Los cibercriminales siguieron recurriendo a un arsenal de malware conocido la semana pasada, con los robadores de información y los troyanos de acceso remoto (RAT) dominando el panorama de amenazas como las herramientas principales para el acceso inicial, el robo de credenciales y el control del sistema a largo plazo.

A la cabeza de la lista está Vidar, un robador de información que registró 282 detecciones, superando por poco a AsyncRAT, un RAT de código abierto ampliamente abusado que registró 275 impactos a pesar de una fuerte caída semanal. Remcos y XWorm completaron los cuatro primeros con 195 y 192 detecciones respectivamente, subrayando cómo los actores de amenazas continúan favoreciendo los RAT modulares capaces de registrar pulsaciones de teclas, vigilancia por cámara web y control de escritorio remoto para el espionaje y el robo financiero.

La telemetría semanal del sandbox interactivo de ANY.RUN para el periodo que finaliza el 20 de julio de 2026 muestra que la actividad del malware se concentra en torno a diez familias reincidentes en lugar de una ola de nuevas amenazas.

Vidar (282 cargas) y AsyncRAT (275 cargas) encabezan la tabla, seguidos por Remcos, Xworm, StealC, AgentTesla, DonutLoader, Lumma, Snake Keylogger y Quasar.

Nueve de las diez familias vieron disminuir sus cargas semana tras semana, con la actividad de AsyncRAT cayendo en 1.431 detecciones, la caída más pronunciada del conjunto, mientras que Lumma (+18) y Snake (+28) fueron las únicas familias con tendencia al alza.

Para quienes se encargan de la defensa, la señal real no es la aparición de nombres de malware desconocidos; es la velocidad del cambio dentro de un catálogo estable.

Una caída abrupta en una familia históricamente dominante (AsyncRAT, Vidar) a menudo indica la eliminación de la infraestructura, la interrupción del creador o la migración del actor de la amenaza a una herramienta sucesora, mientras que una familia en ascenso (Lumma, Snake) señala dónde un operador de MaaS está reinvirtiendo esfuerzos y dónde la cobertura de detección podría estar retrasada.

Este informe analiza cada una de las diez familias con sus vectores de infección, industrias objetivo, vulnerabilidades explotadas e IOC consolidados para su ingesta directa en los canales de detección para protegerte contra los ciberataques actuales.

Instantánea de la Clasificación Semanal

1. Vidar Stealer

Vidar es un robador de información basado en C++/C activo desde diciembre de 2018, que se cree que proviene de un grupo de desarrolladores de habla rusa, y se vende como Malware como Servicio (MaaS) con un nivel "PRO" con un precio cercano a los 700 dólares.

En octubre de 2025, su operador lanzó Vidar 2.0, una reescritura completa en C puro con arquitectura multihilo, coincidiendo con un fuerte descenso en la actividad de StealC y Lumma a medida que los criminales migraban hacia él. Una campaña rastreada hasta mediados de 2026 combinó el abuso de firmas de código, cargadores compilados en Go y el sideloading de DLL a través de un MpClient.dll falso para atacar principalmente a organizaciones en EE. UU. y la UE.

Vectores de Infección

• Malvertising que atrae a las víctimas a descargar archivos .bin protegidos con contraseña disfrazados de software crackeado o pirateado
• Cargadores AutoIt de múltiples etapas que abusan de herramientas nativas de Windows (por ejemplo, MicrosoftToolkit.exe generando consolas de comandos)
• Cargas maliciosas disfrazadas de JPEG/TXT ejecutadas directamente en memoria
• Adjuntos de correo electrónico spam, a menudo emparejados con campañas de AgentTesla o NanoCore
• Clientes de "hacks" de juegos y paquetes de software gratuito sospechosos

Industrias Objetivo: No tiene un enfoque vertical fijo; las campañas recientes se concentraron ampliamente en empresas de EE. UU. y la UE, abarcando tecnología, servicios profesionales y objetivos comerciales generales. Vidar también aparece como una carga secundaria en intrusiones de ransomware STOP/DJVU.

Vulnerabilidades/Técnicas Explotadas: Certificados de firma de código falsos o no autorizados (por ejemplo, certificados falsificados de JustWatch y BleacherReport), omisión de AMSI en memoria, inflado de binarios con relleno de bytes nulos para evadir el escaneo basado en tamaño. No se requiere ningún CVE específico; la infección se basa en la ingeniería social y la ejecución de herramientas nativas del sistema (living-off-the-land) en lugar de un exploit de software.

