No tienes artículos en tu carrito de compras.
Rss

Entradas de blog etiquetadas con ' #cyberdefense '

⚠️ “Ataque a CPUID: software legítimo distribuido con malware”
Alertas en ciberseguridad

 CPU-Z y HWMonitor:

Afectados por distribución de software malicioso


CPUID ha confirmado un ataque a la cadena de suministro de software que comprometió brevemente la infraestructura de descarga oficial de sus populares herramientas de monitorización de hardware, CPU-Z y HWMonitor. Durante un breve periodo de exposición, los atacantes manipularon los enlaces de descarga en el sitio web de CPUID, lo que provocó que los usuarios recibieran instaladores con troyanos que distribuían malware en lugar de las utilidades legítimas.

Análisis de la Amenaza

Este incidente representa una brecha en la cadena de suministro del canal oficial de distribución de software de CPUID. Los atacantes modificaron los enlaces de descarga en cpuid.com para redirigir a los usuarios a una infraestructura controlada por ellos que alojaba archivos ejecutables maliciosos disfrazados de instaladores legítimos.

  • Los usuarios que descargaron CPU-Z o HWMonitor durante el período de exposición podrían haber ejecutado malware sin saberlo.

La importancia de la vulnerabilidad

Compromiso de una API secundaria que controla la redirección de descargas, no el proceso de firma de código.  Distribución de instaladores maliciosos a través de enlaces presentados en el sitio web oficial de CPUID.

Técnicas diseñadas para evadir las herramientas antivirus y de detección y respuesta en puntos finales (EDR). Uso de enmascaramiento de archivos y ejecución de memorias.

El verdadero riesgo de las organizaciones 

Los usuarios siguieron comportamientos normales y fiables al descargar el software directamente desde el sitio web oficial de CPUID, lo que socavó las suposiciones tradicionales de confianza.

Exposición y Riesgo Organizacional

Este tipo de incidentes refuerza una realidad incómoda:

  • CPU-Z y HWMonitor son utilizados por millones de personas, incluidos profesionales de TI y entornos empresariales, lo que aumenta el radio de explosión potencial.
  • Los investigadores observaron una ejecución en múltiples etapas, operaciones en memoria y técnicas anti-análisis, lo que indica un nivel de sofisticación superior al promedio.
  • Sistemas que descargaron CPU-Z, HWMonitor o herramientas CPUID relacionadas desde cpuid.com durante el período de vulnerabilidad.
  • Puntos finales que carecen de detección basada en el comportamiento capaz de identificar cargadores en memoria
  • Entornos empresariales donde se permiten estas utilidades sin controles de aplicación adicionales ni listas de permitidos.

Estrategias de Mitigación

Las acciones inmediatas son claras:

Área de Enfoque Acción Recomendada
Consola Identifique los puntos finales potencialmente afectados revisando la actividad de descarga e instalación de CPU-Z y HWMonitor durante el período de tiempo informado.
Instalación Desinstale cualquier utilidad afectada y vuelva a descargarla únicamente desde fuentes seguras y confirmadas después de que el proveedor haya solucionado el problema.
Endpoints Realizar análisis completos de los puntos finales, con especial atención a la detección de amenazas residentes en la memoria.

Incidente "Breve"

Aunque el incidente duró solo unas horas, los puntos finales afectados podrían verse totalmente comprometidos con una interacción mínima del usuario más allá de la instalación.

XDR Endpoint Security

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

⚠️ Nueva técnica evade antivirus usando ZIP dañados
Alertas en ciberseguridad

 Zombie ZIP:

 Técnica avanzada de evasión contra AV y EDR


Una nueva técnica de evasión conocida como Zombie ZIP está dejando al descubierto puntos débiles en el análisis de archivos comprimidos por parte de las herramientas de seguridad. Al manipular los metadatos de los archivos ZIP, los atacantes pueden ocultar malware dentro de archivos que parecen dañados, pero que aun así ejecutan código malicioso en sistemas comprometidos.

