Vulnerabilidad crítica de FortiSIEM permite ejecución de código a usuarios no autenticados

Fortinet ha lanzado actualizaciones para corregir una falla de seguridad crítica que afecta a FortiSIEM y que podría permitir que un atacante no autenticado logre la ejecución de código en instancias susceptibles.

La vulnerabilidad de inyección del sistema operativo (SO), rastreada como CVE-2025-64155, tiene una calificación de CVSS 9,4. "Una neutralización inadecuada de elementos especiales utilizados en una vulnerabilidad de comando del sistema operativo ('inyección de comando del sistema operativo') en FortiSIEM puede permitir que un atacante no autenticado ejecute código o comandos no autorizados a través de solicitudes TCP diseñadas", dijo la compañía en un boletín del martes.

Fortinet dijo que la vulnerabilidad afecta solo a los nodos Super y Worker, y que se ha solucionado en las siguientes versiones:

- FortiSIEM 6.7.0 a 6.7.10 (migrar a una versión corregida)
- FortiSIEM 7.0.0 a 7.0.4 (migrar a una versión corregida)
- FortiSIEM 7.1.0 a 7.1.8 (actualizar a 7.1.9 o superior)
- FortiSIEM 7.2.0 a 7.2.6 (actualizar a 7.2.7 o superior)
- FortiSIEM 7.3.0 a 7.3.4 (actualizar a 7.3.5 o superior)
- FortiSIEM 7.4.0 (actualizar a 7.4.1 o superior)
- FortiSIEM 7.5 (NO afectado)
- FortiSIEM Cloud (NO afectado)

El investigador de seguridad de Horizon3.ai, Zach Hanley, a quien se le atribuye el descubrimiento y el informe de la falla el 14 de agosto de 2025, dijo que consta de dos partes móviles:

- Una vulnerabilidad de inyección de argumentos no autenticados que conduce a la escritura arbitraria de archivos, lo que permite la ejecución remota de código como usuario administrador.
- Una vulnerabilidad de escalamiento de privilegios de sobrescritura de archivos que conduce al acceso raíz y compromete completamente el dispositivo.

Específicamente, el problema tiene que ver con cómo el servicio phMonitor de FortiSIEM, un proceso backend crucial responsable del monitoreo del estado, la distribución de tareas y la comunicación entre nodos a través del puerto TCP 7900, maneja las solicitudes entrantes relacionadas con el registro de eventos de seguridad en Elasticsearch.

Esto, a su vez, invoca un script de shell con parámetros controlados por el usuario, abriendo así la puerta a la inyección de argumentos a través de curl y logrando escrituras de archivos arbitrarios en el disco en el contexto del usuario administrador.

En otras palabras, escribir una shell en este archivo permite el escalamiento de privilegios del administrador al root, otorgando al atacante acceso ilimitado al dispositivo FortiSIEM. El aspecto más importante del ataque es que el servicio phMonitor expone varios controladores de comandos que no requieren autenticación. Esto facilita que un atacante invoque estas funciones simplemente obteniendo acceso de red al puerto 7900.

Fortinet también ha enviado correcciones para otra vulnerabilidad de seguridad crítica en FortiFone (CVE-2025-47855, CVSS: 9.3) que podría permitir a un atacante no autenticado obtener la configuración del dispositivo a través de una solicitud HTTP(S) especialmente diseñada a la página del portal web. Afecta a las siguientes versiones de la plataforma de comunicaciones empresariales:

- FortiFone 3.0.13 a 3.0.23 (actualizar a 3.0.24 o superior)
- FortiFone 7.0.0 a 7.0.1 (Actualizar a 7.0.2 o superior)
- FortiFone 7.2 (NO afectado)

Se recomienda a los usuarios que actualicen a las últimas versiones. Como solución alternativa para CVE-2025-64155, Fortinet recomienda que los clientes limiten el acceso al puerto phMonitor (7900).

Fuente: THN

https://www.b1nary0.com.ar/vulnerabilidad-critica-de-fortisiem-permite-ejecucion-de-codigo-a-usuarios-no-autenticados/9476/

Actualizaciones de seguridad de ENERO para todas las empresas

Este martes de parches de enero de 2026, Microsoft ha publicado actualizaciones de seguridad para 114 fallas, incluida una vulnerabilidad de día cero explotada activamente y dos divulgadas públicamente. También se abordan ocho vulnerabilidades "críticas", 6 de las cuales son fallas de ejecución remota de código y 2 son fallas de elevación de privilegios.

La cantidad de errores en cada categoría de vulnerabilidad se enumera a continuación:

- 57 vulnerabilidades de elevación de privilegios
- 3 vulnerabilidades de omisión de funciones de seguridad
- 22 vulnerabilidades de ejecución remota de código
- 22 vulnerabilidades de divulgación de información
- 2 vulnerabilidades de denegación de servicio
- 5 vulnerabilidades de suplantación de identidad

Estas cantidades no incluyen Microsoft Edge (1 falla) y las vulnerabilidades de Mariner corregidas a principios de este mes.

Para obtener más información sobre las actualizaciones no relacionadas con la seguridad publicadas hoy, puede revisar nuestros artículos dedicados a las actualizaciones acumulativas KB5074109 y KB5073455 de Windows 11 y a la actualización de seguridad extendida KB5073724 de Windows 10.

3 Zero-Days, uno explotado

Este mes se corrige una vulnerabilidad de día cero explotada activamente y dos divulgadas públicamente.

El día cero activamente explotado es:

- CVE-2026-20805 (CVSS 5,5): vulnerabilidad de divulgación de información del Administrador de ventanas de escritorio. "La exposición de información confidencial a un actor no autorizado en Desktop Windows Manager permite a un atacante autorizado revelar información localmente", explica Microsoft. Microsoft dice que explotar con éxito la falla permite a los atacantes leer direcciones de memoria asociadas con el puerto ALPC remoto.

Las fallas de día cero divulgadas públicamente son:

- CVE-2026-21265: Microsoft advierte que los certificados de arranque seguro de Windows emitidos en 2011 están a punto de caducar y que los sistemas que no se actualizan tienen un mayor riesgo de que los actores de amenazas pasen por alto el arranque seguro.

Microsoft ya había revelado esta vulnerabilidad en un aviso de junio titulado "Caducidad del certificado de arranque seguro de Windows y actualizaciones de CA".

- CVE-2023-31096: Microsoft advirtió previamente en octubre sobre vulnerabilidades explotadas activamente en un controlador de módem Agere de terceros que se envía con versiones compatibles de Windows y dijo que se eliminarían en una actualización futura. Estas vulnerabilidades fueron explotadas para obtener privilegios administrativos en sistemas comprometidos. Como parte de las actualizaciones de enero, Microsoft ha eliminado estos controladores vulnerables de Windows.

Además la empresa ha publicado actualizaciones para 6 vulnerabilidades críticas relacionadas con Office: CVE-2026-20822, CVE-2026-20952, CVE-2026-20953, CVE-2026-20957, CVE-2026-20944 y CVE-2026-20955.

