El grupo de espionaje chino Fire Ant ha expandido sus ataques desde hipervisores VMware hacia routers Cisco IOS XR y servidores TACACS para interceptar tráfico y robar credenciales. Utilizan malware especializado para ocultar sus huellas, suprimir registros de seguridad y explorar infraestructuras críticas. La firma Sygnia vincula esta actividad con el grupo UNC3886, destacando el uso de herramientas avanzadas como TacTap y BridgeAgent.

Una campaña de ciberespionaje vinculada a China está utilizando un engaño visual para atacar al personal tecnológico y gubernamental de Myanmar. Los atacantes disfrazan un disco duro virtual (VHD) como si fuera una imagen JPEG común, confiando en que las víctimas abrirán el archivo sin sospechar debido a su extensión familiar para desplegar el backdoor QUICAgent.

Se ha detectado SilkParasite, una operación de ciberespionaje vinculada a China que ataca entidades gubernamentales en Asia Central. El grupo utiliza siete familias de RAT y emplea inteligencia artificial para optimizar el desarrollo de su código y crear señuelos de phishing. Sus ataques se basan en el uso de macros y DLL sideloading para evadir detecciones y desplegar herramientas modulares.

El grupo de espionaje norcoreano Kimsuky ha ampliado su campaña Operation GitPower mediante la implementación de un entorno de desarrollo de inteligencia artificial local. Esta herramienta se utiliza para optimizar la creación de señuelos en correos de phishing, analizar material robado y acelerar sus operaciones. El método de acceso inicial sigue basándose en el envío de archivos ZIP que contienen accesos directos de Windows (LNK).

Una empresa china poco conocida, Guangdong Chanming, podría haber ayudado a construir la red oculta utilizada para dar soporte a operaciones cibernéticas vinculadas a militares en todo el mundo. Según los investigadores, esta firma —que no parece tener un negocio público evidente— estaría conectada a herramientas diseñadas para ocultar la actividad en línea y desviar el tráfico a través de múltiples sistemas.

Se ha descubierto una nueva campaña de ciberespionaje que utiliza bots de Telegram como controladores ocultos para puertas traseras (backdoors) instaladas en redes gubernamentales de Oriente Medio. Los atacantes emplean componentes legítimos de Windows y archivos aparentemente inofensivos, como imágenes ISO que contienen programas reales de ASUSTek junto con código malicioso, para establecer acceso sin levantar sospechas inmediatas.

Turla, una operación de ciberespionaje vinculada al Servicio Federal de Seguridad de Rusia, ha vuelto a ser noticia tras detectarse ataques contra organizaciones francesas. Este grupo, activo desde hace más de dos décadas, se especializa en el robo sigiloso de información sensible en sectores gubernamentales, diplomáticos, de defensa, justicia y tecnología.

El grupo de amenazas vinculado a Rusia, Turla, ha desarrollado un nuevo backdoor llamado STOCKSTAY para expandir su capacidad de espionaje. Desde diciembre de 2022, este malware, creado en .NET, ha estado atacando activamente a organizaciones gubernamentales y militares en Ucrania. El software utiliza conexiones WebSocket seguras para comunicarse con sus operadores, lo que permite que el tráfico pase desapercibido y sea difícil de detectar en la red.

GreyVibe, un grupo de amenazas probablemente vinculado a Rusia, está llevando a cabo una campaña de ciberespionaje contra organizaciones ucranianas utilizando IA para crear señuelos y malware personalizados. El grupo emplea diversas tácticas, desde phishing y sitios web falsos hasta troyanos y spyware, para robar datos y espiar sectores gubernamentales y militares. Aunque sus objetivos alinean con intereses estatales, WithSecure señala que su falta de disciplina operativa sugiere la participación de exmiembros de redes cibercriminales.

El grupo de ciberespionaje Kimsuky, vinculado a Corea del Norte, llevó a cabo cuatro campañas de spear-phishing durante el primer semestre de 2025. Estas operaciones estuvieron dirigidas a diversos perfiles, incluyendo reclutadores corporativos, inversores y desarrolladores de criptomonedas, funcionarios del sector defensa y administradores de escuelas de posgrado.

El grupo de hacking MuddyWater, vinculado a Irán, lanzó una campaña de ciberespionaje contra nueve organizaciones globales, incluyendo un gigante electrónico surcoreano y agencias gubernamentales. Utilizaron técnicas de *DLL sideloading* y herramientas legítimas para robar propiedad intelectual, credenciales y datos de navegadores. Symantec destaca la madurez operativa del grupo y su capacidad para evadir detecciones mediante ataques más silenciosos y sofisticados.

