestran que la funcionalidad de BPFdoor va más allá de una puerta trasera sigilosa de Linux. «BPFdoor funciona como una capa de acceso integrada dentro de la red troncal de telecomunicaciones, proporcionando visibilidad silenciosa y a largo plazo de las operaciones críticas de la red», añadió el proveedor de seguridad.

No termina ahí. Una variante de BPFdoor previamente no documentada incorpora cambios arquitectónicos para hacerlo más evasivo y pasar desapercibido durante períodos prolongados en entornos empresariales y de telecomunicaciones modernos. Estos incluyen ocultar el paquete desencadenante dentro del tráfico HTTPS aparentemente legítimo e introducir un mecanismo de análisis novedoso que garantiza que la cadena «9999» aparezca en un desplazamiento de bytes fijo dentro de la solicitud.

Este camuflaje, a su vez, permite que el paquete mágico permanezca oculto dentro del tráfico HTTPS y evite provocar cambios en la posición de los datos dentro de la solicitud, y permite que el implante siempre busque el marcador en un desplazamiento de bytes específico y, si está presente, lo interprete como el comando de activación.

La muestra recién descubierta también presenta un «mecanismo de comunicación liviano» que utiliza el Protocolo de mensajes de control de Internet (ICMP) para interactuar entre dos hosts infectados.

«Estos hallazgos reflejan una evolución más amplia en el arte del adversario», dijo Rapid7. «Los atacantes están incorporando implantes más profundamente en la pila informática, apuntando a los núcleos del sistema operativo y las plataformas de infraestructura en lugar de depender únicamente del malware del espacio del usuario».

«Los entornos de telecomunicaciones, que combinan sistemas básicos, capas de virtualización, dispositivos de alto rendimiento y componentes centrales 4G/5G en contenedores, proporcionan un terreno ideal para una persistencia silenciosa y a largo plazo. Al combinarse con servicios de hardware legítimos y tiempos de ejecución de contenedores, los implantes pueden evadir el monitoreo tradicional de puntos finales y permanecer sin ser detectados durante períodos prolongados».

Las autoridades confiscaron la infraestructura que impulsaba cuatro botnets que Secuestró un total de tres millones de dispositivos. y lanzaron más de 300.000 ataques DDoS en conjunto, dijo el jueves el Departamento de Justicia.

Las botnets (Aisuru, Kimwolf, JackSkid y Mossad) permitieron a los operadores vender acceso a los dispositivos infectados para diversos delitos cibernéticos. Las consecuencias abarcaron miles de ataques, incluidos algunos que exigían pagos de extorsión a las víctimas, dijeron los funcionarios.

La operación coordinada globalmente, ayudada por acciones policiales dirigidas a los operadores de botnets en Canadá y Alemania, interrumpió la infraestructura de comando y control de las cuatro botnets. Dos de las botnets establecieron récords antes de su eliminación, atrayendo la atención generalizada de investigadores y proveedores de seguridad.

La botnet Kimwolf, una variante de Android de Aisuru, se propagó como la pólvora después de que sus operadores descubrieron cómo abusar de las redes de proxy residenciales para el control local, según Sythient. Finalmente se hizo cargo más de 2 millones Dispositivos Android TV para enero. En septiembre, justo cuando Kimwolf se estaba formando, Cloudflare registró que la botnet Aisuru alcanzó un récord. Ataque DDoS de 29,7 terabits por segundo que duró 69 segundos.

En última instancia, los funcionarios atribuyeron aproximadamente 200.000 ataques DDoS a Aisuru, 90.000 a JackSkid, 25.000 a Kimwolf y alrededor de 1.000 comandos de ataque DDoS a la botnet Mossad. Sin embargo, los ataques DDoS de atacantes con motivaciones financieras suelen ser una distracción o una mala dirección.

«A menudo, un ataque DDoS es simplemente publicidad del tamaño de la botnet de un operador», dijo a CyberScoop Zach Edwards, investigador de amenazas de Infoblox. Los operadores de botnet obtienen dinero alquilando estos dispositivos controlados a ciberdelincuentes para abuso de cuentas, ataques de restablecimiento de contraseñas, esquemas de fraude publicitario y nodos proxy residenciales, añadió.

Los dispositivos infectados por las cuatro botnets incluyen grabadoras de vídeo digitales, cámaras web, enrutadores Wi-Fi y decodificadores de TV. Cientos de miles de estos dispositivos se encuentran en Estados Unidos, dijeron los fiscales federales.

Las autoridades no nombraron a las personas involucradas ni anunciaron formalmente ningún arresto. Sin embargo, describen la operación en términos casi concluyentes, afirmando que la acción interrumpió la infraestructura de comunicaciones de las botnets (dominios, servidores virtuales y otros sistemas) para evitar una mayor infección y limitar o eliminar la capacidad de las botnets de lanzar futuros ataques.