Otra vulnerabilidad crítica está relacionada con un RCE (CVE-2026-20854 - CVSS 7,5) en el servicio Windows Local Security Authority Subsystem Service (LSASS) y; la última afecta al servicio Windows Virtualization-Based Security (VBS) Enclave (CVE-2026-20876).

Actualizaciones recientes de otras empresas.

Otros proveedores que publicaron actualizaciones o avisos en enero de 2026 incluyen:

- ABB
- Adobe
- Amazon Web Services
- AMD
- Arm
- ASUS
- Broadcom (including VMware)
- Cisco
- ConnectWise
- Dassault Systèmes
- D-Link
- Dell
- Devolutions
- Drupal
- Elastic
- F5
- Fortinet
- Fortra
- Foxit Software
- FUJIFILM
- Gigabyte
- GitLab
- Google Android and Pixel
- Google Chrome
- Google Cloud
- Grafana
- Hikvision
- HP
- HP Enterprise (including Aruba Networking and Juniper Networks)
- IBM
- Imagination Technologies
- Lenovo
- Linux distributions AlmaLinux, Alpine Linux, Amazon Linux, Arch Linux, Debian, Gentoo, Oracle Linux, Mageia, Red Hat, Rocky Linux, SUSE, and Ubuntu
- MediaTek
- Mitel
- Mitsubishi Electric
- MongoDB
- Moxa
- Mozilla Firefox and Firefox ESR
- n8n
- NETGEAR
- Node.js
- NVIDIA
- ownCloud
- QNAP
- Qualcomm
- Ricoh
- Samsung
- SAP
- Schneider Electric
- ServiceNow
- Siemens
- SolarWinds
- SonicWall
- Sophos
- Spring Framework
- Synology
- TP-Link
- Trend Micro, and
- Veeam

Fuente: BC

https://www.b1nary0.com.ar/actualizaciones-de-seguridad-de-enero-para-todas-las-empresas/9473/

El Servicio Secreto de EE.UU. desmantela una red de telecomunicaciones capaz de paralizar el servicio celular en Nueva York

El Servicio Secreto de EE.UU. desmanteló una red de dispositivos electrónicos ubicados en el área triestatal de Nueva York, utilizados para ejecutar múltiples amenazas de telecomunicaciones dirigidas a altos funcionarios del gobierno estadounidense, lo que representaba una amenaza inminente para las operaciones de protección de la agencia.

Esta investigación de inteligencia de protección condujo al descubrimiento de más de 300 servidores SIM y 100.000 tarjetas SIM ubicados en el mismo lugar en múltiples ubicaciones. Los primeros análisis muestran que la red se utilizaba para la comunicación entre gobiernos extranjeros e individuos conocidos por las fuerzas del orden estadounidenses. «Esto no es un grupo de personas en un sótano jugando a un videojuego y gastando una broma. Esto estuvo bien organizado y bien financiado», dijo un funcionario.

Además de ejecutar amenazas telefónicas anónimas, estos dispositivos podrían utilizarse para llevar a cabo una amplia gama de ataques de telecomunicaciones. Esto incluye la desactivación de torres de telefonía celular, la habilitación de ataques de denegación de servicio y la facilitación de comunicaciones anónimas y cifradas entre posibles actores de amenazas y organizaciones criminales.

Si bien el análisis forense de estos dispositivos está en curso, los primeros análisis indican comunicaciones celulares entre actores de amenazas de estados nacionales e individuos conocidos por las fuerzas del orden federales.

«El potencial de interrupción de las telecomunicaciones de nuestro país que representa esta red de dispositivos es innegable», declaró el director del Servicio Secreto de EE.UU., Sean Curran. La misión de protección del Servicio Secreto de EE.UU. se centra en la prevención, y esta investigación deja claro a los posibles actores maliciosos que las amenazas inminentes a nuestros protegidos serán investigadas, localizadas y desmanteladas de inmediato.

Estos dispositivos se concentraron a menos de 56 kilómetros de la reunión global de la Asamblea General de las Naciones Unidas, que se está celebrando en la ciudad de Nueva York. Dado el momento, la ubicación y el potencial de interrupción significativa de las telecomunicaciones de Nueva York que estos dispositivos representaban, la agencia actuó con rapidez para interrumpir esta red. La Unidad de Interdicción de Amenazas Avanzadas del Servicio Secreto de EE.UU., una nueva sección de la agencia dedicada a interrumpir las amenazas más significativas e inminentes para nuestros protegidos, está llevando a cabo esta investigación. Esta investigación está actualmente en curso.

Las Investigaciones de Seguridad Nacional del Departamento de Seguridad Nacional, el Departamento de Justicia, la Oficina del Director de Inteligencia Nacional y el Departamento de Policía de Nueva York, así como otras fuerzas del orden estatales y locales, brindaron valioso asesoramiento técnico y asistencia en apoyo de esta investigación.

Esta es una investigación en curso.

Fuente: SecretService

EDR-Freeze: herramienta para "congelar" el AV/EDR "para siempre"

Se ha desarrollado una nueva herramienta de prueba de concepto llamada EDR-Freeze, capaz de suspender los sistemas de Detección y Respuesta de Endpoints (EDR) y las soluciones antivirus.

Según Zero Salarium, la técnica aprovecha una función integrada de Windows, ofreciendo una alternativa más discreta a los cada vez más populares ataques de «Traiga su propio controlador vulnerable» (BYOVD), utilizados por los actores de amenazas para desactivar el software de seguridad.

A diferencia de los métodos BYOVD, que requieren la introducción de un controlador vulnerable en el sistema objetivo, EDR-Freeze explota componentes legítimos del sistema operativo Windows.

Este enfoque evita la necesidad de instalar controladores de terceros, lo que reduce el riesgo de inestabilidad y detección del sistema. Todo el proceso se ejecuta desde código en modo usuario, lo que lo convierte en una forma sutil y eficaz de neutralizar temporalmente la monitorización de seguridad.

El exploit MiniDumpWriteDump

El núcleo de la técnica EDR-Freeze reside en la manipulación de la función MiniDumpWriteDump. Esta función, parte de la biblioteca DbgHelp de Windows, está diseñada para crear un minivolcado, una instantánea de la memoria de un proceso para fines de depuración.

Para garantizar una instantánea consistente e intacta, la función suspende todos los subprocesos del proceso de destino mientras se crea el volcado. Normalmente, esta suspensión es breve. Sin embargo, el desarrollador de EDR-Freeze ideó un método para prolongar este estado de suspensión indefinidamente.

Los principales desafíos fueron dos: extender el breve tiempo de ejecución de la función MiniDumpWriteDump y eludir la función de seguridad Protected Process Light (PPL), que protege los procesos de EDR y antivirus contra manipulaciones.

Para superar la protección de PPL, la técnica utiliza WerFaultSecure.exe, un componente del servicio Informe de errores de Windows (WER) y que puede ejecutarse con protección de nivel WinTCB, uno de los niveles de privilegio más altos, lo que le permite interactuar con procesos protegidos.

Al configurar los parámetros correctos, se puede indicar a WerFaultSecure.exe que inicie la función MiniDumpWriteDump en cualquier proceso objetivo, incluidos los agentes de EDR y antivirus protegidos.

