El grupo ruso Turla ha transformado su backdoor Kazuar en una botnet modular P2P diseñada para el espionaje persistente y sigiloso. Esta herramienta, vinculada al FSB ruso, utiliza tres módulos (Kernel, Bridge y Worker) para coordinar tareas, evadir detecciones y recolectar datos de gobiernos y sectores de defensa. El objetivo final es obtener acceso a largo plazo para la recolección de inteligencia estratégica para el Kremlin.

El malware de estado-nación conocido como Kazuar ha reaparecido con un diseño mucho más peligroso. Lo que comenzó como un backdoor estándar ha evolucionado hacia una botnet peer-to-peer totalmente modular, diseñada específicamente para el espionaje encubierto a largo plazo contra objetivos diplomáticos y gubernamentales de alto valor, operada por el grupo Secret Blizzard.

El grupo FamousSparrow, vinculado al estado chino, infiltró una compañía de gas y petróleo de Azerbaiyán. Para lograrlo, aprovecharon un servidor de Microsoft Exchange sin parchear para instalar múltiples puertas traseras en la red. El ataque ocurrió entre finales de diciembre de 2025 y finales de febrero de 2026, siendo una de las intrusiones de APT china más detalladas contra infraestructuras energéticas.

El grupo Ghostwriter, vinculado a Bielorrusia, ha lanzado nuevos ataques de ciberespionaje contra entidades gubernamentales en Ucrania, Polonia y Lituania usando malware como PicassoLoader. Simultáneamente, el grupo ruso Gamaredon ataca instituciones ucranianas, mientras que BO Team y Hive0117 dirigen ofensivas contra organizaciones rusas con fines políticos y económicos. Estas operaciones destacan una constante evolución en las técnicas de phishing y evasión para comprometer sistemas críticos.

El grupo  vinculado a Irán conocido como Seedworm (también llamado MuddyWater) ha llevado a cabo una campaña sofisticada durante el primer trimestre de 2026. El grupo ha logrado infiltrarse en redes de al menos nueve organizaciones distribuidas en nueve países de cuatro continentes distintos.

Empresas israelíes han desarrollado tecnología comercial para localizar terminales de Starlink e identificar a sus usuarios, herramienta disponible para organismos gubernamentales.

Palo Alto Networks reportó una vulnerabilidad crítica (CVE-2026-0300) en PAN-OS que permite la ejecución remota de código con privilegios de root. Atacantes, posiblemente vinculados a China, han explotado este fallo para infiltrarse en redes, enumerar directorios activos e instalar malware. Se recomienda restringir el acceso al portal de autenticación User-ID o desactivarlo hasta que se apliquen los parches.

En Canadá han detectado un fraude electoral utilizando la trampa del canario, un método clásico de espionaje que permite identificar filtraciones sin necesidad de tecnología.

Un nuevo spyware para Android se está vendiendo abiertamente en internet, y trae consigo algo mucho más peligroso que sus funciones de vigilancia por sí solas. Por un pago, cualquiera puede comprarlo, poner su propio nombre y logotipo, y comenzar a venderlo como su propio producto. 

Un nuevo troyano de acceso remoto recientemente identificado, llamado KarstoRAT, ha sido detectado en análisis de sandbox y repositorios de malware desde principios de 2026. Este malware proporciona a los atacantes un amplio conjunto de capacidades de control remoto sobre máquinas Windows comprometidas, incluyendo la captura de la webcam, grabación de audio, registro de teclas, robo de capturas de pantalla y la capacidad de descargar y ejecutar cargas útiles adicionales bajo demanda. 

Un grupo APT vinculado a China, conocido como GopherWhisper, está explotando servicios legítimos para llevar a cabo ataques contra gobiernos. Investigadores han descubierto recientemente que esta amenaza persistente avanzada (APT) utiliza plataformas y herramientas comunes para evadir detecciones y comprometer objetivos gubernamentales.

El malware fast16 es una amenaza recientemente descubierta con capacidad de sabotaje, diseñada para atacar entornos de alto valor y sistemas ultra costosos con precisión. A diferencia del malware común que busca infecciones masivas, este se enfoca en víctimas específicas donde la interrupción o el control a largo plazo pueden causar graves daños operativos y financieros. La campaña parece estar dirigida a objetivos estratégicos, aunque los detalles completos aún no han sido revelados.

Un grupo de amenazas vinculado a Corea del Norte está siendo contratado discretamente por empresas reales. Jasper Sleet, un actor de amenazas asociado a Corea del Norte, ha estado creando identidades profesionales falsas y utilizándolas para conseguir empleos legítimos en TI de forma remota, lo que les proporciona acceso directo a entornos en la nube y datos internos sensibles.

Ha surgido una nueva y rápida amenaza cibernética, donde hackers vinculados a China están construyendo silenciosamente grandes redes de routers comprometidos y dispositivos de borde para llevar a cabo operaciones cibernéticas encubiertas contra organizaciones en todo el mundo. 

Corea del Norte ha estado llevando a cabo una de las operaciones de fraude cibernético más discretamente efectivas en los últimos años. Operativos patrocinados por el Estado y vinculados al régimen de Pyongyang se han hecho pasar por trabajadores remotos legítimos de TI para ser contratados por empresas de todo el mundo, obteniendo salarios que fluyen directamente para financiar los programas de armas del país. 

La agencia de espionaje del Reino Unido comercializa SilentGlass, un dispositivo diseñado para bloquear un malware teórico que podría infiltrarse a través de cables HDMI o DisplayPort, generando escepticismo al no existir evidencia pública de dicha amenaza.

Una investigación importante ha revelado que actores de amenazas sofisticados están explotando vulnerabilidades fundamentales en las redes móviles globales para rastrear usuarios en todo el mundo. Al abusar de los protocolos de señalización heredados SS7 (3G) y Diameter (4G), los hackers logran eludir los firewalls de las telecomunicaciones para llevar a cabo espionaje silencioso y transfronterizo. 

Un grupo de amenazas patrocinado por el estado norcoreano está llevando a cabo una campaña activa que engaña a los desarrolladores de software para que instalen malware a través de falsas entrevistas de trabajo y pruebas de codificación manipuladas. El grupo, rastreado por la firma de ciberseguridad Expel como HexagonalRodent (también llamado Expel-TA-0001), se cree ampliamente que es un subgrupo o escisión dentro del ecosistema más amplio de hacking de Lazarus.

Un ingeniero de Samsung fue condenado a 7 años de cárcel por vender secretos tecnológicos a la empresa china CXMT, acusada de adelantar 10 años su desarrollo en memorias; este caso refleja la guerra oculta por los chips entre potencias.

Documentos filtrados supuestamente revelan que la Fuerza Aeroespacial del Cuerpo de Guardianes de la Revolución Islámica (IRGC) está utilizando un satélite chino para observar bases estadounidenses en Oriente Medio y emplearlo en el blanco de activos estadounidenses con drones y misiles.