Investigadores han identificado a un actor denominado DriveSurge, responsable de secuestrar miles de sitios legítimos para redirigir visitantes hacia campañas de malware basadas en ClickFix y FakeUpdate.
La operativa es especialmente interesante. DriveSurge no se centra en desplegar malware propio, sino en actuar como un broker de acceso inicial. Lo que hace es comprometer sitios con buena reputación, redirigir tráfico y entregar víctimas a otros actores mediante un modelo de pago por instalación.
Para ello, utiliza una infraestructura de distribución de tráfico conocida como zTDS, que analiza a cada visitante y decide qué engaño mostrar. Algunos usuarios reciben falsas actualizaciones de navegador mientras que otros son dirigidos a páginas ClickFix que les convencen para ejecutar comandos PowerShell bajo la excusa de resolver un problema técnico o completar una verificación.
Más información:
https://www.silentpush.com/blog/drivesurge/
1,630
0
0
CyberSecurityPulse (by Telefónica Tech)
8 sept 2026, 00:48
Nueva técnica de denegación de servicio basada en el protocolo HTTP/2. El ataque, denominado HTTP/2 Bomb, combina dos conceptos conocidos desde hace años: las bombas de compresión y los ataques tipo Slowloris para provocar un consumo masivo de memoria con un tráfico pequeño.
La clave está en HPACK, el mecanismo de compresión de cabeceras de HTTP/2. Mediante una secuencia especialmente diseñada de entradas comprimidas, un atacante puede forzar al servidor a reservar cantidades enormes de memoria a partir de muy pocos bytes recibidos, utilizando mecanismos de control de flujo de HTTP/2 para mantener esa memoria bloqueada durante largos periodos de tiempo.
Según los investigadores, una única conexión puede llegar a consumir decenas de gigabytes de memoria en segundos sobre algunas implementaciones populares, sin necesidad de generar el volumen de tráfico que normalmente asociamos a un ataque DDoS volumétrico.
Ya hay parche para la mayoría de servidores web a los que les afecta este tipo de ataque.
Más información: https://github.com/califio/publications/blob/main/MADBugs/http2-bomb/blog.md
Nueva campaña masiva contra GitHub. El malware, bautizado como Megalodon, ha comprometido más de 5.500 repositorios en apenas seis horas mediante commits automatizados que inyectaban workflows maliciosos de GitHub Actions.
El vector es especialmente interesante porque no toca el código principal del proyecto. Los atacantes añadían archivos YAML en apariencia legítimos relacionados con CI/CD (integración continua), disfrazados como optimizaciones o automatizaciones rutinarias. Una vez aceptados por el mantenedor, el payload comenzaba a ejecutarse dentro del pipeline.
A partir de ahí, el objetivo era recabar secretos de la infraestructura. Megalodon roba credenciales cloud, tokens OIDC, claves SSH, secretos de GitHub Actions, configuraciones Docker y Kubernetes, variables de entorno y cualquier dato accesible desde el runner CI/CD.
El mecanismo de propagación recuerda bastante a un gusano. El malware utiliza cuentas desechables y bots falsos de automatización para distribuir commits maliciosos, buscando que otros mantenedores los acepten, ampliando así la infección.
Otro detalle es que algunos repositorios comprometidos llegaron a publicar paquetes maliciosos en npm desde cuentas legítimas, trasladando el problema desde GitHub directamente a otros repositorios. Esto es así debido a que muchos pipelines terminan en la publicación del paquete.
Más información:
https://www.ox.security/blog/megalodon-cicd-malware-github/
2,160
CyberSecurityPulse (by Telefónica Tech)
8 sept 2026, 00:48
Y una más. Nueva escalada de privilegios en Linux que ya tiene exploit público disponible apenas días después de su publicación. El fallo, bautizado como DirtyDecrypt (también DirtyCBC), permite a un atacante local obtener privilegios root explotando una debilidad en la forma en la que el kernel maneja determinadas operaciones criptográficas y de memoria compartida.