Indicadores de Compromiso

• Descubrimiento de C2 a través de descripciones de perfiles de Telegram/Mastodon que contienen direcciones IP incrustadas
• Solicitudes HTTP GET con encabezados User-Agent y Host vacíos, URI de destino de 4 dígitos (ID de campaña) seguido de solicitudes de un nombre de archivo de 10 dígitos + .zip
• DLLs legítimas de terceros soltadas: vcruntime140.dll, freebl3.dll, mozglue.dll, sqlite3.dll, nss3.dll, softokn3.dll, msvcp140.dll
• CN de certificados falsos que imitan a JustWatch y BleacherReport.com
• Archivo: MpClient.dll cargada desde rutas no estándar (carga del cargador)
• Persistencia mediante modificaciones de la clave de registro Run y tareas programadas

2. AsyncRAT

AsyncRAT es un troyano de acceso remoto .NET/C# de código abierto publicado por primera vez en GitHub bajo el usuario “NYANxCAT” en enero de 2019; para 2026 tiene más de 40 forks activos y se sitúa como la segunda familia de malware más activa a nivel mundial detrás de CobaltStrike según la telemetría de Maltiverse.

A pesar de encabezar la tabla de la semana pasada por volumen, registró la mayor caída semanal de cualquier familia en el top 10, descendiendo 1.431 detecciones, lo cual es consistente con las interrupciones periódicas de la infraestructura o de las fuerzas del orden que afectan regularmente a las flotas de C2 de AsyncRAT.

Vectores de Infección

• Correos electrónicos de phishing con adjuntos ZIP que contienen scripts .wsf o archivos de OneNote (.hta) que activan la ejecución de archivos por lotes (.bat)
• Hojas de cálculo de Excel maliciosas (.xls) que sueltan un segundo archivo .xls para activar macros VBA y comunicarse con el C2
• Enlaces de Dropbox que llevan a archivos de acceso directo de Internet (.url) que redirigen a scripts de múltiples etapas alojados en TryCloudflare, instalando un entorno Python e inyectando código en explorer.exe
• Explotación de CVE-2022-30190 (Follina/MSDT “Dogwalk”) para la ejecución arbitraria de código
• Adjuntos de correo electrónico maliciosos en formato ZIP, ISO o HTML (variante MSIL)

Industrias Objetivo: Servicios financieros (45,5%), educación/organizaciones sin fines de lucro (32,7%), salud (6,9%), gobierno (5,9%) y manufactura (4,0%), según los datos de avistamiento de Maltiverse; concentrados geográficamente en Ecuador, Colombia y Brasil, con una presencia creciente en América del Norte y Europa. Otros informes sectoriales enumeran la salud, la aeroespacial, la tecnología, la hostelería, los servicios empresariales y las finanzas como objetivos constantes.

Vulnerabilidades/Técnicas Explotadas: CVE-2022-30190 (Follina); abuso de la infraestructura de túneles de nivel gratuito de Cloudflare para alojar cargas; omisión de AMSI e inyección de procesos en aspnet_compiler.exe o explorer.exe.

Indicadores de Compromiso

• CN de certificado TLS=“AsyncRAT Server” / “AsyncRAT”
• Huella digital SHA-256 del certificado: 136fbfd2d255a7fc69c16fe115138d7a53ed0a7db8302017ee0e692b42d82ffe
• Puertos C2 predeterminados: 8808, 6606, 7707
• Nombre de archivo de carga final observado: new.bin, desplegado a través de subdominios de TryCloudflare
• Persistencia: scripts en la carpeta de inicio, tareas programadas que hacen referencia a rutas %APPDATA%/%TEMP%, adiciones a la clave de registro Run
• Cadena de artefactos de entrega: enlace de Dropbox → acceso directo .url → script instalador de Python → inyección en explorer.exe

3. Remcos RAT

Remcos es una herramienta de administración remota vendida comercialmente por Breaking Security (registrada en Hong Kong), comercializada para la gestión remota legítima pero ampliamente abusada para el espionaje y el robo de credenciales. Explota la vulnerabilidad CVE-2017-0199 (Microsoft Office OLE2Link) para entregar cargas sin archivos, y una variante de 2026 pasó del almacenamiento de datos local a la vigilancia en tiempo real basada en C2, incluyendo la transmisión de la cámara web.

