Los hackers ya no están derribando la puerta a patadas. Simplemente utilizan las mismas herramientas que utilizamos todos los días (paquetes de código, cuentas en la nube, correo electrónico, chat, teléfonos y socios «de confianza») y se ponen en nuestra contra.

Una mala descarga puede filtrar tus claves. Un proveedor débil puede exponer a muchos clientes a la vez. Una invitación de un invitado, un enlace en un teléfono, un error en una herramienta común y, de repente, el correo, los chats, los repositorios y los servidores entran en juego.

Cada historia que aparece a continuación es un recordatorio de que tus herramientas «seguras» pueden ser el verdadero punto débil.

⚡ Amenaza de la semana

Shai-Hulud regresa con más agresividad — El registro npm era dirigido un segunda vez por un gusano autorreplicante que se hacía llamar «Sha1-Hulud: The Second Coming» y afectaba a más de 800 paquetes y 27 000 repositorios de GitHub. Al igual que en la iteración anterior, el objetivo principal consistía en robar datos confidenciales, como claves de API, credenciales de nube e información de autenticación de npm y GitHub, y facilitar un compromiso más profundo de la cadena de suministro de forma similar a la de un gusano. El malware también creó flujos de trabajo de GitHub Actions que permiten el comando y el control (C2) e inyectó mecanismos de flujo de trabajo de GitHub Actions para robar los secretos de los repositorios. Además, el malware con puerta trasera todos los paquetes npm mantenidos por la víctima, volviéndolos a publicar con cargas maliciosas que se ejecutan durante la instalación del paquete. «En lugar de confiar únicamente en Node.js, que es objeto de una supervisión más intensa, el malware instala Bun de forma dinámica durante la instalación del paquete, lo que se beneficia de su arquitectura autónoma y de alto rendimiento para ejecutar grandes cargas de forma sigilosa», dijo Endor Labs dijo . «Es probable que este cambio ayude al malware a evadir las defensas tradicionales diseñadas específicamente para observar el comportamiento de Node.js». El análisis de GitGuardian revelada un total de 294.842 ocurrencias secretas, que corresponden a 33.185 secretos únicos. De estos, 3.760 eran válidos el 27 de noviembre de 2025. Entre ellos se encontraban los tokens de acceso de GitHub, las URL de webhooks de Slack, los tokens de OAuth de GitHub, las claves de IAM de AWS, las claves de API de OpenAI Project, los tokens de bots de Slack, las claves de API de Claude, las claves de API de Google y los tokens de GitLab. Trigger.dev, que hizo que uno de sus ingenieros instalara un paquete comprometido en su máquina de desarrollo, dijo el incidente provocó el robo de credenciales y el acceso no autorizado a su organización GitHub. El repositorio del índice de paquetes de Python (PyPI) dijo no se vio afectado por el incidente de la cadena de suministro.

Securing Privileged Access

[Informe] Asegurar el acceso privilegiado: la clave de la defensa empresarial moderna

La PAM local ya no es suficiente. El 55% de los líderes de TI afirman que la PAM nativa de la nube ahora es esencial. Los equipos modernos exigen un almacenamiento seguro de credenciales, una integración perfecta y visibilidad en tiempo real en todas partes. Descargue el informe PAM de Keeper para obtener información clave de 4000 líderes de TI y seguridad.

