El grupo de hacking SlippyNunchucks, alineado con China, está utilizando el popular software de escritura Sogou Input Method para instalar secretamente un backdoor denominado DarkVigil en ordenadores con Windows. Desde el 1 de julio de 2026, han empleado esta herramienta para atacar a usuarios en Hong Kong, Tailandia, Japón, Vietnam y Sri Lanka.

El grupo de ciberespionaje ruso APT28 utilizó el backdoor Hookedge para infiltrarse en la red de un constructor naval de un estado miembro de la OTAN. Durante una intrusión que duró al menos dos meses, los atacantes robaron credenciales de acceso y establecieron un túnel SSH oculto.

Se ha detectado un nuevo bootkit de UEFI llamado BlackX, utilizado en ataques de ciberespionaje contra organizaciones diplomáticas en Tayikistán, Uzbekistán y Turkmenistán. Este malware logra vulnerar el Secure Boot de Windows, una función diseñada para evitar la ejecución de software no confiable durante el arranque, afectando incluso a sistemas que estaban completamente actualizados.

Se han detectado puertas traseras de Linux que atacan equipos de red y telecomunicaciones en Corea del Sur y Taiwán, camuflándose como procesos legítimos y servicios de seguridad de correo electrónico. El malware, vinculado a grupos chinos como Red Menshen, utiliza variantes de BPFDoor y un implante llamado AVERAT para evadir la detección y exfiltrar datos. Estas amenazas aprovechan protocolos como SMTP y HTTPS para ocultar su tráfico y mantener el acceso persistente a los sistemas afectados.

El grupo de espionaje chino Salt Typhoon ha desplegado un nuevo backdoor llamado SparroWocky en redes gubernamentales de varios países de Centro y Sudamérica. Según ESET, este ataque busca monitorear la reacción de los gobiernos locales ante las presiones políticas de Estados Unidos en la región. El malware utiliza herramientas de código abierto y técnicas avanzadas para evadir antivirus y robar información confidencial.

Se ha detectado que sitios web de casinos con apariencia común están siendo utilizados para ocultar infraestructura de ciberespionaje. Estas páginas imitan portales de juego de baja calidad para evitar el escrutinio de seguridad, conectando discretamente a los visitantes y sistemas comprometidos con servidores controlados por atacantes. Esta actividad se centra en PeckBirdy, un sistema de comando y control basado en JavaScript.

El Departamento de Justicia de EE. UU. rectificó que varias agencias federales fueron objetivos de ataques del grupo chino QTFY, pero no necesariamente víctimas confirmadas. Este grupo, vinculado al gobierno chino, utiliza herramientas como QScan y QTRouter para espiar infraestructuras críticas y redes sensibles. Finalmente, el FBI logró neutralizar la operación al desmantelar los dominios utilizados por los atacantes.

El grupo de hacking iraní Nimbus Manticore ha desarrollado dos nuevos malwares multiplataforma, NodeRabbit y PollCat, capaces de infectar Windows, Linux y macOS. Los atacantes utilizan perfiles falsos de reclutadores en LinkedIn para engañar a ingenieros con falsas ofertas de empleo y retos de programación infectados. Estas herramientas permiten el acceso remoto y el robo de información, marcando una evolución hacia el uso de JavaScript y Node.js para ampliar sus objetivos.

El grupo de espionaje chino Fire Ant ha expandido sus ataques desde hipervisores VMware hacia routers Cisco IOS XR y servidores TACACS para interceptar tráfico y robar credenciales. Utilizan malware especializado para ocultar sus huellas, suprimir registros de seguridad y explorar infraestructuras críticas. La firma Sygnia vincula esta actividad con el grupo UNC3886, destacando el uso de herramientas avanzadas como TacTap y BridgeAgent.

Una campaña de ciberespionaje vinculada a China está utilizando un engaño visual para atacar al personal tecnológico y gubernamental de Myanmar. Los atacantes disfrazan un disco duro virtual (VHD) como si fuera una imagen JPEG común, confiando en que las víctimas abrirán el archivo sin sospechar debido a su extensión familiar para desplegar el backdoor QUICAgent.