Vectores de Infección

• Correos electrónicos de phishing con adjuntos de documentos de Office maliciosos que explotan vulnerabilidades de la aplicación
• Correos de phishing temáticos de despidos/recursos humanos que entregan ejecutables de Remcos compilados con NSIS disfrazados de PDF de “registro de personal”
• Enlaces de phishing alojados en Google Cloud Storage
• Sitios web comprometidos que alojan cargas del instalador de Remcos
• Shellcode de DonutLoader con etapas de AutoIt y abuso de LOLBin para la ejecución en memoria

Industrias Objetivo: Servicios financieros, salud, gobierno y objetivos empresariales generales que reciben un alto volumen de correo electrónico (los señuelos temáticos de RRHH/facturas sugieren un objetivo corporativo amplio, y la infraestructura crítica es nombrada repetidamente en los informes de amenazas).

Vulnerabilidades/Técnicas Explotadas: CVE-2017-0199 (Microsoft Office OLE2Link RCE). Campañas recientes también utilizan fallos de salto de ruta de WinRAR para soltar cargas de RAT .NET sin archivos.

Indicadores de Compromiso

• Patrón de clave de registro: HKEY_CURRENT_USER\Software\Remcos-{dígitos_letras}, un fuerte indicador basado en el host de despliegue no autorizado
• Convención de nomenclatura de archivos maliciosos: “staff record.pdf” (en realidad un binario Remcos compilado con NSIS)
• Firma de detección: Trojan.Remcos.S38451216
• Cambio del tráfico C2 de registros locales por lotes a conexiones de transmisión en vivo persistentes (exfiltración de cámara web/micrófono)
• Cadena de entrega: archivo por lotes → PowerShell codificado → shellcode de DonutLoader → etapa de AutoIt

4. Xworm

Xworm es un RAT modular distribuido como MaaS, visto por primera vez en julio de 2022, que se cree que se originó en la región de la ex-URSS, desarrollado en .NET y capaz de desplegar ransomware, realizar ataques DDoS y robar criptomonedas y credenciales.

Un informe de Trellix de mayo de 2026 señaló el ascenso de Xworm a la posición de tercera amenaza global, impulsado por la ejecución solo en memoria y el abuso del exploit CVE-2025-8088 de WinRAR.

Vectores de Infección

• Correos de phishing con documentos de Word que cargan un archivo .rtf remoto que contiene una hoja de cálculo de Excel con macros, la cual ejecuta PowerShell para obtener Xworm
• Archivos LNK disfrazados de facturas, que ejecutan un PowerShell oculto que copia/ejecuta un archivo por lotes
• Entrega de múltiples etapas basada en shellcode utilizando esteganografía e inyección de DLL reflectiva
• Explotación del fallo de salto de ruta de WinRAR CVE-2025-8088
• Explotación de la vulnerabilidad Follina CVE-2022-30190 a través de archivos .docx maliciosos (observada en una campaña dirigida a empresas alemanas)

Industrias Objetivo: Hostelería (campañas en el Reino Unido suplantando a Booking.com), con un objetivo más amplio a nivel de país que abarca el Reino Unido, España, Rusia, Ucrania, India, EE. UU. y Alemania.

Vulnerabilidades/Técnicas Explotadas: CVE-2025-8088 (WinRAR), CVE-2022-30190 (Follina). Intentos de omisión de UAC para obtener derechos de administrador y modificar el registro para la persistencia.

Indicadores de Compromiso

• Rutas de archivos soltados: C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\XWorm.exe y C:\Users\admin\AppData\Roaming\XWorm.exe
• Persistencia a través del servicio del Programador de Tareas vinculado a la copia del directorio Roaming
• Herramientas de carga asociadas vistas en las cadenas de entrega: Freeze[.]rs, SYK Crypter (también usado para soltar Remcos, njRAT, RedLine)
• Patrón de dominio de remitente suplantado imitando a Booking.com en el phishing del sector hotelero
• Formatos de archivo observados en la entrega: .rtf, .lnk, .pdf, .docx

5. StealC

StealC es un robador de información basado en C vendido a través de un panel de control PHP autohospedado desde enero de 2023, diseñado para robar datos de navegadores, mensajería y carteras de criptomonedas, y para soltar cargas secundarias como Laplas Clipper.

Cabe destacar que la infraestructura de StealC fue incautada el 24 de junio de 2026 durante la Operación Endgame, una acción de las fuerzas del orden dirigida por la BKA de Alemania y coordinada por Europol que también afectó al cargador Amadey; esto explica la disminución semanal continua de StealC incluso antes de la incautación, ya que la actividad ya había caído más del 90 por ciento desde su pico de enero de 2026.

