{"id":1360,"date":"2026-06-30T12:15:25","date_gmt":"2026-06-30T12:15:25","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/30\/los-atacantes-aprovechan-simplehelp-cve-2026-48558-para-implementar-taskweaver-y-djinn-stealer-cyberdefensa-mx\/"},"modified":"2026-06-30T12:15:25","modified_gmt":"2026-06-30T12:15:25","slug":"los-atacantes-aprovechan-simplehelp-cve-2026-48558-para-implementar-taskweaver-y-djinn-stealer-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/30\/los-atacantes-aprovechan-simplehelp-cve-2026-48558-para-implementar-taskweaver-y-djinn-stealer-cyberdefensa-mx\/","title":{"rendered":"Los atacantes aprovechan SimpleHelp CVE-2026-48558 para implementar TaskWeaver y Djinn Stealer \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Se ha observado que un actor de amenazas desconocido explota una falla de seguridad de m\u00e1xima gravedad recientemente revelada en SimpleHelp para entregar dos familias de malware no reportadas anteriormente. <b>Tejedor de tareas <\/b>y <b>Ladr\u00f3n de genios<\/b>.<\/p>\n<p>La intrusi\u00f3n implica la explotaci\u00f3n de <b><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2026-48558\">CVE-2026-48558<\/a><\/b>  (Puntuaci\u00f3n CVSS: 10.0), una vulnerabilidad cr\u00edtica de omisi\u00f3n de autenticaci\u00f3n que afecta el flujo de OpenID Connect (OIDC) y que un atacante no autenticado podr\u00eda aprovechar para obtener una \u00absesi\u00f3n de t\u00e9cnico\u00bb completamente autenticada mediante el env\u00edo de un token falsificado que contiene afirmaciones de identidad arbitrarias.<\/p>\n<p>\u00abTaskWeaver es un cargador Node.js muy ofuscado, entregado como jquery.js y ejecutado a trav\u00e9s de node.exe, que implementa un canal de entrega de carga \u00fatil cifrado y reutilizable en lugar de un conjunto fijo de comandos posteriores a la explotaci\u00f3n\u00bb, Blackpoint Cyber <a href=\"https:\/\/blackpointcyber.com\/blog\/a-djinn-in-the-machine-taskweavers-node-js-intrusion-chain\/\">dicho<\/a> en un an\u00e1lisis. \u00abLa carga \u00fatil observada de la segunda etapa, Djinn Stealer, apunta a sistemas Windows, macOS y Linux\u00bb.<\/p>\n<p>Djinn Stealer est\u00e1 dise\u00f1ado para recopilar credenciales asociadas con plataformas en la nube, control de fuentes, registros de paquetes, herramientas de infraestructura, asistentes de desarrollo de inteligencia artificial, navegadores, SSH y billeteras de criptomonedas.<\/p>\n<p>Los detalles de CVE-2026-48558 surgieron a principios de este mes cuando Horizon3.ai, que descubri\u00f3 la falla, dijo que afecta a servidores configurados para usar OIDC gen\u00e9rico o Azure AD OIDC y que se deriva de la forma en que SimpleHelp valida las afirmaciones de IdP.<\/p>\n<p>\u00abEn muchas implementaciones de SimpleHelp que tienen habilitada la autenticaci\u00f3n de tipo OIDC, un atacante no autenticado puede crear y autenticarse como un nuevo usuario &#8216;T\u00e9cnico&#8217;\u00bb, dijo el investigador de seguridad de Horizon3.ai, Zach Hanley. <a href=\"https:\/\/horizon3.ai\/attack-research\/disclosures\/cve-2026-48558-simplehelp-authentication-bypass-iocs\/\">dicho<\/a>. \u00abEste t\u00e9cnico, de forma predeterminada, puede realizar actividades de administraci\u00f3n privilegiadas, como comunicaci\u00f3n remota a puntos finales administrados, ejecuci\u00f3n de scripts y m\u00e1s\u00bb.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abIncluso cuando el servidor SimpleHelp est\u00e1 configurado para aplicar MFA a los t\u00e9cnicos, este problema permite al atacante evitar este mecanismo porque, en el primer inicio de sesi\u00f3n, los t\u00e9cnicos pueden registrar su propio m\u00e9todo MFA\u00bb.