La última pieza del rompecabezas es un ataque de condición de carrera que convierte una suspensión momentánea en una congelación prolongada. El ataque se desarrolla en una secuencia rápida y precisa:

• WerFaultSecure.exe se ejecuta con parámetros que le indican que cree un volcado de memoria del proceso de EDR o antivirus objetivo. La herramienta EDR-Freeze monitoriza continuamente el proceso objetivo.





• En el momento en que el proceso objetivo entra en estado suspendido (mientras MiniDumpWriteDump comienza a funcionar), la herramienta EDR-Freeze suspende inmediatamente el proceso WerFaultSecure.exe.





• Dado que WerFaultSecure.exe está suspendido, nunca podrá completar la operación de volcado de memoria y, fundamentalmente, nunca podrá reanudar los subprocesos del proceso EDR objetivo.

Como resultado, el software de seguridad queda en un estado de suspensión permanente, prácticamente bloqueado, hasta que finalice el proceso WerFaultSecure.exe.

Eliminación del proceso mediante la herramienta EDR-Freeze

El desarrollador ha lanzado la herramienta EDR-Freeze para demostrar esta técnica. Requiere dos parámetros simples: el ID de proceso (PID) del objetivo que se congelará y la duración de la suspensión en milisegundos.

Esto permite a un atacante desactivar las herramientas de seguridad, realizar acciones maliciosas y, posteriormente, permitir que el software de seguridad reanude sus operaciones normales como si nada hubiera sucedido.

Una prueba en Windows 11 24H2 suspendió con éxito el proceso MsMpEng.exe de Windows Defender.

Para los defensores, detectar esta técnica implica monitorear ejecuciones inusuales de WerFaultSecure.exe.

Si se observa que el programa ataca los PID de procesos sensibles como lsass.exe o agentes EDR, debe considerarse una alerta de seguridad de alta prioridad que requiere investigación inmediata.

De acuerdo a Florian Roth:

• Los primeros envíos de VirusTotal tuvieron una detección de AV muy baja (5/73).





• El binario de la versión precompilada se cargó varias veces en VT y finalmente alcanzó 22/73 detecciones.





• Otras compilaciones de la herramienta aún obtienen solo entre 8 y 10 detecciones.





• Los antivirus aún tardan en reaccionar a las herramientas lanzadas públicamente.





• Existen reglas de bloqueo para esta herramienta en la configuración de Sysmon, usando Imphash.





• Esto significa que si usa Sysmon y una versión lo suficientemente reciente, EDR-Freeze es bloqueada al escribir mediante FileBlockExecutable.

Fuente: ZeroSolarium

Cisco advierte sobre vulnerabilidad Zero-Day en iOS explotada en ataques

Cisco ha publicado actualizaciones de seguridad para abordar una vulnerabilidad de día cero de alta gravedad en el software Cisco IOS e IOS XE que actualmente se está explotando en ataques.

NOTA: hay otros dos Zero-Day que también están siendo explotados.

Identificada como CVE-2025-20352, la falla se debe a una vulnerabilidad de desbordamiento de búfer basada en la pila, encontrada en el subsistema del Protocolo Simple de Administración de Red (SNMP) del software vulnerable IOS e IOS XE, que afecta a todos los dispositivos con SNMP habilitado.

Atacantes remotos autenticados con privilegios bajos pueden explotar esta vulnerabilidad para activar condiciones de denegación de servicio (DoS) en dispositivos sin parches. Por otro lado, los atacantes con privilegios altos pueden obtener el control total de los sistemas que ejecutan el software vulnerable Cisco IOS XE ejecutando código como usuario root.

Sin embargo, Cisco señaló que para que esto suceda, se deben cumplir las siguientes condiciones:

• Para provocar la denegación de servicio (DoS), el atacante debe tener la cadena de comunidad de solo lectura SNMPv2c o anterior, o credenciales de usuario SNMPv3 válidas.





• Para ejecutar el código como usuario root, el atacante debe tener la cadena de comunidad de solo lectura SNMPv1 o v2c, o credenciales de usuario SNMPv3 válidas, y credenciales administrativas o de privilegio 15 en el dispositivo afectado.

«Un atacante podría explotar esta vulnerabilidad enviando un paquete SNMP manipulado a un dispositivo afectado a través de redes IPv4 o IPv6», declaró Cisco en su aviso.

La compañía indicó que el problema afecta a todas las versiones de SNMP, así como a los switches Meraki MS390 y Cisco Catalyst de la serie 9300 que ejecutan Meraki CS 17 y versiones anteriores. Se ha corregido en la versión 17.15.4a del software Cisco IOS XE. El software Cisco IOS XR y el software NX-OS no se ven afectados.

El Equipo de Respuesta a Incidentes de Seguridad de Productos de Cisco (PSIRT) detectó la explotación exitosa de esta vulnerabilidad en la práctica después de que se comprometieran las credenciales del administrador local. Cisco recomienda encarecidamente a los clientes que actualicen a una versión de software corregida para remediar esta vulnerabilidad.

Si bien no existen soluciones alternativas para abordar esta vulnerabilidad aparte de aplicar los parches publicados hoy, Cisco indicó que los administradores que no puedan actualizar inmediatamente el software vulnerable pueden mitigar el problema temporalmente limitando el acceso SNMP en un sistema afectado a usuarios de confianza.

Hoy, Cisco ha corregido otras 13 vulnerabilidades de seguridad, incluyendo dos para las que existe un código de explotación de prueba de concepto.

La primera, una falla de scripts entre sitios (XSS) reflejada en Cisco IOS XE, identificada como CVE-2025-20240, puede ser utilizada por un atacante remoto no autenticado para robar cookies de dispositivos vulnerables.

La segunda, identificada como CVE-2025-20149, es una vulnerabilidad de denegación de servicio que permite a atacantes locales autenticados forzar la recarga de los dispositivos afectados.

En mayo, la compañía también corrigió una falla de máxima gravedad en IOS XE que afectaba a los controladores de LAN inalámbrica. Esta vulnerabilidad permitía a atacantes no autenticados tomar el control remoto de los dispositivos mediante un token web JSON (JWT) codificado.

Fuente: BC

Ciberdelincuentes norcoreanos emplean IA para robar más de 10 millones de dólares en criptomonedas, mediante estafas en Linkedin

En un reciente informe, Microsoft ha revelado que el grupo de ciberamenazas vinculado a Corea del Norte, conocido como Sapphire Sleet, ha logrado sustraer más de 10 millones de dólares en criptomonedas mediante sofisticadas campañas de ingeniería social en LinkedIn. Estas operaciones, llevadas a cabo durante un período de seis meses, han involucrado la creación de perfiles falsos que se hacen pasar por reclutadores y solicitantes de empleo, con el objetivo de generar ingresos ilícitos para el régimen sancionado.

Sapphire Sleet, activo desde al menos 2020 y también identificado como APT38 y BlueNoroff, ha desarrollado infraestructuras que imitan portales de evaluación de habilidades para ejecutar sus campañas de engaño. Una de las tácticas principales consiste en hacerse pasar por capitalistas de riesgo interesados en empresas objetivo, estableciendo reuniones en línea fraudulentas. Cuando las víctimas intentan unirse a estas reuniones, se les presentan mensajes de error que las instan a contactar al administrador de la sala o al equipo de soporte.

