Entradas de blog etiquetadas con ' #cyberdefense '

CISA ha emitido una directiva de emergencia que exige a las agencias federales de EE. UU. proteger las implementaciones de VPN de acceso remoto Check Point, acceso móvil y firewall Spark tras la explotación activa de una vulnerabilidad crítica de día cero (CVE-2026-50751).

El futuro de la seguridad comienza antes del malware
• Aplique los parches disponibles.
• Desactive los protocolos VPN obsoletos, como IKEv1, y cualquier ruta de acceso VPN no utilizada o heredada.
• Restrinja el acceso a la VPN a los rangos de IP necesarios siempre que sea posible.
• Supervise los registros de la VPN para detectar la creación de sesiones VPN anómalas o no autenticadas y patrones de acceso inusuales.
• Cambie las credenciales de la VPN si sospecha que se está produciendo una explotación.

• Limite el acceso de los usuarios de VPN únicamente a los segmentos de red necesarios.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

* Suscripción anual

La brecha invisible: Cuando la seguridad del endpoint llega demasiado tarde

Durante años, las organizaciones han invertido en soluciones de protección para endpoints con el objetivo de detener malware, ransomware y ataques avanzados. Y aunque estas tecnologías siguen siendo fundamentales, existe una realidad que los equipos de seguridad no pueden ignorar:

"La mayoría de las amenazas modernas comienzan mucho antes de que el malware se ejecute".

El futuro de la seguridad comienza antes del malware
• La pregunta ya no es si una organización cuenta con protección para endpoints.
• La pregunta es si tiene visibilidad suficiente para identificar riesgos antes de que lleguen al endpoint.
• Las amenazas modernas aprovechan el comportamiento humano, los navegadores y las herramientas de IA para encontrar nuevas formas de ingresar a las organizaciones.
• Por ello, la resiliencia de las estaciones de trabajo debe construirse sobre dos pilares:
• Prevenir antes de la ejecución.
• Contener después de la ejecución.

Las organizaciones que logren integrar ambas capacidades estarán mejor preparadas para enfrentar un panorama de amenazas cada vez más dinámico, distribuido y orientado al usuario.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

* Suscripción anual

Del SQL al lenguaje natural: La revolución de amenazas impulsadas por IA

Durante años, los equipos de ciberseguridad han enfrentado un desafío constante: recopilar datos nunca ha sido el problema; convertir esos datos en respuestas accionables sí lo es.

Cada día, organizaciones de todos los tamaños generan enormes volúmenes de telemetría provenientes de firewalls, servidores, servicios en la nube, herramientas de correo electrónico, endpoints y aplicaciones empresariales. Sin embargo, cuando ocurre un incidente, encontrar respuestas rápidas dentro de esa montaña de información suele requerir experiencia especializada, múltiples herramientas y largas horas de investigación.

Hoy, la inteligencia artificial está cambiando esa realidad.

Un único punto de investigación

Otra ventaja importante es la capacidad de analizar información proveniente de múltiples fuentes desde una sola interfaz.

Entre ellas:

• Firewalls y dispositivos de red.
• Servicios en la nube.
• Microsoft 365.
• Google Workspace.
• AWS.
• Registros de Windows y Linux.
• Soluciones de correo electrónico.
• Herramientas de protección de endpoints.

La consolidación de datos reduce la complejidad operativa y proporciona una visión mucho más completa de la superficie de ataque.

El futuro de los SOC ya comenzó

La inteligencia artificial no está reemplazando a los analistas de seguridad; está potenciando sus capacidades.

Al reducir la complejidad técnica de las investigaciones y acelerar el acceso a información crítica, la IA permite que los equipos respondan más rápido, tomen mejores decisiones y aprovechen al máximo la telemetría que ya poseen.

En un entorno donde las amenazas evolucionan constantemente y el volumen de datos sigue creciendo, la capacidad de hacer preguntas simples y obtener respuestas precisas podría convertirse en una de las ventajas competitivas más importantes para cualquier operación de ciberseguridad.