«Los ciberdelincuentes se infiltran en la infraestructura más allá de las fronteras físicas y el Servicio de Investigación Criminal de Defensa participa en operaciones internacionales para ayudar a salvaguardar la huella global del Departamento», dijo en un comunicado Kenneth DeChellis, agente especial a cargo de la oficina cibernética DCIS del Departamento de Defensa. Algunos de los ataques DDoS atribuidos a estas botnets alcanzaron direcciones IP propiedad de la Red de Información del Departamento de Defensa.

Las botnets a menudo compiten por dispositivos que infectar y oportunidades de escalar. A medida que Kimwolf se extendió y alcanzó esos objetivos, captó un gran interés por parte de investigadores, autoridades y proveedores capaces de ayudar a detenerlo.

Kimwolf fue la botnet DDoS más grande jamás detectada, según Tom Scholl, vicepresidente de Amazon Web Services, que ayudó en la operación. «La escala de esta botnet es asombrosa», dijo en un publicación en LinkedIn.

«Kimwolf representó un cambio fundamental en la forma en que operan y escalan las botnets», añadió Scholl. «A diferencia de las botnets tradicionales que escanean la Internet abierta en busca de dispositivos vulnerables, Kimwolf aprovechó un nuevo vector de ataque: las redes proxy residenciales».

Según este mecanismo, cualquier organización con dispositivos vulnerables conectados a Internet podría, sin saberlo, convertir esos dispositivos en un nodo para una botnet o un punto de apoyo para un ataque dirigido.

“Esto no es sólo un problema que tiene su primo porque compró una caja de TV barata que le prometía canales de televisión gratuitos”, dijo Edwards. Infoblox dijo anteriormente casi el 25% de los clientes tenía al menos un dispositivo terminal en un servicio de proxy residencial objetivo de Kimwolf.

Si bien es intelectualmente interesante cuando una botnet alcanza un tamaño extraordinario, también es un «triste recordatorio de que muchas veces la seguridad pasa a un segundo plano frente a la conveniencia y el costo», dijo Edwards.

«Las botnets están creciendo porque cada vez más personas compran cosas raras conectadas a Internet», añadió. «Nada en este mundo es gratis».

Los desmantelamientos marcan la continuación de una ofensiva constante y continua contra botnets de gran escala, mercados de delitos cibernéticos, malware, ladrones de información y otras herramientas de delitos cibernéticos. Algunas de las redes maliciosas obstaculizadas o que dejaron de funcionar debido a interrupciones y arrestos durante el año pasado incluyen: DanaBot, Rapper Bot, Lumma Stealer, AVCheck y SocksEscort.

Más de 20 empresas y organizaciones ayudaron con la interrupción coordinada, incluidas las fuerzas del orden de los Países Bajos y Europol. Los esfuerzos para detener las botnets continuarán a medida que estas redes maliciosas proliferen en nuevos lugares y de nuevas maneras.

«Vivimos en un tiovivo de dispositivo comprometido: botnet DDOS y aunque muchos de nosotros deseamos que algo pueda ralentizarlo, los desafíos continúan creciendo», dijo Edwards. «Este sigue siendo un mal día para los actores de amenazas graves, y cualquier día como ese es algo que todos deberíamos celebrar».

Los ejecutivos de las principales empresas de robótica estadounidenses pidieron al Congreso dólares federales, nueva legislación y un campo regulatorio más simple, argumentando que el apoyo es necesario para adaptarse a la era de la IA y competir con sus bien aceitados competidores chinos financiados por el estado.

El sector de la robótica estadounidense, cuyo valor se estima en 50.000 millones de dólares, incluye empresas de fama mundial como Boston Dynamics. Se prevé que la industria venda millones de robots en todo el país durante los próximos cuatro años.

Según un 2025 informe Según la Federación Internacional de Robótica, el mercado ha vendido e instalado una media de 500.000 robots entre 2020 y 2024. Solo China representó el 54% de esas instalaciones, frente a solo el 9% de Estados Unidos.

Matthew Malchano, vicepresidente de software de Boston Dynamics, dijo a los legisladores en la audiencia del subcomité cibernético de Seguridad Nacional de la Cámara de Representantes el martes que la robótica representa la infraestructura física necesaria para respaldar los esfuerzos del país por dominar la carrera global de IA, con robots, drones y otras máquinas que integrarán más completamente los sistemas de IA en los próximos años.

Señaló a empresas chinas como Unitree, que están capturando participación de mercado con departamentos de policía y universidades en todo Estados Unidos, a pesar de tener vínculos con el ejército chino y vulnerabilidades de ciberseguridad. como un exploit para gusanos descubierto en 2025 que permitiría a un atacante apoderarse de flotas de robots Unitree.