Al comunicarse con los supuestos administradores, las víctimas reciben archivos maliciosos en formato AppleScript (.scpt) o Visual Basic Script (.vbs), según el sistema operativo que utilicen. Estos scripts descargan malware en los dispositivos comprometidos, permitiendo a los atacantes obtener credenciales y acceder a monederos de criptomonedas para su posterior robo.

Además, Sapphire Sleet ha sido detectado haciéndose pasar por reclutadores de firmas financieras como Goldman Sachs en LinkedIn, contactando a posibles víctimas y solicitándoles completar evaluaciones de habilidades alojadas en sitios web controlados por los atacantes. Al iniciar sesión y descargar el código asociado con la evaluación, las víctimas instalan inadvertidamente malware en sus dispositivos, otorgando a los atacantes acceso al sistema.

Microsoft también ha destacado que Corea del Norte ha desplegado miles de trabajadores de TI en el extranjero, representando una triple amenaza: generan ingresos para el régimen a través de trabajos «legítimos», abusan de su acceso para obtener propiedad intelectual y facilitan el robo de datos a cambio de un rescate. Estos trabajadores crean perfiles y portafolios falsos en plataformas como GitHub y LinkedIn para comunicarse con reclutadores y postularse a empleos. En algunos casos, utilizan herramientas de inteligencia artificial, como Faceswap, para modificar fotos y documentos robados, presentándolos en entornos profesionales. Estas imágenes se emplean en currículums o perfiles, a veces para múltiples identidades, que se envían en aplicaciones de empleo.

La sofisticación de estas tácticas destaca la importancia de que empresas e individuos refuercen sus medidas de seguridad para evitar ser víctimas de estos ataques:

1. Verificar la autenticidad de contactos en plataformas profesionales, antes de interactuar con un supuesto reclutador o solicitante de empleo, asegúrate de validar la legitimidad del perfil. Comprueba las conexiones, antecedentes y detalles del perfil en LinkedIn u otras plataformas.





2. Evitar descargar archivos de fuentes desconocidas, no descargues archivos, programas o aplicaciones enviados por contactos desconocidos, incluso si parecen legítimos. Es preferible utilizar servicios de análisis de archivos antes de abrirlos.





3. Fortalecer la seguridad de cuentas críticas, implementa autenticación multifactor (MFA) en todas las cuentas importantes, especialmente en aquellas relacionadas con criptomonedas o finanzas.





4. Educar a los empleados y usuarios, las organizaciones deben ofrecer capacitación constante a sus empleados sobre cómo detectar intentos de phishing y otras tácticas de ingeniería social.





5. Monitorizar accesos y transacciones, realiza auditorías frecuentes de las actividades en tus cuentas y dispositivos para identificar comportamientos inusuales. En el caso de criptomonedas, utiliza carteras frías (offline) para almacenar fondos a largo plazo.





6. Usar soluciones avanzadas de ciberseguridad, implementa herramientas como antivirus, cortafuegos y software de detección de amenazas basados en inteligencia artificial para proteger tus sistemas y redes.





7. Ser cauteloso con solicitudes de información personal, nunca compartas datos sensibles, como credenciales o claves privadas, con nadie a través de plataformas en línea.

Tomar estas precauciones puede reducir significativamente los riesgos de ser víctima de este tipo de ataques, garantizando mayor seguridad en el entorno digital.

HybridPetya: ransomware que burla UEFI Secure Boot y amenaza a sistemas Windows

HybridPetya destaca como la evolución moderna de Petya y NotPetya, demostrando que incluso Secure Boot puede ser burlado. El malware incorpora técnicas de cifrado e infección avanzadas y aprovecha la vulnerabilidad CVE-2024-7344 para comprometer sistemas Windows a nivel de arranque.

HybridPetya es una nueva variante de ransomware que eleva el listón al comprometer la partición EFI y saltarse las protecciones de UEFI Secure Boot en sistemas Windows. Descubierto recientemente por investigadores de ESET, el malware se inspira en los ya célebres Petya y NotPetya, que causaron graves daños en 2016 y 2017. Sin embargo, introduce innovaciones preocupantes como el uso de la vulnerabilidad CVE-2024-7344, mostrando la evolución de las amenazas persistentes en la cadena de arranque.

HybridPetya destaca por su capacidad para infectar equipos UEFI con partición GPT, donde introduce un bootkit malicioso directamente en la partición de sistema EFI. Utiliza archivos como config, verify, y un bootloader modificado, además de un componente cifrador basado en Salsa20. Su vector principal es el abuso de CVE-2024-7344, una falla corregida que permitió la colocación de bootkits incluso con Secure Boot activado, sustituyendo archivos clave como bootmgfw.efi por uno malicioso y eliminando componentes originales del arranque.

El flujo de infección simula errores mediante BSOD y reinicia el equipo para activar el bootkit, cifrando datos críticos y exigiendo un rescate.

El principal riesgo radica en su habilidad para evadir UEFI Secure Boot, lo que implica que medidas de arranque seguro pierden efectividad si el sistema no está actualizado. HybridPetya puede incapacitar por completo el arranque de Windows y comprometer la restauración del sistema sin la clave de rescate, elevando el daño potencial. Aunque no hay casos activos detectados aún, la aparición del malware como prueba de concepto augura posibles campañas futuras dirigidas a equipos vulnerables.

Se recomienda aplicar sin demora los parches de seguridad de enero de 2025 de Microsoft que corrigen CVE-2024-7344, mantener copias de seguridad offline de la información más relevante y activar doble factor de autenticación en plataformas críticas. Realizar auditorías periódicas de integridad en la partición EFI y eliminar permisos innecesarios de arranque son prácticas clave. Revisar los indicadores de compromiso publicados por ESET puede ayudar en la detección temprana.

HybridPetya marca un nuevo hito en el ataque al ciclo de arranque de sistemas Windows. Sus capacidades demuestran que ni siquiera Secure Boot es infalible ante amenazas sofisticadas y vulnerabilidades como CVE-2024-7344. Mantener los parches aplicados y las copias de seguridad protegidas es esencial para reducir el riesgo y evitar la pérdida total de sistemas y datos.

Fuente: Hispasec

Hacking Day 2025 - Paraná

∞ Hacking Day 2025 es una jornada intensiva sobre ciberseguridad, cultura hacker y tecnología organizada por el Laboratorio de Seguridad de la Información (LASI) de la Facultad de Ciencia y Tecnología – UADER y la Municipalidad de Paraná, a través del Área de Innovación Pública y Transformación Digital.

Se realizará de forma presencial el días viernes 8 de agosto en la Sala Mayo de Paraná, con entrada gratuita e inscripción obligatoria. Durante la jornada se realizarán actividades simultáneas de charlas y talleres y no será transmitido en línea.

A través de la charlas y talleres, se busca generar un espacio de formación, encuentro y reflexión para quienes desarrollan, investigan o gestionan la ciberseguridad en contextos públicos, privados o comunitarios.

