El grupo ruso APT29 ha lanzado un ataque masivo de "watering hole" contra usuarios de iOS y Android mediante sitios web comprometidos y falsos. Utilizan código JavaScript para analizar el dispositivo de la víctima y desplegar exploits específicos que roban credenciales, cookies y datos de apps como WhatsApp y Telegram. Aunque los ataques no dejan persistencia tras reiniciar el dispositivo, se recomienda actualizar el sistema operativo, ya que Apple y Google ya han lanzado los parches correspondientes.

Algunas descargas de la versión 3.0.123 del plugin Rank Math PRO fueron comprometidas con malware que instalaba puertas traseras y robaba credenciales sensibles. El proveedor ya lanzó la versión limpia 3.0.124, pero advierte que actualizar el plugin no elimina la amenaza si ya fue activado. Se recomienda a los usuarios afectados restaurar copias de seguridad, eliminar manualmente los archivos maliciosos y cambiar todas sus contraseñas y claves.

Un atacante subió paquetes maliciosos al repositorio AUR de Arch Linux, suplantando a las herramientas populares *yay* y *paru* mediante nombres similares. Estos paquetes incluían scripts que ejecutaban código remoto con privilegios de root, posiblemente vinculados a una campaña de malware mayor llamada "DirtyBlanket". El equipo de AUR ya eliminó los paquetes y bloqueó al usuario responsable, advirtiendo a quienes los instalaron que sus sistemas podrían estar comprometidos.

Psychedelic Stealer es un malware parte de la plataforma Lunex que ataca usuarios ucranianos mediante sitios web comprometidos y falsos CAPTCHAs. Utiliza controladores vulnerables de AMD para desactivar herramientas de seguridad y robar credenciales de navegadores, billeteras de criptomonedas y datos personales. Además, establece persistencia en el sistema y permite el control remoto total del navegador de la víctima.

Una campaña de phishing global afecta a 46 países, siendo Estados Unidos el principal objetivo, utilizando documentos falsos para engañar a las víctimas e instalar software de gestión remota (RMM). Los atacantes emplean una infraestructura altamente volátil que rota diariamente para evadir la detección, adaptando sus señuelos a diversos sectores como educación y gobierno. Expertos recomiendan centrarse en los patrones de comportamiento y activos persistentes del kit en lugar de depender únicamente de dominios o indicadores individuales.

Una nueva variante de ClickFix llamada "TerminalFix" utiliza falsos CAPTCHA de Cloudflare para engañar a los usuarios y lograr que ejecuten comandos maliciosos de PowerShell. A diferencia de otros ataques, este crea un túnel inverso que permite a los atacantes acceder a la red interna de la víctima, realizar reconocimiento y escalar privilegios. Microsoft advierte que esto puede derivar en el robo de datos o el despliegue de ransomware.

El grupo de ransomware Cl0p está explotando vulnerabilidades críticas en PTC Windchill y FlexPLM para ejecutar código remoto y desplegar web shells. Los atacantes roban datos confidenciales de diseño e ingeniería en sectores como el automotriz y aeroespacial para realizar extorsiones. La CISA ya ha incluido esta falla en su catálogo de vulnerabilidades explotadas activamente.

Grupos vinculados a ShinyHunters han vulnerado entornos de Salesforce sin explotar fallos técnicos, sino abusando de la confianza en conexiones OAuth. Utilizaron vishing a empleados, robo de tokens de proveedores externos y configuraciones incorrectas de acceso para invitados. Microsoft y Salesforce han lanzado nuevas herramientas de monitoreo y gobernanza para detectar este tráfico, que suele pasar desapercibido al imitar el uso legítimo de aplicaciones integradas.

Anthropic acusa a Alibaba de realizar un ataque masivo de destilación de datos mediante casi 25.000 cuentas falsas para extraer capacidades de su IA Claude.

Ezekiel Dean Potter, exespecialista de IT de un distrito escolar en Iowa, fue sentenciado a 21 meses de prisión por realizar ciberataques prolongados contra su antiguo empleo. El acusado utilizó credenciales conservadas para borrar cuentas y bloquear el acceso a plataformas educativas, causando graves interrupciones y daños económicos. Además de la pena de cárcel, deberá pagar casi 60,000 dólares en restituciones.

Un atacante manipuló archivos JavaScript de los plugins PushEngage, OptinMonster y TrustPulse para tomar el control de sitios de WordPress. Al detectar a un administrador conectado, el código creaba una cuenta de admin maliciosa e instalaba un plugin oculto para ejecutar comandos remotamente. Se recomienda a los usuarios realizar un escaneo directo del servidor y revisar el sistema de archivos para eliminar cuentas y carpetas sospechosas.

Atacantes tomaron el control de más de 400 paquetes huérfanos en el repositorio AUR de Arch Linux para instalar un malware que roba credenciales y secretos de desarrolladores. El software malicioso utiliza un rootkit eBPF para ocultarse y puede persistir en el sistema mediante servicios de systemd. Se recomienda a los usuarios revisar sus instalaciones desde el 11 de junio y reinstalar el sistema si se ejecutaron paquetes afectados con permisos de root.

Un repositorio malicioso en Hugging Face suplantó el modelo Privacy Filter de OpenAI para distribuir un software robador de información dirigido a usuarios de Windows. El ataque utilizó tácticas de engaño y descargas infladas para ganar confianza, logrando llegar a la lista de tendencias antes de ser desactivado. Investigaciones sugieren que estas campañas forman parte de una operación más amplia contra ecosistemas de código abierto, posiblemente vinculada al grupo de hacking chino Silver Fox.

Foxconn confirmó un ciberataque de la banda Nitrogen en sus fábricas de Norteamérica, afectando la producción y el suministro. Los criminales afirman haber robado 8 TB de datos confidenciales de clientes como Apple, Nvidia y Google. Pese a los daños, la empresa ya está restableciendo sus operaciones normales.