Malchano dijo que Unitree es una de las «docenas» de empresas chinas respaldadas por el plan nacional de robótica e inteligencia artificial de China, que «prevé transformar prácticamente todas las industrias importantes de China mediante la integración de robots impulsados ​​por inteligencia artificial» a través de financiación y políticas favorables.

Presionó a los legisladores estadounidenses para que adoptaran una estrategia nacional similar y se mostró perplejo ante la aprobación de la Ley de la Comisión Nacional de Robóticapatrocinado por el representante Jay Olbernolte, republicano por California, que desarrollaría una comisión bipartidista para impulsarlo.

Max Fenkell, jefe global de políticas y relaciones gubernamentales de ScaleAI, dijo que si bien Estados Unidos está ganando la carrera de la IA en las métricas elegidas (calidad del modelo y chips), está «perdiendo» en datos e implementación.

A diferencia de los grandes modelos de lenguaje, que descargan datos de entrenamiento directamente desde Internet, los sistemas de inteligencia artificial para robots requerirán datos de entrenamiento únicos recopilados, categorizados y etiquetados a través de miles de horas de pruebas personalizadas.

Si bien China ha seguido una estrategia de capacitación “industrializada” junto con la industria, financiando tramos de almacenes de kilómetros de largo dedicados a recopilar datos de capacitación para empresas chinas, Estados Unidos no tiene una estrategia similar.

«Estamos viendo dos carreras diferentes y me temo que en este momento Estados Unidos puede estar ganando la carrera equivocada», dijo.

Los ejecutivos en la audiencia fueron unánimes al sugerir que el Congreso impida que las agencias federales estadounidenses compren robots fabricados en China y cree un estándar regulatorio federal único para la industria, mientras que Fenkell y Malchado pidieron que la Agencia de Seguridad de Infraestructura y Ciberseguridad lleve a cabo una revisión de seguridad de los robots fabricados en el extranjero.

En la audiencia, el representante James Walkinshaw, demócrata por Virginia, destacó una larga historia de cooperación bipartidista para ayudar a las empresas estadounidenses a competir contra las empresas chinas subsidiadas por el estado.

«Con una amplia inversión estatal en empresas de tecnología y leyes que reclutan empresas privadas para servir a los intereses del gobierno, la fusión militar-civil de la República Popular China es una grave amenaza para nuestra propia seguridad nacional», dijo Walkinshaw.

Los robots impulsados ​​por IA chocan con la sed de datos de la administración Trump

Mientras los legisladores sopesan cuál es la mejor manera de posicionar a las empresas estadounidenses para competir con China, también deben lidiar con la posibilidad de que los robots impulsados ​​por inteligencia artificial puedan ser pirateados, manipulados o vueltos intencionalmente contra el público.

Los expertos en privacidad y libertades civiles han expresado durante mucho tiempo preocupaciones sobre el uso de robots en áreas como la policía, en ciertos contextos militares y contra ciudadanos estadounidenses.

Las solicitudes de más ayuda de Washington se producen al mismo tiempo que el gobierno de Estados Unidos, incluido el ejército y el Departamento de Seguridad Nacional, se ha vuelto notablemente más agresivo bajo la administración Trump en el seguimiento de datos sobre estadounidenses y el uso de la fuerza contra ciudadanos estadounidenses involucrados en operaciones de inmigración.

Empresas como Boston Dynamics venden sus robots a instalaciones de fabricación, fabricantes de semiconductores, plantas de energía, socorristas y el Servicio Secreto de Estados Unidos. Pero también los venden a los departamentos de policía y al ejército estadounidense, y una primera versión del modelo cuadrúpedo viral «BigDog» de la compañía fue creada a través de la Agencia de Proyectos de Investigación Avanzada de Defensa del Departamento de Defensa.

El año pasado, Inmigración y Control de Aduanas gastado 78.000 dólares por un robot canadiense que podría realizar tareas similares a las de Spot, otro modelo de robot de Boston Dynamics, incluido el despliegue de bombas de humo, según Governing.

El mes pasado, el DHS finalizó un contrato de mil millones de dólares con Palantir para expandir el análisis de datos de IA en todo el departamento para apoyar la aplicación de la ley de inmigración. Sólo la Guardia Costera es invertir 350 millones de dólares en robótica y sistemas autónomos para 2028.

Los demócratas del Congreso actualmente están bloqueando la financiación del DHS por sus políticas de inmigración y recopilación de datos.

Los investigadores de ciberseguridad están llamando la atención sobre una nueva campaña en la que los actores de amenazas están abusando de los dispositivos FortiGate Next-Generation Firewall (NGFW) como puntos de entrada para violar las redes de las víctimas.

La actividad implica la explotación de vulnerabilidades de seguridad recientemente reveladas o credenciales débiles para extraer archivos de configuración que contienen credenciales de cuentas de servicio e información de topología de red, dijo SentinelOne en un informe publicado hoy. El equipo de seguridad dijo que la campaña ha señalado entornos vinculados a la atención médica, el gobierno y los proveedores de servicios administrados.

