Entradas de blog etiquetadas con ' #cyberthreats ' Rss

¿Cuál es la amenaza?

Esta vulnerabilidad es un fallo de autenticación de máxima gravedad en el controlador y administrador Cisco Catalyst SD-WAN que permite a un atacante hacerse pasar por un enrutador de red de confianza y obtener el máximo nivel de acceso administrativo sin credenciales válidas ni conocimiento previo del entorno objetivo.

En las versiones afectadas, una validación incorrecta de la lógica de autenticación en el servicio del plano de control permite que solicitudes no autorizadas accedan a recursos protegidos. Un atacante con acceso a la red de una instancia vulnerable podría potencialmente:

• Omita los controles de autenticación y obtenga acceso administrativo completo a la interfaz del controlador o administrador de SD-WAN.
• Redirigir el tráfico de red, interceptar las comunicaciones o imponer configuraciones maliciosas en toda la infraestructura SD-WAN.
• Consiga influir en cada sucursal, centro de datos y borde de la nube conectado a la red superpuesta gestionada.
• Interrumpir la conectividad de red en toda la organización desde un único punto de acceso comprometido.

¿Por qué es digno de mención?

Esta vulnerabilidad es especialmente crítica porque el controlador SD-WAN gestiona el enrutamiento y las políticas en toda la red superpuesta. Si un atacante lo compromete, obtiene un control total y puede afectar a toda la organización.

Diversos factores agravan esta vulnerabilidad. CVE-2026-20182 tiene una puntuación CVSS máxima de 10.0, lo que evidencia tanto la falta de requisitos de autenticación como el potencial de una vulneración total del sistema. Los atacantes no necesitan credenciales ni conocimiento previo del entorno, lo que facilita su explotación.

La explotación activa ya está en marcha. CISA añadió esta vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV, por sus siglas en inglés) el 14 de mayo de 2026, el mismo día en que Cisco la reveló y la parcheó. Esta coincidencia temporal confirma que los ciberdelincuentes ya la estaban utilizando en ataques reales.

El actor malicioso vinculado a esta actividad, UAT-8616, es altamente capacitado y persistente. Este grupo tiene un historial de explotación de vulnerabilidades de día cero de Cisco, y en ocasiones mantiene campañas durante años antes de ser detectado.

Las tendencias recientes generan mayor preocupación. En un período de tres meses, CISA agregó siete vulnerabilidades de Cisco SD-WAN y firewall al catálogo KEV. Este patrón apunta a ataques sostenidos y dirigidos contra las tecnologías de borde de Cisco.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

PCCOM Mayorista

Lleva tu ciberseguridad al siguiente nivel

www.pccommayorista.com

Contactar ahora

¿Cuál es la amenaza?

Esta vulnerabilidad es un fallo de autenticación de máxima gravedad en el controlador y administrador Cisco Catalyst SD-WAN que permite a un atacante hacerse pasar por un enrutador de red de confianza y obtener el máximo nivel de acceso administrativo sin credenciales válidas ni conocimiento previo del entorno objetivo.

En las versiones afectadas, una validación incorrecta de la lógica de autenticación en el servicio del plano de control permite que solicitudes no autorizadas accedan a recursos protegidos. Un atacante con acceso a la red de una instancia vulnerable podría potencialmente:

• Omita los controles de autenticación y obtenga acceso administrativo completo a la interfaz del controlador o administrador de SD-WAN.
• Redirigir el tráfico de red, interceptar las comunicaciones o imponer configuraciones maliciosas en toda la infraestructura SD-WAN.
• Consiga influir en cada sucursal, centro de datos y borde de la nube conectado a la red superpuesta gestionada.
• Interrumpir la conectividad de red en toda la organización desde un único punto de acceso comprometido.

¿Por qué es digno de mención?

Esta vulnerabilidad es especialmente crítica porque el controlador SD-WAN gestiona el enrutamiento y las políticas en toda la red superpuesta. Si un atacante lo compromete, obtiene un control total y puede afectar a toda la organización.

