Los ciberdelincuentes están implementando una estrategia peligrosa para evadir las defensas de seguridad: en lugar de crear herramientas de ataque personalizadas que puedan ser detectadas, están convirtiendo utilidades comunes del sistema en armas. Según el informe de riesgos cibernéticos del primer trimestre de 2026 de ANY.RUN, este cambio en la metodología está redefiniendo la forma en que se ejecutan los ataques, utilizando herramientas confiables para desplegar malware peligroso.

Los ciberdelincuentes han encontrado una nueva forma, ingeniosa y peligrosa, de evadir las defensas. En lugar de crear herramientas de ataque personalizadas que el software de seguridad pueda detectar, están convirtiendo las utilidades cotidianas del sistema en armas.

Este cambio está transformando la manera en que se desarrollan los ataques, y las cifras son difíciles de ignorar. Según el Informe de Riesgo Cibernético del primer trimestre de 2026 de ANY.RUN, basado en más de 2,1 millones de investigaciones de malware y phishing, tres tendencias están redefiniendo el panorama de las amenazas.

El robo de credenciales aumentó un 14,7%, los ataques basados en cargadores (loaders) se dispararon un 98,3%, y los ataques de scripts y binarios de tipo "Living-off-the-Land" (LotL) que utilizan JavaScript crecieron un 58,4%. Estas cifras describen a atacantes que se vuelven más silenciosos y rápidos al mismo tiempo.

Los analistas de ANY.RUN señalaron que la creciente dependencia de herramientas confiables está haciendo que los ataques sean mucho más difíciles de detectar. Cuando los atacantes utilizan el mismo software en el que confían los administradores para ejecutar sus sistemas, la detección tradicional basada en firmas a menudo no activa ninguna alerta.

El desafío ya no es solo encontrar archivos maliciosos, sino comprender si una herramienta normalmente segura está siendo abusada.

ANY.RUN afirmó en un informe que el compromiso en etapas tempranas es uno de los riesgos más ignorados en las operaciones de seguridad modernas.

El informe reveló que un atacante tarda solo 21 segundos en establecer la persistencia después del acceso inicial, y solo 16 segundos en comenzar la ejecución de "Living-off-the-Land". Estos márgenes no permiten una respuesta lenta.

La preocupación general es que la brecha entre la infección y el compromiso total del sistema se está estrechando rápidamente. Los equipos de seguridad que no estén equipados para investigar amenazas en tiempo real corren un riesgo creciente de quedarse atrás antes siquiera de darse cuenta de que el ataque ha comenzado.

Están convirtiendo cada vez más las herramientas confiables en armas

El concepto de "living off the land" (vivir de la tierra) se refiere a que los atacantes utilizan herramientas que ya están presentes en el sistema de la víctima, como PowerShell, Windows Script Host o entornos de JavaScript, en lugar de desplegar malware externo.

Este enfoque hace que la actividad maliciosa se mezcle con las operaciones normales, reduciendo drásticamente las posibilidades de detección.

El informe del primer trimestre de 2026 muestra que los ataques LOLBAS que utilizan JavaScript crecieron un 58,4% durante el trimestre. Los atacantes explotan herramientas de scripting integradas para ejecutar código malicioso sin dejar un archivo de malware tradicional en el disco.

Este enfoque sin archivos (fileless) es particularmente efectivo contra las soluciones de endpoint que dependen del escaneo de archivos en lugar del monitoreo del comportamiento.

Lo que hace que esta tendencia sea especialmente alarmante es la velocidad a la que se desarrollan estos ataques. Cuando se obtiene el acceso inicial, la persistencia se establece en segundos, dejando una ventana extremadamente pequeña para que los defensores respondan.

El abuso de credenciales combinado con la explotación de herramientas nativas permite a los atacantes operar silenciosamente durante largos periodos sin activar ninguna alerta.

La detección en este entorno exige un enfoque completamente nuevo. El monitoreo basado en el comportamiento y la investigación de anomalías son ahora esenciales para cualquier organización que se tome en serio la seguridad. Esperar a que aparezca un archivo malicioso conocido simplemente ya no es una estrategia viable.

El costo creciente de la detección tardía

Quizás el dato más sorprendente del informe no es la variedad de técnicas de ataque, sino la rapidez con la que se ejecutan. La persistencia puede establecerse en solo 21 segundos tras el compromiso inicial, exponiendo una brecha grave en la forma en que la mayoría de las organizaciones abordan la detección de amenazas hoy en día.

Los ataques basados en cargadores crecieron un 98,3%, casi duplicándose en un solo trimestre. Estas herramientas operan en las fases más tempranas de un ataque para descargar y ejecutar malware adicional en un sistema comprometido.

Su rápido crecimiento indica que los actores de amenazas se centran primero en asegurar un punto de apoyo y en escalar la intrusión más tarde. La identidad sigue siendo un objetivo principal, con el robo de credenciales aumentando un 14,7%.

Los atacantes armados con credenciales válidas pueden moverse por una red aparentando ser usuarios legítimos, lo que hace que sea muy difícil separar el comportamiento malicioso de la actividad normal. Aquí es donde la analítica del comportamiento y el triaje rápido se vuelven críticos.

El informe recomienda que los equipos de seguridad prioricen la visibilidad de las amenazas en etapas tempranas e inviertan en capacidades de investigación en tiempo real.

Reducir los retrasos en la investigación, confirmar la exposición más rápidamente y fortalecer la cobertura de detección en todas las plataformas principales son las prioridades centrales para el segundo trimestre de 2026. Las organizaciones que actúen basándose en estos hallazgos estarán mucho mejor posicionadas para limitar los daños cuando llegue la próxima ola.

Fuentes:
https://cybersecuritynews.com/hackers-are-increasingly-weaponizing-trusted-tools/