Evento presencial y gratuito, con inscripción previa

🧑‍💻 Público objetivo

• Profesionales de ciberseguridad, desarrollo de aplicaciones y sistemas informáticos





• Estudiantes y docentes de informática, seguridad, sistemas, electrónica, etc.





• Equipos técnicos de gobiernos, universidades, empresas y ONGs





• Activistas digitales, hackers éticos, makers y entusiastas tech





• Público general interesado en temas de tecnología y seguridad digital

🗣️ Escenario Principal – Charlas Magistrales

• Charlas técnicas y de hacking, durante todo el día





• Modalidad: abierto a todo el público





• Temáticas: ciberseguridad, hacking ético, inteligencia artificial, OSINT, Deepfake, malware, políticas públicas digitales, investigación, etc.





• Oradores invitados: especialistas reconocidos del ámbito académico, gubernamental y profesional





• Gratuito con Inscripción previa obligatoria

🧪 Espacio de Talleres Prácticos

• Talleres de 2 hs cada uno





• Modalidad: grupos reducidos con dinámica práctica





• La inscripción no asegura el espacio.





• Talleres a elegir:
  
  
  
  • 🛠️📶Hacking WiFi
  
  
  
  
  
  • 🤖🛡️Automatización de Security Testing con Selenium
  
  
  
  
  
  • 🧠🛠️Pentesting con herramientas de AI
  
  
  
  
  
  • 💣🧪Inside Banker Malware
  
  
  
  
  
  • 🎯🏰Hacking y técnicas ofensivas de Active Directory
  
  
  
  





• NOTA: es obligatorio que lleves tu propia notebook.





• Gratuito con Inscripción previa obligatoria

Vulnerabilidad crítica en CISCO ISE permite a atacantes no autenticados ejecutar código como root

Cisco ha revelado una nueva vulnerabilidad de seguridad de máxima gravedad que afecta a Identity Services Engine (ISE) y Cisco ISE Passive Identity Connector (ISE-PIC). Esta vulnerabilidad podría permitir a un atacante ejecutar código arbitrario en el sistema operativo subyacente con privilegios elevados.

Identificada como CVE-2025-20337 (CVSS 10.0) y es similar a la CVE-2025-20281, corregida por el fabricante de equipos de red a finales del mes pasado.

«Varias vulnerabilidades en una API específica de Cisco ISE y Cisco ISE-PIC podrían permitir que un atacante remoto no autenticado ejecute código arbitrario en el sistema operativo subyacente como root. El atacante no necesita credenciales válidas para explotar estas vulnerabilidades», declaró la compañía en un aviso.

Las vulnerabilidades descritas en la alerta son errores críticos (puntuación CVSS: 10.0) que podrían permitir que un atacante remoto no autenticado ejecute comandos en el sistema operativo subyacente como usuario root.

• CVE-2025-20281 y CVE-2025-20337: Múltiples vulnerabilidades en una API específica que podrían permitir que un atacante remoto no autenticado ejecute código arbitrario en el sistema operativo subyacente como usuario root.





• CVE-2025-20282: Una vulnerabilidad en una API interna que podría permitir que un atacante remoto no autenticado cargue archivos arbitrarios en un dispositivo afectado y luego los ejecute en el sistema operativo subyacente como usuario root.

Estas vulnerabilidades se deben a una validación insuficiente de la información proporcionada por el usuario. Un atacante podría explotar estas vulnerabilidades enviando una solicitud de API manipulada. Una explotación exitosa podría permitirle obtener privilegios de root en un dispositivo afectado. Según FOFA, habría más de 1.200 equipos vulnerables.

Kentaro Kawane, de GMO Cybersecurity, es reconocido por descubrir y reportar la falla. Anteriormente, Kawane fue reconocido por otras dos fallas críticas de Cisco ISE (CVE-2025-20286 y CVE-2025-20282) y por otro error crítico en Fortinet FortiWeb (CVE-2025-25257).

CVE-2025-20337 afecta a las versiones 3.3 y 3.4 de ISE e ISE-PIC, independientemente de la configuración del dispositivo. No afecta a las versiones 3.2 o anteriores de ISE e ISE-PIC. El problema se ha corregido en las siguientes versiones:

• Cisco ISE o ISE-PIC versión 3.3 (corregido en la versión 3.3, parche 7)





• Cisco ISE o ISE-PIC versión 3.4 (corregido en la versión 3.4, parche 2)

No hay evidencia de que la vulnerabilidad se haya explotado en un contexto malicioso. Dicho esto, siempre es recomendable mantener los sistemas actualizados para evitar posibles amenazas.

Esta revelación se produce después de que The Shadowserver Foundation informara que, desde el 11 de julio de 2025, es probable que actores de amenazas estén explotando exploits públicos asociados con CVE-2025-25257 para instalar webshells en instancias susceptibles de Fortinet FortiWeb. Al 15 de julio, se estimaba que había 77 instancias infectadas, frente a las 85 del día anterior. La mayoría de las vulnerabilidades se concentran en Norteamérica (44), Asia (14) y Europa (13).

Los datos de Censys, la plataforma de gestión de la superficie de ataque, muestran que hay 20.098 dispositivos Fortinet FortiWeb en línea, sin contar los honeypots, aunque actualmente se desconoce cuántos de ellos son vulnerables a CVE-2025-25257. «Esta falla permite a atacantes no autenticados ejecutar comandos SQL arbitrarios mediante solicitudes HTTP manipuladas, lo que provoca la ejecución remota de código (RCE)», declaró Censys.

Actualización 22/07: Cisco actualizó su aviso sobre las vulnerabilidades para reconocer su explotación activa.

Fuente: THN

Script de PowerShell para restaurar la carpeta "inetpub" vacía de Windows

Microsoft ha publicado un script de PowerShell para restaurar la carpeta «inetpub» vacía, creada por las actualizaciones de seguridad de Windows de abril de 2025, si se elimina. Como Microsoft advirtió previamente, esta carpeta ayuda a mitigar una vulnerabilidad de escalamiento de privilegios de alta gravedad en la Activación del Proceso de Windows (WPA).

En abril, tras instalar las nuevas actualizaciones de seguridad, los usuarios de Windows descubrieron repentinamente que se había creado una carpeta vacía, C:\Inetpub. Dado que esta carpeta está asociada con Internet Information Server de Microsoft, resultaba confuso que se creara cuando el servidor web no estaba instalado.

Esto provocó que algunos usuarios eliminaran la carpeta, lo que los volvió vulnerables a la vulnerabilidad corregida. Microsoft indicó que los usuarios que la eliminaron pueden volver a crearla manualmente instalando Internet Information Services desde el panel de control «Activar o desactivar las características de Windows» de Windows.

Una vez instalado IIS, se agregará una nueva carpeta inetpub a la raíz de la unidad C:\, con los mismos archivos y la misma propiedad SYSTEM que el directorio creado por las actualizaciones de seguridad de Windows de abril. Además, si no se usa IIS, puede desinstalarlo desde el mismo panel de control de Características de Windows para eliminarlo, dejando la carpeta C:\inetpub intacta.