Diversos factores agravan esta vulnerabilidad. CVE-2026-20182 tiene una puntuación CVSS máxima de 10.0, lo que evidencia tanto la falta de requisitos de autenticación como el potencial de una vulneración total del sistema. Los atacantes no necesitan credenciales ni conocimiento previo del entorno, lo que facilita su explotación.

La explotación activa ya está en marcha. CISA añadió esta vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV, por sus siglas en inglés) el 14 de mayo de 2026, el mismo día en que Cisco la reveló y la parcheó. Esta coincidencia temporal confirma que los ciberdelincuentes ya la estaban utilizando en ataques reales.

El actor malicioso vinculado a esta actividad, UAT-8616, es altamente capacitado y persistente. Este grupo tiene un historial de explotación de vulnerabilidades de día cero de Cisco, y en ocasiones mantiene campañas durante años antes de ser detectado.

Las tendencias recientes generan mayor preocupación. En un período de tres meses, CISA agregó siete vulnerabilidades de Cisco SD-WAN y firewall al catálogo KEV. Este patrón apunta a ataques sostenidos y dirigidos contra las tecnologías de borde de Cisco.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

Contactar ahora

¿Cuál es la amenaza?

Esta vulnerabilidad de desbordamiento de búfer en el portal de autenticación de ID de usuario de PAN-OS permite a un atacante no autenticado ejecutar código arbitrario con privilegios de administrador en firewalls vulnerables de las series PA y VM mediante el envío de paquetes especialmente diseñados. En las intrusiones observadas, los atacantes lograron la ejecución de código inyectando shellcode en un proceso de trabajo de NGINX que gestiona el tráfico del portal. Tras obtener acceso, implementaron utilidades de tunelización de código abierto (por ejemplo, Earthworm y ReverseSocks5), utilizaron credenciales almacenadas en el firewall para realizar reconocimiento de directorios y eliminaron deliberadamente registros y archivos para ocultar pruebas de la explotación.

¿Por qué es digno de mención?

Esta amenaza destaca porque explota una vulnerabilidad de ejecución remota de código de día cero sin autenticación en los firewalls perimetrales, lo que podría otorgar a los atacantes el control total de los sistemas ubicados en el borde de la red, que a menudo cuentan con altos privilegios, visibilidad del tráfico sensible y acceso a la infraestructura de identidad. La actividad observada muestra técnicas de ataque bien organizadas, que incluyen técnicas de aprovechamiento de recursos del sistema, acceso interactivo intermitente, abuso de identidad para el movimiento lateral y manipulación selectiva de registros para evadir la detección. Si bien la explotación actual parece limitada, los entornos que exponen el Portal de Autenticación de ID de Usuario a redes no confiables pueden enfrentar una amplia superficie de ataque, por lo que una mitigación rápida es fundamental.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

PCCOM Mayorista

Lleva tu ciberseguridad al siguiente nivel

www.pccommayorista.com

Contactar ahora

¿cúal es el verdadero problema?

CVE‑2026‑42208 es una vulnerabilidad de inyección SQL previa a la autenticación en la lógica de verificación de claves API del proxy LiteLLM. En las versiones afectadas, los tokens Authorization Bearer mal formados se gestionaban incorrectamente, lo que permitía que la entrada proporcionada por el atacante se pasara directamente a las consultas de la base de datos sin la parametrización adecuada.

Un atacante no autenticado con acceso a la red de un punto final de proxy de LiteLLM podría explotar este problema enviando solicitudes HTTP manipuladas a las rutas de la API de LLM, lo que potencialmente permitiría:

La orquestación de la IA sobre las vulnerabilidades

Esta campaña destaca por razones muy puntuales: 

la exposición y el riesgo

Las organizaciones se enfrentan a un mayor riesgo si:

• Opere instancias de proxy LiteLLM autohospedadas que ejecuten versiones afectadas.
• Exponer los puntos finales de la API de LiteLLM a redes no confiables o accesibles a través de Internet.
• Almacene las claves API del proveedor de LLM de producción en la base de datos LiteLLM.
• Falta de supervisión para solicitudes de API o actividad de base de datos inusuales dirigidas a la infraestructura de IA.