Vectores de Infección

• Sitios web falsos que ofrecen descargas de software legítimo que en su lugar entregan StealC
• Adjuntos de correo electrónico maliciosos (documentos de Office, PDF)
• Distribución a través del cargador Amadey y el cargador CrackedCantil, que también sueltan Lumma, RisePro y RedLine
• Paquetes MSI y scripts de PowerShell como formatos de entrega ampliados en StealC V2

Industrias Objetivo: No se ha informado de ninguna concentración vertical específica; StealC se dirige ampliamente a almacenes de credenciales individuales (navegadores, carteras de criptomonedas, aplicaciones de juegos, VPN, clientes de correo electrónico) en lugar de sectores particulares.

Vulnerabilidades/Técnicas Explotadas: No se han informado explotaciones basadas en CVE; confía en la ingeniería social y la entrega mediante cadenas de cargadores. Las propias vulnerabilidades del panel de control de StealC fueron explotadas por investigadores, lo que contribuyó al colapso de su prevalencia en 2026 antes de la incautación de junio.

Indicadores de Compromiso

• DLLs de terceros descargadas necesarias para el robo de datos del navegador: sqlite3.dll, freebl3.dll, mozglue.dll, nss3.dll, vcruntime140.dll, softokn3.dll, msvcp140.dll
• Patrón de comunicación C2: exfiltración HTTP POST tras un saludo inicial de solicitud de configuración
• Métricas de incautación de la Operación Endgame relevantes para la búsqueda retrospectiva: más de 100 dominios y cientos de servidores incautados, ~27 millones de credenciales recuperadas, más de 47 millones de dólares en criptomonedas congelados
• Indicador de co-ocurrencia: StealC se despliega frecuentemente junto con o a través de la infraestructura del cargador Amadey

6. AgentTesla

AgentTesla es un spyware/keylogger basado en .NET vendido desde 2014 en una tienda dedicada (con precios de 15 a 70 dólares) y soporte basado en Discord, que se cree que se originó en Turquía, con más de 6.300 compradores documentados. Sigue siendo una herramienta de robo de credenciales de primer nivel debido a su bajo costo y facilidad de uso para atacantes menos técnicos.

Vectores de Infección

• Documentos de Word/Excel maliciosos con ejecutables o exploits incrustados entregados a través de phishing
• Campañas de spam con temas de coronavirus o temas de actualidad
• Enlaces web maliciosos que descargan automáticamente documentos contaminados
• Ejecución proxy a través de utilidades confiables de Windows RegSvcs.exe y RegAsm.exe

Industrias Objetivo: Amplio y oportunista, abarcando individuos y organizaciones en diversos sectores; comúnmente agrupado en los mismos ecosistemas de spam que Vidar e IcedID.

Vulnerabilidades/Técnicas Explotadas: CVE-2017-11882 y CVE-2017-8570 (fallos de corrupción de memoria del editor de ecuaciones de Microsoft Office). También utiliza trucos de archivos con doble extensión (por ejemplo, invoice.zip que contiene un ejecutable disfrazado).

Indicadores de Compromiso

• Indicador de inyección de procesos: RegAsm.exe o RegSvcs.exe legítimos secuestrados para realizar el robo de datos señalado en el sandbox como “Las acciones parecen un robo de datos personales”
• Directorio de etapa de carga: %TEMP%
• Canal de exfiltración SMTP sin cifrar que ocasionalmente expone las propias credenciales SMTP del atacante en flujos de red en texto plano
• Dominio de distribución histórico: agenttesla[.]com (tienda de malware, no un C2, pero relevante para la atribución)

7. DonutLoader

DonutLoader es una técnica de carga basada en shellcode (que aprovecha el proyecto de código abierto “Donut”) utilizada cada vez más como una etapa intermedia para desplegar Remcos, Pulsar RAT y otros robadores con una huella forense mínima. Su cambio semanal fue casi nulo (-6), lo que sugiere un uso constante y estable como mecanismo de entrega en lugar de una campaña en maduración o declive.

