El grupo criminal SilverFox

Esta amenaza consiste en una campaña de malware activa y multifase operada por el grupo de ciberdelincuentes SilverFox, que equipó a ValleyRAT con componentes adicionales para obtener el control total y sigiloso de los sistemas Windows. Los atacantes utilizan un RAT basado en Go (Go RAT) para el comando y control remoto, un módulo de desactivación de antivirus (AV killer) para detectar y deshabilitar herramientas de seguridad, y un rootkit en modo kernel para ocultar procesos, archivos y actividad de red, manteniendo una persistencia a largo plazo. En conjunto, estos componentes permiten a SilverFox eludir las defensas de los endpoints, escalar privilegios y realizar acciones en los hosts comprometidos, incluyendo el robo de credenciales, la exfiltración de datos y el movimiento lateral, dificultando su detección o eliminación por parte de las soluciones de seguridad tradicionales.

¿Campaña de cambio?

Esta campaña es destacable porque transforma un RAT conocido, ValleyRAT, en un sofisticado marco de intrusión de ocho etapas, típicamente asociado con ciberdelincuentes avanzados y con amplios recursos. La incorporación de un rootkit de kernel controlado por el RAT aumenta significativamente su sigilo, persistencia e impacto general, dificultando enormemente la detección, investigación y mitigación de las infecciones. Dado que la campaña está activa y cuenta con amplias capacidades de evasión de defensas, las organizaciones que dependen exclusivamente de controles tradicionales de endpoints o basados en firmas se enfrentan a un mayor riesgo de sufrir una vulneración a largo plazo.

El futuro de la seguridad comienza antes de ser atacado

• Asegúrese de que Windows y todas las herramientas de seguridad estén completamente actualizadas y con todos los parches instalados.
• Prohíba la descarga o instalación de software procedente de fuentes no fiables o desconocidas.
• Supervise la actividad de carga lateral de DLL y las instalaciones sospechosas basadas en MSI.
• Detectar y bloquear, o investigar detenidamente, el tráfico inusual de WebSocket y QUIC.
• Implementar requisitos estrictos de firma de controladores del kernel y políticas de control de aplicaciones.
• Implemente soluciones EDR y AV con una sólida detección basada en el comportamiento y en anomalías.
• Supervise la actividad de las tuberías con nombre y las cadenas de ejecución de procesos inusuales para detectar anomalías.
• Llevar a cabo actividades periódicas de búsqueda de amenazas y formación continua sobre concienciación para los usuarios.

¿Cuál es la amenaza?

La campaña utiliza páginas de phishing personalizadas para las empresas a las que se dirige. Para parecer auténtica, emplea nombres de marcas locales de confianza y referencias a servicios gubernamentales.

Según los analistas, la campaña comienza con un correo electrónico de phishing que parece legítimo. El enlace redirige a los usuarios a través de un servidor de retransmisión de Google antes de enviarlos a un portal comercial falso.

El sitio web imita los flujos de trabajo de acceso a documentos que suelen usar los empleados de finanzas y administración. Esto facilita que las víctimas bajen la guardia.

¿Por qué es digno de mención?

Este ataque es particularmente peligroso porque, después de que el usuario hace clic en el enlace de descarga, la víctima instala sin saberlo un agente legítimo de NinjaOne Remote Monitoring and Management (RMM) configurado para conectarse a la infraestructura controlada por el atacante en lugar de recibir un documento comercial.

La infraestructura de phishing es más sofisticada de lo que parece a primera vista. Las páginas utilizan la identificación del navegador, la detección en entornos aislados (sandbox) y la geolocalización para filtrar a los investigadores antes de entregar el código malicioso.

¿Cuál es la exposición o el riesgo?

Hasta el momento, la campaña se ha dirigido al menos a una organización brasileña especializada en productos químicos y materiales avanzados. Sin embargo, las tácticas de ingeniería social empleadas, como la falsificación de registros fiscales, documentos de proveedores y portales de gestión de quejas, son aplicables a diversos sectores.