El miércoles, en una nueva actualización del aviso CVE-2025-21204, la compañía también compartió un script de corrección que ayuda a los administradores a recrear esta carpeta desde un PowerShell con los siguientes comandos:

Install-Script -Name Set-InetpubFolderAcl

\Set-InetpubFolderAcl.ps1

Como explica Redmond, el script establecerá los permisos correctos de IIS para evitar el acceso no autorizado y las posibles vulnerabilidades relacionadas con CVE-2025-21204.

También actualizará las entradas de la lista de control de acceso (ACL) del directorio DeviceHealthAttestation en sistemas Windows Server para garantizar su seguridad si se crea antes de las actualizaciones de seguridad de febrero de 2025.

Microsoft: «No lo eliminen».

La falla de seguridad (CVE-2025-21204), mitigada por esta carpeta inetpub (creada automáticamente por las actualizaciones de seguridad de abril, incluso en sistemas sin la plataforma de servidor web IIS instalada previamente), se debe a un problema de resolución de enlaces incorrectos en la pila de Windows Update.

Esto probablemente significa que Windows Update podría seguir enlaces simbólicos en dispositivos sin parches, lo que permite a atacantes locales engañar al sistema operativo para que acceda o modifique archivos o carpetas no deseados.

Microsoft afirma que una explotación exitosa permite a atacantes con privilegios bajos escalar permisos y manipular o realizar operaciones de administración de archivos en el contexto de la cuenta NT AUTHORITY\SYSTEM.

Si bien la eliminación de la carpeta no causó problemas con Windows en nuestras pruebas, Microsoft indicó que se creó intencionalmente y no debe eliminarse. Redmond emitió la misma advertencia en un aviso actualizado sobre la falla de seguridad CVE-2025-21204 para advertir a los usuarios que no eliminen la carpeta vacía %systemdrive%\inetpub.

«Esta carpeta no debe eliminarse, independientemente de si Internet Information Services (IIS) está activo en el dispositivo de destino. Este comportamiento forma parte de los cambios que aumentan la protección y no requiere ninguna acción por parte de los administradores de TI ni de los usuarios finales», advirtió la compañía.

El experto en ciberseguridad Kevin Beaumont también demostró que los usuarios sin derechos de administrador pueden abusar de esta carpeta para bloquear la instalación de actualizaciones de Windows mediante la creación de una unión entre C:\inetpub y cualquier archivo de Windows.

Fuente: BC

Meta y Yandex permiten desanonimizar usuarios de Android

Miles de millones de usuarios han estado expuestos a un sistema de rastreo y espionaje masivo que han usado las empresas Meta y Yandex. Ambas empresas han usado una técnica que se aprovechaba  de aplicaciones nativas como Facebook o Instagram para monitorizar todo lo que hacíamos con nuestros navegadores móviles. Es una gota más de un vaso ya absolutamente colmado: el de los ataques a nuestra privacidad.

Un grupo de investigadores de la agencia IMDEA Networks y la Radboud Universiteit de Países Bajos, liderados por los profesores Gunes Acar y Narseo Vallina-Rodríguez, publicaron un extenso artículo técnico. En él, desvelan la técnica que han bautizado como ‘Local Mess’ (‘Lío Local’) y que Meta ha estado usando desde septiembre de 2024 y Yandex desde 2017.

El seguimiento encubierto en Meta Pixel y Yandex Metrica, permite que Meta y Yandex omitan las protecciones de seguridad y privacidad proporcionadas tanto por el sistema operativo Android como por los navegadores que se ejecutan en él.

«Uno de los principios de seguridad fundamentales que existe en la web, como el sistema móvil, se llama sandboxing», dijo Nardiso Vallina-Rodríguez, uno de los investigadores detrás del descubrimiento, en una entrevista. «Este vector de ataque permite romper el sandbox que existe entre el contexto móvil y el contexto web. El canal que existe todo el sistema Android para comunicar lo que feliz en el navegador con la identidad que se ejecuta en la aplicación móvil». Android Sandboxing, por ejemplo, aísla procesos para evitar que el dispositivo interactúe con cualquier aplicación instalada, reduciendo el acceso a datos confidenciales o recursos de sistema privilegiados.

El bypass descripto permite que las compañías pasen cookies desde navegadores a aplicaciones nativas de Android como Facebook, Instagram y varias aplicaciones de Yandex. Así, cuando el usuario inicia su sesión, las compañías pueden tener el vasto historial de navegación del titular de la cuenta.

¿Qué hace ‘Local Mess’?

Nos centraremos en Meta y sus aplicaciones, aunque el método es análogo en Yandex. Los usuarios de Android que hagan uso de aplicaciones como Facebook o Instagram podían estar expuestos, porque esas aplicaciones «escuchaban» lo que pasaba en los navegadores instalados en nuestros móviles haciendo uso de puertos locales (de ahí lo de ‘Local Mess’) con el objetivo de rastrear y monitorear todo lo que hacíamos en el navegador.

El usuario no se enteraba de nada. El método permitía que esas aplicaciones lograran recibir metadatos, cookies y comandos que se ejecutaban en los navegadores. El código JavaScript de Meta, llamado Meta Pixel, se cargaba de forma silenciosa y sin avisar como una especie de complemento de los navegadores móviles, y se conectaba a aplicaciones como Facebook o Instagram.

Desanonimizando a los usuarios. Como explican los investigadores, el método permitía acceder a los identificadores de dispositivo que se usan para los sistemas publicitarios, llamados Android Advertising ID (AAID), y eso hacía que fuera posible asociar todo lo que hacía el usuario a una identidad real (un perfil de Facebook o Instagram). El resultado: lo que hacíamos en el navegador ya no era anónimo ni privado.

Ni Modo Incógnito, ni borrar cookies ni nada. Este método «web-to-app» elude sistemas que teóricamente deberían proteger este tipo de rastreo. Así, ni borrar las cookies, ni navegar en modo incógnito funcionaba a la hora de intentar escapar de ese rastreo. De hecho, el método «abre la puerta a que aplicaciones potencialmente maliciosas espíen la actividad web de los usuarios», explican en el documento.

Los scripts de Meta y Yandex son ligeramente distintos, pero ambos hacen un uso indebido del acceso no autorizado a los sockets de nuestro localhost, el nombre reservado que tiene nuestro dispositivo en la red local y que siempre es la dirección IP loopback 127.0.0.1 (en IPv4). El sistema operativo Android permite a cualquier aplicación instalada, y con el permiso INTERNET, abrir un socket de escucha en la interfaz loopback. Los navegadores que se ejecutan en el mismo dispositivo también acceden a esta interfaz sin el consentimiento del usuario o la mediación de la plataforma. Esto permite que un código JavaScript incrustado en las páginas web se comunique con aplicaciones nativas de Android y comparta identificadores y actividad de navegación.

Millones de sitios web afectados. Para que el método funcionara Meta aprovechaba su cookie «_fbp», muy extendida en sitios web que hacen uso de publicidad de esta plataforma. Según BuiltWith, una web que permite monitorizar la adopción de distintas tecnologías, ese Meta Pixel está embebido en más de 5,8 millones de sitios web. Hay un buscador en la parte final del estudio que permite saber si un sitio web estaba expuesto y la actividad en él podía quedar registrada por estos scripts.

