• La unidad Unit 42 de Palo Alto Networks detalló tres formas de explotar las claves de acceso de Google
• Los ataques requieren una infección previa por malware; los métodos iban desde suplantar la identidad de las víctimas hasta robar el secreto maestro que protege las claves de acceso sincronizadas
• Google implementó soluciones tras la divulgación, y algunos servicios (por ejemplo, eBay) corrigieron las vulnerabilidades directamente

Investigadores de seguridad de la Unidad 42 de Palo Alto Networks han descubierto tres formas de aprovechar el sistema de claves de acceso de Google y acceder a cuentas protegidas con PIN o datos biométricos.

A estas formas las han denominado «Pass-ta-key», «Silver Pass-ta-key» y «Golden Pass-ta-key», y cada una es progresivamente más peligrosa que la anterior.

Aunque suena muy peligroso, existen importantes salvedades con respecto a esta vulnerabilidad, y algunas de las brechas ya han sido subsanadas.

Confiar en el dispositivo equivocado

La principal salvedad es que el dispositivo de la víctima debe estar infectado con malware de antemano. El malware puede hacer todo tipo de cosas, desde robar cookies de sesión hasta extraer datos confidenciales, por lo que si un dispositivo está infectado con malware, ya está en problemas.

Aun así, los hallazgos de Unit 42 fueron lo suficientemente importantes como para que Google lanzara una solución.

En la primera técnica, los atacantes se hacen pasar por la víctima. Mediante el uso de malware, pueden “pedirle” a Google que inicie sesión en una cuenta protegida con clave de acceso como si fuera la propia víctima. Por lo general, el servicio en el que se inicia sesión requeriría un PIN o una huella digital para confirmar la autenticidad de la solicitud, pero en este caso no fue así.

Sin embargo, el método no funciona en todas partes. Unit 42 no pudo replicar el ataque en GitHub, pero sí lo logró en eBay. Este último corrigió el problema posteriormente.

En el segundo ataque, Unit 42 logró que Google «confiar» en el dispositivo del actor malicioso, lo que significa que ya no era necesario el computadora de la víctima.

En el tercer ataque, los investigadores lograron robar la «clave maestra».

Google Password Manager sincroniza las claves de acceso entre dispositivos y, para ello, utiliza un secreto maestro que protege todas las claves sincronizadas. Los investigadores descubrieron que, bajo ciertas circunstancias, el malware puede obtener este secreto maestro mientras Chrome lo está utilizando temporalmente, desbloqueando así todas las claves sincronizadas, copiándolas a otra computadora y pudiendo utilizarlas más adelante.

Los investigadores compartieron sus hallazgos con Google antes de su publicación, y ya se habían implementado algunas correcciones. Google aún no se ha pronunciado al respecto ni ha confirmado que se hayan solucionado todas las fallas.

A través de BleepingComputer

• Investigadores de Jamf descubren "CrashStealer", un programa de robo de información para macOS certificado por notario que se disfraza como CrashReporter de Apple
• Distribuido a través de un sitio falso llamado "Werkbit Setup", elude Gatekeeper e instala un LaunchAgent
• Luego utiliza una solicitud de contraseña falsa para desbloquear el Llavero, sustrayendo credenciales, cookies, archivos y datos de 80 carteras de criptomonedas y 14 administradores de contraseñas

Los expertos han advertido que se ha detectado en la red un nuevo programa de robo de información para macOS que se hace pasar por una herramienta de Apple para reportar fallos.

Denominado CrashStealer, este programa de robo de información escrito en C++ fue diseñado para robar credenciales de inicio de sesión, información del llavero, así como datos relacionados con más de 80 carteras de criptomonedas.

Los investigadores de ciberseguridad de Jamf publicaron un informe detallado sobre el malware, en el que señalan que es muy probable que CrashStealer se distribuya a través de un sitio web de software falso que se registró recientemente.

Desbloqueando el Llavero

Las víctimas que llegan al sitio (ya sea a través de una recomendación en redes sociales o de los resultados de un motor de búsqueda) deben conocer el código PIN antes de iniciar la descarga. Es muy probable que esto se haya hecho para evitar el escrutinio de los analistas, así como para aumentar la credibilidad percibida y dar una sensación de exclusividad.

Por lo general, las aplicaciones descargadas de fuentes de terceros son escaneadas por Gatekeeper, el sistema de seguridad integrado de Apple. Sin embargo, Jamf indica que esta carga útil se entrega a través de un instalador firmado y certificado por Apple, y se distribuye como una imagen de disco llamada «Werkbit Setup», lo que le permitió eludir Gatekeeper sin generar ninguna advertencia.