Una vez que la víctima instala el agente NinjaOne, el atacante obtiene los mismos privilegios que tendría un administrador de TI legítimo sobre ese dispositivo, incluyendo la capacidad de monitorear la actividad del dispositivo, ejecutar comandos remotos, transferir archivos y más.

💣 No es un bug más. Es ejecución remota de código.

La vulnerabilidad CVE-2026-3854 (CVSS 8.7) permite algo especialmente peligroso:

• Ejecutar código arbitrario en el servidor
• Sin necesidad de acceso complejo
• Aprovechando un flujo completamente legítimo

El problema está en cómo GitHub procesa los datos enviados durante un git push.

Los inputs del usuario no se sanitizan correctamente, lo que permite manipular encabezados internos e inyectar comandos maliciosos disfrazados de metadatos.

En otras palabras:

⚠️ El verdadero riesgo: no lo vas a ver venir

Esto no es un ataque ruidoso, no rompe nada a simple vista y no genera alertas evidentes de inmediato.

Pero por dentro puede estar ocurriendo esto:

• Acceso a repositorios privados
• Robo de propiedad intelectual
• Movimiento lateral dentro de la infraestructura
• Compromiso total del servidor

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

Contactar ahora

Ventaja estratégica para tu empresa

Adoptar Barracuda XDR no es solo una decisión técnica; es una decisión de negocio. Permite:

• Reducir drásticamente el MTTR (Mean Time to Respond): Al tener todo el contexto en un solo lugar, el tiempo desde la detección hasta la contención se reduce al mínimo.
• Maximizar la inversión: Aprovechas tus recursos actuales bajo una sombrilla de protección que los hace trabajar en equipo.
• Tranquilidad operativa: Delegar la complejidad técnica mientras mantienes el control total de tu postura de seguridad.

¿cúal es el verdadero problema?

CVE‑2026‑42208 es una vulnerabilidad de inyección SQL previa a la autenticación en la lógica de verificación de claves API del proxy LiteLLM. En las versiones afectadas, los tokens Authorization Bearer mal formados se gestionaban incorrectamente, lo que permitía que la entrada proporcionada por el atacante se pasara directamente a las consultas de la base de datos sin la parametrización adecuada.

Un atacante no autenticado con acceso a la red de un punto final de proxy de LiteLLM podría explotar este problema enviando solicitudes HTTP manipuladas a las rutas de la API de LLM, lo que potencialmente permitiría:

La orquestación de la IA sobre las vulnerabilidades

Esta campaña destaca por razones muy puntuales: 

la exposición y el riesgo

Las organizaciones se enfrentan a un mayor riesgo si:

• Opere instancias de proxy LiteLLM autohospedadas que ejecuten versiones afectadas.
• Exponer los puntos finales de la API de LiteLLM a redes no confiables o accesibles a través de Internet.
• Almacene las claves API del proveedor de LLM de producción en la base de datos LiteLLM.
• Falta de supervisión para solicitudes de API o actividad de base de datos inusuales dirigidas a la infraestructura de IA.

Entre las posibles consecuencias se incluyen el robo de credenciales, el uso no autorizado de IA, cargos financieros inesperados y la vulneración secundaria de sistemas posteriores que dependen de claves API expuestas.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

El lobo que se disfrazó de oveja

Ocultar malware dentro de imágenes no es una técnica nueva. En 2015, el  malware Stegoloader  utilizó estenografía digital para ocultar código malicioso dentro de una imagen PNG. En muchos sentidos, el vector resultó más interesante que impactante, ya que requería que los usuarios descargaran una imagen PNG de un sitio web legítimo. Dado el número relativamente bajo de usuarios que descargan PNG y los esfuerzos de los propietarios de sitios web por proteger el contenido publicado, Stegoloader no causó gran revuelo en el mundo del malware.