Se ha detectado SilkParasite, una operación de ciberespionaje vinculada a China que ataca entidades gubernamentales en Asia Central. El grupo utiliza siete familias de RAT y emplea inteligencia artificial para optimizar el desarrollo de su código y crear señuelos de phishing. Sus ataques se basan en el uso de macros y DLL sideloading para evadir detecciones y desplegar herramientas modulares.

El grupo de espionaje norcoreano Kimsuky ha ampliado su campaña Operation GitPower mediante la implementación de un entorno de desarrollo de inteligencia artificial local. Esta herramienta se utiliza para optimizar la creación de señuelos en correos de phishing, analizar material robado y acelerar sus operaciones. El método de acceso inicial sigue basándose en el envío de archivos ZIP que contienen accesos directos de Windows (LNK).

Una empresa china poco conocida, Guangdong Chanming, podría haber ayudado a construir la red oculta utilizada para dar soporte a operaciones cibernéticas vinculadas a militares en todo el mundo. Según los investigadores, esta firma —que no parece tener un negocio público evidente— estaría conectada a herramientas diseñadas para ocultar la actividad en línea y desviar el tráfico a través de múltiples sistemas.

Se ha descubierto una nueva campaña de ciberespionaje que utiliza bots de Telegram como controladores ocultos para puertas traseras (backdoors) instaladas en redes gubernamentales de Oriente Medio. Los atacantes emplean componentes legítimos de Windows y archivos aparentemente inofensivos, como imágenes ISO que contienen programas reales de ASUSTek junto con código malicioso, para establecer acceso sin levantar sospechas inmediatas.

Turla, una operación de ciberespionaje vinculada al Servicio Federal de Seguridad de Rusia, ha vuelto a ser noticia tras detectarse ataques contra organizaciones francesas. Este grupo, activo desde hace más de dos décadas, se especializa en el robo sigiloso de información sensible en sectores gubernamentales, diplomáticos, de defensa, justicia y tecnología.

El grupo de amenazas vinculado a Rusia, Turla, ha desarrollado un nuevo backdoor llamado STOCKSTAY para expandir su capacidad de espionaje. Desde diciembre de 2022, este malware, creado en .NET, ha estado atacando activamente a organizaciones gubernamentales y militares en Ucrania. El software utiliza conexiones WebSocket seguras para comunicarse con sus operadores, lo que permite que el tráfico pase desapercibido y sea difícil de detectar en la red.

GreyVibe, un grupo de amenazas probablemente vinculado a Rusia, está llevando a cabo una campaña de ciberespionaje contra organizaciones ucranianas utilizando IA para crear señuelos y malware personalizados. El grupo emplea diversas tácticas, desde phishing y sitios web falsos hasta troyanos y spyware, para robar datos y espiar sectores gubernamentales y militares. Aunque sus objetivos alinean con intereses estatales, WithSecure señala que su falta de disciplina operativa sugiere la participación de exmiembros de redes cibercriminales.

El grupo de ciberespionaje Kimsuky, vinculado a Corea del Norte, llevó a cabo cuatro campañas de spear-phishing durante el primer semestre de 2025. Estas operaciones estuvieron dirigidas a diversos perfiles, incluyendo reclutadores corporativos, inversores y desarrolladores de criptomonedas, funcionarios del sector defensa y administradores de escuelas de posgrado.

El grupo de hacking MuddyWater, vinculado a Irán, lanzó una campaña de ciberespionaje contra nueve organizaciones globales, incluyendo un gigante electrónico surcoreano y agencias gubernamentales. Utilizaron técnicas de *DLL sideloading* y herramientas legítimas para robar propiedad intelectual, credenciales y datos de navegadores. Symantec destaca la madurez operativa del grupo y su capacidad para evadir detecciones mediante ataques más silenciosos y sofisticados.

Se ha identificado una nueva campaña de malware llamada Operation GriefLure que afecta a altos ejecutivos e investigadores gubernamentales en el Sudeste Asiático. Los atacantes utilizan un Remote Access Trojan (RAT) modular capaz de robar credenciales, capturar capturas de pantalla y mantener persistencia en los sistemas infectados. Actualmente, la operación se centra en dos objetivos principales: el sector de telecomunicaciones vinculado al ejército en Vietnam y la industria sanitaria en Filipinas.