"La pregunta ya no es si la inteligencia artificial formará parte del SOC moderno."

"La pregunta es qué tan rápido las organizaciones podrán aprovecharla."

CVE-2025-48804 está permitiendo nuevas técnicas para acceder a BitLocker

Una amenaza de ciberseguridad herramienta de prueba de concepto (PoC) recientemente publicada, llamada BitUnlocker, demuestra un peligroso ataque de degradación que puede eludir el cifrado de disco completo BitLocker de Microsoft en dispositivos con Windows 11.

¿Cuál es la exposición o el riesgo?

La vulnerabilidad afecta a las configuraciones BitLocker solo con TPM y PCR 7+11, que representan las configuraciones predeterminadas más comunes en las empresas, dejando expuesta una amplia gama de portátiles y estaciones de trabajo corporativas. El exploit aprovecha el hecho de que el Arranque Seguro sigue confiando en la cadena de certificados heredada "Windows PCA 2011" en muchos sistemas. Dado que el gestor de arranque permanece correctamente firmado, el TPM trata el proceso de arranque como de confianza y libera automáticamente las claves de descifrado de BitLocker. Como resultado, Windows no muestra una pantalla de recuperación ni una advertencia durante el ataque.

🛡️ Cómo reducir el riesgo (antes de que alguien más lo haga por ti)

• Habilitar la autenticación previa al arranque mediante TPM + PIN.
• Migrar a Windows UEFI CA 2023.
• Aplicar el parche de julio de 2025.
• Elimine la partición de recuperación de WinRE.
• Verifique el certificado del administrador de arranque activo.

ConnectWise podría permitir la evasión de validaciones 

ConnectWise ha revelado una vulnerabilidad de alto impacto en su plataforma ConnectWise Automate que podría permitir a los atacantes eludir la validación crítica de integridad durante la carga de complementos y los mecanismos de autoactualización del agente, lo que podría habilitar la ejecución de código malicioso en las implementaciones locales afectadas.

¿Cuál es la exposición o el riesgo?

Esta vulnerabilidad afecta a las implementaciones locales de ConnectWise Automate que ejecutan versiones anteriores a la 2026.5. ConnectWise señala que las instancias alojadas en la nube ya se han actualizado automáticamente, lo que reduce la exposición en entornos de nube gestionados. Una explotación exitosa puede permitir a un atacante ejecutar componentes maliciosos mediante la carga de complementos y la autoactualización del Agente de Automate, lo que conlleva la ejecución de código no autorizado en el sistema del agente. Esto podría proporcionar al atacante una puerta de entrada para actividades posteriores.

🛡️ Cómo reducir el riesgo (antes de que alguien más lo haga por ti)

• Actualice ConnectWise Automate local a la versión 2026.5 o posterior para solucionar el problema de validación de integridad/autenticidad que afecta a la carga de complementos y a los componentes de autoactualización.
• Revise si hay actividad anómala de carga de complementos del agente o de autoactualización, comprobando la red relacionada y la telemetría del agente/actualización en busca de indicios de descargas o comportamientos inesperados de componentes (especialmente dentro del período de tiempo de actividad inusual).
• Limite la exposición a redes adyacentes restringiendo las rutas de red y el acceso necesarios para las operaciones de Automate, lo que reduce la posibilidad de que un atacante manipule los componentes descargados durante los flujos de trabajo de carga/actualización automática de complementos.
• Cree un plan de respuesta ante incidentes para escenarios de vulneración de seguridad de Automate.

RedSun, capaz de explotar Microsoft Defender 

Una nueva prueba de concepto (PoC), RedSun, explota vulnerabilidades en dispositivos Windows que ejecutan la protección en tiempo real de Microsoft Defender en Windows 10, Windows 11 y Windows Server 2019+. Aprovecha el manejo de archivos etiquetados en la nube por parte de Defender para lograr una escalada de privilegios local a SYSTEM.

¿Cuál es la exposición o el riesgo?