Quienes descarguen y ejecuten el programa obtendrán un binario llamado «CrashReporter.app», que creará un LaunchAgent («com.apple.crashreporter.helper») y mostrará un mensaje falso solicitando la contraseña de macOS.

Esa solicitud desbloquea el Llavero del usuario, donde se almacenan la mayoría de sus datos confidenciales (contraseñas, claves criptográficas privadas y más), y luego extrae toda la información hacia un servidor de terceros.

Además de los datos del Llavero, el malware CrashReporter también extrae credenciales y cookies de la mayoría de los navegadores, datos de 80 extensiones de carteras de criptomonedas, 14 administradores de contraseñas, archivos almacenados localmente y más.

Jamf señaló que CrashReporter se superpone, en cierta medida, con otros ladrones de información conocidos (como AMOS, por ejemplo), pero sigue siendo lo suficientemente único debido a su mecanismo de cifrado del lado del cliente, así como a su implementación nativa en C++.

• Microsoft está habilitando automáticamente las funciones de seguridad para los usuarios empresariales.
• Las actualizaciones incluyen el bloqueo de URL maliciosas y la detección de phishing.
• Los usuarios que prefieran desactivarlas pueden hacerlo en Configuración.

Microsoft está reforzando su postura de seguridad para las empresas y, a partir del 12 de enero de 2026, Microsoft Teams habilitará automáticamente funciones de seguridad críticas para la mensajería, con el objetivo de proteger a los usuarios que dependen exclusivamente de configuraciones de seguridad estándar.

La nueva actualización administrativa forma parte de la iniciativa de Microsoft para fomentar una cultura de «seguridad por defecto», proteger a las organizaciones, reducir la superficie de ataque y elevar el nivel en todos los ámbitos.

«Estamos mejorando la seguridad de la mensajería en Microsoft Teams habilitando protecciones de seguridad clave por defecto», informó Microsoft a los administradores en una actualización del centro de mensajes de Microsoft 365. «Esta actualización ayuda a proteger a los usuarios de contenidos maliciosos y ofrece opciones para informar de detecciones incorrectas».

Seguro por defecto

La actualización supondrá cambios para todos los usuarios que tengan la configuración de seguridad predeterminada para los mensajes, con tres protecciones que se activarán automáticamente.

La primera de ellas es la «Protección contra tipos de archivos utilizables como armas», una función que bloquea los mensajes que contienen tipos de archivos peligrosos o URL maliciosas en los canales y chats de Teams, especialmente aquellos que son vectores de alto riesgo para la ejecución de malware.

Otra mejora en la seguridad es la detección de URL maliciosas para el análisis en tiempo real de enlaces con el fin de señalar sitios y dominios sospechosos, lo que supone una protección adicional contra los ataques de phishing. La llegada de la inteligencia artificial ha provocado un enorme aumento de la frecuencia y la gravedad de los ataques de phishing, por lo que las protecciones adicionales tratarán de mitigarlos.

La última función añadida es un mecanismo de retroalimentación que informa de las detecciones de seguridad incorrectas, animando a los usuarios finales a detallar los falsos positivos para que Microsoft pueda calibrar los algoritmos de detección de amenazas.

Los administradores que prefieran mantener las medidas de seguridad más básicas deben revisar la configuración antes del 12 de enero, lo que pueden hacer accediendo al centro de administración de Teams y, a continuación, a Mensajería > Configuración de mensajería > Seguridad de la mensajería.

A través de: BleepingComputer

• La vulnerabilidad CVE-2025-21042 permitía la ejecución remota de código en varios dispositivos Samsung Galaxy.
• Los atacantes utilizaron WhatsApp para distribuir el spyware LandFall a través de archivos de imagen malformados.
• Las víctimas eran personas de Oriente Medio; se sospecha que el grupo Stealth Falcon está detrás de la campaña.

Varias series de dispositivos Samsung Galaxy eran vulnerables a un fallo que permitía a los atacantes ejecutar código malicioso de forma remota, según han advertido los expertos.

Para empeorar las cosas, los investigadores afirman que el fallo se utilizó como un zero-day para atacar a determinadas personas en Oriente Medio con spyware y programas de robo de información.

El error, identificado como CVE-2025-21042 con un índice de gravedad de 9,8/10 (crítico), se describe como una vulnerabilidad de escritura fuera de límites, encontrada en libimagecodec.quram.so antes de la versión SMR Apr-2025 Release 1. Libimagecodec.quram.so es un archivo de biblioteca compartida que forma parte del marco de procesamiento de imágenes de los dispositivos Android de Samsung.