Entre las posibles consecuencias se incluyen el robo de credenciales, el uso no autorizado de IA, cargos financieros inesperados y la vulneración secundaria de sistemas posteriores que dependen de claves API expuestas.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

El lobo que se disfrazó de oveja

Ocultar malware dentro de imágenes no es una técnica nueva. En 2015, el  malware Stegoloader  utilizó estenografía digital para ocultar código malicioso dentro de una imagen PNG. En muchos sentidos, el vector resultó más interesante que impactante, ya que requería que los usuarios descargaran una imagen PNG de un sitio web legítimo. Dado el número relativamente bajo de usuarios que descargan PNG y los esfuerzos de los propietarios de sitios web por proteger el contenido publicado, Stegoloader no causó gran revuelo en el mundo del malware.

Sin embargo, sí ofreció una sólida prueba de concepto. No solo era posible el malware basado en imágenes, sino que el vector era inesperado. Los usuarios estaban ocupados buscando métodos de distribución de malware más comunes, como archivos adjuntos de correo electrónico infectados o enlaces de phishing. Las imágenes no figuraban en esa lista, lo que las convertía en una vía ingeniosa para la intrusión. 

JPG maliciosos: lo que esta oculto a simple vista

Para los usuarios, las imágenes suelen parecer una apuesta segura. Esto se debe a que la mayoría de las empresas ofrecen ahora formación periódica en seguridad a su personal, una formación que prioriza los correos electrónicos, los archivos y (más recientemente) la ingeniería social con inteligencia artificial . Los deepfakes también son motivo de preocupación, pero el riesgo se centra en la imagen en sí, no en lo que pueda ocultar. 

Las imágenes JPG, sin embargo, están compuestas del mismo material que cualquier otro contenido: datos. Al organizarse correctamente y accederse mediante la aplicación adecuada, estos datos forman una imagen. No obstante, los datos en sí mismos son susceptibles de modificación, al igual que cualquier otra fuente. Para los atacantes, esto representa una oportunidad para asegurarse de que lo que los usuarios ven no se corresponde con lo que obtienen.

la imagen que era mala

Durante los últimos dos meses, los profesionales de la seguridad han estado rastreando el movimiento de una imagen MSI maliciosa. Descubierta a  principios de febrero de 2026 , la imagen formaba parte de un archivo adjunto de correo electrónico malicioso. A primera vista, el archivo adjunto parecía un script para crear un inyector de Chrome, pero el experto en seguridad informática Xavier Mertens detectó un archivo .bat que parecía ser una bifurcación de GitHub:

1. Una vez que se completaba el script normal, el archivo saltaba a :EndScript, seguido de una llamada a :show_msgbox. 
   
2. Esto dio lugar a que un fragmento de datos codificados en Base64 se ejecutara a través de PowerShell y se ofuscara con caracteres basura.
   
3. A continuación, el script de PowerShell obtuvo una carga útil de imagen, que era una imagen legítima de MSI que había sido modificada.
   
4. Esta modificación apuntaba a otra carga útil, que era un programa .Net que implementaba la persistencia a través de una tarea programada y utilizaba Telegram como centro de comando y control. 

la prevención de la imagen 

Limitar el riesgo de archivos JPG maliciosos comienza con un consejo básico: nunca abra archivos adjuntos ni imágenes desconocidas. Si bien los firewalls de última generación son excelentes para detectar posibles amenazas, no son infalibles. Al optar por eliminar y reportar correos electrónicos sospechosos en lugar de arriesgarse a abrir archivos adjuntos de imágenes sospechosas, el personal puede prácticamente eliminar estos problemas.