La protección en tiempo real de Microsoft Defender queda expuesta a esta vulnerabilidad cuando los atacantes utilizan archivos etiquetados en la nube a través de la API de Archivos en la nube. Los informes de seguridad confirman que la prueba de concepto funciona en sistemas con todas las actualizaciones instaladas en abril de 2026 y se activa cuando la corrección de Defender realiza una reescritura no validada o una restauración a la ruta original.

El riesgo inmediato es la escalada de privilegios locales a SYSTEM, que los atacantes pueden aprovechar para comprometer completamente el sistema, robar credenciales, mantener el acceso no autorizado, usar ransomware o realizar movimientos laterales. Los indicadores basados ​​en evidencia incluyen eventos de Defender relacionados con archivos etiquetados en la nube, seguidos de actividades de restauración o sobrescritura de archivos, así como la ejecución de binarios sobrescritos desde ubicaciones con permisos de escritura para el usuario bajo el contexto de SYSTEM.

🛡️ Cómo reducir el riesgo (antes de que alguien más lo haga por ti)

Monitorear los indicadores de explotación activa:

• Sobrescritura de C:\Windows\System32\TieringEngineService.exe, ejecución de SYSTEM vinculada a la infraestructura de archivos en la nube.
• Archivos binarios de preparación que el usuario puede escribir (por ejemplo, RedSun.exe en Descargas/Imágenes).
• Validar las alertas recientes de etiquetas en la nube de Defender seguidas del comportamiento de restauración/sobrescritura.
• Aplique todas las actualizaciones de Defender/SO y, hasta que Microsoft publique la solución, considere limitar o deshabilitar temporalmente las funciones de archivos en la nube siempre que sea posible.
• Restringir las rutas de escritura/ejecución de los usuarios locales y aumentar la monitorización.
• Crear y ensayar un plan de respuesta ante incidentes específico para RedSun:
• Desarrollar un manual de procedimientos al estilo Outlook-RCE que defina las medidas de contención, incluido el aislamiento de los huéspedes sospechosos.
• Conserve el correo electrónico malicioso y los artefactos relevantes de Outlook/correo electrónico y registro del punto final.
• Revise los procedimientos de aplicación de parches y de escalamiento.
• Revise la telemetría en busca de comportamientos sospechosos activados por correo electrónico o por respuesta.
• Gire y verifique las credenciales según sea necesario ante la sospecha de una posible vulneración de seguridad.

Se detectó una explotación activa de una vulnerabildiad en Outlook Web Access 

Una vulnerabilidad de suplantación de identidad en Outlook Web Access (OWA) de Microsoft Exchange Server, identificada como CVE-2026-42897, está siendo explotada activamente. Este problema afecta a Exchange Server 2016, Exchange Server 2019 y Exchange Server Subscription Edition en todos los niveles de actualización.

¿Cuál es la exposición o el riesgo?

Las organizaciones que utilizan Exchange 2016, 2019 o Subscription Edition en sus instalaciones, con OWA expuesto, corren un riesgo directo. Cualquier usuario que abra un correo electrónico malicioso en OWA podría activar la vulnerabilidad sin saberlo, lo que le daría a un atacante acceso a su sesión. Una explotación exitosa permite la suplantación de identidad, incluyendo el envío de correos electrónicos como la víctima, la lectura o el reenvío de mensajes confidenciales y la modificación de las reglas del buzón para extraer datos silenciosamente. Dado que la vulnerabilidad se ejecuta como JavaScript en el navegador, también puede recopilar cookies de sesión, tokens y otros datos del navegador, lo que podría permitir un acceso más amplio a Exchange o aplicaciones web relacionadas.

En entornos donde OWA se integra con el inicio de sesión único (SSO), el impacto puede ir más allá del correo electrónico, brindando a los atacantes acceso indirecto a recursos adicionales en la nube o web. Los atacantes pueden combinar esta técnica con ataques de phishing o de relleno de credenciales para escalar desde una única sesión comprometida hasta una mayor exposición organizacional.