Análisis de la Amenaza

Zombie ZIP es una técnica de evasión recientemente descubierta que utiliza archivos ZIP malformados deliberadamente para ocultar malware a los antivirus (AV) y a las herramientas de detección y respuesta de endpoints (EDR). Los atacantes alteran el campo del método de compresión ZIP para indicar falsamente que los archivos no están comprimidos ("STORED"), aunque los datos sigan comprimidos con DEFLATE. Dado que muchos motores de seguridad confían en estos metadatos, analizan el contenido como bytes sin procesar y no detectan el malware incrustado.

Aunque estos archivos suelen parecer dañados y normalmente no se abren con herramientas estándar como WinRAR o 7-Zip, un cargador personalizado puede descomprimir y ejecutar correctamente la carga útil oculta en el sistema de la víctima.

La distribución web y en la nube conlleva riesgos similares. Los usuarios pueden descargar archivos ZIP maliciosos desde sitios web de apariencia legítima, herramientas de colaboración o plataformas de almacenamiento en la nube que, tras escanearlos, los consideran erróneamente seguros.

Los puntos finales también son vulnerables si las herramientas antivirus o EDR locales dependen del análisis estricto de archivos ZIP y no logran descomprimir archivos mal formados. En esos casos, el comportamiento del usuario o la detección genérica del comportamiento pueden ser la única medida de seguridad una vez que se ejecuta la carga útil. Esto puede provocar una intrusión inicial, movimiento lateral, robo de datos o la implementación de Ransomware.

  • ZIP para indicar falsamente que los archivos no están comprimidos ("STORED"), aunque los datos sigan comprimidos con DEFLATE. 

La importancia de la vulnerabilidad

Algunos investigadores argumentan que no se trata de una vulnerabilidad en el sentido tradicional, ya que estos archivos generalmente requieren un cargador personalizado para funcionar y no pueden abrirse con utilidades estándar. Aun así, independientemente de su clasificación, la técnica sirve como una forma eficaz de ocultar las cargas útiles de segunda etapa a las herramientas antivirus/EDR y a las pasarelas que no validan completamente la estructura ZIP.

Zombie ZIP destaca porque explota inconsistencias en el análisis sintáctico, no una vulnerabilidad de software tradicional. Las primeras pruebas públicas demuestran que muchas herramientas antivirus y de seguridad no detectan el contenido malicioso dentro de estos archivos ZIP manipulados. En muchos casos, los motores simplemente los tratan como "corruptos", "no escaneables" o "no compatibles", y detienen el análisis prematuramente, lo que proporciona a los atacantes un método fiable para eludir las defensas.

El verdadero riesgo de las organizaciones 

El principal riesgo reside en la distribución silenciosa de malware, especialmente a través de canales comunes como correos electrónicos de phishing o archivos compartidos.

Exposición y Riesgo Organizacional

Este tipo de incidentes refuerza una realidad incómoda:

  • Los archivos adjuntos ZIP gozan de amplia confianza, lo que significa que un archivo ZIP infectado puede pasar desapercibido en los servidores de correo electrónico.
  • Puede llegar a los usuarios incluso si contiene binarios o scripts maliciosos conocidos.

Estrategias de Mitigación

Las acciones inmediatas son claras:

Área de Enfoque Acción Recomendada
CRC Considere como de alto riesgo los archivos ZIP que generen advertencias de "corrupción", errores CRC o "método no compatible".
Procesos de Sandboxing Habilite y ajuste la protección avanzada contra amenazas o el aislamiento de procesos (sandboxing) para los archivos comprimidos; evite excluir los archivos ZIP "corruptos" de un análisis más profundo.
Registro Supervise los registros para detectar fallos repetidos en el análisis de archivos o valores inconsistentes en el encabezado ZIP.
Capacitación Refuerce la capacitación de los usuarios: no confíe en archivos ZIP de fuentes desconocidas o inesperadas.
Implementación XDR Asegúrese de que las herramientas de seguridad antivirus, EDR, de correo electrónico y web utilicen los motores de detección y las actualizaciones más recientes.