El problema afecta al subsistema de descifrado del kernel y puede provocar una corrupción de memoria bajo ciertas condiciones controladas. A partir de ahí, un usuario sin privilegios puede manipular estructuras internas del sistema y escalar privilegios hasta root.
Los investigadores de v12 Security destacan además que la explotación es relativamente estable en varias distribuciones modernas. Aun no hay CVE oficial publicado, pero sí parche. Curiosamente, cuando lo reportaron a los mantenedores del kernel Linux, estos le respondieron que era un duplicado de CVE-2026-31635 y que ya estaban trabajando en ello, por lo que una vez liberado han publicado los detalles y prueba de concepto.
De cualquier modo, ya tenemos Copy Fail, Fragnesia, Dirty Frag y ahora DirtyDecrypt, si contar con la elevación de privilegios corregida en el servicio PackgeKit llamada Pack2TheRoot.
Más información:
https://github.com/v12-security/pocs/tree/main/dirtydecrypt
1,700
CyberSecurityPulse (by Telefónica Tech)
8 sept 2026, 00:48
Nueva variante del infostealer SHub para macOS descubierta por investigadores de SentinelOne. Conocida como Reaper, utiliza AppleScript para mostrar falsas alertas de actualización de seguridad de Apple mientras roba información sensible e se instala en segundo plano.
La campaña destaca especialmente por su proceso para engañar a los usuarios. El malware se distribuye mediante instaladores falsos de aplicaciones legítimas y dominios cuidadosamente escogidos para parecer infraestructura oficial. Una vez ejecutado, muestra lo que aparenta ser una actualización de seguridad de macOS mientras en realidad realiza las acciones maliciosas reales.
El objetivo sigue siendo el habitual en el ecosistema de infostealers modernos: credenciales, sesiones, wallets y secretos de usuario. SHub Reaper roba datos de navegadores, Keychain, gestores de contraseñas, sesiones de Telegram y extensiones de criptomonedas como MetaMask o Phantom. Además, algunas variantes modifican directamente las wallets instaladas para capturar frases de recuperación.
El detalle más relevante es la persistencia. A diferencia de muchos stealers tradicionales para macOS, que ejecutan el robo y desaparecen, Reaper instala LaunchAgents disfrazados de componentes legítimos de Google para mantenerse activo tras reinicios y conservar acceso al sistema.
Más información:
https://www.sentinelone.com/blog/shub-reaper-macos-stealer-spoofs-apple-google-and-microsoft-in-a-single-attack-chain/
1,660
CyberSecurityPulse (by Telefónica Tech)
8 sept 2026, 00:48
Los Local Privilege Escalation están de moda. Ahora afectan a Microsoft Windows, en concreto su componente Defender (y no es la primera vez que este componente se mete en problemas).
Además, no solo es un fallo sino varios zero-days (algunos sin CVE ni parche), con impactos variados, desde la escalada de privilegios hasta dificultar la detección de malware por parte de Defender.
Lo curioso es cómo funcionan. No explotan una corrupción de memoria compleja ni bugs kernel tradicionales, sino interacciones entre mecanismos legítimos de Windows: NTFS junctions, opportunistic locks, Volume Shadow Copy, Cloud Files API y procesos internos de Defender.
El CVE-2026-41091, por ejemplo, aprovecha una race condition en el proceso de limpieza de archivos maliciosos. Mediante redirecciones del filesystem y manipulación temporal del acceso a archivos, el atacante podría conseguir que Defender escriba contenido arbitrario en ubicaciones privilegiadas con permisos SYSTEM.
Por otro lado, la etiquetada con el CVE-2026-45498, funciona de manera parecida, pero explotando el mecanismo de rollback de archivos cloud-tagged, mientras que UnDefend apunta directamente al proceso de actualización y mantenimiento del propio Defender. Es decir, podría borrar firmas y alterar su comportamiento.
Los exploits fueron publicados por Nightmare Eclipse el pasado abril, (al que se le atribuye ser un investigador aislado) tras desacuerdos con Microsoft sobre el proceso de disclosure, y desde entonces se ha observado explotación real en entornos corporativos, de hecho, la ya famosa KVE de CISA (base de datos de exploits activos) ya los acaba de publicar en su lista, lo que significa que ya existen grupos usando estos exploits en campañas u operaciones.