Se ha identificado una nueva campaña de malware llamada Operation GriefLure que afecta a altos ejecutivos e investigadores gubernamentales en el Sudeste Asiático. Los atacantes utilizan un Remote Access Trojan (RAT) modular capaz de robar credenciales, capturar capturas de pantalla y mantener persistencia en los sistemas infectados. Actualmente, la operación se centra en dos objetivos principales: el sector de telecomunicaciones vinculado al ejército en Vietnam y la industria sanitaria en Filipinas.

Investigadores de Rapid7 detectaron que el grupo iraní MuddyWater simuló ser la banda de ransomware Chaos para encubrir una operación de ciberespionaje. Los atacantes utilizaron phishing y manipulación social para robar credenciales y extraer datos sensibles sin cifrar archivos ni pedir rescate. Esta táctica de bandera falsa busca desviar la atención de los defensores y dificultar la atribución del ataque al estado iraní.

Un nuevo malware llamado Morpheus, vinculado a una empresa italiana de vigilancia, ha sido descubierto. Este software malicioso infecta dispositivos Android mediante un falso aviso de actualización, lo que permite a los atacantes espiar a las víctimas.

La investigación revela que Morpheus se utiliza para comprometer la seguridad de los dispositivos, exponiendo información sensible y facilitando el acceso no autorizado.

Este caso pone de manifiesto los riesgos asociados con herramientas de vigilancia encubiertas y la importancia de proteger los dispositivos móviles.

Investigadores descubren Fast16, un malware basado en LUA creado en 2005, cinco años antes que Stuxnet, diseñado para sabotear software de ingeniería de alta precisión mediante cálculos inexactos. Vinculado a The Shadow Brokers y posiblemente a la NSA, Fast16 es el primer malware en integrar un motor Lua y usaba un controlador de kernel para interceptar ejecutables. Su descubrimiento reevalúa la cronología del ciberespionaje estatal, mostrando que el sabotaje cibernético ya estaba avanzado a mediados de los 2000.

Un grupo de amenazas vinculado a un estado ha sido descubierto ejecutando una operación de espionaje silenciosa pero cuidadosamente planificada contra el sector bancario de la India, utilizando un archivo firmado por Microsoft para introducir malware sin ser detectado por las defensas de seguridad. La campaña distribuye una nueva versión del backdoor LOTUSLITE mediante una técnica conocida como carga lateral de DLL (DLL sideloading), que aprovecha la confianza que los sistemas operativos depositan en archivos legítimos.

 

TA416 ha regresado a Europa con una nueva oleada de correos de espionaje dirigidos a personal gubernamental y diplomático. La campaña combina reconocimiento sigiloso con entrega de malware, demostrando cómo un actor de amenazas paciente puede probar quién abre un mensaje antes de enviar un seguimiento más peligroso. Desde mediados de 2025 hasta principios de 2026, el grupo alineado con China ha atacado misiones diplomáticas

Un grave fallo en la seguridad operativa del grupo vinculado al Estado ruso, FancyBear, ha brindado a los investigadores de seguridad una visión inusualmente clara de una campaña de espionaje activa dirigida a organizaciones gubernamentales y militares en toda Europa. El 11 de marzo de 2026, la firma de inteligencia de amenazas Hunt.io publicó hallazgos sobre una campaña que rastrea como Operación Roundish, basada en un directorio abierto expuesto

Un potente kit de explotación para iPhone llamado Coruna, creado inicialmente para servicios de inteligencia occidentales por el contratista estadounidense L3Harris, ha caído en manos de espías rusos y ciberdelincuentes chinos. El kit Coruna incluye 23 componentes diferentes de hacking diseñados para comprometer iPhones de Apple. Trenchant, la división de hacking del contratista militar estadounidense L3Harris.

Un grupo de hackers vinculado presuntamente al estado chino ha sido descubierto ejecutando una de las operaciones de ciberespionaje más extensas jamás detectadas, infiltrándose silenciosamente en proveedores de telecomunicaciones y organismos gubernamentales en cuatro continentes durante casi una década. Google ha intervenido ahora para desmantelar por completo esta operación, cortando el acceso persistente del grupo y publicando inteligencia sobre amenazas.