«Los dispositivos de red FortiGate tienen un acceso considerable a los entornos para los que fueron instalados», afirman los investigadores de seguridad Alex Delamotte, Stephen Bromfield, Mary Braden Murphy y Amey Patne. dicho. «En muchas configuraciones, esto incluye cuentas de servicio que están conectadas a la infraestructura de autenticación, como Active Directory (AD) y el Protocolo ligero de acceso a directorios (LDAP)».

«Esta configuración puede permitir que el dispositivo asigne roles a usuarios específicos al obtener atributos sobre la conexión que se está analizando y correlacionando con la información del Directorio, lo cual es útil en casos donde se establecen políticas basadas en roles o para aumentar la velocidad de respuesta para alertas de seguridad de red detectadas por el dispositivo».

Sin embargo, la empresa de ciberseguridad señaló que dicho acceso podría ser aprovechado por atacantes que irrumpan en dispositivos FortiGate a través de vulnerabilidades conocidas (por ejemplo, CVE-2025-59718, CVE-2025-59719 y CVE-2026-24858) o configuraciones incorrectas.

En un incidente, se dice que los atacantes violaron un dispositivo FortiGate en noviembre de 2025 para crear una nueva cuenta de administrador local llamada «soporte» y la usaron para configurar cuatro nuevas políticas de firewall que permitieron a la cuenta atravesar todas las zonas sin ninguna restricción.

Luego, el actor de la amenaza siguió comprobando periódicamente para asegurarse de que el dispositivo fuera accesible, una acción consistente con un corredor de acceso inicial (IAB) que establecía un punto de apoyo y lo vendía a otros actores criminales para obtener ganancias monetarias. La siguiente fase de la actividad se detectó en febrero de 2026, cuando un atacante probablemente extrajo el archivo de configuración que contenía las credenciales LDAP cifradas de la cuenta de servicio.

«La evidencia demuestra que el atacante se autenticó en AD usando credenciales de texto claro de la cuenta de servicio fortidcagent, lo que sugiere que el atacante descifró el archivo de configuración y extrajo las credenciales de la cuenta de servicio», dijo SentinelOne.

Luego, el atacante aprovechó la cuenta de servicio para autenticarse en el entorno de la víctima e inscribir estaciones de trabajo no autorizadas en el AD, permitiéndoles un acceso más profundo. Después de este paso, se inició el escaneo de la red, momento en el que se detectó la infracción y se detuvo el movimiento lateral adicional.

En otro caso investigado a finales de enero de 2026, los atacantes pasaron rápidamente del acceso al firewall a implementar herramientas de acceso remoto como Pulseway y MeshAgent. Además, el actor de amenazas descargó malware de un depósito de almacenamiento en la nube a través de PowerShell desde la infraestructura de Amazon Web Services (AWS).

El malware Java, lanzado mediante carga lateral de DLL, se utilizó para filtrar el contenido del archivo NTDS.dit y la sección de registro del SISTEMA a un servidor externo («172.67.196[.]232») sobre el puerto 443.

«Si bien es posible que el actor haya intentado descifrar contraseñas a partir de los datos, no se identificó dicho uso de credenciales entre el momento de la recolección de credenciales y la contención del incidente», agregó SentinelOne.

«Los dispositivos NGFW se han vuelto omnipresentes porque brindan sólidas capacidades de monitoreo de red para las organizaciones al integrar controles de seguridad de un firewall con otras características de administración, como AD», agregó. «Sin embargo, estos dispositivos son objetivos de alto valor para actores con una variedad de motivaciones y niveles de habilidad, desde actores alineados con el estado que realizan espionaje hasta ataques con motivación financiera como el ransomware».

Una nueva investigación de Symantec de Broadcom y el equipo Carbon Black Threat Hunter ha descubierto evidencia de un grupo de piratería iraní incrustándose en las redes de varias empresas estadounidenses, incluidos bancos, aeropuertos, organizaciones sin fines de lucro y la rama israelí de una empresa de software.

La actividad se ha atribuido a un grupo de piratería patrocinado por el estado llamado FangosoAgua (también conocido como gusano de semilla). Está afiliado al Ministerio iraní de Inteligencia y Seguridad (MOIS). Se estima que la campaña comenzó a principios de febrero, y se detectó actividad reciente tras los ataques militares estadounidenses e israelíes contra Irán.

«La compañía de software es proveedor de las industrias aeroespacial y de defensa, entre otras, y tiene presencia en Israel, y la operación de la compañía en Israel parece ser el objetivo de esta actividad», dijo el proveedor de seguridad en un informe compartido con The Hacker News.