Descargar el informe ➝

🔔 Noticias principales

  • ToddyCat roba correos electrónicos de Outlook y tokens de acceso de Microsoft 365 — Los atacantes que están detrás del kit de herramientas de amenazas persistentes avanzadas (APT) de ToddyCat han evolucionado para robar datos de correo de Outlook y tokens de Microsoft 365 Access. El grupo APT perfeccionó su conjunto de herramientas a finales de 2024 y principios de 2025 para capturar no solo las credenciales del navegador, como se ha visto anteriormente, sino también los archivos de correo electrónico y los tokens de acceso reales de las víctimas. Esta actividad marca el segundo cambio importante en las herramientas de ToddyCat este año, después de una campaña de abril de 2025 en la que el grupo aprovechó una vulnerabilidad del escáner de seguridad de ESET para lanzar un malware previamente indocumentado con el nombre en código TCESB.
  • El ataque de Qilin rompe con MSP para hackear docenas de firmas financieras — El sector financiero de Corea del Sur ha sido blanco de lo que se ha descrito como un sofisticado ataque a la cadena de suministro que llevó al despliegue del ransomware Qilin. «Esta operación combinó las capacidades de Qilin, un importante grupo de ransomware como servicio (RaaS), con la posible participación de actores afiliados al estado norcoreano (Moonstone Sleet), aprovechando el compromiso de los proveedores de servicios gestionados (MSP) como vector de acceso inicial», afirma Bitdefender. Korean Leaks se llevó a cabo en tres oleadas de publicaciones, lo que provocó el robo de más de 1 millón de archivos y 2 TB de datos de 28 víctimas. Para llevar a cabo estos ataques, la filial de Qilin habría accedido a un único proveedor de servicios gestionados (MSP) en fase inicial, aprovechando el acceso para comprometer a varias víctimas a la vez.
  • La CISA advierte sobre las campañas de spyware que utilizan spyware y RAT — La Agencia de Seguridad de Infraestructura y Ciberseguridad de los Estados Unidos (CISA) emitió una alerta en la que advertía que los delincuentes utilizaban activamente el spyware comercial y los troyanos de acceso remoto (RAT) para atacar a los usuarios de las aplicaciones de mensajería móvil. Según la agencia, los ciberactores utilizan técnicas de ingeniería social para distribuir software espía y obtener acceso no autorizado a la aplicación de mensajería de la víctima, lo que facilita el despliegue de cargas maliciosas adicionales que pueden comprometer aún más el dispositivo móvil de la víctima. La actividad se centra en personas de alto valor, principalmente funcionarios gubernamentales, militares y políticos de alto rango actuales y anteriores, junto con organizaciones de la sociedad civil y personas de los Estados Unidos, Oriente Medio y Europa.
  • El ataque aprovecha la falla de WSUS para implementar ShadowPad — Actores de amenazas desconocidos aprovecharon una falla de seguridad recientemente corregida en Microsoft Windows Server Update Services (CVE-2025-59287) para distribuir el malware conocido como ShadowPad. Se ha descubierto que los atacantes utilizan como arma la vulnerabilidad para lanzar utilidades de Windows como "curl.exe" y "certutil.exe» y contactar con un servidor externo («149.28.78 [.] 189:42306 «) para descargar e instalar ShadowPad. No está claro quién está detrás del ataque, pero ShadowPad es un malware que se vende de forma privada y que es ampliamente difundido por grupos de hackers chinos.
  • Un punto ciego en el acceso de invitados de Microsoft Teams — Los investigadores de ciberseguridad arrojan luz sobre una «brecha arquitectónica fundamental» que permite a los atacantes eludir las protecciones de Microsoft Defender para Office 365 mediante la función de acceso de invitados en Teams. El problema es, en esencia, que cuando los usuarios actúan como invitados en otro inquilino, sus protecciones vienen determinadas exclusivamente por ese entorno de alojamiento, no por su organización local. Microsoft comenzó a implementar el acceso de invitados el mes pasado. «Estos avances aumentan las oportunidades de colaboración, pero también amplían la responsabilidad de garantizar que esos entornos externos sean confiables y estén debidamente protegidos», afirmó Ontinue.

‎️ 🔥 CVs de tendencia

Los hackers actúan rápido. Pueden detectar nuevos errores en cuestión de horas. La falta de una actualización puede provocar una violación grave. Estas son las fallas de seguridad más graves de esta semana. Revíselos, corrija primero lo que sea importante y manténgase protegido.

La lista de esta semana incluye: CVE-2025-12972, CVE-2025-12970, CVE-2025-12978, CVE-2025-12977, CVE-2025-12969 (Bit fluido), CVE-2025-13207, CVE-2024-24481 (Tienda), CVE-2025-62164 (VllM), CVE-2025-12816 (Forja), CVE-2025-59373 (ASUS mi ASUS), CVE-2025-59366 (enrutadores ASUS) CVE-2025-65998 (Síncope de Apache), CVE-2025-13357 (proveedor de HashiCorp Vault Terraform), CVE-2025-33183, CVE-2025-33184 (NVIDIA Isaac-GR00t), CVE-2025-33187 (NVIDIA DGX Spark), CVE-2025-12571, CVE-2024-9183 (GitLab CE/EE), CVE-2025-66035 (Angular HttpClient) y un vulnerabilidad DoS no autenticada en Next.js (sin CVE).