Más información:
https://blog.barracuda.com/2026/05/19/nightmare-eclipse-zero-days-grudge
Nueva vulnerabilidad crítica en NGINX, uno de los servidores web más extendidos de Internet, que llevaba sin descubrir nada más y menos que 18 años. El fallo, bautizado como NGINX Rift (CVE-2026-42945), permite provocar una denegación de servicio y, bajo determinadas condiciones, incluso la ejecución remota de código arbitrario mediante simples peticiones HTTP especialmente manipuladas.
El problema reside en el módulo de reescritura de URLs (ngx_http_rewrite_module), concretamente en cómo maneja ciertas expresiones regulares. Una discrepancia interna en el cálculo y copia de memoria termina provocando un heap buffer overflow controlable remotamente bajo ciertas circunstancias.
El ataque no requiere autenticación y puede explotarse únicamente enviando peticiones especialmente manipuladas, siempre que el servidor utilice determinados patrones bastante comunes en reglas rewrite. En muchos casos el resultado será la caída o reinicio de workers. Los investigadores indican que la ejecución remota de código es posible si NGINX corre sin el ASLR (Adress Space Layout Randomization) habilitado durante su compilación, algo que a día de hoy no es común pero que puede darse en ciertos tipos de plataformas.
Otro detalle interesante es cómo fue descubierto: un sistema autónomo basado en IA analizando el comportamiento y el código de NGINX encontró la cadena de corrupción de memoria tras casi dos décadas sin ser detectada. Ya hemos llegado a un punto en el que no nos debe sorprender la irrupción de la IA como "asistente" en el descubrimiento de vulnerabilidades.
A pesar de tener parches disponibles, el impacto potencial es enorme dado que NGINX no es solo un servidor web: está en reverse proxies, balanceadores, Kubernetes ingress controllers, CDNs y buena parte de la infraestructura moderna de internet.
Más información:
https://depthfirst.com/research/nginx-rift-achieving-nginx-rce-via-an-18-year-old-vulnerability
CyberSecurityPulse (by Telefónica Tech)
23 ago 2026, 21:03
Nueva vulnerabilidad LPE (Local Privilege Elevation) en Linux que demuestra, otra vez, lo peligrosas que siguen siendo ciertas interacciones entre memoria virtual y privilegios del kernel. El fallo, bautizado como Fragnesia, permite a un atacante local obtener privilegios root explotando el subsistema de gestión de memoria de Linux.
La técnica se basa en manipular cómo el kernel reutiliza fragmentos de memoria ya liberados. Aprovechando determinadas condiciones de fragmentación y reasignación de la memoria, un proceso sin privilegios puede acabar corrompiendo estructuras críticas del sistema y escalar privilegios hasta root.
Lo interesante es que no se trata de un bug simple, sino de un comportamiento derivado de cómo el kernel Linux optimiza memoria y rendimiento. El ataque requiere comprender bastante bien el funcionamiento interno del kernel, especialmente mecanismos relacionados con page allocation, memory reclaim y fragmentación.
Los investigadores destacan además que la explotación es relativamente fiable en múltiples distribuciones modernas, lo que aumenta bastante el impacto práctico del fallo. Y como suele ocurrir con este tipo de vulnerabilidades locales, el riesgo real aparece cuando se combina con otros vectores: contenedores, accesos limitados, sandboxes o compromisos parciales previos.
Un fallo más que se une a la racha de LPE's que llevamos desde hace un par de semanas.
Más información:
https://github.com/v12-security/pocs/tree/main/fragnesia
1,860
CyberSecurityPulse (by Telefónica Tech)
21 may 2026, 06:50
Nueva vulnerabilidad crítica en protobuf.js que vuelve a poner el foco en un problema poco visible pero bastante extendido: reutilizar definiciones sin entender su impacto real. El fallo permite la ejecución de código arbitrario en aplicaciones que procesan esquemas protobuf no confiables.