Vectores de Infección

• Correos de phishing que utilizan redireccionamientos abiertos (por ejemplo, enlaces abusados de Google App) entregando un archivo ZIP que contiene un archivo .url malicioso
• Túneles de Cloudflare y abuso de WebDAV para la preparación de cargas remotas
• Archivos por lotes con comandos codificados que descifran el shellcode de Donut a través de PowerShell
• Abuso del tiempo de ejecución de Python para la inyección Early Bird APC en procesos legítimos suspendidos
• Discord utilizado como canal de C2 en algunas versiones observadas

Industrias Objetivo: No es específico de un sector; documentado contra destinatarios de correos electrónicos empresariales generales que reciben señuelos temáticos de facturas/cobros.

Vulnerabilidades/Técnicas Explotadas: No depende de CVE; confía en los Binarios Living-off-the-Land (LOLBins), la inyección Early Bird APC y la ejecución en memoria para evadir el escaneo de antivirus basado en disco.

Indicadores de Compromiso

• PDF señuelo soltado para distraer a la víctima mientras se establece la persistencia
• Ubicación de persistencia: entradas de inicio en la carpeta de Startup
• Característica de la carga final: PE .NET en memoria ejecutado enteramente desde un cargador de shellcode Donut, minimizando los artefactos forenses
• Clave de registro Run + archivo por lotes oculto colocado en %AppData%
• Objetivo de inyección: proceso suspendido legítimo a través de la técnica Early Bird APC

8. Lumma Stealer

Lumma (LummaC2) es un robador de información MaaS activo desde 2022, que se cree operado desde el territorio de la antigua URSS, vendido a través de suscripciones distribuidas en Telegram de tres niveles, y compatible con Windows 7 hasta 11 en arquitecturas x86, x64 y ARM. Fue el único de los tres robadores principales en aumentar sus cargas esta semana (+18), consistente con su resurgimiento documentado ya que la incautación de StealC impulsó la demanda criminal hacia robadores alternativos.

Vectores de Infección

• Pantallas engañosas de CAPTCHA/“verificación humana” que engañan a los usuarios para que ejecuten PowerShell malicioso (técnica ClickFix)
• Abuso del CDN de Discord para alojar y distribuir cargas
• Avisos de actualización de navegador falsos
• Sitios falsos de descarga de software
• Mensajería directa de Discord para generar confianza antes de enviar ejecutables infectados
• Sitios web comprometidos que utilizan EtherHiding combinado con tácticas de ClickFix
• Archivos LNK maliciosos disfrazados de PDF distribuidos a través de infraestructura comprometida de instituciones educativas

Industrias Objetivo: Salud, banca, marketing, telecomunicaciones; también finanzas, salud, tecnología y medios de comunicación en campañas de múltiples etapas vinculadas a infraestructura educativa comprometida.

Vulnerabilidades/Técnicas Explotadas: No hay CVE específicos; confía enteramente en la ingeniería social (engaño de ClickFix/CAPTCHA) en lugar de la explotación de software. La actividad posterior a la infección a principios de 2026 mostró un patrón consistente de añadir tareas programadas para escalar la persistencia.

Indicadores de Compromiso

• Firmas de detección: Behavior:Win32/LummaStealer, Trojan:PowerShell/Powdow, Behavior:Win64/Shaolaod
• Marcador de técnica: EtherHiding (datos/comandos incrustados en transacciones de blockchain) utilizado junto con ClickFix
• Comportamiento post-infección: adición repetida de tareas programadas como patrón de persistencia/reinfección
• Formato de entrega: archivos .lnk maliciosos disfrazados de documentos PDF
• Lista de bloqueo de tipos de archivo recomendada en la puerta de enlace de correo: exe, pif, tmp, url, vb, vbe, scr, reg, cer, pst, cmd, com, bat, dll, dat, hlp, hta, js, wsf

9. Snake Keylogger

Snake Keylogger (también rastreado como 404 Keylogger) es un robador de credenciales y keylogger modular de .NET observado por primera vez en noviembre de 2020, históricamente clasificado como la segunda familia de malware más común detrás de AgentTesla. Registró la mayor ganancia porcentual en el top 10 esta semana (+28), y una variante de 2025 que utiliza scripts de AutoIt estuvo vinculada a más de 280 millones de intentos de infección bloqueados globalmente.

Vectores de Infección

• Correo electrónico spam malicioso con un adjunto .img (imagen de disco); al abrirlo se monta una unidad virtual que contiene un ejecutable disfrazado de PDF
• Documentos de Office o PDF maliciosos que requieren la activación de macros o la explotación de un lector vulnerable
• Etapas de descarga programadas con AutoIt que descifran y cargan DLLs ofuscadas directamente en memoria
• Inyección de procesos en procesos relacionados con .NET Framework

Industrias Objetivo: Objetivo oportunista amplio; la variante AutoIt de 2025 afectó específicamente a usuarios en China, Turquía, Indonesia, Taiwán y España. El robo de credenciales corporativas y personales es el objetivo principal en todos los sectores.

