Europol y agencias de nueve países desmantelaron la infraestructura de los malware Gootloader, CastleRAT y StealC, incautando 235 servidores y 257 dominios. Esta acción, parte de la "Operación Endgame", permitió recuperar datos de 6.4 millones de víctimas que eran utilizados para ataques de ransomware. Las autoridades instan a los usuarios, especialmente de WordPress, a actualizar sus credenciales y activar la autenticación de doble factor.

Un nuevo malware permite a ciberdelincuentes mantener el acceso a cuentas de Gmail incluso después de cambiar la contraseña.

Europol y sus socios internacionales han desmantelado una infraestructura vinculada a los malwares Gootloader, CastleRAT y StealC, los cuales facilitan el robo de datos y ataques de ransomware. En la acción más reciente de la Operación Endgame, se neutralizaron 235 servidores y 257 dominios, logrando recuperar además 6,4 millones de conjuntos de datos de las víctimas. La operación estuvo enfocada en combatir el modelo de "cibercrimen como servicio".

Atacantes comprometieron paneles de ScreenConnect alojados en la nube para desplegar un kit de herramientas personalizado llamado SCKit. Esta acción afectó a al menos 288 dispositivos gestionados en 48 organizaciones diferentes. Según la firma de seguridad Huntress, el ataque ocurrió el 11 de noviembre de 2026 y todos los equipos fueron impactados en un lapso de aproximadamente 90 minutos.

Un atacante utilizó credenciales robadas de más de 4,800 cuentas de GitHub para implantar un software malicioso en miles de repositorios. El objetivo era robar secretos, tokens y credenciales de nube mediante los flujos de trabajo de CI, afectando a al menos 1,806 proyectos. Se recomienda tratar como comprometidos todos los secretos de los repositorios donde se detecten pull requests titulados docs: dependency audit notes.

Un nuevo grupo de ransomware llamado Citrus está utilizando las Directivas de Grupo de Windows (Group Policy) para propagar su malware a través de redes corporativas completas. Los atacantes abusan de esta herramienta de administración para convertirla en un sistema de entrega y, prioritariamente, para desactivar Microsoft Defender antes de ejecutar el ataque.

Ciberdelincuentes utilizan el ataque homógrafo sustituyendo letras latinas por cirílicas en dominios como apple.com para crear webs falsas que permitan robar credenciales o instalar malware.

Se han detectado marcos de trabajo de hacking y pruebas de penetración impulsados por IA ejecutándose en servidores accesibles desde internet, algunos de los cuales tienen sus consolas de gestión abiertas y sin autenticación. Según datos de Shodan del 7 de noviembre de 2026, se registraron miles de servicios activos, destacando las familias ARTEX, PentAGI y Agent Zero, las cuales conectan modelos de lenguaje con herramientas de seguridad.

Investigadores de ciberseguridad detectaron que la plataforma de IA AntiFox está siendo utilizada para robar credenciales de AWS y realizar intrusiones automatizadas. Estos agentes de IA permiten a los atacantes ejecutar reconocimientos, explotaciones y exfiltración de datos a una velocidad y escala mucho mayores que los métodos manuales. Esta tendencia refleja un aumento en el uso de herramientas autónomas que facilitan ataques complejos incluso para actores con pocos conocimientos técnicos.

Claude Code ha descubierto una técnica denominada Lazarus, capaz de convertir un modelo de IA en un agente durmiente modificando menos de 10 neuronas inactivas. Este método implanta una puerta trasera oculta en los pesos del modelo, permitiendo que un activador externo obligue a la IA a generar comandos para descargar y ejecutar código malicioso.

Fortinet ha alertado sobre una falla crítica en FortiClient (identificada como CVE-2026-121529) que permite la ejecución remota de código en el equipo de un usuario. Con una puntuación CVSS de 9.1, el atacante solo necesita que la víctima visite un sitio web malicioso para comprometer el sistema.