El origen está en cómo protobuf.js interpreta ciertas definiciones dinámicas. Si un atacante pudiese controlar o inyectar un esquema, podría forzar la ejecución de código arbitrario durante el proceso de parsing o compilación, convirtiendo algo con apariencia de declarativo en una superficie de ataque.
Lo interesante aquí no es solo la vulnerabilidad en sí, sino el patrón de uso que la hace explotable. Muchos proyectos reutilizan archivos .proto de terceros, los cargan dinámicamente o los aceptan desde fuentes externas sin una validación estricta. En ese contexto, el esquema deja de ser un contrato de datos y pasa a ser una entrada ejecutable.
El impacto es especialmente importante en servicios backend, pipelines de datos y herramientas que procesan protobuf de forma flexible, donde este tipo de inputs puede atravesar varias capas sin ser revisado convenientemente.
Posee un CVSS de 9.4 y afecta a las versiones inferiores a 8.0.0 y 7.5.4. Hay parches disponibles para ambas ramas. Se le ha asignado el CVE-2026-41242.
Más información:
https://www.endorlabs.com/learn/the-dangers-of-reusing-protobuf-definitions-critical-code-execution-in-protobuf-js-ghsa-xq3m-2v4x-88gg
2,430
CyberSecurityPulse (by Telefónica Tech)
21 may 2026, 06:50
Nueva vulnerabilidad en Linux encontrada (con asistencia de IA) por el equipo de seguridad Deutsche Telekom. Pack2TheRoot (CVE-2026-41651), como se ha denominado, es una escalada de privilegios local que afecta a PackageKit, una especie de servicio que unifica la gestión de paquetes de muchas distros Linux, tratando de simplificar la cantidad existente de gestores de paquetes y las diferencias entre ellos.
El impacto de la vulnerabilidad es directo: un usuario sin privilegios puede acabar ejecutando acciones como root. El fallo permite instalar o eliminar paquetes sin autorización, lo que en la práctica equivaldría a tomar control completo del sistema.
El origen está en una condición de carrera clásica (TOCTOU) en la gestión de transacciones. Aprovechando ese desfase temporal, un atacante puede evadir los controles de seguridad y forzar operaciones privilegiadas que deberían estar protegidas.
PackageKit está presente por defecto en múltiples distribuciones como Ubuntu, Debian o Fedora, y la vulnerabilidad ha permanecido presente durante años sin ser detectada.
No es un fallo de memoria o similar al uso, sino una combinación de comportamiento legítimo que termina rompiendo el modelo de seguridad, es decir, un fallo en la lógica de la implementación del modelo de seguridad.
Más información:
https://github.security.telekom.com/2026/04/pack2theroot-linux-local-privilege-escalation.html
Nuevo ataque a la cadena de suministro que demuestra, otra vez, que “descargar desde la web oficial” ya no es una garantía. El sitio de CPUID, responsable de herramientas ampliamente usadas como CPU-Z y HWMonitor, muy populares para obtener información y métricas de rendimiento en hardware, fue comprometido y durante varias horas sirvió instaladores troyanizados en lugar de los binarios legítimos.
El vector es especialmente limpio. No hay phishing ni repositorios falsos: el propio dominio oficial redirigía a payloads maliciosos tras el compromiso. Cualquier usuario que descargara el software en esa ventana recibía malware (además, firmado) como si fuera legítimo.
A nivel técnico, se apoya en DLL sideloading (mediante la librería cryptbase.dll) y ejecuta una cadena de varias etapas completamente en memoria (sin tocar disco), dificultando el análisis forense y la detección por firmas. El payload final identificado es un RAT (STX RAT), con capacidades de robo de credenciales, acceso remoto y movimiento lateral.
Más información:
https://www.cyderes.com/howler-cell/how-cpuids-hwmonitor-supply-chain-was-hijacked-to-deploy-stx-rat?utm_source=chatgpt.com
1,990
4
CyberSecurityPulse (by Telefónica Tech)
21 may 2026, 06:50
Campaña masiva en el ecosistema de extensiones de Chrome que vuelve a poner el foco en un vector que muchos siguen considerando “de bajo riesgo”. Investigadores de la empresa Socket, han identificado 108 extensiones maliciosas publicadas en la Chrome Web Store que, bajo apariencia legítima, formarían parte de una operación con una única infraestructura de mando y control.