El riesgo es especialmente alto para cuentas privilegiadas o de alto valor, como las de ejecutivos, administradores y buzones compartidos utilizados para flujos de trabajo de finanzas, recursos humanos o compras. Dado que la explotación se basa en el contenido del correo electrónico en lugar de una carga útil tradicional, puede mimetizarse con el tráfico normal y eludir la detección básica de antivirus o basada en archivos adjuntos.

🛡️ Cómo reducir el riesgo (antes de que alguien más lo haga por ti)

Habilite el servicio de mitigación de emergencia de Exchange (EEM) de Microsoft en todos los servidores Exchange locales afectados. Como alternativa, ejecute la última herramienta de mitigación de Exchange local (EOMT) para CVE-2026-42897 y verifique que el estado de mitigación aparezca como aplicado.

Reduzca la exposición directa de OWA a Internet siempre que sea posible. Por ejemplo, exija el uso de una VPN o publique OWA detrás de un proxy inverso o una puerta de enlace de aplicación con controles adicionales, como reglas de WAF.

Supervise atentamente el uso de OWA y los buzones de correo en busca de indicios de abuso. Preste atención a incidentes como inicios de sesión inusuales, reglas de bandeja de entrada nuevas o sospechosas, reenvíos inesperados o actividad inusual en la carpeta de Elementos enviados/eliminados.

Actualizar los agentes de seguridad a las últimas versiones y configurarlos para detectar/automatizar la detección de comportamientos sospechosos.

Prepárese para implementar la actualización de seguridad una vez que esté disponible. Planifique volver a validar la configuración de Exchange y eliminar las medidas de mitigación temporales una vez que se hayan aplicado todos los parches.

Cumpla con las directrices regulatorias (como los plazos KEV de CISA) documentando los servidores afectados, las medidas de mitigación aplicadas y los cronogramas de implementación.

Pruebe las medidas de mitigación de forma controlada (por ejemplo, en un entorno de prueba o en un subconjunto limitado de servidores) para asegurarse de que no interrumpan los flujos de correo críticos y, a continuación, impleméntelas de forma coherente en todos los servidores de Exchange.

Restrinja el acceso a las interfaces de administración de Exchange limitando los permisos a los administradores necesarios e implementando una autenticación sólida y la autenticación Multifactor (MFA) para todas las cuentas de administrador.

Centralice el registro robusto de Exchange y OWA (por ejemplo, reenvíe los registros a SIEM/XDR) para detectar e investigar rápidamente los intentos de explotación o las anomalías relacionadas con CVE 2026 42897.

Vulnerabilidad de omisión de autenticación está poniendo bajo presión entornos Cisco SD-WAN. 

Se ha identificado una vulnerabilidad de día cero de omisión de autenticación, identificada como CVE-2026-20182 con una puntuación CVSS máxima de 10.0, en Cisco Catalyst SD-WAN Controller y Manager. Esta vulnerabilidad permite a atacantes no autenticados obtener el máximo nivel de acceso administrativo a los sistemas afectados sin credenciales válidas y actualmente está siendo explotada activamente por UAT-8616, un grupo de amenazas persistente y sofisticado previamente vinculado a múltiples campañas de día cero dirigidas a tecnologías de borde de red de Cisco.

¿Cuál es la exposición o el riesgo?

Las organizaciones que corren mayor riesgo son aquellas que utilizan versiones sin parchear del controlador o administrador Cisco Catalyst SD-WAN, independientemente del tipo de implementación. Esto incluye entornos locales, en la nube y FedRAMP. El riesgo también aumenta cuando las organizaciones exponen las interfaces del controlador o administrador SD-WAN a redes accesibles desde internet, lo que proporciona a los atacantes un punto de entrada directo. Además, las organizaciones que dependen de Cisco SD-WAN para gestionar infraestructuras distribuidas en sucursales, centros de datos y entornos en la nube se ven más afectadas.