Vulnerabilidades/Técnicas Explotadas: No hay CVE específicos; depende de documentos con macros habilitadas y versiones vulnerables o desactualizadas de lectores de Office o PDF. Utiliza la carga de DLL en memoria y la técnica de process hollowing/inyección para evitar la detección basada en disco.

Indicadores de Compromiso

• Artefacto de entrega: adjunto de imagen de disco .img que monta una unidad virtual con un ejecutable de Etapa-1 disfrazado
• Objetivos de robo de datos confirmados en el análisis de sandbox: credenciales predeterminadas del perfil de Outlook, datos de inicio de sesión del navegador, credenciales FTP almacenadas en FileZilla
• Marcador de técnica: process hollowing en procesos de .NET Framework para una ejecución sigilosa
• Campaña co-ocurrente: compromiso de infraestructura de instituciones educativas utilizado para entregar tanto Snake Keylogger como Lumma a través de archivos LNK maliciosos

10. Quasar RAT

Quasar es un RAT de .NET de código abierto documentado por primera vez en 2015 (evolucionó del código base más antiguo xRAT), consistente en una arquitectura cliente-servidor con una consola de gestión basada en GUI; fue utilizado anteriormente en una campaña de 2017 contra el gobierno de EE. UU. y más tarde contra objetivos del sector privado. Una variante de 2026 pivotó hacia objetivos centrados en desarrolladores, recolectando credenciales de Git, NPM y PyPI en lugar de datos generales del usuario final.

Vectores de Infección

• Campañas de spam por correo electrónico que entregan un adjunto de documento malicioso, a veces con doble extensión de archivo (por ejemplo, docx.exe) para disfrazar el ejecutable
• Droppers de archivos de Microsoft Office maliciosos que modifican los valores de la clave de registro Run para la persistencia
• Entrega enfocada en la cadena de suministro, dirigida a máquinas de desarrolladores y almacenes de credenciales de CI/CD

Industrias Objetivo: Históricamente organizaciones gubernamentales y del sector privado; la ola de campañas más reciente se dirige específicamente a desarrolladores de software y entornos DevOps en industrias que dependen de los ecosistemas de paquetes Git/NPM/PyPI.

Vulnerabilidades/Técnicas Explotadas: No se han informado CVE específicos; Quasar carece de funciones sofisticadas de antianálisis en comparación con sus pares, basándose en su lugar en la ingeniería social y la persistencia mediante tareas programadas/registro.

Indicadores de Compromiso

• Persistencia: tarea programada creada con schtasks al nivel de ejecución más alto (contexto de administrador) o valor de la clave de registro Run (contexto de no administrador)
• Marcador de red: cadenas de user-agent distintivas que suplantan el tráfico del navegador utilizadas para la comunicación C2
• Objetivos de robo de credenciales en la variante de 2026 centrada en desarrolladores: credenciales de Git, tokens de NPM, credenciales de PyPI y otros secretos de repositorio
• Método de detección: detecciones de reglas de IDS Suricata en intentos de comunicación C2, visibles bajo el panel de “Threats” del sandbox

Lista de Verificación Consolidada para el Defensor

El patrón en los datos de esta semana refuerza una prioridad de defensa: la detección basada únicamente en archivos y CVE pasará por alto a la mayoría de estas familias, ya que siete de diez confían principalmente en la ingeniería social, los LOLBins o la ejecución en memoria en lugar de exploits de software.

La detección de comportamiento, la monitorización del registro/tareas programadas y la coincidencia de patrones DNS/C2 (especialmente para el descubrimiento de C2 basado en Telegram/Mastodon y el abuso de túneles de Cloudflare) deberían priorizarse sobre las herramientas basadas únicamente en firmas.

En conjunto, las clasificaciones de esta semana reflejan un panorama de amenazas donde los robadores y los RAT siguen siendo los principales motores de la actividad de intrusión inicial, incluso mientras la mezcla específica de familias cambia de una semana a otra.

Para ti que defiendes la red, rastrear estos cambios en la clasificación ofrece un sistema de alerta temprana, ayudando a los equipos de seguridad a priorizar la ingeniería de detección y los esfuerzos de búsqueda de amenazas en torno a las familias que impulsan más activamente los ciberataques en el mundo real.