Lo relevante no es el número, sino la coherencia del ataque. Las extensiones, disfrazadas de herramientas de Telegram, utilidades de Youtube, juegos o traductores, funcionan correctamente, pero también roban credenciales de Google, exfiltran sesiones activas y abren puertas traseras en el navegador. Todo el tráfico acaba en el mismo backend, lo que apunta a un único operador detrás de la campaña.
El caso más llamativo es el robo de sesiones de Telegram Web. Una de las extensiones captura la sesión desde el localStorage del navegador y lo envía al C2 cada pocos segundos, permitiendo al atacante tomar control de la cuenta sin necesidad de credenciales ni MFA.
Varias de las extensiones incorporan una puerta trasera que se activa al iniciar el navegador, y son capaces de ejecutar acciones remotas como abrir URLs arbitrarias o inyectar contenido. Otras manipulan las cabeceras de seguridad o actúan como proxy del tráfico.
Muchas de estas extensiones siguen disponibles aun y acumulan miles de instalaciones.
Más información:
https://socket.dev/blog/108-chrome-ext-linked-to-data-exfil-session-theft-shared-c2
1,850
CyberSecurityPulse (by Telefónica Tech)
21 may 2026, 06:50
Nuevo ataque a la cadena de suministro en el ecosistema WordPress que va un paso más allá de lo habitual. Alguien con intenciones maliciosas, compró un set completo de más de 30 plugins populares y, tras hacerse con el control legítimo del código, introdujo una puerta trasera en ellos.
El troyano se introdujo meses antes de su uso real, camuflado como una actualización legítima que supuestamente mejoraba la compatibilidad. En realidad, añadía una funcionalidad de deserialización remota que permitía ejecutar código arbitrario controlado desde un servidor externo.
Durante ocho meses no ocurrió nada. Hasta que el payload se activó. En ese momento, los plugins empezaron a descargar código malicioso, modificar wp-config.php y servir contenido SEO oculto únicamente para Googlebot, manteniéndose invisible para los administradores de los sitios comprometidos.
El detalle es el vector inicial: no hubo hackeo. Hubo una compra legal. El atacante adquirió el negocio completo a través de un marketplace público, heredó acceso al repositorio oficial de WordPress y utilizó el canal legítimo de actualizaciones para distribuir el troyano.
Cuando se detectó la campaña, http://WordPress.org/ cerró más de 30 plugins en un solo día y forzó actualizaciones para intentar neutralizar el código malicioso. Pero el daño ya estaba hecho: los sistemas afectados seguían comprometidos porque la carga persistía fuera del propio plugin.
En este caso, no se vulnera el software o se monta una operación de ingeniería social sobre el administrador, se adquiere manteniendo la cadena de confianza.
Más información:
https://anchor.host/someone-bought-30-wordpress-plugins-and-planted-a-backdoor-in-all-of-them/
CyberSecurityPulse (by Telefónica Tech)
21 may 2026, 06:50
Nuevo incidente de cadena de suministro que afecta a uno de los paquetes más usados y populares del ecosistema JavaScript. Varias versiones de axios publicadas en npm han sido comprometidas e incluían un RAT (remote access tool).
Axios está presente en una enorme cantidad de proyectos, tanto directos como transitivos (dependencias de dependencias), lo que convierte cualquier compromiso en un problema de propagación masiva. En este caso, el código malicioso se ejecutaba durante la instalación, permitiendo la descarga y ejecución de binarios maliciosos desde infraestructura controlada por el atacante.
El malware buscaba establecer acceso remoto persistente en las máquinas afectadas. Es decir, no hablamos de un simple stealer puntual, sino de una puerta trasera completa.
Este compromiso es diferente a los que acostumbramos a leer casi a diario. Axios tiene un nombre y reputación que ahora han sido dañados. Es esencial que el desarrollador medio confíe en librerías populares y este varapalo añade incertidumbre a la hora de añadirlas a los proyectos. Máxime en una era de vibe coding, donde ni tan siquiera se inspeccionan los componentes de los proyectos.