Entre las posibles repercusiones se incluyen el control administrativo no autorizado de toda la red superpuesta SD-WAN, la interceptación o manipulación del tráfico enrutado, el despliegue masivo de configuraciones maliciosas, la interrupción del servicio en toda la organización y un posible punto de inflexión para un mayor movimiento lateral hacia la infraestructura conectada.

🛡️ Cómo reducir el riesgo (antes de que alguien más lo haga por ti)

Aplique de inmediato los parches publicados por Cisco para la vulnerabilidad CVE-2026-20182 a todas las implementaciones de Cisco Catalyst SD-WAN Controller y Manager.

Revise y restrinja el acceso externo a los servicios del plano de administración de SD-WAN; limite el acceso únicamente a rangos de IP de confianza y redes de administración.

Revise la exposición a las tres vulnerabilidades previamente encadenadas (CVE-2026-20122, CVE-2026-20128, CVE-2026-20133) y confirme que se hayan aplicado los parches.

Implementar la segmentación de red para aislar la infraestructura de gestión de SD-WAN de las redes de uso general y los sistemas conectados a Internet.

Explotación activa: vulnerabilidad Zero-Day en PAN-OS permite tomar control de firewalls de Palo Alto 

Los ciberdelincuentes están explotando activamente una vulnerabilidad de día cero en PAN-OS que afecta al portal de autenticación de ID de usuario (cautivo). Esta vulnerabilidad permite la ejecución remota de código sin autenticación con privilegios de administrador en firewalls de las series PA y VM.

¿Cuál es la exposición o el riesgo?

Las organizaciones que exponen el portal de autenticación de ID de usuario de PAN-OS a redes no confiables se enfrentan a un riesgo inmediato. Una explotación exitosa puede otorgar a los atacantes control total de nivel raíz del firewall, lo que permite la manipulación de la configuración, la persistencia, el robo de credenciales y el reconocimiento de Active Directory o del dominio mediante cuentas de servicio almacenadas en el dispositivo. Los atacantes también pueden establecer túneles ocultos para penetrar más profundamente en el entorno y extraer datos, eliminando registros y artefactos para dificultar la respuesta a incidentes y prolongar el tiempo de permanencia.

🛡️ Cómo reducir el riesgo (antes de que alguien más lo haga por ti)

inventaríe todos los firewalls de las series PA y VM y determine si el portal de autenticación de ID de usuario (cautivo) está habilitado y es accesible desde redes no confiables.

Mapear las zonas de acceso y las interfaces para identificar cualquier exposición a Internet o a socios comerciales.

Confirme que las implementaciones de Prisma Access, Cloud NGFW y Panorama no se vean afectadas.

Aplicar medidas de mitigación inmediatas:

• Restrinja el acceso al portal cautivo únicamente a redes internas de confianza; asegúrese de que no sea accesible públicamente.
• Desactive las páginas de respuesta en los perfiles de administración de interfaz asociados a interfaces de capa 3 no confiables o con acceso a Internet.
• Desactive completamente el portal cautivo si no es necesario.
• Habilite la ID de amenaza 510019 y actualice a la versión 9097-10022 o posterior del contenido de Aplicaciones y amenazas (clientes de Prevención avanzada de amenazas).
• Asegúrese de tener PAN-OS 11.1 o posterior para la compatibilidad con el decodificador.

Refuerzo de los controles de red y gestión:

• Aísle el plano de administración mediante redes de administración dedicadas o acceso VPN con autenticación multifactor (MFA) y lista blanca de direcciones IP.
• Siempre que sea posible, coloque los servicios accesibles desde Internet detrás de servidores proxy de confianza.
• Reenvíe todos los registros del firewall a un SIEM externo o a un repositorio de registros seguro prácticamente en tiempo real.