Puntos finales

El riesgo es particularmente preocupante para las organizaciones que asumen que las amenazas basadas en ZIP están adecuadamente mitigadas por los controles de puerta de enlace y análisis de archivos existentes.

XDR Endpoint Security

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

🚨 “El PDF que abriste hoy podría haber comprometido toda tu empresa”
Alertas en ciberseguridad

 Ataque activo: en Adobe

 Basta con abrir un PDF para perder el control del sistema


Los informes confirman la explotación activa de una vulnerabilidad de día cero previamente desconocida en Adobe Acrobat Reader desde al menos diciembre de 2025. Los atacantes distribuyen archivos PDF maliciosos mediante phishing y otros métodos de ingeniería social para lograr la ejecución remota de código al abrir el archivo. 

Análisis de la Amenaza

La amenaza consiste en una vulnerabilidad de día cero en Adobe Acrobat Reader que permite la ejecución de código arbitrario a través de documentos PDF manipulados. Estos archivos suelen disfrazarse de documentos comerciales legítimos, como facturas, contratos o informes internos, y se distribuyen mediante phishing o tácticas similares de ingeniería social. Al abrirse, ciertos objetos manipulados dentro del PDF provocan una corrupción de memoria, lo que permite a los atacantes redirigir el flujo de ejecución y ejecutar código malicioso sin macros ni interacción adicional del usuario. El análisis técnico realizado por Sophos e investigadores independientes indica que la vulnerabilidad es modular y altamente fiable, lo que refleja un profundo conocimiento de la arquitectura interna de Adobe Reader y su comportamiento en distintas versiones y sistemas operativos.

Una vez que se logra la ejecución del código, el ataque suele progresar a una carga útil de segunda fase diseñada para escapar del entorno aislado de Adobe Reader aprovechando fallos lógicos adicionales o vulnerabilidades en la comunicación entre procesos. Tras evadir el entorno aislado, la carga útil puede generarse o inyectarse en procesos de confianza. Esto permite a los atacantes desplegar malware, establecer persistencia y comunicarse con la infraestructura de comando y control. Dado que el ataque se activa al abrir un PDF, proporciona un vector de acceso inicial sencillo y altamente efectivo que puede eludir la detección sin una monitorización de comportamiento avanzada.

  • Adobe Acrobat Reader que permite la ejecución de código arbitrario a través de documentos PDF manipulados.

La importancia de la vulnerabilidad

Esta amenaza es relevante debido a la explotación activa y en curso de una vulnerabilidad de día cero en una aplicación empresarial ampliamente utilizada. Los ataques basados en PDF son particularmente efectivos debido a la confianza inherente que los usuarios depositan en los formatos de documentos, lo que los hace ideales para el phishing y las campañas de intrusión dirigidas.

La sofisticación de la cadena de exploits que incluye la ejecución fiable del código y la evasión del entorno aislado también apunta a la existencia de ciberdelincuentes altamente capacitados. Además, la evidencia sugiere que la explotación comenzó meses antes de su divulgación pública, lo que aumenta la probabilidad de que algunas organizaciones ya estén comprometidas.

El verdadero riesgo de las organizaciones 

Las organizaciones se enfrentan a un riesgo significativo de vulneración de sus sistemas mediante el manejo rutinario de documentos.

Exposición y Riesgo Organizacional

Este tipo de incidentes refuerza una realidad incómoda:

  • Una explotación exitosa permite la ejecución de código no autorizado en el contexto del usuario. Esto puede derivar en la instalación de malware, el robo de credenciales, el movimiento lateral de sistemas y, potencialmente, la vulneración total del dominio.
  • Los entornos que intercambian documentos externos de forma habitual, como los departamentos de finanzas, legal, recursos humanos y atención al cliente, son especialmente vulnerables.