Sin embargo, sí ofreció una sólida prueba de concepto. No solo era posible el malware basado en imágenes, sino que el vector era inesperado. Los usuarios estaban ocupados buscando métodos de distribución de malware más comunes, como archivos adjuntos de correo electrónico infectados o enlaces de phishing. Las imágenes no figuraban en esa lista, lo que las convertía en una vía ingeniosa para la intrusión. 

JPG maliciosos: lo que esta oculto a simple vista

Para los usuarios, las imágenes suelen parecer una apuesta segura. Esto se debe a que la mayoría de las empresas ofrecen ahora formación periódica en seguridad a su personal, una formación que prioriza los correos electrónicos, los archivos y (más recientemente) la ingeniería social con inteligencia artificial . Los deepfakes también son motivo de preocupación, pero el riesgo se centra en la imagen en sí, no en lo que pueda ocultar. 

Las imágenes JPG, sin embargo, están compuestas del mismo material que cualquier otro contenido: datos. Al organizarse correctamente y accederse mediante la aplicación adecuada, estos datos forman una imagen. No obstante, los datos en sí mismos son susceptibles de modificación, al igual que cualquier otra fuente. Para los atacantes, esto representa una oportunidad para asegurarse de que lo que los usuarios ven no se corresponde con lo que obtienen.

la imagen que era mala

Durante los últimos dos meses, los profesionales de la seguridad han estado rastreando el movimiento de una imagen MSI maliciosa. Descubierta a  principios de febrero de 2026 , la imagen formaba parte de un archivo adjunto de correo electrónico malicioso. A primera vista, el archivo adjunto parecía un script para crear un inyector de Chrome, pero el experto en seguridad informática Xavier Mertens detectó un archivo .bat que parecía ser una bifurcación de GitHub:

1. Una vez que se completaba el script normal, el archivo saltaba a :EndScript, seguido de una llamada a :show_msgbox. 
   
2. Esto dio lugar a que un fragmento de datos codificados en Base64 se ejecutara a través de PowerShell y se ofuscara con caracteres basura.
   
3. A continuación, el script de PowerShell obtuvo una carga útil de imagen, que era una imagen legítima de MSI que había sido modificada.
   
4. Esta modificación apuntaba a otra carga útil, que era un programa .Net que implementaba la persistencia a través de una tarea programada y utilizaba Telegram como centro de comando y control. 

la prevención de la imagen 

Limitar el riesgo de archivos JPG maliciosos comienza con un consejo básico: nunca abra archivos adjuntos ni imágenes desconocidas. Si bien los firewalls de última generación son excelentes para detectar posibles amenazas, no son infalibles. Al optar por eliminar y reportar correos electrónicos sospechosos en lugar de arriesgarse a abrir archivos adjuntos de imágenes sospechosas, el personal puede prácticamente eliminar estos problemas.

Cabe destacar que se trata de un esfuerzo de equipo. Las empresas deben crear una cultura de seguridad informática que priorice la notificación y anime al personal a compartir sus inquietudes. Si se les indica a los empleados que simplemente ignoren las posibles amenazas o se les reprende por perder el tiempo, se elimina una capa clave de seguridad y aumenta el riesgo de ataques inesperados. 

En lo que respecta a la reducción de tamaño de imágenes JPG mediante IA, tres acciones pueden ayudar a frustrar los intentos maliciosos. Primero, las empresas deberían restringir las dimensiones de entrada de la IA, lo que reduce la necesidad de reducir el tamaño. Segundo, los usuarios siempre deberían previsualizar los resultados reducidos para detectar artefactos visuales. Este es otro ejemplo de la importancia de priorizar los informes, como se mencionó anteriormente: si el personal no está seguro, debe contar con un procedimiento claro para la elaboración de informes y la evaluación de imágenes. 

