Profesionales de la ciberseguridad están siendo blanco de proyectos maliciosos en GitHub que instalan puertas traseras y robores de información. La campaña, que ya ha comprometido a más de 2,000 sistemas Windows, utiliza scripts falsos de seguridad y técnicas de evasión avanzadas para desactivar antivirus. Finalmente, el ataque despliega malware como AsyncRAT para robar datos sensibles y activos de criptomonedas.

Los desarrolladores de *Goddess of Victory: NIKKE* confirmaron que hackers manipularon los scripts del lanzador de PC para distribuir malware. Este ataque permitió el robo de credenciales, archivos locales y datos de billeteras de criptomonedas. Aunque se lanzó una actualización el 4 de noviembre para solucionar el problema, se recomienda a los usuarios afectados realizar un escaneo completo de antivirus y cambiar sus contraseñas.

Se ha detectado CWPdoor, un malware para Linux que se distribuye mediante una versión troyanizada del servidor web de Control Web Panel (CWP). Este backdoor es extremadamente sigiloso, ya que permanece inactivo hasta recibir comandos cifrados y oculta sus huellas borrando registros y logs. Los expertos recomiendan verificar procesos sospechosos, actualizar el software y rotar credenciales en caso de compromiso.

Una coalición liderada por Google desmanteló la botnet XCPE, que infectó millones de dispositivos Android fabricados por la empresa china Videostrong. Esta red utilizaba puertas traseras en el firmware para fines lucrativos y el despliegue de malware.

Google y sus socios desmantelaron la botnet XCPE, que infectó más de un millón de dispositivos Android TV fabricados por la empresa china Videostrong. La compañía instaló deliberadamente puertas traseras en el firmware para generar ingresos mediante fraude publicitario y la venta de acceso a cibercriminales. Como respuesta, Google revocó la licencia de Videostrong y eliminó los servidores de control, afectando a millones de dispositivos comprometidos.

Una versión maliciosa de la extensión Claude Code de Anthropic estuvo disponible durante 11 horas en el marketplace de Cursor, afectando a unos 5,000 desarrolladores. El malware buscaba instalar puertas traseras SSH para obtener acceso remoto y recolectar datos del sistema, aunque errores de código limitaron su efectividad en muchos casos. Cursor ya eliminó la extensión y cerró temporalmente su tienda para auditar la seguridad y mitigar el ataque.

Se ha detectado una nueva cadena de ataque que pone en riesgo a los administradores de WordPress que mantienen su panel de control abierto en el mismo navegador que usan para navegar habitualmente. Investigadores han documentado el uso de un cargador de JavaScript que, al detectar una sesión activa de administrador en una página comprometida, aprovecha dicha confianza del navegador para instalar un backdoor de PHP oculto en el sitio.

Algunas descargas de la versión 3.0.123 del plugin Rank Math PRO fueron comprometidas con malware que instalaba puertas traseras y robaba credenciales sensibles. El proveedor ya lanzó la versión limpia 3.0.124, pero advierte que actualizar el plugin no elimina la amenaza si ya fue activado. Se recomienda a los usuarios afectados restaurar copias de seguridad, eliminar manualmente los archivos maliciosos y cambiar todas sus contraseñas y claves.

Se han detectado puertas traseras de Linux que atacan equipos de red y telecomunicaciones en Corea del Sur y Taiwán, camuflándose como procesos legítimos y servicios de seguridad de correo electrónico. El malware, vinculado a grupos chinos como Red Menshen, utiliza variantes de BPFDoor y un implante llamado AVERAT para evadir la detección y exfiltrar datos. Estas amenazas aprovechan protocolos como SMTP y HTTPS para ocultar su tráfico y mantener el acceso persistente a los sistemas afectados.

El grupo de espionaje chino Salt Typhoon ha desplegado un nuevo backdoor llamado SparroWocky en redes gubernamentales de varios países de Centro y Sudamérica. Según ESET, este ataque busca monitorear la reacción de los gobiernos locales ante las presiones políticas de Estados Unidos en la región. El malware utiliza herramientas de código abierto y técnicas avanzadas para evadir antivirus y robar información confidencial.