Robar archivos y grabar audio

Según los investigadores de seguridad de la Unidad 42 de Palo Alto Network, el error fue utilizado por una entidad maliciosa para desplegar el spyware «LandFall».

El ataque consiste en colocar un archivo de imagen sin procesar .DNG malformado, con un archivo .ZIP adjunto al final del archivo. El vector de ataque parece haber sido WhatsApp, a través del cual se compartió el archivo.

Después de ser desplegado y ejecutado, LandFall toma las huellas digitales del dispositivo en el que se encuentra y analiza todas las aplicaciones instaladas.

Sus principales capacidades incluyen la grabación a través del micrófono, la grabación de llamadas, el rastreo de la ubicación, el acceso a los contactos, los mensajes SMS, los registros de llamadas, los archivos y las fotos, y el acceso al historial del navegador. También es bastante capaz de evitar ser detectado y mantener la persistencia en los dispositivos comprometidos.

Se dice que varios teléfonos de la serie Galaxy son vulnerables: S22, S23 y S24, así como Z Fold 4 y Z Flip 4. Al parecer, los dispositivos insignia más recientes de Samsung son seguros.

Las víctimas parecen estar ubicadas en Irak, Irán, Turquía y Marruecos, mientras que los atacantes son muy probablemente un grupo llamado Stealth Falcon, ubicado en los Emiratos Árabes Unidos (EAU). Los investigadores llegaron a esta conclusión tras analizar la infraestructura C2 de LandFall. Palo Alto insta a los usuarios de Samsung a mantener sus dispositivos actualizados y a prestar atención a los mensajes entrantes, especialmente a aquellos que contengan archivos adjuntos de cualquier tipo.

A trav[es de BleepingComputer

• Meta revela que ha encontrado una vulnerabilidad en WhatsApp para Windows
• Afecta a todas las versiones anteriores y permite a los hackers engañar a la gente para que ejecute archivos .exe
• El fallo permite a los delincuentes mostrar archivos .exe como fotos inofensivas en el chat

¡Buenas noticias! Meta anunció que corrigió una vulnerabilidad en WhatsApp para Windows que permitía a hackers suplantar archivos ejecutables como imágenes.

En un aviso de seguridad publicado en Facebook, la empresa afirma haber solucionado un problema de suplantación de identidad en WhatsApp para Windows, anterior a la versión 2.2450.6.

El fallo «mostraba los archivos adjuntos según su tipo MIME, pero seleccionaba el gestor de apertura de archivos basándose en la extensión del nombre del archivo adjunto», explicó Meta.

Sin abusos en la naturaleza

"Un desajuste malicioso podría haber causado que el destinatario ejecutara inadvertidamente código arbitrario en lugar de ver el archivo adjunto al abrirlo manualmente dentro de WhatsApp", según CyberInsider. Este desajuste es un "método clásico" de explotación basado en ingeniería social, ya que permite a los actores de amenazas enviar archivos que parecen inofensivos, pero que en realidad son maliciosos. "Si una víctima hace doble clic en el archivo adjunto dentro de WhatsApp, el ejecutable subyacente podría ejecutarse, comprometiendo el sistema del usuario", escribió la publicación.

Meta explicó que todas las versiones anteriores del software eran vulnerables, recomendando que los usuarios apliquen el parche de inmediato.

Por otro lado, el equipo de Cybernews señala que actualmente no hay evidencia de que la vulnerabilidad esté siendo explotada en el mundo real. Sin embargo, como suele suceder con estas cosas, tan pronto como se da a conocer una vulnerabilidad, los ciberdelincuentes comienzan a buscar puntos finales vulnerables.

Hoy en día, la mayoría de los ciberataques comienzan con ingeniería social. Un mensaje de phishing, acompañado de un archivo adjunto malicioso, puede enviarse por correo electrónico o a través de una plataforma de mensajería instantánea como WhatsApp. Esto puede engañar a la víctima para que tome una decisión impulsiva y ejecute el archivo adjunto sin pensarlo primero.

Las direcciones de correo electrónico se filtran con mucha más frecuencia que los números de teléfono, lo que hace que los ataques a través de WhatsApp sean un poco menos probables. Sin embargo, muchas organizaciones también recogen esta información y la almacenan en bases de datos mal configuradas y sin protección por contraseña, las cuales a menudo son recogidas por actores maliciosos y vendidas en la dark web.

