Están explotando una vulnerabilidad grave en los servidores de correo Zimbra expuestos a internet mediante el envío de correos electrónicos diseñados específicamente. Esta falla, identificada como CVE-2026-73570, consiste en un problema de inyección de comandos en la función de notificaciones SNMP del servidor, lo que permite que un atacante externo ejecute comandos en un servidor vulnerable sin necesidad de iniciar sesión ni de que un empleado abra el mensaje.

Han desarrollado Antino, un backdoor de Windows que utiliza Microsoft 365 para todas sus comunicaciones de comando y control. Este malware emplea mensajes de Outlook y archivos de OneDrive para enviar instrucciones, extraer datos robados y mantener el acceso a los equipos comprometidos. La campaña comenzó en septiembre de 2025, centrándose en sectores gubernamentales, de defensa, diplomáticos y académicos.

Vinculados al estado ruso han ampliado una operación de phishing utilizando una nueva cadena de entrega llamada RedFlick para atacar a más de 100 organizaciones. Esta campaña, detectada entre enero y agosto de 2026, se caracteriza por sustituir los adjuntos maliciosos evidentes por conversaciones que simulan ser correspondencia profesional ordinaria.

Han logrado vulnerar entornos de Microsoft 365 aprovechando cuentas activas pero no supervisadas. Mediante el uso de contraseñas antiguas y la falta de protecciones de inicio de sesión, los atacantes accedieron a correos electrónicos, archivos y aplicaciones en la nube. Esta campaña se centró principalmente en organizaciones de Chile, afectando a instituciones financieras y a un gran minorista.

Un servidor de impresión vulnerable sirvió como punto de entrada para comprometer un Active Directory, después de que los atacantes explotaran dos fallos de día cero en PaperCut MF (versión 24.0.2). Este incidente demuestra cómo un sistema empresarial ignorado puede permitir a los criminales acceder a la infraestructura de identidad sensible mediante la ejecución de código Java.

Están utilizando archivos de instalación de Zoom y descargas de lectores PDF para instalar software de control remoto en computadoras corporativas. A través de correos de phishing que simulan ser invitaciones a reuniones, ofertas de empleo o avisos de entrega, los atacantes logran que las víctimas descarguen herramientas que permiten a externos tomar el control total del dispositivo. Esta campaña convierte notificaciones laborales comunes en una vía de acceso para el compromiso de seguridad de las empresas.

Investigadores de Huntress han descubierto que unos hackers están abusando de la función de GPTs personalizados de ChatGPT para suplantar productos de IA. El objetivo es engañar a los usuarios para que instalen un troyano de acceso remoto (RAT) sofisticado. La campaña utiliza páginas alojadas en ChatGPT como punto de partida para ataques de tipo ClickFix, combinando publicidad maliciosa, avisos de verificación falsos y paquetes MSI maliciosos.

Se ha detectado una botnet de Windows llamada x47.c que permite a sus operadores controlar máquinas infectadas para robar datos (como contraseñas y cookies del navegador), inundar sitios web y, sorprendentemente, consumir los créditos pagados de inteligencia artificial de las víctimas. Aunque se comercializa como un kit de ataque remoto, hasta el momento no se han documentado infecciones masivas ni víctimas confirmadas.

Operadores de malware están ocultando código malicioso dentro de la sección del instalador de 7-Zip encargada de descomprimir archivos. Mientras se ejecuta una instalación aparentemente normal, un cargador oculto contacta con un servidor controlado por atacantes, un paso que suele pasar desapercibido para usuarios y analistas. Estas muestras están vinculadas a OpenSUpdater.

La policía holandesa arrestó a un presunto líder del grupo de ciberdelincuentes ShinyHunters, quien además es sospechoso de ordenar asesinatos en el extranjero. Tras este arresto, el FBI ha instado públicamente al resto de los miembros a entregarse, advirtiendo que cuentan con información suficiente para localizarlos. ShinyHunters es responsable de hackear más de 140 organizaciones y extorsionar millones de dólares, incluyendo un reciente ataque contra el propio FBI.

Una campaña de malware vinculada a Corea del Norte ha implementado un método para mantener la conexión con equipos infectados, ocultando la ubicación de su servidor de control dentro de transferencias de criptomonedas en lugar de almacenar el código en Ethereum. Los atacantes atraen a los desarrolladores mediante ofertas de trabajo falsas, repositorios de código contaminados y paquetes de software maliciosos que, al ejecutarse, instalan el malware.

Un grupo criminal vinculado a Blackhatsect0r y DXQRTXX creó un sistema automatizado para detectar vulnerabilidades en internet. Debido a que dejaron un servidor expuesto, se filtró información sensible como códigos fuente, credenciales y listas de objetivos, revelando cómo combinan el rastreo masivo con ataques dirigidos.

Un grupo llevó a cabo la Operación Master entre abril y mediados de septiembre de 2026, infiltrándose en redes empresariales mediante la vulneración de inicios de sesión de VPN y ataques a aplicaciones web. Tras robar registros de clientes, utilizaron dicha información para enviar 2,4 millones de facturas falsas, dirigidas principalmente a usuarios en Brasil.

Atacantes lograron vulnerar un sistema Windows aprovechando un fallo conocido en el software MagicINFO de Samsung. Una vez dentro, en lugar de instalar un programa ya finalizado, ensamblaron un minero de criptomonedas directamente en la máquina comprometida, lo que generó un rastro de actividad inusual. El incidente fue detectado a principios de septiembre de 2026 tras una alerta relacionada con MagicINFO Premium.

Se ha detectado la explotación activa de una vulnerabilidad crítica en WordPress (CVE-2026-87902) que permite la ejecución remota de código. Los atacantes aprovechan ciertas condiciones del servidor y el tema activo para escribir archivos maliciosos en el sistema. Se recomienda a los administradores actualizar inmediatamente a las versiones más recientes para evitar compromisos de seguridad.

Los atacantes que logran entrar en una red de Windows están centrando sus objetivos en el controlador de dominio, el servidor encargado de gestionar identidades y permisos. El robo exitoso de su base de datos de Active Directory puede exponer las contraseñas de todas las cuentas del dominio, transformando una intrusión local en una brecha de seguridad mucho más extensa.

Un presunto actor de amenazas de habla china ha vulnerado al menos 49 organizaciones en 29 países aprovechando fallos de seguridad en WordPress. Mediante la explotación de la cadena wp2shell (específicamente los CVE-2026-63030 y CVE-2026-60137), los atacantes utilizaron sitios web comprometidos como plataforma para el robo de bases de datos, el abuso de credenciales y la intrusión en redes más amplias, logrando sustraer 18,566 registros gubernamentales y contraseñas en texto plano.

Austin Larsen, analista de Google, se infiltró en el grupo TeamPCP, logrando neutralizar un ciberataque masivo y colaborando con el FBI para arrestar a sus líderes.

Están utilizando una cadena de malware estructurada en capas para ejecutar el minero de criptomonedas XMRig en Windows, evitando la detección al ocultar sus componentes clave. Para evadir los controles rutinarios, el código se esconde en el Registro de Windows, en una imagen PNG y en archivos que simulan ser audios WAV. El ataque se inicia mediante la ejecución de un script de PowerShell.

Están aprovechando una falla crítica en cPanel y WHM para instalar el malware Mirai en servidores expuestos. Esta acción extiende una amenaza de botnet que normalmente afecta a dispositivos conectados, provocando un aumento significativo de tráfico sospechoso de Telnet y generando preocupación en organizaciones que no anticipaban este tipo de ataques contra sus servidores.