📰 En todo el mundo cibernético

  • Polonia detiene a un ciudadano ruso por hackeo — Autoridades polacas detenido un ciudadano ruso sospechoso de hackear los sistemas informáticos de empresas locales, lo que constituye el último caso que Varsovia ha vinculado a los esfuerzos de sabotaje y espionaje de Moscú. Al parecer, el sospechoso irrumpió en los sistemas de un minorista en línea sin autorización y manipuló sus bases de datos para interrumpir potencialmente las operaciones. No se ha revelado la identidad del sospechoso.
  • FCC insta a las emisoras a garantizar la seguridad de las redes — La Comisión Federal de Comunicaciones (FCC) de los Estados Unidos ha instado a las emisoras a garantizar la seguridad de sus redes y sistemas de transmisión en respuesta a una reciente serie de ciberataques que llevaron a la transmisión de materiales obscenos y al uso indebido de la señal de atención (señal de atención) del Sistema de Alerta de Emergencia (EAS). «Parece que estos hackeos recientes se debieron a un enlace entre estudio y transmisor (STL) comprometido (el equipo de transmisión que lleva el contenido del programa desde el estudio a los transmisores remotos), y los actores de amenazas suelen acceder a equipos Barix mal protegidos y reconfigurarlos para recibir audio controlado por los atacantes en lugar de programar la emisora», dijo la FCC dijo . «Las estaciones afectadas transmiten al público una transmisión de audio insertada por un atacante que incluye una señal de atención real o simulada y tonos de alerta del EAS, así como lenguaje obsceno y otro material inapropiado».
  • Detallada la falla de Firefox WebAssembly — AISLE publicó detalles técnicos sobre la CVE-2025-13016 (puntuación CVSS: 7,5), una vulnerabilidad de alta gravedad en el motor WebAssembly de Firefox que podría provocar la ejecución remota de código. «Una sola línea de código de plantilla, que combinaba los punteros uint8_t* y uint16_t* en una operación std: :copy, creó una vulnerabilidad de corrupción de memoria que podía permitir a los atacantes ejecutar código arbitrario», dijo el investigador de seguridad Stanislav Fort dijo . El código vulnerable se introdujo en el navegador en abril de 2025, pero pasó desapercibido hasta octubre. Fue parcheado en Firefox 145.
  • Una nueva operación cierra Cryptomixer — Europol, junto con autoridades de Suiza y Alemania, cerró un servicio híbrido de mezcla de criptomonedas conocido como Cryptomixer, sospechoso de facilitar la ciberdelincuencia y el lavado de dinero. La operación tuvo lugar entre el 24 y el 28 de noviembre de 2025. El esfuerzo también generó más de 12 terabytes de datos y más de 25 millones de euros (29,05 millones de dólares) en Bitcoin. Desde su creación en 2016, se estima que el servicio ha recaudado más de 1.300 millones de euros en bitcoins. «Facilitó la ocultación de fondos delictivos para los grupos de ransomware, los foros de economía clandestina y los mercados de la dark web», dijo Europol dijo . «Su software bloqueaba la trazabilidad de los fondos en la cadena de bloques, lo que la convertía en la plataforma preferida de los ciberdelincuentes que buscan blanquear los ingresos ilegales de una variedad de actividades delictivas, como el tráfico de drogas, el tráfico de armas, los ataques de ransomware y el fraude con tarjetas de pago». La noticia se produjo cuando agentes de policía holandeses apoderado 250 servidores se vincularon a un proveedor de alojamiento a prueba de balas anónimo el 12 de noviembre de 2025.
  • Corea del Sur sentenció a un hombre a un año de prisión por comprar herramientas de hackeo de Corea del Norte — Un hombre de negocios de 39 años, conocido como Sr. Oh, fue condenado a un año de prisión por contactar repetidamente con un hacker norcoreano llamado Eric a través del mensajero QQ y por comprar programas de hackeo para neutralizar el software de seguridad destinado a operar servidores privados ilegales para Lineage, The Chosun Daily reportó .
  • Una empresa de inteligencia artificial detecta una campaña de fraude — La plataforma de codificación de agencias basada en inteligencia artificial (IA) Factory dijo que interrumpió una operación cibernética altamente automatizada al abusar de sus niveles gratuitos para automatizar los ciberataques utilizando su agente de desarrollo Droid AI. «El objetivo de este ataque era aprovechar la informática libre a gran escala, encadenando el uso gratuito de varios productos de inteligencia artificial y revendiendo ese acceso y utilizándolo para enmascarar una amplia gama de actividades, incluida la ciberdelincuencia», dijeron desde la empresa dijo . «La infraestructura permitía la creación automatizada de cuentas y organizaciones en varios proveedores, el canje de las pruebas y promociones tan pronto como estuvieran disponibles, la verificación del estado y la rotación de claves cuando un proveedor prohibía o limitaba una clave, y la lógica de enrutamiento que podía desviar el tráfico de Droid momento a momento a medida que nuestras defensas se endurecían». El ataque fue llevado a cabo por una gran operación con base en China, añadió, y afirmó que había al menos un actor vinculado al estado involucrado.