Adam Pilton, consultor senior de ciberseguridad en CyberSmart, destacó que esta es una vulnerabilidad peligrosa, ya que muchas personas son parte de diferentes grupos de WhatsApp donde se comparten imágenes todo el tiempo. Esto presenta una gran oportunidad para los criminales y un riesgo mayor para los usuarios:

"Es realmente importante resaltar que esta vulnerabilidad de WhatsApp afecta a los usuarios de escritorio de Windows. La mayoría de las personas estarán en un grupo de WhatsApp donde es común que se compartan imágenes, y ahí es donde esta vulnerabilidad se vuelve peligrosa, porque si un ciberdelincuente pudiera compartir esta imagen ya sea en tu grupo o con alguien en quien confías, quien luego la comparte en tu grupo, cualquiera en ese grupo podría ejecutar inadvertidamente el código malicioso asociado con la imagen compartida", dijo.

"Sin embargo, es bueno ver que la solución está a la mano y es fácil de lograr, y esa es aplicar una actualización a WhatsApp."

Via Cybernews

También puedes leer...

• Cómo usar WhatsApp en el escritorio (PC)
• Cómo imprimir desde WhatsApp

• Investigadores de McAfee descubren un "cóctel" de malware oculto tras falsas aplicaciones de DeepSeek
• La campaña se aprovecha de personas que buscan la herramienta de IA generativa
• Infostealers, mineros de criptomonedas, y más, se están desplegando de esta manera

¡Atención! Los investigadores de McAfee Labs afirman que el revuelo en torno a DeepSeek es la próxima gran amenaza que los ciberdelincuentes están explotando con sus estafas.

El equipo ha descrito cómo los ciberdelincuentes crearon varios sitios web, ofreciendo diferentes versiones de DeepSeek para su descarga. Las víctimas llegaban a estos sitios web a través de los motores de búsqueda, lo que significa que en la campaña también estaba implicado cierto envenenamiento SEO.

Cuando llegan a los sitios web y descargan el software, las víctimas se infectan con un "cóctel de malware", que va desde keyloggers y ladrones de contraseñas hasta mineros de monedas. Estas variantes de malware pueden robar información confidencial (incluidas credenciales bancarias e información de monederos de criptomonedas) y pueden obligar al ordenador infectado a minar criptomonedas, inutilizándolo para prácticamente cualquier otra cosa.

CAPTCHA falsa

Mientras que en algunos sitios web se invita a las víctimas a descargar una aplicación o programa de DeepSeek, en otros el problema está en el CAPTCHA.

En algunos casos observados por McAfee, las víctimas visitan un sitio web con un CAPTCHA que puede «resolverse» copiando y pegando un comando en el programa Ejecutar de Windows. Este comando simplemente descarga y ejecuta un dropper de malware.

Para mantenerse a salvo, debe estar alerta en todo momento. En lugar de «googlear» algo, visite directamente el sitio web y, si no conoce la dirección, escudriñe todos los enlaces que le devuelva el motor de búsqueda.

Además, un CAPTCHA real nunca te pedirá que pegues un comando en el programa Ejecutar.

Los hackers son conocidos por aprovechar las tendencias actuales para distribuir malware. Se observaron campañas similares cuando se lanzó por primera vez Chat-GPT, tanto para Windows como para Android.

En el pasado se ha abusado de grandes acontecimientos, como el Black Friday y el Cyber Monday, los Juegos Olímpicos, el Mundial de Fútbol y otros. La fuga de Covid-19, la guerra ruso-ucraniana y las elecciones presidenciales estadounidenses sirvieron de plataformas para el robo de información, la distribución de malware y el fraude electrónico.

También puedes leer...

• "La era de la robótica generalista ya está aquí": el último modelo de inteligencia artificial GROOT de Nvidia nos acerca un paso más a los robots totalmente humanoides
• La Inteligencia Artificial: El futuro de la gestión de las redes sociales

¿Sabían que los ciberdelincuentes están operando páginas de Facebook con millones de suscriptores, a través de los cuales promocionan herramientas de IA Generativa? Así como lo leen.

Sin embargo, un informe de Bitdefender afirma que estas herramientas son en realidad falsas, y están promocionando infostealers y otros programas maliciosos que generan enormes bases de datos de datos confidenciales, que luego se venden en la web oscura para obtener beneficios.

Los investigadores de la empresa descubrieron una página de Facebook con más de un millón de suscriptores, que difundía el infostealer Rilide a los visitantes de la página. Según Bitdefender, los hackers primero encontraron una página vulnerable y se hicieron con ella, después la renombraron como Midjourney (una herramienta de IA generativa para la creación de imágenes) y la promocionaron agresivamente en la plataforma a través de publicidad de pago. En el momento en que fueron descubiertos, acumulaban aproximadamente 1,2 millones de suscriptores, y su página fue cerrada.