Se ha descubierto que los ataques dirigidos a la empresa de software, así como a un banco estadounidense y una organización sin fines de lucro canadiense, allanan el camino para una puerta trasera previamente desconocida denominada Dindoor, que aprovecha la Deno Tiempo de ejecución de JavaScript para su ejecución. Broadcom dijo que también identificó un intento de extraer datos de la compañía de software utilizando la utilidad Rclone a un depósito de almacenamiento en la nube de Wasabi. Sin embargo, actualmente no se sabe si el esfuerzo dio sus frutos.

También se encontró en las redes de un aeropuerto de EE. UU. y de una organización sin fines de lucro una puerta trasera de Python separada llamada Fakeset, que se descargó de servidores pertenecientes a Backblaze, una empresa estadounidense de almacenamiento en la nube y copia de seguridad de datos. El certificado digital utilizado para firmar Fakeset también se ha utilizado para firmar el malware Stagecomp y Darkcomp, ambos previamente vinculados a MuddyWater.

«Aunque este malware no se vio en las redes objetivo, el uso de los mismos certificados sugiere que el mismo actor, concretamente Seedworm, estaba detrás de la actividad en las redes de las empresas estadounidenses», dijeron Symantec y Carbon Black.

«Los actores de amenazas iraníes se han vuelto cada vez más competentes en los últimos años. No sólo han mejorado sus herramientas y su malware, sino que también han demostrado sólidas capacidades de ingeniería social, incluidas campañas de phishing y operaciones de ‘trampa de miel’ utilizadas para construir relaciones con objetivos de interés para obtener acceso a cuentas o información confidencial».

Los hallazgos se producen en el contexto de una escalada del conflicto militar en Irán, que ha desencadenado una avalancha de ciberataques en la esfera digital. Una investigación reciente de Check Point ha descubierto que el grupo hacktivista propalestino conocido como Handala Hack (también conocido como Void Manticore) dirige sus operaciones a través de rangos de IP de Starlink para investigar aplicaciones externas en busca de configuraciones erróneas y credenciales débiles.

En los últimos meses, múltiples Adversarios del nexo Iráncomo Agrius (también conocido como Agonizing Serpens, Marshtreader y Pink Sandstorm), también han observado escaneo en busca de cámaras Hikvision vulnerables y soluciones de videoportero utilizando fallas de seguridad conocidas como CVE-2017-7921 y CVE-2023-6895.

Los ataques, según Check Point, se han intensificado a raíz del actual conflicto en Oriente Medio. Los intentos de explotación de cámaras IP han experimentado un aumento en Israel y los países del Golfo, incluidos los Emiratos Árabes Unidos, Qatar, Bahréin y Kuwait, además del Líbano y Chipre. La actividad ha señalado cámaras de Dahua y Hikvision, armando las dos vulnerabilidades antes mencionadas, así como CVE-2021-36260, CVE-2025-34067y CVE-2021-33044.

«En conjunto, estos hallazgos son consistentes con la evaluación de que Irán, como parte de su doctrina, aprovecha el compromiso de la cámara para el apoyo operativo y la evaluación continua de daños de batalla (BDA) para operaciones de misiles, potencialmente en algunos casos antes de los lanzamientos de misiles», dijo la compañía. dicho.

«Como resultado, el seguimiento de la actividad de la cámara dirigida a infraestructuras específicas y atribuidas puede servir como un indicador temprano de una posible actividad cinética de seguimiento».

La guerra de Estados Unidos e Israel con Irán también ha provocado un aviso del Centro Canadiense de Seguridad Cibernética (CCCS), que advertido que Irán probablemente utilice su aparato cibernético para organizar ataques de represalia contra infraestructura crítica y operaciones de información para promover los intereses del régimen.

Algunos otros acontecimientos clave que se han desarrollado en los últimos días se enumeran a continuación:

• agencias de inteligencia israelíes pirateado en la extensa red de cámaras de tráfico de Teherán durante años para monitorear los movimientos de los guardaespaldas del Ayatollah Ali Khamenei y otros altos funcionarios iraníes en el período previo al asesinato del líder supremo la semana pasada, informó el Financial Times. reportado.
• El Cuerpo de la Guardia Revolucionaria Islámica de Irán (CGRI) atacó el centro de datos de Amazon en Bahréin por el apoyo de la compañía a las «actividades militares y de inteligencia del enemigo», informó el medio estatal Fars News Agency. dicho en Telegrama.
• Se dice que se están llevando a cabo campañas activas de limpieza contra los sectores energético, financiero, gubernamental y de servicios públicos de Israel. «El arsenal de limpiaparabrisas de Irán incluye más de 15 familias (ZeroCleare, Meteor, Dustman, DEADWOOD, Apostle, BFG Agonizer, MultiLayer, PartialWasher y otras)», Anomali dicho.
• Los grupos APT patrocinados por el estado iraní como MuddyWater, Charming Kitten, OilRig, Elfin y Fox Kitten «demostraron signos claros de activación y rápida reestructuración, posicionándose para operaciones de represalia en medio de la escalada del conflicto», LevelBlue dichoy agregó que «la cibernética representa una de las herramientas asimétricas más accesibles de Irán para tomar represalias contra los estados del Golfo que condenaron sus ataques y apoyaron las operaciones estadounidenses».
• Según Flashpoint, una campaña cibernética masiva #OpIsrael que involucra a actores prorrusos y proiraníes se ha dirigido a los sistemas de control industrial (ICS) y portales gubernamentales israelíes en Kuwait, Jordania y Bahréin. La campaña está impulsada por NoName057(16), Handala Hack, Fatemiyoun Electronic Team y Cyber ​​Islamic Resistance (también conocido como 313 Team).
• Entre el 28 de febrero de 2026 y el 2 de marzo de 2026, el grupo hacktivista prorruso Z-Pentest se atribuyó la responsabilidad de comprometer varias entidades con sede en Estados Unidos, incluidos sistemas ICS y SCADA y múltiples redes de CCTV. «El momento de estas afirmaciones no verificadas, que coinciden con la Operación Epic Fury, sugiere que Z-Pentest probablemente comenzó a priorizar entidades estadounidenses como objetivos», dijo a The Hacker News Adam Meyers, jefe de Operaciones Contra Adversarios de CrowdStrike.

«La capacidad cibernética ofensiva de Irán ha madurado hasta convertirse en un instrumento duradero de poder estatal utilizado para apoyar la recopilación de inteligencia, la influencia regional y la señalización estratégica durante períodos de tensión geopolítica», UltraViolet Cyber dicho. «Una característica definitoria de la actual doctrina cibernética de Irán es su énfasis en la identidad y los aviones de control de la nube como principal superficie de ataque».

«En lugar de priorizar la explotación de día cero o malware altamente novedoso a escala, los operadores iraníes tienden a centrarse en técnicas de acceso repetibles como el robo de credenciales, la pulverización de contraseñas y la ingeniería social, seguidas de la persistencia a través de servicios empresariales ampliamente implementados».

Se recomienda a las organizaciones que refuercen su postura de ciberseguridad, fortalezcan las capacidades de monitoreo, limiten la exposición a Internet, deshabiliten el acceso remoto a los sistemas de tecnología operativa (OT), apliquen la autenticación multifactor (MFA) resistente al phishing, implementen la segmentación de la red, realicen copias de seguridad fuera de línea y garanticen que todas las aplicaciones conectadas a Internet, puertas de enlace VPN y dispositivos perimetrales estén actualizados.

«Las organizaciones occidentales deben continuar en alerta máxima ante una posible respuesta cibernética a medida que el conflicto continúa y la actividad puede ir más allá del hacktivismo y convertirse en operaciones destructivas», dijo Meyers.

El FBI encontró pruebas de que sus redes habían sido objeto de un presunto incidente de ciberseguridad, confirmó la oficina el jueves, sin compartir más detalles.

«El FBI identificó y abordó actividades sospechosas en las redes del FBI y hemos aprovechado todas las capacidades técnicas para responder», dijo la agencia en un comunicado. «No tenemos nada adicional que ofrecer».

cnn y CBS informó que la actividad sospechosa tuvo como objetivo un sistema digital que el FBI utiliza para gestionar y realizar vigilancia, incluido el trabajo relacionado con órdenes de vigilancia extranjeras, escuchas telefónicas y registros de bolígrafos, que se utilizan para rastrear datos telefónicos y informáticos, como direcciones IP y números de teléfono marcados.

En 2024 se supo que el grupo de piratería chino Salt Typhoon había explotado el sistema de escuchas telefónicas de EE. UU. en virtud de la Ley de Asistencia en Comunicaciones para el Cumplimiento de la Ley en la que confían las agencias de inteligencia y las fuerzas del orden, pero CNN informó que no estaba claro si había una conexión entre el 2024 y los incidentes sospechosos recientes.

Tampoco estaba claro cuándo ocurrió el incidente ni quién fue el responsable.

El FBI, como prácticamente todas las agencias federales, no es ajeno a ser atacado o infiltrado por piratas informáticos.

En 2023el FBI dijo que había aislado y contenido una intrusión cibernética en su oficina local de Nueva York. En 2021, los piratas informáticos aprovecharon un servidor del FBI mal configurado para enviar correos electrónicos falsos, aunque la oficina dijo que sus propios sistemas no se vieron afectados.

El Congreso, exagentes y otros han expresado su preocupación por las capacidades cibernéticas del FBI entre los recortes presupuestarios y la pérdida de personal bajo la segunda administración Trump. Brett Leatherman, líder de la división cibernética de la oficina, dijo recientemente a CyberScoop que no ha sufrido ninguna disminución en su capacidad para responder a amenazas e incidentes.