Teóricamente, solo en Android. Los investigadores revelan que sólo lograron obtener pruebas empíricas de esta técnica en móviles Android. No han observado tal problema en navegadores en iOS o en las aplicaciones que evaluaron, aunque señalan que técnicamente lograr hacer algo así en los iPhones es factible.

Los navegadores se protegen. Los responsables del descubrimiento han seguido una política de comunicación responsable de vulnerabilidades y se han puesto en contacto con varios desarrolladores de navegadores. Chrome ya tiene preparado el parche; el de Firefox está en desarrollo (pero parece no estar expuesto al problema); DuckDuckGo ya lo ha resuelto y; Brave no estaba afectado al usar una lista de bloqueo y al requerir permiso explícito del usuario para las comunicaciones con el localhost. No hay información sobre el progreso del parche en Microsoft Edge, que sí estaba afectado.

Y Meta ha desactivado esa opción sin más. Aunque los navegadores hayan tomado medidas, estas llegan tarde. No porque no haya solución o el código se haya modificado, sino porque Meta ha decidido dejar de usarlo sin decir nada. El script Meta Pixel dejó de enviar paquetes o de realizar peticiones a localhost. El código responsable de enviar esa cookie «_fbp», señalan en una actualización en este informe, ha sido casi completamente eliminado.

¿Por qué Meta hizo esto? Hay una hipótesis sobre la puesta en marcha de esta técnica por parte de Meta: podría deberse a cómo Google tenía la intención de librarse de las cookies de terceros en Chrome en algún momento en 2024. Eso hubiera afectado a empresas como Meta, que quizás habría reaccionado tratando de recabar esa información con esta técnica para poder tener un plan B si las cookies desaparecían.

Fuente: ArsTechnica | Xataka

Error crítico de Roundcube permite a usuarios autenticados ejecutar código malicioso (10 años de antigüedad)

Investigadores de ciberseguridad han revelado detalles de una falla de seguridad crítica en el software de correo web Roundcube, que ha pasado desapercibida durante una década y podría explotarse para controlar sistemas vulnerables y ejecutar código arbitrario.

Roundcube es una de las soluciones de correo web más populares, ya que el producto está incluido en las ofertas de proveedores de hosting reconocidos como GoDaddy, Hostinger, Dreamhost u OVH.

La vulnerabilidad, identificada como CVE-2025-49113, tiene una puntuación CVSS de 9,9 sobre 10. Se ha descrito como un caso de ejecución remota de código mediante la deserialización de objetos PHP y luego de la autenticación del usuario. «Roundcube Webmail en versiones anteriores a la 1.5.10 y 1.6.x en versiones anteriores a la 1.6.11 permite la ejecución remota de código por parte de usuarios autenticados porque el parámetro _from de una URL no está validado en program/actions/settings/upload.php, lo que provoca la deserialización de objetos PHP».

La falla, que afecta a todas las versiones del software anteriores a la 1.6.10 inclusive, se ha solucionado en las versiones 1.6.11 y 1.5.10 LTS. Kirill Firsov, fundador y director ejecutivo de FearsOff, es reconocido por descubrir y reportar la falla. La empresa de ciberseguridad con sede en Dubái indicó en un breve aviso que publicó detalles técnicos adicionales y una prueba de concepto (PoC) en un video.

Los atacantes solo tardaron un par de días en aplicar ingeniería inversa a la solución, aprovechar la vulnerabilidad y empezar a vender un exploit funcional en al menos un foro. Las vulnerabilidades de seguridad previamente reveladas en Roundcube han sido un objetivo lucrativo para actores de amenazas estatales como APT28 y Winter Vivern. El año pasado, Positive Technologies reveló que atacantes no identificados intentaron explotar una falla de Roundcube (CVE-2024-37383) como parte de un ataque de phishing diseñado para robar credenciales de usuario.

Hace un par de semanas, ESET detectó que APT28 había aprovechado vulnerabilidades de secuencias de comandos entre sitios (XSS) en varios servidores de correo web como Roundcube, Horde, MDaemon y Zimbra para recopilar datos confidenciales de cuentas de correo electrónico específicas pertenecientes a entidades gubernamentales y empresas de defensa en Europa del Este.

Positive Technologies, en una publicación en X, afirmó haber logrado reproducir la vulnerabilidad CVE-2025-49113 e instó a los usuarios a actualizar a la última versión de Roundcube lo antes posible.

«Esta vulnerabilidad permite a los usuarios autenticados ejecutar comandos arbitrarios a través de la deserialización de objetos PHP», añadió la empresa rusa de ciberseguridad.

Fuente: THN

GitLab parchea vulnerabilidad en su asistente Duo que permitía robo de código

GitLab ha distribuido parches de emergencia —17.10.1, 17.9.3 y 17.8.6— para mitigar la vulnerabilidad CVE-2025-2867, una indirect prompt injection que afectaba a su asistente de IA GitLab Duo y que ya había sido demostrada públicamente por Legit Security.

¿En qué consistía el fallo?

La debilidad permitía inyectar instrucciones ocultas —comentarios blancos, texto codificado en Base16 o manipulado con Unicode smuggling— dentro de merge requests, issues o incluso el propio código. Cuando Duo procesaba ese contexto, obedecía las órdenes maliciosas y podía:

• Exfiltrar fragmentos de código privado a un servidor controlado por el atacante.





• Inyectar HTML o JavaScript en las respuestas, redirigiendo al desarrollador a sitios de phishing o paquetes maliciosos.

Todas las ediciones CE/EE desde la rama 17.8 hasta la 17.10.0 inclusive estaban expuestas a un ataque de indirect prompt injection, que explota la confianza que la IA otorga al contexto no estructurado para manipular su comportamiento. Un atacante que lograra introducir un “comentario trampa” —por ejemplo, mediante un fork o una simple sugerencia de cambio— podía robar propiedad intelectual, filtrar zero-days internos o engañar a otros desarrolladores para que importaran dependencias maliciosas. El 26 de marzo de 2025, GitLab publicó las versiones corregidas 17.10.1, 17.9.3 y 17.8.6, y GitLab.com ya ejecuta el código seguro.

Recomendaciones

1. Actualizar inmediatamente a una versión parcheada.





2. Si la actualización se retrasa, deshabilitar GitLab Duo (GITLAB_DUO_DISABLED=true) y limitar su uso a repositorios públicos.





3. Revisar registros de Duo y tráfico saliente en busca de respuestas que incluyan URLs o código fuera del dominio corporativo.





4. Implementar filtros que bloqueen texto oculto o codificado en comentarios y descripciones.

Fuente: Hispasec

Aumento del phishing en archivos SVG

En un mundo donde las imágenes se utilizan para informar o entretener, una nueva generación de ataques de phishing las utiliza para engañar y robar. Un informe reciente de Trustwave SpiderLabs revela un aumento del 1.800 % en los ataques de phishing que utilizan archivos SVG (gráficos vectoriales escalables) como medios de distribución.