Dirigido a los europeos

Paralelamente a la página de Facebook, los estafadores también crearon un sitio web que imita a Midjourney, y que ofrecía la herramienta para su descarga. Es importante señalar que las herramientas de IA generativa, como Midjourney, DALL-E o ChatGPT, no tienen una versión independiente y descargable. Todas ellas están simplemente disponibles en línea, por lo que cualquier aplicación descargable que afirme ser una herramienta genAI es probablemente malware.

Aun así, el sitio web y el contenido descargable se promocionaron en la página de Facebook. Los usuarios que caían en la trampa y descargaban el programa, acababan obteniendo el infostealer Rilide v4, que se hacía pasar por una extensión de Google Translate para el navegador web.

La mayoría de las víctimas eran hombres, de entre 25 y 55 años, residentes en Europa. La mayoría de las víctimas residen en Alemania, Polonia, Italia, Francia, Bélgica, España, Países Bajos, Rumanía o Suecia.

Aunque en este ejemplo los atacantes se hicieron pasar por Midjourney, no es la única herramienta de IA generativa de cuya imagen se está abusando para distribuir malware. ChatGPT, SORA y DALL-E, entre otras, también están siendo utilizadas. 

Facebook retiró la página maliciosa, pero siguen apareciendo otras nuevas cada día, advierten los investigadores. Se recomienda a los usuarios que se informen bien sobre estas herramientas, ya que les ayudarán a evitar estas estafas.

Más de TechRadar Pro

1. NordVPN lanza su propia eSIM para ayudarte a mantenerte seguro en el extranjero
2. Telecom District revela CTX, la nueva forma de conectividad cloud en México

Un peligroso malware de espionaje, que antes sólo se utilizaba contra dispositivos Windows, se observa cada vez más también en máquinas Linux, según han advertido los expertos.

Tras informes anteriores de ESET y Trend Micro, Kaspersky advierte ahora del troyano de acceso remoto (RAT) Dinodas, lo que indica la creciente popularidad del malware. 

Kaspersky afirma que la puerta trasera es "totalmente funcional, otorgando al operador un control total sobre la máquina infectada, permitiendo la exfiltración de datos y el espionaje". DinodasRAT está diseñado para vigilar, controlar y robar datos de los terminales objetivo. Además de robar datos, puede ejecutar procesos, crear un shell remoto para la ejecución directa de comandos o archivos, actualizarse, desinstalarse y borrar todo rastro de su existencia.

XDealer y DinodasRAT

Viejos reportes indican que DinodasRAT es una versión para Linux de un conocido RAT para Windows apodado XDealer. A principios de marzo, Trend Micro observó que el grupo APT chino conocido como "Earth Krahang" utilizaba XDealer contra sistemas Windows y Linux pertenecientes a "gobiernos de todo el mundo".

Los investigadores no detallaron cómo los atacantes consiguieron colocar el malware en los terminales objetivo, pero sí destacaron que, desde octubre de 2023, los objetivos se encontraban principalmente en China, Taiwán, Turquía y Uzbekistán.

Hoy en día, muchas naciones-estado se dedican a la guerra cibernética, interrumpiendo operaciones y robando datos sensibles de sus adversarios. Además de China, hay amenazas notables procedentes de Corea del Norte (Lazarus Group, por ejemplo), Rusia (Fancy Bear), Irán (Scarred Manticore) y otros. 

Con la guerra que asola Ucrania, China mirando a Taiwán, Israel enfrentado a Hamás, así como otros posibles puntos calientes (los problemas de la migración tanto en Europa como en Estados Unidos, las elecciones presidenciales estadounidenses), no es de extrañar que no pase un día sin que haya noticias de grupos de piratas informáticos patrocinados por el Estado que se dedican al ciberespionaje.

La creciente popularidad de DinodasRAT sólo demuestra el uso cada vez mayor de dispositivos con Linux en organismos gubernamentales de todo el mundo.

Via BleepingComputer

Más de TechRadar Pro

• NordVPN lanza su propia eSIM para ayudarte a mantenerte seguro en el extranjero
• Mach 1, el nuevo chip de Samsung con IA, que busca competir contra Nvidia

Las organizaciones actuales están sometidas a un panorama de amenazas en constante cambio y evolución. En esta "nueva normalidad", aplicar estrategias convencionales a retos como el ransomware ya no es suficiente. Es vital que los equipos de TI, los equipos de seguridad y los miembros de la junta directiva sepan dónde centrar sus esfuerzos de seguridad y resistencia empresarial para que puedan anticiparse, resistir y recuperarse de los ciberataques modernos.