<\/p>\n<p>En la cadena de ataque documentada por Blackpoint Cyber, se dice que la explotaci\u00f3n exitosa de la falla en el software de administraci\u00f3n y monitoreo remoto (RMM) permiti\u00f3 al actor de amenazas obtener una sesi\u00f3n de \u00abt\u00e9cnico\u00bb autenticada en un servidor de acceso p\u00fablico, que luego fue abusado para implementar TaskWeaver y Djinn Stealer.<\/p>\n<p>\u00abLa plataforma RMM comprometida proporcion\u00f3 al operador un canal administrativo confiable capaz de transferir archivos y ejecutar comandos en sistemas administrados a trav\u00e9s del servidor\u00bb, dijeron los investigadores Nevan Beal y Sam Decker.<\/p>\n<p>TaskWeaver es un cargador modular Node.js capaz de tomar huellas digitales del sistema, estableciendo comunicaciones cifradas con un servidor remoto (\u00aba.dev-tunnels[.]com\u00bb) y recuperar y ejecutar cargas \u00fatiles de JavaScript adicionales con acceso elevado al tiempo de ejecuci\u00f3n de Node.js. La etapa final es un ladr\u00f3n de informaci\u00f3n dise\u00f1ado para desviar datos valiosos de hosts Windows, macOS o Linux comprometidos.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEj9a7zmsW3N9F_-L0MaQpg0u-PNv9Aqbkd4mfQk2BZWHTSXDzMrOI55rWZHgIXLxxpD_3odnI0_oIjr396WOSMecYJ5firCYew18bbhcrJtqzJd3Q47oECK_rjB4NQIniOpsVzXZV6XxmacDRsk3wjb2XGbgOiMah84gZz36_VwuCu6gsKCrDfaWm5pJPc1\/s1700-e365\/dropping.jpg\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEj9a7zmsW3N9F_-L0MaQpg0u-PNv9Aqbkd4mfQk2BZWHTSXDzMrOI55rWZHgIXLxxpD_3odnI0_oIjr396WOSMecYJ5firCYew18bbhcrJtqzJd3Q47oECK_rjB4NQIniOpsVzXZV6XxmacDRsk3wjb2XGbgOiMah84gZz36_VwuCu6gsKCrDfaWm5pJPc1\/s1700-e365\/dropping.jpg\" alt=\"\" border=\"0\" data-original-height=\"442\" data-original-width=\"936\"\/><\/a><\/div>\n<p>La amplitud de la informaci\u00f3n a la que apunta el ladr\u00f3n es la siguiente:<\/p>\n<ul>\n<li>Credenciales, historial y marcadores almacenados en navegadores web<\/li>\n<li>Datos de configuraci\u00f3n y autenticaci\u00f3n asociados con AWS, Azure, Google Cloud, Oracle Cloud Infrastructure, Okta, Cloudflare, DigitalOcean, Linode, Heroku, Vercel, Railway, Supabase, Pulumi, Terraform, HashiCorp Vault y Consul.<\/li>\n<li>Datos de la CLI de GitHub<\/li>\n<li>configuraci\u00f3n de git<\/li>\n<li>Claves SSH<\/li>\n<li>autenticaci\u00f3n acoplable<\/li>\n<li>Informaci\u00f3n de registro del tim\u00f3n<\/li>\n<li>Configuraciones de cliente S3 y MinIO<\/li>\n<li>Credenciales de subversi\u00f3n<\/li>\n<li>Credenciales para npm, pnpm, Yarn, NuGet, Cargo, Composer, Maven, Gradle, pip, PyPI, Conda, Bun, Ivy y Scala Build Tool<\/li>\n<li>Datos de configuraci\u00f3n, autenticaci\u00f3n, sesi\u00f3n y proyecto asociados con Anthropic Claude, Google Gemini, OpenAI Codex, Cline, OpenCode y Kilo<\/li>\n<li>Carteras de criptomonedas y almacenes de claves asociados con Bitcoin, Litecoin, Dogecoin, Dash, Ethereum, Monero, Zcash, Exodus, Atomic Wallet y Electrum<\/li>\n<\/ul>\n<p>En los sistemas Linux, el malware tambi\u00e9n intenta leer el archivo \u00ab\/proc\/<pid>\/cmdline\u00bb y \u00ab\/proc\/<pid>\/environ\u00bb archivos virtuales que pueden contener informaci\u00f3n sobre un proceso en ejecuci\u00f3n, como contrase\u00f1as, claves API, tokens de acceso, cadenas de conexi\u00f3n de bases de datos y otros valores confidenciales pasados \u200b\u200ba trav\u00e9s de argumentos de l\u00ednea de comando o variables de entorno.<\/pid><\/pid><\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-threat-report-m\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhFlTC7RrRZGiFAgASS0noWSL0qsQGFVp8-Hvuw9yp3X3VKRuTcb5SsPX09wJzrdIM6pu1_5lS4EeZp7Sx4iYBpNJkrGnpr08yyaS1HQ5_5TxaCsP6O0OtHNuOkesn6CbNjao1GPulCJk-uljYMSfMZfBYNrngpe669t7jlRn1FqiEnXhsFD1WVkpaYIVgh\/s728-e100\/ai-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Una vez recopilada la informaci\u00f3n, se empaqueta en un archivo TAR, se comprime con GZIP, se cifra utilizando una clave AES-256-GCM protegida por una clave p\u00fablica RSA-2048 integrada en TaskWeaver y se extrae a una infraestructura controlada por el atacante (\u00ab96.126.130[.]126:58942\u00bb).