Más información:
https://www.stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions-drop-remote-access-trojan
2,720
CyberSecurityPulse (by Telefónica Tech)
21 may 2026, 06:50
Interesante artículo del grupo TALOS de Cisco en el que se describe cómo los atacantes están aprovechando la vulnerabilidad React2Shell (afecta al framework web Next.js) para organizar campañas de infección masivas en servidores expuestos.
El patrón: escaneo automatizado de internet (tipo Shodan o Censys), explotación sin interacción y despliegue inmediato de scripts que comienzan a extraer secretos del sistema. En cuestión de horas, la campaña fue capaz de comprometer cientos de hosts (más de 700 en un solo día) en múltiples proveedores cloud.
Lo interesante no es solo el acceso inicial, sino lo que ocurre después. El malware ejecuta un proceso en varias fases que recopila variables de entorno, claves SSH, tokens cloud, historiales de comandos, credenciales de bases de datos y configuraciones de contenedores. Todo se envía a una infraestructura centralizada donde los atacantes pueden explorar la información desde una interfaz web llamada NEXUS Listener.
Más información:
https://blog.talosintelligence.com/uat-10608-inside-a-large-scale-automated-credential-harvesting-operation-targeting-web-applications/
2,400
0
CyberSecurityPulse (by Telefónica Tech)
21 may 2026, 06:50
Nuevo framework de explotación para iOS denominado Coruna. No es un kit cualquiera. Los investigadores de Karspesky lo sitúan como la evolución directa del framework utilizado en una operación APT llamada Triangulation, un ataque zeroclick que en 2023 comprometió sistemas iOS a través de iMessage.
El nivel técnico es bastante bueno. Coruna integra cinco cadenas completas de explotación y un total de 23 vulnerabilidades, reutilizando y ampliando exploits ya vistos en Triangulation, pero adaptados a hardware moderno (chips A17, M3) y versiones más recientes de iOS.
Lo relevante no es solo la reutilización de vulnerabilidades, sino la continuidad del desarrollo. El código analizado apunta a un framework mantenido en el tiempo, no a un ensamblado de exploits públicos. Es decir, estamos ante una plataforma de explotación con evolución activa (mantenida), no una compilación de exploits puntual.
Además, el contexto ha cambiado. Lo que comenzó como herramientas para el ciberespionaje altamente dirigido ha terminado expandiéndose: el propio framework se ha observado en campañas más amplias, incluyendo ataques vía web (watering hole) donde el exploit se adapta dinámicamente al dispositivo y versión de iOS de la víctima, algo muy quirúrgico.
Más información:
https://securelist.com/coruna-framework-updated-operation-triangulation-exploit/119228/
2,080
CyberSecurityPulse (by Telefónica Tech)
21 may 2026, 06:50
Investigadores de Socket han detectado miles de publicaciones en Discussions de Github (una especie de foro dentro de los repositorios) que simulan avisos críticos de Visual Studio Code, con CVEs falsos y mensajes urgentes que incitan al usuario a descargar una supuesta versión “parcheada” del famoso editor.
El mecanismo es simple pero muy efectivo. Los atacantes crean cuentas nuevas, publican en masa en repositorios populares y etiquetan a desarrolladores para forzar notificaciones e incluso correos automáticos desde la propia plataforma. El resultado es que el ataque entra directamente en el flujo de trabajo habitual del desarrollador, sin necesidad de un correo phishing clásico.
En el siguiente paso, los enlaces no apuntan directamente al malware, sino que pasan por una cadena de redirecciones que realiza fingerprinting del navegador y del sistema antes de servir el payload definitivo. Esto permite filtrar víctimas reales, evadir análisis automatizados y adaptar el ataque en función del entorno.
Más información:
https://socket.dev/blog/widespread-github-campaign-uses-fake-vs-code-security-alerts-to-deliver-malware
1,970
2
CyberSecurityPulse (by Telefónica Tech)
6 may 2026, 19:55
Investigadores de ThreatFabric alertan de nuevo malware para Android que pone el foco en las aplicaciones de notas. La campaña, bautizada como Perseus, ha sido detectada distribuyendo aplicaciones maliciosas (disfrazadas de otras utilidades) fuera de tiendas oficiales. Una vez infectado el dispositivo, busca información sensible en las notas creadas por el usuario.