A medida que nos acercamos al último trimestre de 2023, echamos un vistazo a las tres principales tendencias de amenazas de ciberseguridad que los profesionales de la seguridad deben prepararse para repeler.

1. Técnicas "Living Off the Land" (LOL)

Los ataques silenciosos que permanecen ocultos durante largos periodos de tiempo suponen un riesgo único para los negocios. Los hackers actuales utilizan mucho menos malware. En su lugar, utilizan el sistema operativo contra sí mismo aprovechando herramientas legítimas nativas como binarios firmados (LOLBins), scripts (LOLScripts) y bibliotecas para camuflar la actividad maliciosa, pasar desapercibidos y eludir incluso las defensas de seguridad más avanzadas.

A diferencia de los ataques tradicionales que aprovechan el malware, los ataques LOL utilizan utilidades nativas del sistema operativo que son necesarias para ejecutar el sistema operativo y ayudar a las operaciones de TI. Intrínsecamente, no son maliciosos. Por eso, aunque las herramientas convencionales registran las actividades de LOL en cada endpoint, no alertan sobre ellas. Por ejemplo, Cmd.exe, el intérprete de línea de comandos predeterminado de Windows, puede utilizarse para eludir contramedidas defensivas o para ocultarse como mecanismo de persistencia. 

Esto crea un difícil dilema para la seguridad. ¿Cómo pueden alertar cuando se utilizan herramientas legítimas, tal y como están diseñadas, pero por motivos nefastos? ¿Es siquiera posible alertar sobre la intención? Los LOLBins se están convirtiendo en la técnica preferida porque pasan desapercibidos. Se trata de un método utilizado por el grupo Volt Typhoon para vigilar los servicios públicos de agua y electricidad que abastecen a instalaciones militares en Estados Unidos y en el extranjero.

Las herramientas de seguridad tradicionales recogen pruebas de malicia en la red y en el punto final. Constituyen una capa crítica de defensa que detecta archivos y actividades maliciosos, pero no están diseñadas para detectar las técnicas furtivas, como los LOLBins, utilizadas por el grupo Volt Typhoon. Para defender los datos frente a este tipo de ataques, las organizaciones tendrán que dar un paso adelante en sus defensas, introduciendo señuelos realistas que engañen a los malos actores para que se involucren con estos recursos falsos y expongan sus técnicas; un movimiento que, a su vez, alerte a los equipos de seguridad de la organización de una posible amenaza al acecho.

2. Inteligencia Artificial (IA)

Los hackers actuales utilizan herramientas avanzadas como la IA y el aprendizaje automático para automatizar y coordinar los ataques y aumentar su eficacia. También están utilizando la IA para comprender las defensas que las organizaciones han puesto en marcha para evitar que los atacantes penetren en sus entornos. Los ciberdelincuentes ya no están limitados por la necesidad de producir manualmente sus campañas de amenazas, sino que utilizan herramientas de IA generativa fácilmente disponibles, como ChatGPT, y las ajustan para satisfacer sus necesidades, ya sea creando contenido de phishing altamente personalizado a escala o generando malware de pulsación de teclas y código de malware básico adaptado para "descifrar" específicamente las credenciales y algoritmos de un sistema objetivo.

Según un informe reciente, los expertos en ciberseguridad de las grandes empresas afirman que la IA generativa ya ha impulsado un aumento significativo de los ataques. Para combatir el creciente volumen, las organizaciones tendrán que hacer uso de la IA defensiva y el aprendizaje automático que hace posible: automatizar la detección y corrección de los sistemas no conformes; aplicar parches, configuración y actualizaciones automatizadas para los activos de software; y manejar actividades tradicionalmente intensivas en mano de obra, como la gestión de identidad y acceso (IAM) y la presentación de informes. En otras palabras, utilizar la IA para impulsar el cumplimiento con una arquitectura reforzada de confianza cero y hacer frente a las amenazas de frente con visibilidad en tiempo real y alertas tempranas que respalden una postura de defensa proactiva.

3. Ransomware como servicio

El ransomware plantea una de las mayores amenazas para las empresas de cualquier tamaño, en todos los sectores de la industria. Grupos altamente organizados han desarrollado sofisticados modelos de suscripción y distribución de Ransomware-as-a-Service (RaaS) que facilitan a los actores de amenazas, con poca o ninguna experiencia, componer un ataque de última generación compuesto por las técnicas más modernas a lo largo del ciclo de vida del ataque.