Detección y búsqueda de vulnerabilidades:

• Inspeccione los dispositivos expuestos para detectar comportamientos anormales del proceso NGINX, fallos, volcados de memoria o uso de ptrace.
• Revise los registros del sistema, de fallos y de NGINX en busca de lagunas o eliminaciones cerca de las ventanas de posible explotación.
• Búsqueda de herramientas de tunelización (por ejemplo, Earthworm, ReverseSocks5), reconocimiento de directorios mediante cuentas de servicio de firewall y conexiones salientes anómalas o túneles SOCKS.
• Supervise las consultas sospechosas a Active Directory, el uso de credenciales y las anomalías de autenticación SAML de alto volumen.

Responder y recuperarse:

• Aísle inmediatamente cualquier dispositivo que se sospeche que está comprometido y conserve los registros y los archivos relevantes.
• Involucre a los equipos de soporte del proveedor y de respuesta a incidentes.
• Reinstalar una imagen de PAN-OS en los dispositivos afectados, utilizando una versión que se sabe que funciona correctamente, y restaurar las configuraciones validadas.
• Rote todas las credenciales, secretos, claves API y certificados asociados al firewall.
• Validar los nodos HA para detectar compromisos secundarios.

Fortalecer la gobernanza y la garantía de calidad:

• Implementar acuerdos de nivel de servicio (SLA) para la aplicación rápida de parches y la actualización de contenido en los servicios expuestos a Internet.
• Verifique periódicamente que el portal cautivo no esté expuesto a redes no confiables.
• Supervise continuamente la superficie de ataque externa y haga un seguimiento de los avisos de los proveedores para tomar medidas oportunas.

Phishing + RMM: La combinación que está permitiendo acceso persistente sin levantar alertas 

Se ha detectado una campaña de phishing activa que ataca múltiples vectores y aprovecha herramientas legítimas de Monitoreo y Administración Remota (RMM) para establecer acceso remoto persistente en equipos comprometidos.

¿Cuál es la exposición o el riesgo?

Esta campaña supone un alto riesgo, ya que los atacantes pueden obtener el control sigiloso y a largo plazo de los sistemas de las víctimas utilizando herramientas RMM legítimas y firmadas por el proveedor, en lugar de malware tradicional. Una vez que los atacantes se establecen, roban credenciales, se mueven lateralmente, implementan cargas útiles adicionales, incluido ransomware, extraen datos confidenciales o venden el acceso a otros actores maliciosos. Dado que la campaña ya ha afectado a más de 80 organizaciones en diversos sectores, principalmente en Estados Unidos, pone de manifiesto un riesgo sistémico: cualquier entorno que permita o confíe en el software RMM es vulnerable al acceso remoto encubierto, especialmente cuando se puede engañar a los usuarios para que lo instalen ellos mismos mediante ingeniería social.

🛡️ Cómo reducir el riesgo (antes de que alguien más lo haga por ti)

Restringir e inventariar todas las herramientas RMM, permitiendo únicamente soluciones aprobadas de proveedores de confianza con justificación comercial documentada.

Implementar la verificación de la lista de aplicaciones permitidas y la firma de código para bloquear las instancias no autorizadas o autohospedadas de SimpleHelp y ScreenConnect.

Aplique el principio de mínimo privilegio y exija la aprobación del administrador (o acceso justo a tiempo) para la instalación y el uso de cualquier software de acceso remoto.

Refuerce la seguridad del correo electrónico (filtros antiphishing, reescritura de URL, aislamiento de archivos adjuntos) y bloquee o marque los correos electrónicos que intenten imitar a la SSA o que suplanten la identidad del gobierno.

Supervise la aparición de servicios de Windows nuevos o inusuales, especialmente aquellos que permiten la persistencia en el Modo seguro o que invocan los binarios de SimpleHelp/ScreenConnect.

Recopilar y analizar la telemetría de los puntos finales para detectar balizas de red frecuentes, conexiones RMM duales y sesiones remotas anómalas.

Impartir formación a los usuarios sobre estafas de soporte remoto y correos electrónicos fraudulentos de "declaración de la SSA" o "verificación de beneficios".

Establecer protocolos de respuesta ante incidentes de abuso de RMM, que incluyan la contención rápida, el restablecimiento de credenciales y la revisión forense de las sesiones remotas.