Estrategias de Mitigación

Las acciones inmediatas son claras:

Área de Enfoque Acción Recomendada
Actualización Aplique las actualizaciones de seguridad con prontitud: Supervise los avisos de Adobe e implemente los parches inmediatamente en cuanto haya una solución disponible.
Restricción de archivos Restringir el manejo de archivos PDF:  Siempre que sea posible, limite el uso de Adobe Reader o abra los archivos PDF en entornos de visualización aislados o de solo lectura.
Seguridad de correo electrónico Mejore la seguridad del correo electrónico. priorice la actualización de los servicios con acceso a Internet, como Microsoft SharePoint, aplique la autenticación multifactor (MFA) y una estricta higiene de credenciales, y minimice las cuentas administrativas permanentes.
Limites de acceso Limitar las herramientas de doble uso: Bloquee o aísle los archivos PDF adjuntos de fuentes externas, especialmente aquellos que contengan estructuras inusuales o contenido incrustado.
Concientizar usuarios Aumentar la concienciación de los usuarios: Reforzar las directrices sobre cómo gestionar documentos PDF inesperados o no solicitados.

Monitorización de instancias.

Realizar una monitorización de búsqueda de amenazas para detectar procesos secundarios sospechosos de Adobe Reader, comportamientos de memoria anormales o conexiones salientes inesperadas tras la apertura de archivos PDF.

Conoce nuestros planes

Email Protection Advanced

Barracuda Email Protection Advanced

Protección avanzada contra phishing, ransomware, malware y amenazas de día cero en correo electrónico.

Comprar
Email Protection Premium

Barracuda Email Protection Premium

Seguridad esencial para correo electrónico con filtrado de spam, malware y protección básica contra phishing.

Comprar
Email Protection Premium Plus

Barracuda Email Protection Premium Plus

Analiza tu entorno de correo electrónico para identificar amenazas activas y vulnerabilidades de seguridad.

Comprar
Cobra Networks

🚨 El ransomware ahora apaga tu EDR antes de atacar
Alertas en ciberseguridad

Más de 300 soluciones EDR vulnerables:

 El nuevo nivel del ransomware


Los grupos de ransomware Qilin y Warlock (también conocido como “Water Manaul”) utilizan técnicas de "traiga su propio controlador vulnerable" (BYOVD) para deshabilitar las herramientas de seguridad de endpoints en sistemas Windows. Estos ciberdelincuentes pueden desactivar más de 300 controladores EDR de diversos proveedores de seguridad.

Análisis de la Amenaza

Qilin y Warlock utilizan técnicas BYOVD para obtener control a nivel de kernel de los sistemas Windows y deshabilitar las herramientas de seguridad antes de lanzar ataques de ransomware. Qilin implementa un archivo malicioso msimg32.dll a través de un proceso de confianza para ejecutar un "asesino de EDR" en memoria, reduciendo el registro y ocultando la actividad. Esta carga útil abusa de controladores vulnerables como rwdrv.sys (un ThrottleStop.sys renombrado ) y hlpdrv.sys para acceder a la memoria del sistema y deshabilitar más de 300 productos EDR deteniendo sus procesos, descargando controladores y eliminando los ganchos de monitoreo y la visibilidad de Event Tracing for Windows (ETW).

Qilin suele obtener acceso mediante credenciales robadas y dedica aproximadamente seis días a moverse lateralmente y preparar su ataque antes de desplegar el ransomware. Warlock, por el contrario, explota servidores Microsoft SharePoint sin parchear para obtener acceso inicial y utiliza el controlador vulnerable NSecKrnl.sys —que reemplaza al anterior googleApiUtil64.sys— para deshabilitar las herramientas de seguridad a nivel del kernel. Warlock también depende en gran medida de herramientas administrativas y de código abierto comunes, como TightVNC, PsExec, RDP Patcher, Velociraptor, Visual Studio Code con Cloudflare Tunnel y Yuze, y Rclone, para mantener el acceso, moverse lateralmente y extraer datos antes del cifrado.

  • rwdrv.sys (un ThrottleStop.sys renombrado ) y hlpdrv.sys

La importancia de la vulnerabilidad

Estas campañas demuestran que los operadores de ransomware modernos ya no se centran únicamente en el cifrado, sino que atacan deliberadamente la capa del kernel para cegar primero a los defensores. La capacidad de deshabilitar cientos de controladores EDR de distintos proveedores socava la suposición de que las protecciones de los endpoints permanecerán activas durante un ataque. Qilin es uno de los grupos de ransomware más activos en la actualidad, mientras que el conjunto de herramientas en constante evolución de Warlock sugiere que la elusión de EDR basada en BYOVD se está convirtiendo en una técnica estándar. En consecuencia, la integridad de los controladores y del kernel son ahora preocupaciones de seguridad primordiales, no medidas de refuerzo opcionales.