  • Un juego falso de Battlefield 6 utilizado para entregar ladrones y agentes C2 — Los actores de amenazas son capitalizando sobre la popularidad del juego Battlefield 6 de Electronic Arts para distribuir versiones pirateadas, instaladores de juegos y entrenadores de juegos falsos en sitios web de torrents que utilizan ladrones y agentes C2. Una de las cargas, una vez ejecutada, roba las credenciales de Discord, el monedero de criptomonedas y las cookies de Chrome, Edge, Firefox, Opera, Brave, Vivaldi y Wave Browser. Otro malware robador, que se distribuye como «Battlefield 6.gog-InsaneramZes», incorpora funciones evasivas que detienen la ejecución si descubre que se ejecuta en un entorno aislado o en un ordenador que se geolocaliza en Rusia o en países de la Comunidad de Estados Independientes (CEI).
  • Los actores de amenazas de los estados nacionales comienzan a colaborar — La cooperación dentro de los ecosistemas nacionales patrocinados por los estados se ha vuelto cada vez más común, dijo Gen Digital, y se observaron superposiciones en la infraestructura (216.219.87 [.] 41) entre los actores de amenazas norcoreanos, Contagious Interview del Grupo Lazarus y Kimsuky. La empresa de ciberseguridad también afirmó haber identificado una carga útil atribuida al equipo de DoNot que ejecutaba un cargador conocido de SideWinder en un ataque dirigido contra una víctima que se encontraba en Pakistán. Pero en un giro más interesante, una dirección IP que Gamaredon utilizaba anteriormente como C2 fue marcada como C2 porque alojaba una versión confusa de InvisibleFerret, una puerta trasera de Python vinculada a la campaña Contagious Interview. «Si bien la IP podría representar un punto final de proxy o VPN, la proximidad temporal de la actividad de ambos grupos y el patrón de alojamiento compartido indican que es probable que se reutilicen las infraestructuras, con una confianza moderada en cuanto a la colaboración operativa» dijo . «No está claro si Lazarus utilizó un servidor controlado por Gamaredon o si ambos actores compartieron la misma instancia de cliente, pero la superposición es demasiado estrecha como para ignorarla».
  • Anthropic dice que Claude Opus es más fuerte contra las inyecciones rápidas — La empresa de inteligencia artificial Anthropic, que lanzó su modelo de codificación Claude Opus 4.5 la semana pasada, dijo que ha logrado avances sustanciales en cuanto a su solidez contra los ataques de inyección rápida que tienen como objetivo introducir de contrabando instrucciones engañosas para engañar al modelo y hacer que se comporte de manera dañina. «El Opus 4.5 es más difícil de engañar con la inyección rápida que cualquier otro modelo pionero del sector», afirma dijo , superando a Claude Haiku 4.5, OpenAI GPT-5.1 y Google Gemini 3 Pro. Anthropic ha añadido nuevas evaluaciones externas e internas para detectar usos malintencionados y ataques de inyección rápida relacionados con entornos de codificación, uso de ordenadores y navegadores, y ha descubierto que Opus 4.5 ha rechazado el 100% de las 150 solicitudes de codificación maliciosa en una evaluación de codificación por parte de una agencia. Tras comprobar si cumplía con los requisitos de «creación de malware, escritura de código para ataques DDoS destructivos y desarrollo de software de monitorización no consentido», el modelo rechazó alrededor del 78% de las solicitudes. También rechazó algo más del 88% de las solicitudes relacionadas con la vigilancia, la recopilación de datos y la generación y difusión de contenido dañino.
  • Fallos de seguridad en los marcos de fotos Android de Uhale — Se han descubierto múltiples problemas de seguridad críticos y comportamientos inseguros en los marcos digitales de Uhale basados en Android que podrían permitir a los atacantes tomar el control total de los dispositivos, lo que podría provocar infecciones de malware, exfiltración de datos, reclutamiento de botnets, movimiento lateral hacia otros sistemas de la red y otras acciones maliciosas. Según Ryan Johnson, Doug Bennett y Mohamed Elsabagh, investigadores de Quokka, las deficiencias incluir la entrega automática de malware al arrancar algunos dispositivos, las fallas en la ejecución remota de código (RCE) debidas a la falta de seguridad de los administradores de confianza y la ejecución de shell no desinfectada, la escritura arbitraria de archivos debido a transferencias de archivos no autenticadas ni desinfectadas, y los proveedores de archivos configurados incorrectamente, la inyección de SQL y el uso de criptografía débil. De los 17 problemas, a 11 se les han asignado identificadores CVE. La conclusión más preocupante es que la aplicación Uhale (versión 4.2.0) descarga artefactos sospechosos, que luego son ejecutados por un servicio que comparte similitudes entre los prefijos de los paquetes con un malware con el nombre en código Mzmess que suministra Botnet Vo1d . Uhale dijo que la mayoría de las fallas se corrigieron en la versión 4.2.1, y que se planean correcciones adicionales en la versión 5.1.0. El versión actual de la aplicación es 4.33.
