Los usuarios de Mac que buscan ayuda para instalar Claude Code están siendo blanco de una campaña de malware. Los atacantes utilizan resultados pagados de Google y conversaciones falsas de Claude para engañar a las víctimas y lograr que ejecuten comandos en la Terminal, lo que resulta en el compromiso total del dispositivo mediante el despliegue del stealer MacSync y la troyanización de aplicaciones de billeteras de criptomonedas.

Microsoft ha identificado más de 30 dominios vinculados a MacSync Stealer, un malware diseñado para robar credenciales, claves SSH y datos sensibles de macOS. El ataque suele iniciar mediante ingeniería social que induce al usuario a ejecutar comandos en la Terminal para descargar el código malicioso. Para protegerse, se recomienda evitar pegar comandos de fuentes desconocidas y utilizar las últimas actualizaciones de seguridad de Apple.

Una campaña de ciberespionaje vinculada a China está utilizando un engaño visual para atacar al personal tecnológico y gubernamental de Myanmar. Los atacantes disfrazan un disco duro virtual (VHD) como si fuera una imagen JPEG común, confiando en que las víctimas abrirán el archivo sin sospechar debido a su extensión familiar para desplegar el backdoor QUICAgent.

Se ha detallado una nueva herramienta de seguridad ofensiva llamada RAVEN, la cual demuestra cómo un entorno de Elasticsearch comprometido puede derivar en una pérdida masiva de datos y acceso persistente. La herramienta muestra que, una vez que un intruso logra acceder a un clúster expuesto o controlar Kibana, puede realizar consultas y exfiltrar bases de datos completas, manteniendo el control incluso después de que se hayan rotado las contraseñas.

Se ha detectado SilkParasite, una operación de ciberespionaje vinculada a China que ataca entidades gubernamentales en Asia Central. El grupo utiliza siete familias de RAT y emplea inteligencia artificial para optimizar el desarrollo de su código y crear señuelos de phishing. Sus ataques se basan en el uso de macros y DLL sideloading para evadir detecciones y desplegar herramientas modulares.

Projextor es una campaña de malware que oculta código malicioso dentro de herramientas de escritorio aparentemente legítimas, como convertidores de documentos, planificadores de comidas y aplicaciones de recetas. Los atacantes utilizan sitios de descarga falsos y programas de productividad gratuitos para engañar a las víctimas y lograr que instalen el software infectado.

La CISA, el FBI y el Departamento de Salud y Servicios Humanos (HHS) de EE. UU. han emitido una alerta de seguridad actualizada advirtiendo que los atacantes del ransomware Medusa están infiltrándose activamente en entornos empresariales para desactivar herramientas de seguridad, exfiltrar archivos confidenciales y cifrar redes completas.

BTMob es una plataforma de malware bancario para Android diseñada para convertir teléfonos en herramientas de fraude. Se distribuye mediante aplicaciones falsas, páginas de descarga clonadas y mensajes que suplantan el soporte al cliente. Una vez instalado, permite a los criminales vigilar pantallas, robar información e interferir en actividades bancarias.

Un paquete de instalación del controlador LAN de Realtek, alojado en una página de soporte antigua de GEEKOM, fue detectado como portador del troyano Asruex. Se ha aclarado que el riesgo provenía del instalador descargable y no de un problema de hardware de fábrica.

El grupo de espionaje norcoreano Kimsuky ha ampliado su campaña Operation GitPower mediante la implementación de un entorno de desarrollo de inteligencia artificial local. Esta herramienta se utiliza para optimizar la creación de señuelos en correos de phishing, analizar material robado y acelerar sus operaciones. El método de acceso inicial sigue basándose en el envío de archivos ZIP que contienen accesos directos de Windows (LNK).

Shadow hVNC es una herramienta de acceso remoto diseñada para operar de forma invisible para la víctima. En lugar de controlar el escritorio visible, crea un espacio de trabajo de Windows independiente que permite a los criminales monitorear la actividad en tiempo real. Este malware se encarga de robar cookies del navegador, contraseñas guardadas, datos financieros y tokens de sesión.

Investigadores detectaron StubMaker, una campaña de typosquatting en RubyGems que distribuye un malware para Windows. Este programa roba credenciales de navegadores, billeteras de criptomonedas y datos de Telegram mediante paquetes con nombres similares a dependencias populares. Aunque los paquetes ya fueron eliminados, el ataque aprovechó fallos de diseño en la plataforma para reutilizar nombres de paquetes.

Investigadores de Anthropic y EPFL demostraron que agentes de IA pueden propagar virus mentales mediante la edición de archivos de sistema compartidos. Estas cargas útiles pueden implantar creencias o forzar acciones maliciosas, aunque una simple advertencia en el prompt reduce drásticamente el riesgo. La susceptibilidad varía según el modelo, siendo algunos más resistentes que otros a la autorreplicación.

Una campaña acelerada está aprovechando el fallo CVE-2026-59310 en el servidor Syslog de VMware vCenter. Este error crítico de salto de directorio (path traversal) permite a los atacantes ejecutar comandos como root sin necesidad de iniciar sesión, otorgándoles el control total de la infraestructura virtual. La explotación se extendió rápidamente tras la divulgación, habiéndose identificado ya 361 direcciones IP afectadas.

Investigadores de seguridad han revelado una grave cadena de ataques que afecta a Microsoft System Center Configuration Manager (SCCM). Estos fallos podrían permitir que un atacante ejecute código malicioso de forma remota en un servidor de sitio primario de SCCM, lo que potencialmente le daría el control total del entorno de Windows gestionado por una organización.

Se ha documentado una nueva puerta trasera (backdoor) para Windows que destaca por su tamaño extremadamente reducido, con solo 12 KB. El implante fue hallado en una estación de trabajo corporativa, donde se hacía pasar por software de audio de Realtek para pasar desapercibido y reducir su visibilidad ante los sistemas de detección.

ChainDrop ha alertado sobre un compromiso de paquetes npm que afectó a 444 paquetes y más de 1,300 versiones maliciosas. La campaña, de naturaleza autopropagable, comenzó cuando atacantes tomaron el control de la cuenta de GitHub vinculada a la librería de almacenamiento en caché Keyv. Utilizando tokens de publicación robados, la operación logró impactar paquetes que suman más de dos mil millones de instalaciones mensuales.

Se ha detectado una nueva botnet de Linux llamada Evooo1Bot, la cual convierte dispositivos periféricos expuestos en herramientas para causar interrupciones, obtener acceso remoto y retransmitir tráfico. Esta amenaza infecta sistemas mediante la explotación de vulnerabilidades conocidas y ataques de fuerza bruta en inicios de sesión SSH, permitiendo que los atacantes ejecuten comandos a través de un canal de control cifrado.

Se ha identificado un nuevo malware para macOS llamado AmnesiaStealer, el cual se distribuye a través de una página de descarga de GitHub falsa. Este engaña a los usuarios para que ejecuten un comando malicioso en la Terminal, lo que permite la instalación silenciosa del software y otorga a los atacantes el control remoto y oculto de las sesiones del navegador de la víctima. El fraude fue detectado por los investigadores de Jamf Threat Labs.

Se ha identificado un nuevo framework de malware denominado HACKERAI C2 Agent, el cual utiliza GitHub Gists como un canal oculto para recibir comandos de los atacantes y enviar datos robados. Esta técnica permite que el tráfico malicioso se mezcle con un servicio permitido en muchas redes organizacionales. El malware fue descubierto durante una investigación sobre una campaña de espionaje más amplia dirigida a sectores gubernamentales y de telecomunicaciones.