Se ha detectado un nuevo kit de hacking llamado GhostFrame, que permite a los cibercriminales controlar servidores VMware ESXi y sus máquinas virtuales desde un único panel. Este marco de trabajo fue descubierto por el grupo Insikt de Recorded Future mientras rastreaban a TAG-218, un grupo vinculado al ransomware Settra. Además, la herramienta tiene la capacidad de robar contraseñas de Windows.

Check Point Research identificó a CopperDragon, una entidad vinculada a China que suministra herramientas de ciberespionaje a través del ecosistema Sparrow. Esta operación se divide en tres grupos: SilentDelivery, OceanGate y DarkWire, los cuales atacan infraestructura crítica, gobiernos y telecomunicaciones en Asia, Europa y Latinoamérica. Utilizan técnicas avanzadas como ataques de watering hole, rootkits de kernel y túneles DNS para evadir detecciones y exfiltrar datos sensibles.

Investigadores descubrieron un ataque que explotó dos vulnerabilidades en AhsayCBS para ejecutar comandos y desplegar implantes de Python y mineros de criptomonedas. Los atacantes utilizaron diversas webshells y herramientas de acceso remoto para comprometer servidores de respaldo y robar credenciales críticas. Actualmente, Ahsay Backup ya ha lanzado los parches necesarios para corregir estas fallas de seguridad.

En octubre de 2026, atacantes utilizaron el ransomware Anubis para infiltrarse en una organización de EE. UU. Para lograrlo, emplearon un nuevo backdoor personalizado llamado Lindnor y desplegaron al menos 13 herramientas diseñadas para desactivar el software de seguridad. Según el boletín de Symantec, la carga útil de cifrado fue bloqueada antes de que pudiera ejecutarse.

Varonis Threat Labs ha desarrollado NotC2, un marco de mando y control (C2) de prueba de concepto que opera totalmente sobre servicios nativos de AWS. Esta herramienta utiliza Amazon Bedrock para convertir lenguaje sencillo en inglés en comandos de nube. No se trata de un fallo de Bedrock, sino de un abuso de sus servicios, y solo es efectivo si el atacante ya posee credenciales de AWS.

Atacantes han tomado el control de 10 paquetes de npm, insertando código oculto en 12 versiones diferentes. Este código utiliza la cadena de bloques de Ethereum para localizar un servidor y descargar malware adicional. El hallazgo, identificado como sonatype-2026-010515 y denominado malware PolinRider, fue confirmado por Sonatype Research Labs el 4 de noviembre de 2026, asignándole una puntuación de severidad alta de 8.7.

Microsoft ha advertido sobre una campaña de engaños donde descargas de juegos falsos e instaladores de software crackeado están convirtiendo los PC con Windows en herramientas de lucro. Estos paquetes instalan discretamente software que comparte el ancho de banda de internet, ejecuta cargas de trabajo de computación distribuida o instala utilidades no deseadas, aprovechando que los usuarios buscan contenido gratuito sin comprender los términos de lo que están instalando.

Profesionales de la ciberseguridad están siendo blanco de proyectos maliciosos en GitHub que instalan puertas traseras y robores de información. La campaña, que ya ha comprometido a más de 2,000 sistemas Windows, utiliza scripts falsos de seguridad y técnicas de evasión avanzadas para desactivar antivirus. Finalmente, el ataque despliega malware como AsyncRAT para robar datos sensibles y activos de criptomonedas.

Los cibercriminales están utilizando ARTEX, una plataforma de pruebas de penetración impulsada por inteligencia artificial, para vulnerar sitios web casi sin intervención humana. En los casos analizados, los agentes de IA lograron robar más de 190.000 credenciales de juegos y más de 300 certificados de firma de código de Apple (de los cuales solo tres seguían activos). Cabe destacar que ARTEX fue creada originalmente como una herramienta de código abierto para ayudar a la seguridad.