Estos archivos de imagen, ligeros y aparentemente inofensivos, se están convirtiendo en la herramienta predilecta de los ciberdelincuentes para el robo de credenciales, la distribución de malware y la elusión de la autenticación multifactor.

Los archivos SVG se utilizan en toda la web para crear iconos y logotipos nítidos. A diferencia de los formatos PNG o JPEG, los SVG se basan en XML y pueden incrustar JavaScript, lo que les permite transportar código interactivo o, en este caso, scripts maliciosos. «Los ciberdelincuentes aprovechan esta característica insertando scripts maliciosos directamente en los archivos SVG, lo que permite el acceso no autorizado, el robo de datos y la vulneración de la identidad».

Los archivos SVG se procesan de forma nativa en los navegadores, y la mayoría de los clientes de correo electrónico no los escanean ni los protegen, lo que los convierte en vectores ideales para el phishing.

En una campaña, los atacantes imitaron una notificación de correo de voz de Microsoft Teams. El correo electrónico de phishing parecía legítimo e instaba a los usuarios a descargar un supuesto archivo adjunto de audio: un archivo .SVG malicioso.

«A pesar de su extensión .SVG, el archivo está diseñado para parecer un mensaje de voz… Al hacer clic, ejecuta un código de redirección incrustado que lleva a los usuarios a una página de inicio de sesión falsa de Office 365.»

El script utilizaba la etiqueta SVG <foreignObject> y ofuscación Base64, eludiendo las herramientas tradicionales de seguridad del correo electrónico. Al abrirse, la imagen mostraba un logotipo falso de Microsoft y redirigía a las víctimas a una página de recolección de credenciales.

Esta campaña estaba vinculada a Mamba2FA, un grupo de phishing como servicio (PhaaS) conocido por su capacidad para eludir las protecciones de MFA.

El phishing basado en SVG ahora se ve impulsado por sofisticadas plataformas de phishing como servicio (PaaS) como:

• Tycoon2FA





• Mamba2FA





• Sneaky2FA

Estos kits permiten a los atacantes:

• Integrar scripts ofuscados de varias capas en SVG





• Realizar phishing de tipo «Ataque en el Intermedio» (AiTM)





• Redireccionar a los usuarios a páginas que eluden la autenticación multifactor (MFA) y recopilan credenciales

«El aumento del phishing en SVG sugiere que los actores de amenazas están expandiendo continuamente sus tácticas para eludir las medidas de seguridad más allá de los códigos QR y los métodos tradicionales, incluyendo enlaces, HTML y ataques basados ​​en documentos», concluye el informe. Para combatir esta amenaza, Trustwave SpiderLabs recomienda un enfoque multifacético:

• Evalúar la opción de bloquear correos electrónicos con archivos adjuntos en SVG o, como mínimo, marcarlos con una advertencia.





• Tener cuidado con los archivos adjuntos y enlaces: sospechar de los archivos inesperados y los enlaces incrustados.





• Verificar la autenticidad de los remitentes y el contenido.





• Capacitar a los empleados regularmente.





• Implementar sistemas robustos de filtrado y detección de amenazas.





• Implementar métodos de autenticación multifactor (MFA) con capas adicionales





• Reforzar las defensas con métodos resistentes al phishing.

Fuente: SecurityOnline

AkiraBot: Bot con IA que evita CAPTCHAs y envía spam a sitios web a gran escala

Investigadores han revelado detalles de una plataforma impulsada por inteligencia artificial (IA) llamada AkiraBot, que se utiliza para enviar spam a chats, secciones de comentarios y formularios de contacto de sitios web con el fin de promocionar servicios de optimización para motores de búsqueda (SEO) dudosos como Akira y ServicewrapGO.

«AkiraBot ha atacado más de 400.000 sitios web y ha enviado spam con éxito a al menos 80.000 desde septiembre de 2024», declararon los investigadores de SentinelOne, Alex Delamotte y Jim Walter, en un informe. «El bot utiliza OpenAI para generar mensajes de contacto personalizados según el propósito del sitio web».

Los objetivos de esta actividad incluyen formularios de contacto y widgets de chat presentes en sitios web de pequeñas y medianas empresas, y el framework comparte contenido spam generado mediante los modelos de lenguaje (LLM) de OpenAI. Lo que distingue a esta extensa herramienta basada en Python es su capacidad para crear contenido que permite eludir los filtros de spam.

Se cree que la herramienta de mensajería masiva se ha utilizado al menos desde septiembre de 2024, comenzando con el nombre «Shopbot», en lo que parece ser una referencia a los sitios web que utilizan Shopify.

Con el tiempo, AkiraBot ha ampliado su alcance de segmentación para incluir sitios desarrollados con GoDaddy, Wix y Squarespace, así como aquellos con formularios de contacto genéricos y widgets de chat en vivo creados con Reamaze.

La clave de la operación, que consiste en generar el contenido de spam, se facilita mediante el uso de la API de OpenAI. La herramienta también ofrece una interfaz gráfica de usuario (GUI) para seleccionar la lista de sitios web objetivo y personalizar cuántos de ellos se pueden atacar simultáneamente.

«AkiraBot crea mensajes de spam personalizados para los sitios web objetivo procesando una plantilla que contiene un esquema genérico del tipo de mensaje que debe enviar el bot», explicaron los investigadores. «La plantilla se procesa mediante una solicitud enviada a la API de chat de OpenAI para generar un mensaje de contacto personalizado basado en el contenido del sitio web».

Un análisis del código fuente revela que el cliente OpenAI utiliza el modelo gpt-4o-mini y se le asigna la función de «asistente útil que genera mensajes de marketing».

Otro aspecto destacable del servicio es que puede sortear las barreras CAPTCHA para enviar spam a sitios web a gran escala y evadir las detecciones basadas en la red mediante un servicio de proxy que se suele ofrecer a los anunciantes. Los servicios CAPTCHA objetivo son hCAPTCHA, reCAPTCHA y Cloudflare Turnstile.

Para lograrlo, el tráfico web del bot está diseñado para simular un usuario final legítimo y utiliza diferentes servidores proxy de SmartProxy para ocultar el origen del tráfico.

AkiraBot también está configurado para registrar sus actividades en un archivo llamado «submissions.csv», que registra tanto los intentos de spam exitosos como los fallidos. Un análisis de estos archivos ha revelado que más de 420.000 dominios únicos han sido atacados hasta la fecha. Además, las métricas de éxito relacionadas con la evasión de CAPTCHA y la rotación de proxy se recopilan y se publican en un canal de Telegram a través de la API.

En respuesta a los hallazgos, OpenAI ha desactivado la clave API y otros recursos asociados utilizados  por los actores de amenazas. «El autor o los autores han invertido un esfuerzo considerable en la capacidad de este bot para evadir las tecnologías CAPTCHA de uso común, lo que demuestra que los operadores están motivados a violar las protecciones de los proveedores de servicios. El uso por parte de AkiraBot del contenido de mensajes de spam generados por LLM demuestra los nuevos desafíos que la IA plantea para la defensa de los sitios web contra los ataques de spam».

Fuente: THN