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Análisis de la Amenaza

El Ransomware suele propagarse más rápido de lo que las soluciones EDR estándar pueden detectarlo. Muchos ataques alcanzan el cifrado rápidamente, dejando poco tiempo para responder si la detección se produce demasiado tarde.

Las reglas STAR personalizadas detectan el Ransomware en una etapa temprana de la cadena de ataque. El SOC de Barracuda crea detecciones STAR a partir de las técnicas reales de ataque al Ransomware para detectar la actividad previa al cifrado.

La detección temprana permite una contención e interrupción más rápidas. Las detecciones de alta fiabilidad pueden activar la contención automatizada para detener el avance del atacante mientras el SOC responde.

El diferenciador

Barracuda Managed XDR Endpoint Security es una solución de seguridad para endpoints gestionada por un SOC que aprovecha SentinelOne Complete , una plataforma líder en detección y respuesta de endpoints. Como resultado, los clientes obtienen la sólida protección básica de una solución EDR (detección y respuesta de endpoints) de vanguardia. Y eso es solo el principio. Los clientes también obtienen una capa de servicios gestionada por Barracuda que ofrece ingeniería de detección continua, flujos de trabajo automatizados de respuesta a amenazas, inteligencia sobre amenazas y telemetría de nuestras operaciones XDR.

La capa de servicio es fundamental porque transforma las capacidades básicas del EDR en resultados concretos. Aquí es donde el SOC de Barracuda y sus ingenieros de seguridad de endpoints colaboran para potenciar la protección con detecciones más tempranas y fiables, y una interrupción más rápida de la actividad de ransomware. De esta forma, su organización puede contener la amenaza cuanto antes y evitar un incidente costoso y perjudicial.

Gran parte de esta ventaja proviene de la combinación de la funcionalidad Storyline Active Response (STAR) de SentinelOne con la experiencia de Barracuda SOC. STAR permite a los equipos convertir consultas de visibilidad avanzada en reglas personalizadas que evalúan la telemetría de los puntos finales a medida que se recopila, lo que activa alertas y, cuando se configura, acciones de respuesta automatizadas.

ejemplos de reglas star

Las reglas STAR personalizadas son lo que distingue a Managed XDR Endpoint Security de las implementaciones basadas únicamente en EDR. Se trata de detecciones diseñadas por el SOC que Barracuda integra sobre SentinelOne para detectar comportamientos relacionados con el ransomware antes del impacto y, cuando sea necesario, activar la contención automatizada:

• La regla de detección temprana del ransomware Akira: se centra en patrones de comportamiento específicos y artefactos iniciales asociados con intrusiones de tipo Akira, lo que permite tomar medidas preventivas, incluyendo la contención de la red antes del cifrado. Algunos ejemplos de amenazas de tipo Akira incluyen la carga lateral de DLL, la actividad de "traiga su propio controlador vulnerable" (BYOVD) e intentos de comprometer hosts VMware ESXi.
• La regla de detección temprana de ransomware de Cephalus: detecta cadenas de ejecución compatibles con cargadores de ransomware que utilizan la carga lateral de DLL, donde un ejecutable legítimo se usa para cargar una DLL maliciosa. Está diseñada para generar alertas en una etapa temprana del ciclo de vida del ataque y activar la contención automatizada de la red cuando el nivel de confianza es alto.
• La consulta DNS de ConnectWise ScreenConnect para detectar TLD sospechosos: detecta actividad DNS sospechosa relacionada con ScreenConnect que puede indicar acceso remoto malicioso y puntos de acceso iniciales que a menudo se utilizan antes del despliegue de ransomware.
• La regla de evasión de Krueger EDR:  detecta intentos de manipular las políticas de control de aplicaciones de los puntos finales, incluido el abuso observado del Control de aplicaciones de Windows Defender (WDAC), para eludir las defensas de los puntos finales. Activa la contención automática de la red cuando se detectan señales críticas.
• La regla de detección temprana del ransomware Play: se centra en los primeros pasos de preparación que se observan en los ataques de tipo Play, incluidos los intentos de suprimir las soluciones EDR, la manipulación del cortafuegos y los vectores de escalada de privilegios.
• La regla de indicador de ransomware: sirve como señal de alerta temprana ante comportamientos similares al ransomware, incluidos los ataques sin archivos lanzados desde un dispositivo remoto. Está diseñada para reducir el tiempo de permanencia, limitar el movimiento lateral y ganar tiempo para la contención y la remediación.