Especializados en elementos específicos del proceso de ataque, los actuales operadores de RaaS ofrecen kits que incluyen desde portales de pago y "servicios de asistencia" para las víctimas hasta una selección de variantes de ransomware (como LockBit, Revil y Dharma). Otros actúan como intermediarios de acceso especializados en el descubrimiento. Los afiliados que compran o alquilan estos kits RaaS son entonces libres de reunir todos estos elementos para ejecutar un ataque de ransomware, pagando una cuota o compartiendo una parte de sus beneficios.

La aparición del modelo de negocio RaaS significa que la frecuencia y sofisticación de los ataques de ransomware está aumentando. Teniendo esto en cuenta, las organizaciones tendrán que redoblar sus actividades de ciberseguridad. Ya sea reforzando las estrategias de gestión de vulnerabilidades e implementando herramientas de ciberdetección de alerta temprana o desplegando la reparación automatizada y la copia de seguridad y recuperación de datos en entornos de producción, para asegurarse de que pueden recuperarse rápidamente tras un ataque.

Adoptar una mentalidad de resistencia

La proliferación de amenazas cibernéticas nuevas y emergentes significa que las organizaciones tendrán que romper los silos entre la seguridad y las operaciones de TI y cambiar su forma de pensar hacia una estrategia de resiliencia colaborativa y una infraestructura de TI que luche contra los ciberataques. Se trata de una responsabilidad compartida que incluye segmentación, redundancia, engaño, conciencia contextual, restricción de privilegios y mucho más.

Entendiendo que la probabilidad de un ciberataque es un caso de "cuándo", no de "si", tendrán que iniciar capacidades de detección temprana y asegurarse de que están proactivamente atentos a las amenazas, para poder responder rápidamente a los ataques e incidentes de seguridad. La vuelta a la normalidad de las operaciones tras un incidente de seguridad debe ser ahora una de las principales ambiciones en materia de seguridad, por lo que es imprescindible contar con unos procedimientos de recuperación de datos sólidos como una roca.

La Alianza para la Prevención de Malware de Minecraft ( MMPA ) ha advertido a los jugadores de Minecraft sobre una nueva vulnerabilidad que puede permitir a los ciberdelincuentes ejecutar un código remoto y plantar malware en los dispositivos de las víctimas.

Afortunadamente, a pesar de ser explotado activamente, es un ataque familiar entre la comunidad de Java y, como tal, los desarrolladores ya están bien informados cuando se trata de emitir una solución.

No tan afortunadamente, sin embargo, en el caso de este ataque, fue la escala. Según MMPA, "un mal actor escaneó todos los servidores de Minecraft en el espacio de direcciones IPv4". Después de esto, el grupo considera que es posible que se haya implementado una carga maliciosa en todos los servidores afectados.

El malware de Minecraft está muy avanzado

El exploit, denominado 'BleedingPipe', permite la ejecución remota completa de código en clientes y servidores que ejecutan algunas modificaciones de Minecraft en al menos las versiones 1.7.10/1.12.2 de Forge.

Entre algunos de los mods afectados conocidos se encuentran EnderCore, LogisticsPipes y BDLib, que se han corregido para las versiones de GT New Horizons. Otros incluyen Smart Moving 1.12, Brazier, DankNull y Gadomancy.

A pesar de ser una vulnerabilidad altamente explotada, MMPA dice que hasta ahora no ha habido instancias de esta escala en Minecraft.

El grupo dice: "No sabemos cuál era el contenido del exploit o si se usó para explotar a otros clientes, aunque esto es muy posible con el exploit".

Se insta a los administradores del servidor a verificar periódicamente si hay archivos sospechosos, así como a aplicar actualizaciones y parches de seguridad tan pronto como estén disponibles para proteger a los jugadores. Los jugadores también pueden buscar archivos sospechosos, y se recomiendan tanto jSus como jNeedle como herramientas de escaneo.

En términos más generales, siempre es una buena práctica mantener un software de protección de punto final efectivo en las máquinas de los consumidores y estar preparado.

Según los reportes, existe la posibilidad de que los delincuentes cibernéticos puedan desbloquear dispositivos móviles específicos de forma remota, sin la necesidad de instalar software malicioso específico en el dispositivo objetivo.

Los expertos de NordVPN han descrito el proceso, el cual implica enviar señales electromagnéticas al dispositivo y utilizarlas para simular diversos gestos, como deslizar, tocar, entre otros.

El esquema, denominado GhostTouch, fue descubierto por académicos de la Universidad de Zhejiang (China) y la Universidad Técnica de Darmstadt (Alemania).