  • La Operación South Star aprovecha ZipperDown en los ataques a China — Un ahora parcheado vulnerabilidad conocido como Cremallera hacia abajo se dice que ha sido explotado en la naturaleza por actores del estado-nación en ataques contra dispositivos móviles en China, dijo QianXin. La actividad ha recibido el nombre de Operación South Star. «El atacante envía un correo electrónico con el exploit a la aplicación de correo electrónico móvil del objetivo», dijo . «Cuando la víctima hace clic en el correo electrónico de su teléfono, ZipperDown se activa al instante, desempaquetando un archivo DAT cuidadosamente diseñado y liberando archivos SO y APK maliciosos para sobrescribir los componentes de la aplicación de destino. Los atacantes aprovecharon una vulnerabilidad lógica en el procesamiento de imágenes IMG de una determinada versión de una aplicación de correo electrónico para Android y crearon cuidadosamente un archivo DAT que se ajustara al formato, lo que finalmente provocó que Zipperdown sobrescribiera los archivos de la biblioteca relacionados con la aplicación». El componente malicioso está diseñado para establecer una conexión de shell y ejecutar comandos de segunda etapa. Los casos recientes observados en 2024 y 2025 han aprovechado el archivo SO modificado para actuar como descargador de un archivo APK y cargarlo. El malware, a su vez, contacta con un servidor C2 para buscar nuevos comandos periódicamente y ejecutarlos, lo que le permite recopilar información sobre el dispositivo y los archivos, leer los archivos e iniciar una consola inversa.
  • Los actores de amenazas siguen anunciando LLM maliciosas — Los malos actores han sido observado comercializar modelos maliciosos de lenguaje grande (LLM), como WormGpt 4, KawaiiGPT y Xanthorox, que están diseñados para generar correos electrónicos de suplantación de identidad, escribir malware polimórfico y automatizar el reconocimiento mediante la eliminación expresa de las restricciones éticas y los filtros de seguridad durante su proceso básico de formación o ajuste. Algunas de estas herramientas, como Xanthorox, se anuncian por 2.500 dólares al año. Si bien el código generado por estas herramientas no incorpora funciones muy novedosas y requiere ajustes humanos adicionales para mejorar la eficacia operativa de las tareas delictivas, estos modelos sin restricciones buscan reducir aún más la barrera de entrada para los actores y guionistas menos cualificados, democratizando así la ciberdelincuencia. Como resultado, cualquier persona con acceso a Internet y un conocimiento básico de las instrucciones podía llevar a cabo a gran escala en un corto período de tiempo los ataques que antes requerían cierta experiencia en codificación. «La línea entre una herramienta de investigación benigna y un potente motor de creación de amenazas es peligrosamente delgada», dijo la Unidad 42 de Palo Alto Networks dijo . «Los dos suelen estar separados solo por la intención del desarrollador y la ausencia de barreras éticas». Si bien las salvaguardas integradas en el modelo son la primera línea de defensa contra este tipo de ataques, un enfoque cada vez más común para eludir esas defensas consiste en que los atacantes afirmen que son investigadores de seguridad o que participan en un torneo de captura de la bandera (CTF) y que necesitan el código ofensivo para su ejercicio. Por ejemplo, una nueva investigación de Netskope Threat Labs encontrado que las medidas de seguridad integradas en el GPT-4 de OpenAI se pueden eludir mediante la inyección rápida basada en funciones para generar código malicioso. Basta con decirle a la modelo que asuma la apariencia de un script de automatización de pruebas de penetración centrado en la evasión defensiva para crear un script de Python que pueda insertarse en svchost.exe y terminar todos los procesos relacionados con el antivirus. Además, Microsoft, que está implementando funciones de inteligencia artificial como agencia en Windows 11, reconocido que estas aplicaciones presentan nuevos riesgos de seguridad, como la inyección de mensajes cruzados (XPIA), que pueden provocar la exfiltración de datos o la instalación de malware. A medida que los actores de amenazas recurren cada vez más a la incorporación de este tipo de herramientas, es imperativo que los desarrolladores de modelos básicos implementen técnicas de alineación sólidas y obligatorias, así como pruebas de resistencia contradictorias antes de su publicación pública. «Para abordar los desafíos de seguridad de los agentes de inteligencia artificial es necesario cumplir con un conjunto sólido de principios de seguridad para garantizar que los agentes actúan de acuerdo con las intenciones de los usuarios y protegen su información confidencial», dijo Microsoft dijo .