<\/p>\n<p>La campa\u00f1a ilustra c\u00f3mo los actores de amenazas persiguen cada vez m\u00e1s plataformas impulsadas por inteligencia artificial (IA) a medida que la tecnolog\u00eda se integra en los flujos de trabajo empresariales, lo que les permite abusar de los privilegios de los asistentes de IA para acceder a datos confidenciales.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEiWGfRY-TdTzmzWCS41pO0-tdIQZQUstJHK_Nzv1MoBE5Cv69siQfTKLWh81p6ioiGHaw8p3h1Bw8rzexTT7yxxX4mWaTO8smDQ7ctgo_ewFUxxSuOo0SLCeDjkRikhgn9YtE2CQKpX24f7IFqb18A__yng2xIDF6ejy0v-LHpu4btX6eVBs_SYykEBxoN4\/s1700-e365\/help.jpg\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEiWGfRY-TdTzmzWCS41pO0-tdIQZQUstJHK_Nzv1MoBE5Cv69siQfTKLWh81p6ioiGHaw8p3h1Bw8rzexTT7yxxX4mWaTO8smDQ7ctgo_ewFUxxSuOo0SLCeDjkRikhgn9YtE2CQKpX24f7IFqb18A__yng2xIDF6ejy0v-LHpu4btX6eVBs_SYykEBxoN4\/s1700-e365\/help.jpg\" alt=\"\" border=\"0\" data-original-height=\"674\" data-original-width=\"870\"\/><\/a><\/div>\n<p>\u00abUna \u00fanica omisi\u00f3n de autenticaci\u00f3n se convirti\u00f3 en un camino hacia todo lo que los sistemas administrados pod\u00edan alcanzar, desde plataformas en la nube y repositorios de c\u00f3digos hasta herramientas de inteligencia artificial, billeteras de criptomonedas e infraestructura de clientes\u00bb, dijeron los investigadores.<\/p>\n<p>\u00abLas credenciales a las que se puede acceder desde una estaci\u00f3n de trabajo de desarrollador o administrador pueden proporcionar acceso a la infraestructura de producci\u00f3n, crear canales, repositorios de c\u00f3digo fuente, plataformas de implementaci\u00f3n, inquilinos de la nube y entornos de clientes mucho despu\u00e9s de que se haya contenido el punto final original\u00bb.<\/p>\n<p>La explotaci\u00f3n activa de CVE-2026-48558 ha llevado a la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) a <a href=\"https:\/\/www.cisa.gov\/news-events\/alerts\/2026\/06\/29\/cisa-adds-one-known-exploited-vulnerability-catalog\">agregar<\/a> a las vulnerabilidades explotadas conocidas (<a href=\"https:\/\/www.cisa.gov\/known-exploited-vulnerabilities-catalog\">KEV<\/a>), que exige que las agencias del Poder Ejecutivo Civil Federal (FCEB) apliquen las correcciones antes del 2 de julio de 2026.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Se ha observado que un actor de amenazas desconocido explota una falla de seguridad de m\u00e1xima gravedad recientemente revelada en SimpleHelp para entregar dos familias de malware no reportadas anteriormente. Tejedor de tareas y Ladr\u00f3n de genios. La intrusi\u00f3n implica la explotaci\u00f3n de CVE-2026-48558 (Puntuaci\u00f3n CVSS: 10.0), una vulnerabilidad cr\u00edtica de omisi\u00f3n de autenticaci\u00f3n que [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[466,151,3417,24,3419,530,52,36,2274,532,3418],"class_list":["post-1360","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-aprovechan","tag-atacantes","tag-cve202648558","tag-cyberdefensa-mx","tag-djinn","tag-implementar","tag-los","tag-para","tag-simplehelp","tag-stealer","tag-taskweaver"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1360","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1360"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1360\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1360"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1360"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1360"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}