El comportamiento es interesante porque apunta a un hábito muy extendido: guardar contraseñas y otra información sensible en notas personales. Perseus escanea este tipo de aplicaciones en busca de contenido útil, elevando considerablemente el valor de la información exfiltrada.
Además, el malware cuenta con las capacidades típicas de troyanos en Android: control del dispositivo, capturas de pantalla y ataques overlay para robar credenciales en tiempo real.
Más información:
https://www.threatfabric.com/blogs/perseus-dto-malware-that-takes-notes
2,290
0
CyberSecurityPulse (by Telefónica Tech)
6 may 2026, 19:55
Nuevo infostealer en el radar con un enfoque bastante más fino de lo habitual. VoidStealer introduce una técnica bastante novedosa en campañas de infección para saltarse la protección Application Bound Encryption (ABE) del navegador Chrome (y por ende, todos sus derivados). Se trat de un mecanismo diseñado precisamente para impedir el robo de credenciales almacenadas en el navegador.
La novedad no está en el objetivo, que es seguir robando contraseñas, cookies o datos sensibles, sino en cómo lo hace. En lugar de recurrir a inyección de código o privilegios elevados, el malware "hookea" al navegador como debugger y espera el momento exacto en el que la clave maestra (v20_master_key) aparece en memoria en texto plano durante operaciones habituales de descifrado.
A partir de ahí, utiliza breakpoints de hardware (más difíciles de detectar) y lecturas de memoria para extraer la clave directamente, sin modificar el proceso ni levantar demasiadas sospechas. Este detalle es clave: elimina gran parte del “ruido” típico de otras técnicas, reduciendo su huella de detección y por lo tanto pasando más desapercibido.
Más información:
https://www.gendigital.com/blog/insights/research/voidstealer-abe-bypass
1,970
0
CyberSecurityPulse (by Telefónica Tech)
6 may 2026, 19:55
Nuevo incidente de cadena de suministro, esta vez al ecosistema de la IA generativa. LiteLLM, una de las librerías más utilizadas como puerta de entrada a múltiples proveedores LLM, ha sido comprometida en PyPI con versiones maliciosas.
El vector es especialmente interesante. En la versión 1.82.8 se introduce un archivo .pth que se ejecuta automáticamente al arrancar el intérprete de Python, sin necesidad de importar la librería. Esto implica que basta con tener el paquete instalado para que el payload se ejecute en cualquier script, notebook o proceso del sistema.
El malware además recolecta variables de entorno, claves SSH, credenciales cloud (AWS, GCP, Azure), configuraciones de Kubernetes, tokens, historiales de shell… básicamente todo lo que suele poseer las máquinas de desarrollo, CI/CD o producción. Después, cifra la información y la envía a una infraestructura controlada por el atacante.
Pero lo realmente preocupante es el contexto. Este compromiso no es aislado, sino parte de una campaña más amplia donde el atacante primero compromete herramientas de seguridad en pipelines y luego utiliza esas credenciales para envenenar dependencias críticas como LiteLLM.
En otras palabras, el ataque no va contra el código en desarrollo, sino contra la infraestructura en la que se aloja. Y en el caso de LiteLLM es una librería que centraliza API keys y secretos de múltiples proveedores de IA, convirtiéndose en un objetivo muy apetecible para los atacantes.
Más información:
https://github.com/BerriAI/litellm/issues/24512
Microsoft ha publicado un “hotpatch” fuera de ciclo (OOB) para corregir una vulnerabilidad de ejecución remota de código (RCE) en el componente Routing and Remote Access Service (RRAS) de Windows 11 Enterprise. Identificado como KB5034597, este hotpatch en estos entornos permite actualizaciones de seguridad sin necesidad de reiniciar el sistema.