Cualquier organización que utilice sistemas Windows con controles de seguridad basados en controladores está en riesgo, ya que estos ataques están diseñados para neutralizar dichas protecciones. Dado que los controladores maliciosos son válidos y están firmados simplemente vulnerables, las listas de permitidos básicas o los controles de "solo controladores firmados" podrían no bloquearlos. Una vez desactivado EDR, los atacantes pueden moverse sigilosamente por el entorno, localizar sistemas críticos y robar datos con poca o ninguna detección.

El verdadero riesgo de las organizaciones 

Las organizaciones con sistemas conectados a internet sin actualizar en particular Microsoft SharePoint se enfrentan a un mayor riesgo debido a los patrones de explotación conocidos de Warlock. El uso que hacen los atacantes de herramientas administrativas legítimas permite que la actividad se mimetice con las operaciones informáticas habituales.

Exposición y Riesgo Organizacional

Este tipo de incidentes refuerza una realidad incómoda:

  • El acceso a nivel de kernel también permite manipular los registros y el comportamiento del sistema, lo que dificulta la detección, la investigación y la recuperación.
  • En entornos regulados o de misión crítica, esto puede provocar interrupciones prolongadas, incumplimiento de normativas y un daño significativo a la reputación.

Estrategias de Mitigación

Las acciones inmediatas son claras:

Área de Enfoque Acción Recomendada
Controladores Refuerce los controles de controladores y del núcleo: utilice listas de controladores permitidos (como WDAC o Integridad del código), habilite y mantenga la lista de bloqueo de controladores vulnerables de Microsoft y elimine los controladores obsoletos o innecesarios, especialmente los controladores de optimización y de seguridad heredados.
Instalaciones Supervise la manipulación de BYOVD y EDR:  reciba alertas sobre nuevas instalaciones o cargas de controladores, archivos .sys sospechosos (por ejemplo, rwdrv.sys , ThrottleStop.sys , hlpdrv.sys , NSecKrnl.sys ) y fallos repentinos del agente EDR o pérdida de telemetría.
Accesos Reduzca las vías de acceso iniciales: priorice la actualización de los servicios con acceso a Internet, como Microsoft SharePoint, aplique la autenticación multifactor (MFA) y una estricta higiene de credenciales, y minimice las cuentas administrativas permanentes.
Limites de acceso Limitar las herramientas de doble uso: Restringir o controlar estrictamente PsExec, TightVNC, RDP Patcher, Rclone y utilidades similares mediante el principio de mínimo privilegio, el control de aplicaciones y el acceso justo a tiempo.
EDR Refuerce la detección y la respuesta: centralice los registros de puntos finales, controladores y redes en plataformas SIEM/XDR, cree detecciones para patrones de acceso remoto inusuales y túneles, y desarrolle manuales de procedimientos para actividades sospechosas de BYOVD o de desactivación de EDR.
Testeo Coordinar y probar: Involucrar a los proveedores de EDR y sistemas operativos en las protecciones BYOVD e incluir escenarios de manipulación de EDR en ejercicios de equipo rojo, equipo morado o simulacros de mesa para validar las defensas y la preparación para la respuesta.

Axios y la importancia de su uso:

Una vez desactivado EDR, los atacantes pueden moverse sigilosamente por el entorno, localizar sistemas críticos y robar datos con poca o ninguna detección. Esto puede comprometer completamente la organización.

XDR Endpoint Security

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

🚨 Axios comprometido: alerta crítica por ataque a la cadena de suministro
Alertas en ciberseguridad

Del código al riesgo:

Cómo un ataque a Axios expone fallas invisibles


El popular cliente HTTP Axios fue comprometido recientemente en un incidente que muchos investigadores atribuyen a un ciberataque vinculado a Corea del Norte. Los atacantes obtuvieron acceso a la cuenta NPM de un mantenedor de Axios, " jasonsaayman ", y publicaron dos versiones maliciosas del paquete.