Al actor de amenazas norcoreano conocido como ScarCruft se le ha atribuido un nuevo conjunto de herramientas, incluida una puerta trasera que utiliza Zoho WorkDrive para comunicaciones de comando y control (C2) para recuperar más cargas útiles y un implante que utiliza medios extraíbles para transmitir comandos y violar redes aisladas.

La campaña, cuyo nombre en clave Jersey rubí de Zscaler ThreatLabz, implica la implementación de familias de malware, como RESTLEAF, SNAKEDROPPER, THUMBSBD, VIRUSTASK, FOOTWINE y BLUELIGHT para facilitar la vigilancia en el sistema de la víctima. Fue descubierto por la empresa de ciberseguridad en diciembre de 2025.

«En la campaña Ruby Jumper, cuando una víctima abre un archivo LNK malicioso, lanza un comando de PowerShell y escanea el directorio actual para ubicarse según el tamaño del archivo», dijo el investigador de seguridad Seongsu Park. dicho. «Luego, el script de PowerShell iniciado por el archivo LNK crea múltiples cargas útiles incrustadas a partir de compensaciones fijas dentro de ese LNK, incluido un documento señuelo, una carga útil ejecutable, un script de PowerShell adicional y un archivo por lotes».

Uno de los documentos señuelo utilizados en la campaña muestra un artículo sobre el conflicto palestino-israelí traducido de un periódico norcoreano al árabe.

Las tres cargas útiles restantes se utilizan para pasar progresivamente el ataque a la siguiente etapa, con el script por lotes iniciando PowerShell, que, a su vez, es responsable de cargar el código shell que contiene la carga útil después de descifrarla. La carga útil ejecutable de Windows, denominada RESTLEAF, se genera en la memoria y utiliza Zoho WorkDrive para C2, lo que marca la primera vez que el actor de amenazas abusa del servicio de almacenamiento en la nube en sus campañas de ataque.

Una vez que se autentica exitosamente con la infraestructura de Zoho WorkDrive mediante un token de acceso válido, RESTLEAF descarga el código shell, que luego se ejecuta mediante inyección de proceso, lo que eventualmente conduce a la implementación de SNAKEDROPPER, que instala el tiempo de ejecución de Ruby, configura la persistencia usando una tarea programada y elimina THUMBSBD y VIRUSTASK.

THUMBSBD, que está disfrazado de archivo Ruby y utiliza medios extraíbles para transmitir comandos y transferir datos entre sistemas conectados a Internet y aislados. Es capaz de recopilar información del sistema, descargar una carga útil secundaria desde un servidor remoto, filtrar archivos y ejecutar comandos arbitrarios. Si se detecta la presencia de algún medio extraíble, el malware crea una carpeta oculta y la utiliza para preparar comandos emitidos por el operador o almacenar resultados de ejecución.

Una de las cargas útiles entregadas por THUMBSBD es FOOTWINE, una carga útil cifrada con un lanzador de código shell integrado que viene equipado con capacidades de registro de teclas y captura de audio y video para realizar vigilancia. Se comunica con un servidor C2 mediante un protocolo binario personalizado a través de TCP. El conjunto completo de comandos admitidos por el malware es el siguiente:

• smpara shell de comandos interactivo
• fmpara manipulación de archivos y directorios
• GMpara gestionar complementos y configuración
• habitaciónpara modificar el Registro de Windows
• p.mpara enumerar procesos en ejecución
• DMpara tomar capturas de pantalla y capturar pulsaciones de teclas
• centímetropara realizar vigilancia de audio y vídeo
• Dakota del Surpara recibir el contenido del script por lotes desde el servidor C2, guardarlo en el archivo %TEMP%\SSMMHH_DDMMYYYY.bat y ejecutarlo
• pxmpara configurar una conexión proxy y retransmitir el tráfico bidireccionalmente.
• [filepath]para cargar una DLL determinada

THUMBSBD también está diseñado para distribuir BLUELIGHT, una puerta trasera previamente atribuida a ScarCruft desde al menos 2021. El malware utiliza como arma a proveedores legítimos de la nube, incluidos Google Drive, Microsoft OneDrive, pCloud y BackBlaze, para que C2 ejecute comandos arbitrarios, enumere el sistema de archivos, descargue cargas útiles adicionales, cargue archivos y se elimine.

También entregado como un archivo Ruby, VIRUSTASK funciona de manera similar a THUMBSBD en el sentido de que actúa como un componente de propagación de medios extraíbles para propagar el malware a sistemas aislados no infectados. «A diferencia de THUMBSBD, que se encarga de la ejecución de comandos y la exfiltración, VIRUSTASK se centra exclusivamente en convertir en armas medios extraíbles para lograr acceso inicial a sistemas con espacios de aire», explicó Park.