Cabe destacar que se trata de un esfuerzo de equipo. Las empresas deben crear una cultura de seguridad informática que priorice la notificación y anime al personal a compartir sus inquietudes. Si se les indica a los empleados que simplemente ignoren las posibles amenazas o se les reprende por perder el tiempo, se elimina una capa clave de seguridad y aumenta el riesgo de ataques inesperados. 

En lo que respecta a la reducción de tamaño de imágenes JPG mediante IA, tres acciones pueden ayudar a frustrar los intentos maliciosos. Primero, las empresas deberían restringir las dimensiones de entrada de la IA, lo que reduce la necesidad de reducir el tamaño. Segundo, los usuarios siempre deberían previsualizar los resultados reducidos para detectar artefactos visuales. Este es otro ejemplo de la importancia de priorizar los informes, como se mencionó anteriormente: si el personal no está seguro, debe contar con un procedimiento claro para la elaboración de informes y la evaluación de imágenes. 

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

La respuesta se envía de vuelta a su ordenador, que la reenvía al usuario no autorizado.

En muchos casos, los usuarios autorizados no se dan cuenta de que su ordenador ha sido comprometido. 

Las redes proxy residenciales están compuestas por cientos o miles de direcciones IP residenciales. Por lo general, son administradas por proveedores o empresas de alojamiento web que no preguntan cómo sus clientes utilizan estas IP ni por qué necesitan acceso residencial.

El valor de estas direcciones IP residenciales reside en su autenticidad, algo que la infraestructura de proxy tradicional no puede replicar fácilmente.

Consideremos dos llamadas telefónicas. Una es de un amigo de confianza que te dice que consiguió una gran oferta en un producto que ambos buscaban y dónde encontrarlo en línea. La otra es de una empresa con la que ya has tenido contacto, ofreciéndote la misma información. Si bien el contenido es el mismo, la fuente es diferente. Es más probable que confíes en alguien que conoces que en alguien que no conoces.

Las direcciones IP residenciales ofrecen el mismo tipo de confianza a las organizaciones. Si solicitan información (aparentemente) a usuarios residenciales, estos tienden a confiar en ellas.

Si bien existen casos de uso legítimos para las redes de proxy residenciales, como el anonimato en línea para una mayor protección individual o la monitorización SEO en múltiples ubicaciones para empresas, estas redes suelen estar gestionadas por empresas que no se preguntan qué hacen los usuarios ni por qué. 

Esto ofrece múltiples oportunidades para los actores malintencionados, entre ellas:

• Infracciones de derechos de autor
• Fraude publicitario y fraude de clics
• Eludir los sistemas antifraude
• Ataques de pulverización de contraseñas y credenciales
• Difundir desinformación en las redes sociales

Google contra IPIDEA: perturbando las operaciones de proxy residenciales

Una de las mayores redes de proxy residenciales del mundo era IPIDEA. Operada por una empresa con sede en China, esta red secuestró millones de dispositivos de usuarios finales sin su consentimiento. Entre estos dispositivos se incluían ordenadores, teléfonos inteligentes y televisores inteligentes. Mediante kits de desarrollo de software (SDK), IPIDEA pudo instalar su programa proxy en dichos dispositivos. 

En algunos casos, la empresa pagaba a los desarrolladores para que incluyeran estos SDK en sus aplicaciones, lo que a su vez infectaba los dispositivos. IPIDEA también ofrecía VPN "gratuitas" que instalaban el software proxy al usarse e integraban sus SDK en aplicaciones y juegos gratuitos. Si bien IPIDEA y redes similares suelen afirmar públicamente que sus proxies residenciales se obtienen de forma legítima y con consentimiento, el análisis de los SDK de IPIDEA demostró que estaban diseñados para integrarse en otras aplicaciones sin ningún mecanismo de consentimiento.