🎥 Seminarios web sobre ciberseguridad

🔧 Herramientas de ciberseguridad

  • LUMEN — Es un analizador de registro de eventos de Windows basado en un navegador que se ejecuta completamente en su máquina. Permite a los analistas cargar varios archivos EVTX, ejecutar detecciones SIGMA, correlacionar eventos en líneas argumentales, extraer IOC y exportar los hallazgos, todo ello sin que los datos salgan del dispositivo. Diseñado para investigaciones seguras y sin conexión a Internet, admite reglas, paneles y almacenamiento de sesiones locales de SIGMA seleccionados y personalizados para un análisis de registros eficiente y centrado en la privacidad.
  • Agujero en forma de pastilla — Es un sumidero de DNS en toda la red que bloquea los anuncios, los rastreadores y los dominios no deseados antes de que lleguen a sus dispositivos. Instalado en hardware o servidores locales, filtra todo el tráfico de la red sin necesidad de software cliente y proporciona un panel de control y una CLI para la supervisión, las listas de bloqueo personalizadas y el control del DNS.

Descargo de responsabilidad: Estas herramientas son solo para aprender e investigar. Su seguridad no se ha sometido a pruebas exhaustivas. Si se usan de manera incorrecta, pueden causar daño. Compruebe primero el código, pruébelo solo en lugares seguros y siga todas las normas y leyes.

Conclusión

Si hay un tema esta semana, es este: ya nadie es «demasiado pequeño» o «demasiado aburrido» para ser un objetivo. El eslabón débil suele ser algo simple: un paquete que nadie ha comprobado, un proveedor al que nadie ha cuestionado, un token «temporal» que nunca se revoca, una cuenta de invitado de la que nadie es propietario. A los atacantes les encanta este material porque funciona.

Así que no te limites a cerrar esta pestaña y seguir adelante. Elige una cosa de este resumen sobre la que puedas actuar hoy mismo: cambiar un juego de claves, restringir el acceso para un proveedor, revisar las cuentas de los huéspedes, bloquear una ruta de actualización o corregir un error de alto riesgo. Después, compártelo con las personas que pueden solucionar y solucionar problemas contigo. La brecha entre «deberíamos hacer esto» y «realmente lo hicimos» es donde se encuentran la mayoría de las infracciones.

¿Te ha parecido interesante este artículo? Síguenos en Noticias de Google , Twitter y LinkedIn para leer más contenido exclusivo que publicamos.