Se ha detectado Quasar Linux (QLNX), un avanzado implante para Linux que ataca entornos de desarrollo y DevOps para robar credenciales y facilitar ataques de cadena de suministro. Este malware combina un rootkit, un backdoor y herramientas de vigilancia, destacando por su capacidad de persistencia y sigilo al ejecutarse en memoria y borrar sus rastros. Su objetivo principal es comprometer estaciones de trabajo de desarrolladores para acceder a infraestructuras críticas y repositorios de código.

El grupo UNC6692 utiliza Microsoft Teams y bombardeo de correo con ingeniería social para engañar a empleados y desplegar el malware Snow, que permite control remoto, movimiento lateral y robo de Active Directory.

Irán acusa a Estados Unidos de sabotear su infraestructura de red mediante backdoors y botnets en routers de Cisco, Juniper y Fortinet en el contexto de un conflicto bélico iniciado en febrero de 2026 que ya registra un alto al fuego.

Un grupo de amenazas vinculado a un estado ha sido descubierto ejecutando una operación de espionaje silenciosa pero cuidadosamente planificada contra el sector bancario de la India, utilizando un archivo firmado por Microsoft para introducir malware sin ser detectado por las defensas de seguridad. La campaña distribuye una nueva versión del backdoor LOTUSLITE mediante una técnica conocida como carga lateral de DLL (DLL sideloading), que aprovecha la confianza que los sistemas operativos depositan en archivos legítimos.

 

Una vulnerabilidad crítica en la plataforma de cuadernos Python *marimo* está siendo explotada activamente por atacantes para desplegar una puerta trasera basada en blockchain en sistemas de desarrolladores. La falla, identificada como CVE-2026-39987, permite la ejecución remota de código sin autenticación, convirtiéndola en un peligroso punto de entrada para actores maliciosos que la utilizan para instalar una nueva variante del malware NKAbuse

Una nueva campaña de malware está utilizando activamente WhatsApp para distribuir archivos dañinos directamente a usuarios de Windows, explotando la confianza generalizada en aplicaciones de mensajería cotidianas. Los actores de amenazas envían archivos maliciosos de Visual Basic Script (VBS) a través de mensajes de WhatsApp, sabiendo que los usuarios rara vez cuestionan los adjuntos provenientes de plataformas conocidas.

Un importante ataque a la cadena de suministro de software ha afectado al ecosistema JavaScript después de que actores de amenazas introdujeran una dependencia maliciosa en el ampliamente utilizado paquete NPM axios. Las versiones comprometidas, axios 1.14.1 y 0.30.4, incorporaban plain-crypto-js y distribuían sigilosamente el backdoor WAVESHAPER.V2 a sistemas Windows, macOS y Linux durante la instalación

Un grupo de amenazas conocido como APT-Q-27 ha estado llevando a cabo una campaña activa contra equipos de soporte al cliente de Web3, utilizando enlaces falsos de capturas de pantalla en ventanas de chat en vivo para instalar silenciosamente una puerta trasera persistente en las máquinas de las víctimas. El ataque se dirige a la parte más humana de cualquier organización —el agente de soporte que responde a los tickets— en lugar de explotar vulnerabilidades de software

Se ha descubierto un paquete malicioso de Python llamado pyronut en el Python Package Index (PyPI), dirigido a desarrolladores que crean bots de Telegram al hacerse pasar por el popular framework pyrogram. En lugar de depender del typosquatting —donde el nombre se asemeja a uno legítimo—, el actor de la amenaza copió palabra por palabra toda la descripción del proyecto de pyrogram, creando lo que los investigadores describen como un fork malicioso

Ciberatacantes vinculados a Corea del Norte explotaron Kubernetes y Cloud SQL en un sofisticado ataque que comenzó con ingeniería social en el dispositivo de un desarrollador, instalando un backdoor para acceder a la infraestructura cloud. Usaron credenciales robadas y manipularon workflows DevOps para escalar privilegios, modificar bases de datos y robar millones en criptomonedas. El grupo UNC4899 empleó técnicas “living-off-the-cloud” para evadir detección. Se recomienda MFA resistente al phishing y monitorización de contenedores.

Ha surgido un ataque a la cadena de suministro dirigido a desarrolladores de ASP.NET, que involucra cuatro paquetes NuGet maliciosos diseñados para robar credenciales de inicio de sesión e instalar puertas traseras persistentes dentro de aplicaciones web. Los paquetes — NCryptYo, DOMOAuth2_, IRAOAuth2.0 y SimpleWriter_ — fueron publicados entre el 12 y el 21 de agosto de 2024 por un actor de amenazas que opera bajo el nombre de usuario “hamzazaheer”,

Una vulnerabilidad crítica en el software de soporte remoto de BeyondTrust está siendo explotada activamente por hackers para instalar peligrosos backdoors en sistemas comprometidos. La falla, identificada como CVE-2026-1731, tiene una puntuación CVSS de 9.9 y permite a los atacantes ejecutar comandos del sistema sin necesidad de iniciar sesión. BeyondTrust publicó un aviso de seguridad el 6 de febrero de 2026

Una sofisticada nueva puerta trasera de Android infecta el firmware del dispositivo en la etapa de construcción y se propaga a través de aplicaciones de Google Play, permitiendo a los atacantes tomar el control remoto de tablets y teléfonos de las víctimas. Publicado el 16 de febrero de 2026, su análisis detallado revela cómo esta amenaza imita al troyano Triada al engancharse al proceso Zygote, comprometiendo cada aplicación lanzada .

El grupo de ciberespionaje vinculado a Rusia conocido como Fancy Bear ha lanzado la Operación Neusploit. El grupo también es conocido como APT28. Esto marca una escalada significativa, aprovechando una vulnerabilidad zero-day, CVE-2026-21509, en archivos RTF de Microsoft. Al explotar esta falla, los atacantes ejecutan código arbitrario en los sistemas de las víctimas, implementando peligrosos backdoors y robadores de correos electrónicos. 

Alineados con Corea del Norte han lanzado una nueva campaña que convierte la inteligencia artificial en un arma contra equipos de desarrollo de software. Utilizando código PowerShell escrito con IA, el grupo conocido como KONNI está distribuyendo una puerta trasera sigilosa que mezcla contenido real de proyectos con scripts maliciosos. 

Se ha descubierto una vulnerabilidad crítica de puerta trasera en el plugin LA-Studio Element Kit para Elementor, un complemento popular de WordPress utilizado por más de 20.000 sitios activos. Esta falla de seguridad permite a los atacantes crear cuentas de administrador sin necesidad de autenticación, poniendo en riesgo de toma completa a miles de sitios web.

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) ha publicado un informe de análisis de malware sobre BRICKSTORM, una puerta trasera sofisticada vinculada a operaciones cibernéticas patrocinadas por el estado chino. Publicado en diciembre de 2025 y actualizado hasta enero de 2026, el informe identifica esta amenaza dirigida a plataformas VMware vSphere, específicamente a servidores vCenter y entornos ESXi. Organizaciones en los sectores de servicios gubernamentales y tecnología de la información

Microsoft informó que PipeMagic, presentado como una aplicación de ChatGPT, es en realidad un software dañino que opera en Windows. Según la empresa, el código malicioso habilita accesos ocultos que permiten a los atacantes manipular los equipos a distancia y sostener la intrusión en el tiempo.

Pavel Durov, fundador de Telegram, se ha opuesto firmemente al uso de puertas traseras en las aplicaciones de mensajería que está proponiendo la Unión Europea. Lo ha hecho, como no podía ser de otra manera, en su canal dentro de la aplicación de chat.