Se ha detectado una variante de SectopRAT oculta dentro de software legítimo de Windows que ha sido manipulado. Este malware permite a los atacantes tomar el control de computadoras infectadas y robar información sensible. La intrusión utilizó componentes genuinos de una aplicación de un desarrollador italiano para camuflarse, empleando archivos cifrados que ocultaban el código malicioso hasta su carga en la memoria.

Investigadores revelaron un fallo crítico de desbordamiento de memoria en Citrix NetScaler ADC y Gateway, identificado como CVE-2026-88772. Esta vulnerabilidad en el protocolo DTLS permite a atacantes ejecutar código remoto con privilegios de root o causar denegaciones de servicio. La falla ya está siendo explotada activamente, por lo que se recomienda aplicar los parches de seguridad disponibles.

Investigadores de Huntress han descubierto que unos hackers están abusando de la función de GPTs personalizados de ChatGPT para suplantar productos de IA. El objetivo es engañar a los usuarios para que instalen un troyano de acceso remoto (RAT) sofisticado. La campaña utiliza páginas alojadas en ChatGPT como punto de partida para ataques de tipo ClickFix, combinando publicidad maliciosa, avisos de verificación falsos y paquetes MSI maliciosos.

Usuarios de Windows están siendo víctimas de una campaña de malware vinculada a Silver Fox a través de páginas de descarga de software falsas. Estos sitios imitan a proveedores conocidos para distribuir instaladores que permiten el acceso continuo a los equipos infectados. Microsoft ha detectado que este ataque afecta a diversas industrias, principalmente a usuarios de habla china, aprovechando la costumbre de buscar aplicaciones en la web.

Investigadores detectaron 101 paquetes maliciosos de npm que utilizan el proyecto Baileys para añadir a desarrolladores a grupos de WhatsApp sin su consentimiento. Esta campaña, llamada PhantomSub, busca inflar el número de seguidores de canales indonesios que venden bots y servicios digitales. Se recomienda a los usuarios bloquear dichos grupos y evitar paquetes que requieran conectar cuentas personales de WhatsApp.

Se ha detectado una botnet de Windows llamada x47.c que permite a sus operadores controlar máquinas infectadas para robar datos (como contraseñas y cookies del navegador), inundar sitios web y, sorprendentemente, consumir los créditos pagados de inteligencia artificial de las víctimas. Aunque se comercializa como un kit de ataque remoto, hasta el momento no se han documentado infecciones masivas ni víctimas confirmadas.

Operadores de malware están ocultando código malicioso dentro de la sección del instalador de 7-Zip encargada de descomprimir archivos. Mientras se ejecuta una instalación aparentemente normal, un cargador oculto contacta con un servidor controlado por atacantes, un paso que suele pasar desapercibido para usuarios y analistas. Estas muestras están vinculadas a OpenSUpdater.

Una campaña de malware vinculada a Corea del Norte ha implementado un método para mantener la conexión con equipos infectados, ocultando la ubicación de su servidor de control dentro de transferencias de criptomonedas en lugar de almacenar el código en Ethereum. Los atacantes atraen a los desarrolladores mediante ofertas de trabajo falsas, repositorios de código contaminados y paquetes de software maliciosos que, al ejecutarse, instalan el malware.

El grupo Storm-3168 llevó a cabo un ataque destructivo contra un entorno de Azure en tan solo siete minutos, utilizando identidades de nube comprometidas. Esta operación demuestra cómo el robo de credenciales de una aplicación puede otorgar a un intruso un control total sobre los datos, los servicios y las protecciones de recuperación, evidenciando la creciente amenaza de los ataques automatizados en la nube. Esta actividad ha sido vinculada al agente JADEPUFFER.

Un ciberdelincuente utilizó agentes de IA para atacar más de 100 empresas, logrando robar más de 600.000 registros de tarjetas de crédito con un coste mínimo, demostrando cómo la IA automatiza y escala los ciberataques reduciendo la intervención humana.

Investigadores detectaron Carbonato, un malware que aprovecha Docker daemons expuestos para instalar el framework de IA Hermes Agent. Esta botnet utiliza Telegram para recibir órdenes, robar credenciales y propagarse automáticamente por las redes. El ataque refleja una tendencia creciente donde los cibercriminales usan agentes de IA autónomos para automatizar hackeos complejos.

Se ha detectado un creador de malware basado en Python que permite convertir un solo programa espía en múltiples aplicaciones de Windows para distintos atacantes. Esta herramienta empaqueta una carga útil diseñada para robar contraseñas guardadas, detalles de tarjetas de pago y cookies de 17 navegadores diferentes, enviando la información a un webhook controlado por el operador. Además, su capacidad de robo se extiende a cuentas de mensajería y contraseñas de redes inalámbricas.

El malware de tipo infostealer está permitiendo que los criminales accedan a entornos corporativos en la nube de forma más discreta. En lugar de intentar vulnerar el perímetro de seguridad, infectan los dispositivos de empleados o desarrolladores para robar credenciales, claves API y sesiones activas que ya cuentan con la confianza de la organización. Estas infecciones iniciales suelen ocurrir a través de phishing, descargas engañosas o paquetes maliciosos.

Un investigador de seguridad llamado Two Seven One Three ha revelado un nuevo método de inyección de procesos en Windows denominado console named-pipe injection. Esta técnica permite evadir la detección de los sistemas EDR al evitar el uso de las APIs VirtualAllocEx y WriteProcessMemory, comúnmente asociadas con la inyección de código remoto. En su lugar, el ataque envía el payload a través de la entrada estándar redireccionada de un proceso de consola hijo, reutilizando memoria que Windows ya ha asignado.

InjectSetConsole es una técnica de inyección de código que evita el uso de VirtualAllocEx y WriteProcessMemory, logrando que el proceso objetivo almacene los datos en su propia memoria mediante stdin y pipes, para luego ejecutarlos vía thread hijacking.

Un informe de SOCRadar advierte sobre el aumento del robo de credenciales y sesiones de IA (principalmente ChatGPT) mediante *infostealers*, afectando a cientos de grandes empresas. Estos ataques son críticos ya que permiten saltar el MFA y acceder a historiales de chats con datos confidenciales, claves API y permisos de automatización. Para mitigarlo, se recomienda implementar SSO con sesiones cortas, rotar claves API y monitorear la reutilización de tokens.

Un modelo de inteligencia artificial generativa, alojado localmente y sin censura, logró modificar una herramienta de extracción de credenciales de Windows para evadir dos productos de Detección y Respuesta de Endpoints (EDR) en un entorno de laboratorio. El experimento, realizado por el investigador Eddie Zhang de Project Black, se centró en el Local Security Authority Subsystem Service (LSASS), demostrando que la IA accesible puede acelerar significativamente el desarrollo de herramientas ofensivas personalizadas.

Se ha informado que los administradores de Citrix NetScaler se enfrentan a dos vulnerabilidades de ejecución remota de código (RCE) que no han sido reveladas y que presuntamente están siendo explotadas en ataques reales. Según watchTowr, se trata de fallos de día cero sin parchear; aunque se esperan correcciones y comunicaciones oficiales de Citrix a principios de la próxima semana, la empresa aún no ha publicado detalles técnicos ni identificadores CVE.

Microsoft ha identificado a un grupo de afiliados de ransomware, denominado Storm-2570, que ha llevado a cabo ataques utilizando cuatro familias diferentes de ransomware. A pesar de cambiar el nombre del malware para ocultar su identidad, el grupo emplea consistentemente los mismos métodos para tomar el control de las redes, robar datos y preparar los sistemas para el cifrado. Este operador ha sido rastreado desde abril de 2025.

TWEAKOS es un malware diseñado para robar cuentas de mensajería y venderlas como artículos. Esta operación utiliza un programa ejecutable para Windows combinado con un bot de Telegram, el cual sirve tanto para gestionar a las víctimas como para operar el mercado de accesos robados. El grupo fue descubierto tras la filtración de su código fuente en Pastebin, aunque los investigadores aún desconocen el método exacto de infección.