Un grupo de amenazas vinculado a un estado ha sido descubierto ejecutando una operación de espionaje silenciosa pero cuidadosamente planificada contra el sector bancario de la India, utilizando un archivo firmado por Microsoft para introducir malware sin ser detectado por las defensas de seguridad. La campaña distribuye una nueva versión del backdoor LOTUSLITE mediante una técnica conocida como carga lateral de DLL (DLL sideloading), que aprovecha la confianza que los sistemas operativos depositan en archivos legítimos.

Una nueva campaña de malware está utilizando activamente WhatsApp para distribuir archivos dañinos directamente a usuarios de Windows, explotando la confianza generalizada en aplicaciones de mensajería cotidianas. Los actores de amenazas envían archivos maliciosos de Visual Basic Script (VBS) a través de mensajes de WhatsApp, sabiendo que los usuarios rara vez cuestionan los adjuntos provenientes de plataformas conocidas.

Un importante ataque a la cadena de suministro de software ha afectado al ecosistema JavaScript después de que actores de amenazas introdujeran una dependencia maliciosa en el ampliamente utilizado paquete NPM axios. Las versiones comprometidas, axios 1.14.1 y 0.30.4, incorporaban plain-crypto-js y distribuían sigilosamente el backdoor WAVESHAPER.V2 a sistemas Windows, macOS y Linux durante la instalación

Un grupo de amenazas conocido como APT-Q-27 ha estado llevando a cabo una campaña activa contra equipos de soporte al cliente de Web3, utilizando enlaces falsos de capturas de pantalla en ventanas de chat en vivo para instalar silenciosamente una puerta trasera persistente en las máquinas de las víctimas. El ataque se dirige a la parte más humana de cualquier organización —el agente de soporte que responde a los tickets— en lugar de explotar vulnerabilidades de software

Se ha descubierto un paquete malicioso de Python llamado pyronut en el Python Package Index (PyPI), dirigido a desarrolladores que crean bots de Telegram al hacerse pasar por el popular framework pyrogram. En lugar de depender del typosquatting —donde el nombre se asemeja a uno legítimo—, el actor de la amenaza copió palabra por palabra toda la descripción del proyecto de pyrogram, creando lo que los investigadores describen como un fork malicioso

Ha surgido un ataque a la cadena de suministro dirigido a desarrolladores de ASP.NET, que involucra cuatro paquetes NuGet maliciosos diseñados para robar credenciales de inicio de sesión e instalar puertas traseras persistentes dentro de aplicaciones web. Los paquetes — NCryptYo, DOMOAuth2_, IRAOAuth2.0 y SimpleWriter_ — fueron publicados entre el 12 y el 21 de agosto de 2024 por un actor de amenazas que opera bajo el nombre de usuario “hamzazaheer”,

Una vulnerabilidad crítica en el software de soporte remoto de BeyondTrust está siendo explotada activamente por hackers para instalar peligrosos backdoors en sistemas comprometidos. La falla, identificada como CVE-2026-1731, tiene una puntuación CVSS de 9.9 y permite a los atacantes ejecutar comandos del sistema sin necesidad de iniciar sesión. BeyondTrust publicó un aviso de seguridad el 6 de febrero de 2026

Una sofisticada nueva puerta trasera de Android infecta el firmware del dispositivo en la etapa de construcción y se propaga a través de aplicaciones de Google Play, permitiendo a los atacantes tomar el control remoto de tablets y teléfonos de las víctimas. Publicado el 16 de febrero de 2026, su análisis detallado revela cómo esta amenaza imita al troyano Triada al engancharse al proceso Zygote, comprometiendo cada aplicación lanzada .

El grupo de ciberespionaje vinculado a Rusia conocido como Fancy Bear ha lanzado la Operación Neusploit. El grupo también es conocido como APT28. Esto marca una escalada significativa, aprovechando una vulnerabilidad zero-day, CVE-2026-21509, en archivos RTF de Microsoft. Al explotar esta falla, los atacantes ejecutan código arbitrario en los sistemas de las víctimas, implementando peligrosos backdoors y robadores de correos electrónicos. 

Alineados con Corea del Norte han lanzado una nueva campaña que convierte la inteligencia artificial en un arma contra equipos de desarrollo de software. Utilizando código PowerShell escrito con IA, el grupo conocido como KONNI está distribuyendo una puerta trasera sigilosa que mezcla contenido real de proyectos con scripts maliciosos. 

Se ha descubierto una vulnerabilidad crítica de puerta trasera en el plugin LA-Studio Element Kit para Elementor, un complemento popular de WordPress utilizado por más de 20.000 sitios activos. Esta falla de seguridad permite a los atacantes crear cuentas de administrador sin necesidad de autenticación, poniendo en riesgo de toma completa a miles de sitios web.

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) ha publicado un informe de análisis de malware sobre BRICKSTORM, una puerta trasera sofisticada vinculada a operaciones cibernéticas patrocinadas por el estado chino. Publicado en diciembre de 2025 y actualizado hasta enero de 2026, el informe identifica esta amenaza dirigida a plataformas VMware vSphere, específicamente a servidores vCenter y entornos ESXi. Organizaciones en los sectores de servicios gubernamentales y tecnología de la información

Microsoft informó que PipeMagic, presentado como una aplicación de ChatGPT, es en realidad un software dañino que opera en Windows. Según la empresa, el código malicioso habilita accesos ocultos que permiten a los atacantes manipular los equipos a distancia y sostener la intrusión en el tiempo.

Pavel Durov, fundador de Telegram, se ha opuesto firmemente al uso de puertas traseras en las aplicaciones de mensajería que está proponiendo la Unión Europea. Lo ha hecho, como no podía ser de otra manera, en su canal dentro de la aplicación de chat.

 Un grupo de investigadores de WatchTowr Labs, en colaboración con The Shadowserver Foundation, logró identificar y neutralizar más de 4,000 puertas traseras web (web shells) activas pero abandonadas. Estos sistemas, que todavía mantenían comunicación con su infraestructura de comando y control (C2), fueron desactivados al registrar los dominios caducados utilizados por los atacantes para controlarlos.

Un actor de amenazas modificó el código fuente de al menos cinco complementos alojados en WordPress.org para incluir scripts PHP maliciosos que crean nuevas cuentas con privilegios administrativos en los sitios web que los ejecutan.