GhostTouch

Mediante la técnica llamada GhostTouch, los atacantes tendrían la capacidad de desbloquear un teléfono y utilizarlo para acceder a información sensible, como contraseñas o aplicaciones bancarias. Además, podrían instalar malware en el dispositivo, según lo señalado por los investigadores. Sin embargo, es importante destacar que los atacantes necesitarían estar relativamente cerca de la víctima para llevar a cabo el ataque. Los investigadores consideran que esto no representa un gran obstáculo, dada la forma habitual en que las personas se comportan en entornos públicos.

"Desgraciadamente, los lugares más habituales para el pirateo de pantallas táctiles son lugares públicos como bibliotecas, cafeterías o vestíbulos de conferencias, donde la gente coloca sus smartphones boca abajo sobre la mesa. Los atacantes preparan el equipo bajo la mesa con antelación y lanzan el ataque a distancia. El usuario puede incluso no darse cuenta de que su aparato ha sido pirateado", afirma Adrianus Warmenhoven, experto en ciberseguridad de NordVPN.

Según NordVPN, se ha determinado que el ataque puede funcionar a una distancia de hasta "40 mm". Los atacantes podrían colocar el hardware necesario debajo de una mesa y utilizarlo para acceder al dispositivo objetivo. Una vez establecida la conexión, la distancia entre los hackers y el teléfono móvil ya no es relevante. Hasta el momento, se ha confirmado que nueve modelos de smartphones son vulnerables a esta falla, incluyendo el iPhone SE (2020), Samsung Galaxy S20 FE 5G, Redmi 8 y Nokia 7.2.

Sin embargo, el hackeo no es precisamente sutil, ya que los usuarios verían el teléfono funcionando por sí solo. Al parecer, no es tan raro, con NordVPN diciendo que más de 209 millones de resultados emergen cuando se trata de buscar la frase "teléfono se desbloquea solo" en Google. Aunque no todos estos resultados pueden atribuirse a GhostTouch, algunos sí.

La mejor forma de protegerse contra GhostTouch es asegurarse de que el smartphone cuenta con un mecanismo de seguridad, ya sea un código PIN, un patrón de deslizamiento o biometría.

Samsung acaba de lanzar una nueva herramienta de seguridad que tiene como objetivo proteger a los usuarios de sus teléfonos inteligentes de los ataques de clic cero : aquellos que no requieren la intervención de la víctima.

En un post en su blog oficial, anunciaron la nueva función. Samsung señaló que este tipo de ataques se descubrieron previamente en el ecosistema de Apple, cuando los actores de amenazas lograron comprometer un punto final simplemente enviando una imagen por SMS. 

La compañía lo llamó Message Guard y actualmente está disponible en dispositivos Galaxy S23, para Samsung Messages y Messages by Google.

Message Guard de Samsung

Los exploits zero-click son la última amenaza en una era de aumento de la ciberdelincuencia dirigida a los datos de los usuarios. Uno de cada tres consumidores de todo el mundo ha sido víctima de una filtración de datos en la que sus datos personales han sido comprometidos. Las filtraciones de datos son cada vez más comunes, con tasas que se triplicaron con creces entre 2013 y 2021, asegura Samsung en su blog. 

Si bien actualmente no hay evidencia de que tales ataques se perpetren en dispositivos Android, Samsung cree que lo mejor es un ataque preventivo.

Al explicar cómo funciona la función, Samsung describió Message Guard como un "sandbox" avanzado o una especie de cuarentena virtual.

"Cuando llega un archivo de imagen, queda atrapado y aislado del resto del dispositivo. Esto evita que un código malicioso acceda a los archivos de tu teléfono o interactúe con tu sistema operativo. Samsung Message Guard comprueba el archivo bit a bit y lo procesa en un entorno controlado para garantizar que no pueda infectar el resto del dispositivo.

En pocas palabras, Samsung Message Guard neutraliza automáticamente cualquier amenaza potencial oculta en archivos de imagen antes de que tengan la oportunidad de hacerle daño. Además, se ejecuta de forma silenciosa prácticamente invisible en segundo plano y no necesita ser activado por el usuario. Así que donde antes podías estar en peligro sin hacer nada, ahora estás protegido de los exploits zero-click sin mover un dedo.

Samsung Message Guard es sólo la última solución de seguridad con visión de futuro de Samsung. Por otra parte, los dispositivos Samsung Galaxy ya ofrecen protecciones de seguridad y privacidad líderes del sector en otras áreas, gracias al galardonado Samsung Knox. Esto proporciona protección de extremo a extremo en todas las capas de hardware y software, así como detección de amenazas en tiempo real.", asegura Samsung en su blog.