Los CVE implicados son los siguientes: CVE-2026-2517, CVE-2026-2517, CVE-2026-26111. Se da la circunstancia de que ya habían sido corregidos en un parche anterior y en calendario, pero ahora se publican de esta forma para los sistemas que usan el método de hotpatch (sin reinicio).
Las vulnerabilidades, todas relacionadas, afectan a la herramienta de administración de RRAS. Un atacante podría aprovechar los fallos si consigue que un administrador utilice la consola para conectarse a un servidor malicioso, lo que permitiría la ejecución remota de código en el sistema afectado.
De momento no hay noticias que indiquen que las vulnerabilidades estén siendo explotadas activamente.
Más información:
https://support.microsoft.com/en-us/topic/march-13-2026-hotpatch-kb5084597-os-builds-26200-7982-and-26100-7982-out-of-band-ef323fee-e70f-4f43-8bbc-1021c435bf5c
Interesante fotografía de los zero days de 2025 que ha publicado el GTIG (Google Threat Intelligence Group). En el informe hacen un repaso de lo que se ha visto durante el pasado año exclusivamente desde la óptica de las vulnerabilidades explotadas sin parche ni vistas previamente por el fabricante.
Entre los datos más interesantes, por supuesto, el número: hasta 90 zero days. En perspectiva respecto a otros años, está en la media: en 2024 fueron 78, en 2023 fueron 100, en 2022 eran 63 y en 2021, 96.
Por fabricante: Microsoft, Google, Apple y una cola de proveedores de dispositivos de redes. Por tipos de vulnerabilidades las inyecciones y deserializaciones, corrupción de memoria (esta no sorprende en absoluto), control de acceso y fallos de lógica o diseño. Curiosamente, los ataques son detectados a partes iguales entre entornos corporativos y usuarios finales.
La IA asoma en el informe elevando las capacidades tanto de atacantes, para descubrimiento de vulnerabilidades y creación de exploits, como para defensores, que la emplean para detección de ataques, orquestación de defensas y despliegue de parches. El uso de IA en este ámbito es ya es algo común y esperado.
Más información:
https://cloud.google.com/blog/topics/threat-intelligence/2025-zero-day-review
2,420
CyberSecurityPulse (by Telefónica Tech)
6 may 2026, 19:55
El sueño de todo creador de malware es que este no sea cazado a medio camino de una infección prometedora. Por ejemplo, en los casos de infección donde el verdadero malware es descargado después de que un “dropper” se ejecute en el sistema. Se utilizan todo tipo de técnicas para que este último le “abra camino” de manera silenciosa al verdadero ataque.
En este sentido, el investigador Chris Aziz, de Bombadiel Systems ha descubierto una técnica, sencilla pero efectiva, denominada "Zombie Zip", que elude la detección de la gran mayoría de motores de malware.
Zombie Zip consiste en la manipulación de las cabeceras de un archivo ZIP. En concreto, se asigna el valor "Method=0" que indica que el archivo no posee compresión. De esta forma, el escáner procede a no descomprimir el archivo para examinarlo, mientras que realmente el zip sí está comprimido con DEFLATE y sí que contiene dentro malware.
Una vez el archivo ha pasado el potencial escaneo por parte de las defensas, en una segunda fase sí es tratado incondicionalmente como lo que es: un archivo comprimido, con malware real dentro, que ya no hace caso al valor que posea en las cabeceras.
La técnica es una “pillería”. Básicamente, lo que ha descubierto es que los motores antivirus obedecen la configuración de la cabecera, no la realidad del archivo, violando un principio elemental de seguridad: no te fíes, compruébalo.
Se le ha asignado el CVE-2026-0866 y el CERT/CC ha publicado un reporte alertando de su uso potencial.
Más información: https://kb.cert.org/vuls/id/976247
2,480
CyberSecurityPulse (by Telefónica Tech)
1 may 2026, 07:35
Boletín Semanal de Ciberseguridad, 27 de febrero
Nuestro boletín de ciberseguridad ofrece una visión actualizada de las amenazas activas y de las claves para reforzar la protección de los sistemas corporativos.
https://telefonicatech.com/blog/boletin-ciberseguridad-21-27-febrero-2026