Análisis de la Amenaza

Con datos recopilados por StepSecurity, se publicaron dos versiones comprometidas de Axios la 1.14.1 y la 0.30.4 utilizando las credenciales robadas del responsable del mantenimiento. Esto permitió a los atacantes eludir el sistema de integración y entrega continua (CI/CD) de GitHub Actions de Axios. El único propósito de esta dependencia inyectada era ejecutar un script posterior a la instalación que funciona como un troyano de acceso remoto (RAT) multiplataforma. Una vez instalado, ataca sistemas macOS, Windows y Linux durante el proceso normal de instalación de paquetes.

  • Las versiones 1.14.1 y la 0.30.4 inyectaron la versión 4.2.1 de plain-crypto-js haciendola pasar por una dependencia falsa.

No solo es la vulnerabilidad es el contexto de la misma

Tras infiltrarse en el sistema, el programa malicioso de acceso remoto (RAT) se conecta a un servidor de comando y control (C2) activo, que descarga una carga útil de segunda fase específica para la plataforma. Una vez ejecutado, el malware se autoelimina y reemplaza el paquete infectado con una versión limpia para evitar la detección forense.

Este nivel de autolimpieza demuestra una mayor sofisticación en comparación con los ataques más comunes a la cadena de suministro, ya que reduce significativamente los indicadores visibles de compromiso y dificulta la detección y la investigación.

De forma remota se conecta al servidor.
Descarga una carga útil con base especifica para la plataforma.
Limpia las huellas autoeliminandose y sustituyendose por una versión limpia.

El verdadero riesgo de las organizaciones 

Con más de 83 millones de descargas semanales, Axios es uno de los clientes HTTP más utilizados en el ecosistema JavaScript, presente en frameworks de frontend, servicios de backend y aplicaciones empresariales. Incluso una breve inserción de código malicioso en una dependencia tan confiable permite a los atacantes explotar actualizaciones de software rutinarias y procesos de compilación automatizados, a menudo sin ser detectados de inmediato.

Exposición y Riesgo Organizacional

Este tipo de incidentes refuerza una realidad incómoda:

  • Información confidencial expuesta.
  • Ataque directo a endpoints.
  • Ataque a entornos de producción.

Estrategias de Mitigación

Las acciones inmediatas son claras:

Área de Enfoque Acción Recomendada
Analísis de información Analice los sistemas afectados en busca de información confidencial expuesta, incluidas claves API, tokens y variables de entorno, y cámbielas inmediatamente.
Eliminación de Malware Elimine cualquier artefacto malicioso de los puntos finales, las canalizaciones de compilación y los entornos de producción.
Versión de Axion Reduzca la versión de Axios a una versión segura conocida ( versión 1.14.0 o versión 0.30.3 )

Axios y la importancia de su uso:

Axios, uno de los paquetes más utilizados en JavaScript, fue comprometido en un ataque que permitió la ejecución de malware durante instalaciones normales. Este caso evidencia que la confianza en dependencias open source también debe ir acompañada de visibilidad, monitoreo y validación constante.

Barracuda CloudGen Firewall

Barracuda CloudGen Firewall

Barracuda CloudGen Firewall Mantenga su comunicación segura y libre de manipulaciones. Los datos se almacenan en un repositorio dedicado fuera de su entorno operativo, garantizando conservación a largo plazo sin riesgos de corrupción o eliminación accidental. Ofrece un conjunto completo de tecnologías de firewall de última generación para garantizar la protección de la red en tiempo real contra amenazas avanzadas.

Compra ahora * Suscripción Anual
Cobra Networks

Miles de servidores expuestos: la nueva amenaza en FortiClient EMS
Alertas en ciberseguridad

Fortinet EMS: CVE-2026-21643

La vulnerabilidad que puede comprometer toda tu operación


En ciberseguridad, hay vulnerabilidades importantes… y luego están las que cambian completamente el nivel de riesgo. Eso es exactamente lo que está ocurriendo con una reciente falla crítica en soluciones de Fortinet, que ya está siendo explotada activamente en entornos reales.