El grupo de espionaje FamousSparrow, vinculado a China, ha desplegado un nuevo malware avanzado llamado SparroWocky contra organismos gubernamentales en varios países de Latinoamérica. Esta herramienta modular permite robar datos, capturar pantallas y ejecutar comandos, utilizando técnicas sofisticadas de evasión para evitar la detección de los antivirus. El objetivo principal sería recolectar inteligencia sobre las respuestas regionales ante la presión económica de EE. UU. sobre China.

Atacantes están explotando vulnerabilidades críticas en JFrog Artifactory para evadir la autenticación y obtener privilegios de administrador en servidores autoalojados. Mediante una cadena de exploits, los hackers instalan puertas traseras en Rust y plugins maliciosos para ejecutar comandos y robar datos. Se recomienda actualizar inmediatamente a las versiones oficiales y revisar el sistema en busca de cuentas o tokens sospechosos.

Corea del Norte lanzaron TED Backdoor, una herramienta para Linux que se integra en HAProxy para robar credenciales y ejecutar comandos remotos.

El grupo HoneyMyte desplegó una versión actualizada del backdoor CoolClient que incluye un rootkit de kernel firmado para ocultar procesos, archivos y comunicaciones C2. Según Kaspersky, este malware ha afectado a entidades gubernamentales en Myanmar, Mongolia, Pakistán y Rusia, siendo instalado generalmente después de una infección por PlugX. El rootkit utiliza un controlador llamado msagent.sys para evadir la detección y proteger los componentes maliciosos contra el análisis o la eliminación.

El grupo APT36, vinculado a Pakistán, ha lanzado una campaña de ciberataques contra proveedores de telecomunicaciones en Afganistán e infraestructura crítica en el sur de Asia. Utilizan los malwares PATCHCORD y SHEETCORD, distribuidos mediante instaladores falsos de VPN y sitios gubernamentales suplantados. Estas herramientas permiten el control remoto de sistemas, el robo de datos y el uso de Google Sheets y GitHub para coordinar sus ataques.

El grupo hacktivista Head Mare ha explotado vulnerabilidades en servidores de videoconferencia TrueConf para reemplazar los instaladores legítimos por versiones maliciosas con puertas traseras (backdoors). Mediante el uso de scripts y web shells, los atacantes logran privilegios máximos para exfiltrar credenciales y datos sensibles de organizaciones rusas. Kaspersky recomienda actualizar a las versiones más recientes para mitigar estos riesgos.

Investigadores de ciberseguridad descubrieron una puerta trasera de fábrica llamada ENDLESSDOORS en al menos 20 modelos de routers chinos Zbtlink. Este implante se ejecuta con privilegios de root y se comunica automáticamente con servidores en China para recibir comandos remotos. El fabricante ya retiró el firmware afectado y trabaja en un parche para solucionar esta vulnerabilidad.

Investigadores detectaron HollowFrame y Matryoshka, un cargador y un backdoor diseñados para infiltrarse en sistemas mediante phishing. Estas herramientas permiten la ejecución remota de comandos, el robo de credenciales y el movimiento lateral, utilizando técnicas de evasión y GitHub para el control. El ataque, que afectó a una firma de abogados, empleó una cadena de etapas para dificultar su detección y atribución.

Se ha detectado una puerta trasera crítica en la cadena de suministro del plugin de WordPress Advanced Responsive Video Embedder (versión 10.8.7). Esta vulnerabilidad, identificada como CVE-2026-18072 con una puntuación CVSS de 9.8, permite que atacantes no autenticados obtengan acceso total de administrador. El problema, detectado por la IA de Wordfence PRISM, afecta a aproximadamente 20,000 instalaciones activas.

El CERT/CC advirtió sobre una puerta trasera no documentada en varias versiones del firmware de dispositivos Tenda. Esta vulnerabilidad permite a un atacante evadir la verificación de contraseñas y obtener control administrativo total del equipo. Actualmente no existe un parche oficial, por lo que se recomienda desactivar la gestión remota y cambiar la IP predeterminada de la red local.