«La campaña Ruby Jumper implica una cadena de infección de múltiples etapas que comienza con un archivo LNK malicioso y utiliza servicios de nube legítimos (como Zoho WorkDrive, Google Drive, Microsoft OneDrive, etc.) para implementar un entorno de ejecución Ruby novedoso y autónomo», dijo Park. «Lo más importante es que THUMBSBD y VIRUSTASK utilizan medios extraíbles como armas para evitar el aislamiento de la red e infectar sistemas aislados».

Los ciberataques llegaron a las víctimas más rápido y provinieron de una gama más amplia de grupos de amenazas que nunca el año pasado, dijo CrowdStrike en su informe anual de amenazas globales publicado el martes, y agrega que los ciberdelincuentes y los estados-nación dependen cada vez más de tácticas predecibles para evadir la detección mediante la explotación de sistemas confiables.

El tiempo medio de ruptura (el tiempo que tardaron los atacantes con motivación financiera en pasar de la intrusión inicial a otros sistemas de red) se redujo a 29 minutos en 2025, un aumento del 65% en la velocidad con respecto al año anterior. «El tiempo de fuga más rápido hace un año fue de 51 segundos. Este año es de 27 segundos», dijo a CyberScoop Adam Meyers, jefe de operaciones de contraataque en CrowdStrike.

Los defensores se están quedando atrás porque los atacantes están perfeccionando sus técnicas, utilizando ingeniería social para acceder más rápido a sistemas con altos privilegios y moverse a través de la infraestructura de nube de las víctimas sin ser detectados.

«Los actores de amenazas están explotando esas brechas entre dominios para obtener acceso a los entornos, por lo que se están metiendo entre las costuras de la nube, la identidad, la empresa y los dispositivos de red no administrados», dijo Meyers.

Partiendo de una posición ya de por sí desventajosa, agravada por ataques más rápidos y técnicas de supervivencia, los defensores enfrentan agotamiento, estrés y otros factores que pueden conducir a errores, añadió.

Las innumerables fuentes de estos problemas también se están extendiendo.

CrowdStrike rastreó 281 grupos de amenazas a finales de 2025, incluidas 24 nuevas amenazas que nombró a lo largo del año. Los investigadores de la empresa de ciberseguridad también están rastreando 150 grupos activos de actividades maliciosas y grupos de amenazas emergentes.

Los ciberdelincuentes que buscan un pago y los estados nacionales que cometen espionaje o implantan puntos de apoyo en infraestructuras críticas para un acceso prolongado están aprovechando cada vez más las debilidades de seguridad en los entornos basados ​​en la nube para irrumpir en las redes de las víctimas.

Estos ataques centrados en la nube han experimentado un aumento interanual del 37%, con un aumento del 266% en esta actividad por parte de grupos de amenazas de estados-nación.

La gran mayoría de los ataques detectados el año pasado, el 82%, estaban libres de malware, lo que pone de relieve el cambio duradero de los atacantes hacia operaciones prácticas con el teclado y el abuso de herramientas y credenciales legítimas, afirmó CrowdStrike en el informe. Según CrowdStrike, más de 1 de cada 3 casos de respuesta a incidentes que involucraron intrusiones en la nube el año pasado estuvieron vinculados a una credencial válida o abusada que otorgó acceso a los atacantes.

Los ataques originados o patrocinados por Corea del Norte aumentaron un 130% el año pasado, mientras que los incidentes relacionados con China aumentaron un 38% durante el mismo período.

Los grupos de amenazas chinos lograron acceso inmediato al sistema con dos tercios de las vulnerabilidades que explotaron el año pasado, y el 40% de esas vulnerabilidades se dirigieron a dispositivos periféricos.

Los exploits de día cero (especialmente defectos en dispositivos periféricos como firewalls, enrutadores y redes privadas virtuales) permitieron que grupos de amenazas de cibercrimen y estados-nación ingresaran a los sistemas, ejecutaran códigos y escalaran privilegios sin ser detectados.

CrowdStrike dijo que observó un aumento interanual del 42% en la cantidad de vulnerabilidades de día cero explotadas antes de su divulgación pública el año pasado.

Meyers dijo que espera que ese número crezca aún más, prediciendo una explosión de actividad de atacantes que utilizan inteligencia artificial para encontrar y explotar vulnerabilidades de día cero en varios productos durante los próximos tres a nueve meses.

El informe anual sobre amenazas globales de CrowdStrike está lleno de cifras que van en la dirección equivocada, pero el hallazgo más preocupante para Meyers se reduce a la velocidad de los atacantes.

«La velocidad a la que estamos viendo acelerar estos tiempos de fuga es uno de los marcadores», dijo, y agregó que es sólo cuestión de tiempo antes de que los ataques más rápidos bajen a segundos, si no milisegundos.