ESTRATEGIA DE PROTECCIÓN AVANZADA (XDR + SOC)

Las acciones clave para cerrar la brecha entre detección y contención son:

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

3. IA Generativa: El Analista que nunca duerme

La novedad este año es la integración de modelos de lenguaje (LLM) dentro del SOC.

Simplificación de la Complejidad: Un log de firewall puede tener 1,000 líneas de código críptico. La IA generativa lo sintetiza en una oración: "Un atacante intentó usar una vulnerabilidad de Log4j, pero fue bloqueado por la regla de IPS #502".

Aceleración de Respuesta: Reduce el MTTR (Tiempo Medio de Respuesta) de horas a minutos, permitiendo que tu equipo tome decisiones informadas sin ser expertos en cada lenguaje de programación.

Análisis de la Amenaza

Este incidente representa una brecha en la cadena de suministro del canal oficial de distribución de software de CPUID. Los atacantes modificaron los enlaces de descarga en cpuid.com para redirigir a los usuarios a una infraestructura controlada por ellos que alojaba archivos ejecutables maliciosos disfrazados de instaladores legítimos.

La importancia de la vulnerabilidad

Compromiso de una API secundaria que controla la redirección de descargas, no el proceso de firma de código.  Distribución de instaladores maliciosos a través de enlaces presentados en el sitio web oficial de CPUID.

Exposición y Riesgo Organizacional

Este tipo de incidentes refuerza una realidad incómoda:

• CPU-Z y HWMonitor son utilizados por millones de personas, incluidos profesionales de TI y entornos empresariales, lo que aumenta el radio de explosión potencial.
• Los investigadores observaron una ejecución en múltiples etapas, operaciones en memoria y técnicas anti-análisis, lo que indica un nivel de sofisticación superior al promedio.
• Sistemas que descargaron CPU-Z, HWMonitor o herramientas CPUID relacionadas desde cpuid.com durante el período de vulnerabilidad.
• Puntos finales que carecen de detección basada en el comportamiento capaz de identificar cargadores en memoria
• Entornos empresariales donde se permiten estas utilidades sin controles de aplicación adicionales ni listas de permitidos.

Estrategias de Mitigación

Las acciones inmediatas son claras:

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Datos de suma importancia:

• Tipo: Botnet, DDoS
• Malware: Kimwolf
• Propagación: Dispositivos IoT y streaming Android
• Vector: Debilidades en cadena de suministro
• Objetivo: Redes corporativas y gubernamentales
• Activo: Desde el 2025

Datos de suma importancia:

• Tipo: Botnet, DDoS
• Malware: Aisuru
• Propagación: Escaneo y explotación automatizados de dispositivos IoT vulnerables
• Vector: Autenticación débil, firmware obsoleto y valores predeterminados inseguros en la cadena de suministro
• Objetivo: Redes de consumidores y empresas a nivel mundial
• Activo: Desde el 2024

Datos de suma importancia:

• Tipo: Botnet, DDoS
• Malware: Mirai y variantes modernas (Satori, restos de Mozi, Katana)
• Propagación: Explotación automatizada de dispositivos loT inseguros.
• Vector: Credenciales predeterminadas, firmware sin parches, servicios expuestos (API Telnet/SSH/HTTP)
• Objetivo: Redes de consumidores y empresas a nivel mundial
• Activo: Desde el 2024