Para ayudar a reducir el riesgo de ataques de proxy residenciales e impedir las operaciones de IPIDEA, el Grupo de Inteligencia de Amenazas de Google (GTIG) llevó a cabo tres acciones:

1. Se desactivaron los dominios utilizados para controlar dispositivos y tráfico proxy.
2. Compartir información sobre los kits de desarrollo de software IPIDEA y las herramientas de software proxy con las fuerzas del orden y las empresas de investigación para mejorar la concienciación y la aplicación de la ley.
3. Se garantizó que Google Play Protect para dispositivos Android advirtiera automáticamente a los usuarios sobre las aplicaciones IPIDEA, eliminara estas aplicaciones si estaban instaladas y bloqueara cualquier intento de instalación futuro. 

Según Google, estos esfuerzos conjuntos han provocado una degradación significativa de la red proxy y las operaciones comerciales de IPIDEA, reduciendo en millones el número de dispositivos disponibles para los operadores de proxy. Si bien esto no elimina la amenaza que representan IPIDEA y redes proxy similares, las acciones de Google han dificultado que los ciberdelincuentes instalen y operen servidores proxy sin el consentimiento del usuario. 

Cómo protegerse de los testaferros residenciales

Si tu dispositivo se ve comprometido por un proxy residencial que luego es utilizado por un atacante malintencionado, podrías verte involucrado en investigaciones policiales o de fraude. Además, estos proxies pueden contener malware y otras cargas maliciosas que afecten el funcionamiento de tu dispositivo.

Para protegerse se recomienda:

• Evitar los servicios de transmisión de TV que afirman ofrecer contenido gratuito, como películas o deportes.
• Hay que tener precaución al usar cualquier servicio VPN, especialmente los gratuitos.
• Utilizar únicamente tiendas de aplicaciones de confianza y aplicaciones de editores reconocidos.

• Asegurarse de que todos los sistemas operativos, aplicaciones y herramientas de seguridad estén actualizados.

Análisis de la Amenaza

El Ransomware suele propagarse más rápido de lo que las soluciones EDR estándar pueden detectarlo. Muchos ataques alcanzan el cifrado rápidamente, dejando poco tiempo para responder si la detección se produce demasiado tarde.

Las reglas STAR personalizadas detectan el Ransomware en una etapa temprana de la cadena de ataque. El SOC de Barracuda crea detecciones STAR a partir de las técnicas reales de ataque al Ransomware para detectar la actividad previa al cifrado.

La detección temprana permite una contención e interrupción más rápidas. Las detecciones de alta fiabilidad pueden activar la contención automatizada para detener el avance del atacante mientras el SOC responde.

El diferenciador

Barracuda Managed XDR Endpoint Security es una solución de seguridad para endpoints gestionada por un SOC que aprovecha SentinelOne Complete , una plataforma líder en detección y respuesta de endpoints. Como resultado, los clientes obtienen la sólida protección básica de una solución EDR (detección y respuesta de endpoints) de vanguardia. Y eso es solo el principio. Los clientes también obtienen una capa de servicios gestionada por Barracuda que ofrece ingeniería de detección continua, flujos de trabajo automatizados de respuesta a amenazas, inteligencia sobre amenazas y telemetría de nuestras operaciones XDR.

La capa de servicio es fundamental porque transforma las capacidades básicas del EDR en resultados concretos. Aquí es donde el SOC de Barracuda y sus ingenieros de seguridad de endpoints colaboran para potenciar la protección con detecciones más tempranas y fiables, y una interrupción más rápida de la actividad de ransomware. De esta forma, su organización puede contener la amenaza cuanto antes y evitar un incidente costoso y perjudicial.

Gran parte de esta ventaja proviene de la combinación de la funcionalidad Storyline Active Response (STAR) de SentinelOne con la experiencia de Barracuda SOC. STAR permite a los equipos convertir consultas de visibilidad avanzada en reglas personalizadas que evalúan la telemetría de los puntos finales a medida que se recopila, lo que activa alertas y, cuando se configura, acciones de respuesta automatizadas.

ejemplos de reglas star

Las reglas STAR personalizadas son lo que distingue a Managed XDR Endpoint Security de las implementaciones basadas únicamente en EDR. Se trata de detecciones diseñadas por el SOC que Barracuda integra sobre SentinelOne para detectar comportamientos relacionados con el ransomware antes del impacto y, cuando sea necesario, activar la contención automatizada:

• La regla de detección temprana del ransomware Akira: se centra en patrones de comportamiento específicos y artefactos iniciales asociados con intrusiones de tipo Akira, lo que permite tomar medidas preventivas, incluyendo la contención de la red antes del cifrado. Algunos ejemplos de amenazas de tipo Akira incluyen la carga lateral de DLL, la actividad de "traiga su propio controlador vulnerable" (BYOVD) e intentos de comprometer hosts VMware ESXi.
• La regla de detección temprana de ransomware de Cephalus: detecta cadenas de ejecución compatibles con cargadores de ransomware que utilizan la carga lateral de DLL, donde un ejecutable legítimo se usa para cargar una DLL maliciosa. Está diseñada para generar alertas en una etapa temprana del ciclo de vida del ataque y activar la contención automatizada de la red cuando el nivel de confianza es alto.
• La consulta DNS de ConnectWise ScreenConnect para detectar TLD sospechosos: detecta actividad DNS sospechosa relacionada con ScreenConnect que puede indicar acceso remoto malicioso y puntos de acceso iniciales que a menudo se utilizan antes del despliegue de ransomware.
• La regla de evasión de Krueger EDR:  detecta intentos de manipular las políticas de control de aplicaciones de los puntos finales, incluido el abuso observado del Control de aplicaciones de Windows Defender (WDAC), para eludir las defensas de los puntos finales. Activa la contención automática de la red cuando se detectan señales críticas.
• La regla de detección temprana del ransomware Play: se centra en los primeros pasos de preparación que se observan en los ataques de tipo Play, incluidos los intentos de suprimir las soluciones EDR, la manipulación del cortafuegos y los vectores de escalada de privilegios.
• La regla de indicador de ransomware: sirve como señal de alerta temprana ante comportamientos similares al ransomware, incluidos los ataques sin archivos lanzados desde un dispositivo remoto. Está diseñada para reducir el tiempo de permanencia, limitar el movimiento lateral y ganar tiempo para la contención y la remediación.

ESTRATEGIA DE PROTECCIÓN AVANZADA (XDR + SOC)

Las acciones clave para cerrar la brecha entre detección y contención son:

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

3. IA Generativa: El Analista que nunca duerme

La novedad este año es la integración de modelos de lenguaje (LLM) dentro del SOC.

Simplificación de la Complejidad: Un log de firewall puede tener 1,000 líneas de código críptico. La IA generativa lo sintetiza en una oración: "Un atacante intentó usar una vulnerabilidad de Log4j, pero fue bloqueado por la regla de IPS #502".

Aceleración de Respuesta: Reduce el MTTR (Tiempo Medio de Respuesta) de horas a minutos, permitiendo que tu equipo tome decisiones informadas sin ser expertos en cada lenguaje de programación.

Análisis de la Amenaza

Zombie ZIP es una técnica de evasión recientemente descubierta que utiliza archivos ZIP malformados deliberadamente para ocultar malware a los antivirus (AV) y a las herramientas de detección y respuesta de endpoints (EDR). Los atacantes alteran el campo del método de compresión ZIP para indicar falsamente que los archivos no están comprimidos ("STORED"), aunque los datos sigan comprimidos con DEFLATE. Dado que muchos motores de seguridad confían en estos metadatos, analizan el contenido como bytes sin procesar y no detectan el malware incrustado.

Aunque estos archivos suelen parecer dañados y normalmente no se abren con herramientas estándar como WinRAR o 7-Zip, un cargador personalizado puede descomprimir y ejecutar correctamente la carga útil oculta en el sistema de la víctima.

La distribución web y en la nube conlleva riesgos similares. Los usuarios pueden descargar archivos ZIP maliciosos desde sitios web de apariencia legítima, herramientas de colaboración o plataformas de almacenamiento en la nube que, tras escanearlos, los consideran erróneamente seguros.