Lo preocupante no es solo su severidad, sino su simplicidad: un atacante puede comprometer sistemas completos sin necesidad de credenciales, aprovechando únicamente solicitudes manipuladas enviadas a servicios expuestos. En un entorno donde las plataformas de gestión centralizada controlan endpoints, accesos y políticas de seguridad, este tipo de vulnerabilidad no representa un incidente aislado… sino una posible puerta de entrada a toda la infraestructura.

Análisis de la Amenaza

Se ha identificado una vulnerabilidad crítica de tipo inyección SQL en FortiClient EMS, registrada como CVE-2026-21643 con un nivel de severidad de 9.1 (CVSS). Su explotación permite a un atacante:

  • Ejecutar comandos directamente contra la base de datos
  • Escalar privilegios hasta nivel administrativo
  • Ejecutar código remoto en el servidor
  • Acceder a información sensible como credenciales, certificados y datos de endpoints 

Todo esto se realiza sin una autenticación previa; provocando que el vector de ataques sea directo con solicitudes HTTP manipuladas hacia la interfaz web administrativa.

No solo es la vulnerabilidad es el contexto de la misma

Una explotación activa antes de su confirmación, miles de servidores expuestos en internet y exposición de sistemas centrales de gestión de seguridad, esto implica que los atacantes no estan explorando, si no por el contrario tienen en objetivo claro organizaciones vulnerables. Comprometer un EMS no es un ataque simple.

Permite moverse lateralmente en la red
Manipular políticas de seguridad
Tomar control de múltiples endpoints desde un solo punto

El verdadero riesgo de las organizaciones 

Las organizaciones corren el riesgo en entornos donde:

  • Se utilicen versiones vulnerables sin parchear.
  • Los servidores EMS estén expuestos a Internet.
  • El sistema gestione accesos a VPN, endpoints o certificados.

Exposición y Riesgo Organizacional

Este tipo de incidentes refuerza una realidad incómoda:

  • Las plataformas de gestión centralizada son objetivos prioritarios.
  • Las vulnerabilidades críticas se explotan en cuestión de días (o antes)
  • La visibilidad y detección temprana son clave

Estrategias de Mitigación

Las acciones inmediatas son claras:

Área de Enfoque Acción Recomendada
FortiClient EMS Actualizar a versiones seguras
Inspección HTTP Monitorear actividad sospechosa (especialmente tráfico HTTP anómalo)
Implementación Controles de acceso robustos y MFA
Analísis externo Reducir la exposición directa a internet
Capacitación  Capacitacion y concietización al personal de trabajo.

Fortinet bajo ataque: vulnerabilidad crítica permite acceso total sin autenticación

Los ataques actuales ya no buscan únicamente vulnerar un sistema buscan tomar el control de toda la operación desde un solo punto. Y cuando una plataforma centralizada como EMS está en riesgo, la pregunta ya no es si existe una vulnerabilidad.

Imagen destacada

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Nuestro servicio XDR Endpoint Security forma parte de la suite XDR, recopila telemetría de seguridad de sus puntos finales para identificar e investigar millones de amenazas potenciales que pueden evadir las soluciones tradicionales.

Compra ahora * Suscripción anual
Cobra Networs

El phishing evoluciona: ahora se disfraza de aplicación
Bot-PC

Una campaña de phishing utiliza una página de seguridad de una cuenta de Google falsificada para distribuir una aplicación web progresiva (PWA) maliciosa. La aplicación está diseñada para robar contraseñas de un solo uso, recopilar direcciones de monederos de criptomonedas y convertir los navegadores de las víctimas en servidores proxy para el tráfico de los atacantes.

¿Cuál es la amenaza?

El sitio falso de seguridad de Google forma parte de un esquema de phishing que imita páginas legítimas de verificación de cuentas de Google. Las víctimas son redirigidas a él mediante enlaces que parecen genuinos, a menudo enviados por correo electrónico, anuncios o sitios web comprometidos.

En lugar de presentar un formulario típico de phishing, los atacantes activan la instalación de una PWA directamente en el navegador de la víctima, simulando la interfaz de una aplicación confiable. Sus atributos clave incluyen:

  • Ventanas emergentes engañosas de alerta de seguridad
  • Indicaciones para volver a verificar o iniciar sesión
  • Ventanas que imitan los diálogos nativos del sistema
  • Recopilación de credenciales de usuario en tiempo real

A diferencia de los sitios de phishing estándar, la PWA puede permanecer activa incluso después de cerrar el navegador, lo que dificulta su detección.

¿Por qué es digno de mención?

Esta campaña combina ingeniería social con funcionalidades de PWA para que la página de seguridad falsa de Google parezca legítima. Los atacantes utilizan el dominio "google-prism[.]com" y guían a las víctimas a través de un proceso de cuatro pasos que solicita permisos confidenciales y, finalmente, instala la PWA maliciosa.

Una vez instalada, la aplicación puede extraer contactos, ubicación GPS y datos del portapapeles, además de funcionar como proxy de red y escáner de puertos interno. También aprovecha la API WebOTP para capturar códigos de verificación SMS y utiliza notificaciones push para atraer a las víctimas a la aplicación y continuar robando datos.

Una aplicación de Android relacionada, disfrazada de actualización de seguridad urgente, solicita 33 permisos de alto riesgo, como SMS, registros de llamadas, acceso al micrófono y servicios de accesibilidad. Estos permisos facilitan el robo de datos y posibles fraudes financieros. Los usuarios deben tener cuidado con las solicitudes de seguridad no solicitadas y acceder únicamente a las herramientas de la cuenta de Google directamente en myaccount.google.com.

¿Cuál es la exposición o riesgo?

Esta campaña de phishing expone a las víctimas a riesgos significativos, como el robo total de cuentas y pérdidas financieras. Aunque muchos usuarios confían en la autenticación multifactor (MFA), los atacantes la eluden mediante intercepción en tiempo real: la página falsa solicita a las víctimas sus credenciales y códigos de verificación, que se transmiten inmediatamente a los atacantes. A continuación, inician sesión y capturan tokens de sesión válidos antes de que caduquen. Este enfoque de intermediario (AiTM) permite a los delincuentes autenticarse simultáneamente con la víctima, lo que debilita eficazmente las protecciones de la MFA.

La mayoría de las víctimas informan que no sintieron nada sospechoso, pero hay señales de advertencia sutiles: alertas de seguridad inesperadas, solicitudes para instalar una aplicación web como parte de la “verificación”, páginas de inicio de sesión que no están alojadas en dominios oficiales de Google, ventanas emergentes que se comportan como aplicaciones independientes y URL o redirecciones ligeramente alteradas.

Recomendaciones

  1. No confíe en ventanas emergentes ni correos electrónicos que le soliciten que “verifique” o “asegura” su cuenta.
  2. Escriba manualmente myaccount.google.com o utilice la aplicación de Google; nunca haga clic en los enlaces de seguridad en mensajes o anuncios.
  3. No acepte los mensajes “Instalar aplicación” o “Agregar a la pantalla de inicio” a menos que haya iniciado el proceso en un sitio confiable.
  4. Verifique la configuración del navegador (Chrome/Edge > Aplicaciones/Aplicaciones instaladas) y elimine cualquier PWA desconocida.
  5. Instale aplicaciones de Google o relacionadas con la seguridad únicamente desde Google Play Store y las listas oficiales de desarrolladores.
  6. Utilice una aplicación de autenticación (por ejemplo, Google Authenticator, Authy) en lugar de SMS para reducir el riesgo de abuso de WebOTP.


MFA Icon

Autenticación de Próxima Generación

MFA está completamente integrado con la plataforma TrustLayer, consolidando la seguridad de correo electrónico, web y aplicaciones en la nube. Gestione políticas, visualice datos y genere informes desde un único portal centralizado.

Cobra Networks