Los puntos finales también son vulnerables si las herramientas antivirus o EDR locales dependen del análisis estricto de archivos ZIP y no logran descomprimir archivos mal formados. En esos casos, el comportamiento del usuario o la detección genérica del comportamiento pueden ser la única medida de seguridad una vez que se ejecuta la carga útil. Esto puede provocar una intrusión inicial, movimiento lateral, robo de datos o la implementación de Ransomware.

La importancia de la vulnerabilidad

Algunos investigadores argumentan que no se trata de una vulnerabilidad en el sentido tradicional, ya que estos archivos generalmente requieren un cargador personalizado para funcionar y no pueden abrirse con utilidades estándar. Aun así, independientemente de su clasificación, la técnica sirve como una forma eficaz de ocultar las cargas útiles de segunda etapa a las herramientas antivirus/EDR y a las pasarelas que no validan completamente la estructura ZIP.

Exposición y Riesgo Organizacional

Este tipo de incidentes refuerza una realidad incómoda:

• Los archivos adjuntos ZIP gozan de amplia confianza, lo que significa que un archivo ZIP infectado puede pasar desapercibido en los servidores de correo electrónico.
• Puede llegar a los usuarios incluso si contiene binarios o scripts maliciosos conocidos.

Estrategias de Mitigación

Las acciones inmediatas son claras:

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Análisis de la Amenaza

Qilin y Warlock utilizan técnicas BYOVD para obtener control a nivel de kernel de los sistemas Windows y deshabilitar las herramientas de seguridad antes de lanzar ataques de ransomware. Qilin implementa un archivo malicioso msimg32.dll a través de un proceso de confianza para ejecutar un "asesino de EDR" en memoria, reduciendo el registro y ocultando la actividad. Esta carga útil abusa de controladores vulnerables como rwdrv.sys (un ThrottleStop.sys renombrado ) y hlpdrv.sys para acceder a la memoria del sistema y deshabilitar más de 300 productos EDR deteniendo sus procesos, descargando controladores y eliminando los ganchos de monitoreo y la visibilidad de Event Tracing for Windows (ETW).

Qilin suele obtener acceso mediante credenciales robadas y dedica aproximadamente seis días a moverse lateralmente y preparar su ataque antes de desplegar el ransomware. Warlock, por el contrario, explota servidores Microsoft SharePoint sin parchear para obtener acceso inicial y utiliza el controlador vulnerable NSecKrnl.sys —que reemplaza al anterior googleApiUtil64.sys— para deshabilitar las herramientas de seguridad a nivel del kernel. Warlock también depende en gran medida de herramientas administrativas y de código abierto comunes, como TightVNC, PsExec, RDP Patcher, Velociraptor, Visual Studio Code con Cloudflare Tunnel y Yuze, y Rclone, para mantener el acceso, moverse lateralmente y extraer datos antes del cifrado.

La importancia de la vulnerabilidad

Estas campañas demuestran que los operadores de ransomware modernos ya no se centran únicamente en el cifrado, sino que atacan deliberadamente la capa del kernel para cegar primero a los defensores. La capacidad de deshabilitar cientos de controladores EDR de distintos proveedores socava la suposición de que las protecciones de los endpoints permanecerán activas durante un ataque. Qilin es uno de los grupos de ransomware más activos en la actualidad, mientras que el conjunto de herramientas en constante evolución de Warlock sugiere que la elusión de EDR basada en BYOVD se está convirtiendo en una técnica estándar. En consecuencia, la integridad de los controladores y del kernel son ahora preocupaciones de seguridad primordiales, no medidas de refuerzo opcionales.

Exposición y Riesgo Organizacional

Este tipo de incidentes refuerza una realidad incómoda:

• El acceso a nivel de kernel también permite manipular los registros y el comportamiento del sistema, lo que dificulta la detección, la investigación y la recuperación.
• En entornos regulados o de misión crítica, esto puede provocar interrupciones prolongadas, incumplimiento de normativas y un daño significativo a la reputación.

Estrategias de Mitigación

Las acciones inmediatas son claras:

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual