Investigadores descubren VENON, el primer malware bancario brasileño escrito en Rust, dirigido a 33 instituciones financieras mediante técnicas avanzadas como secuestro de accesos directos (LNK) y superposiciones falsas. El malware, detectado por ZenoX, usa evasión anti-sandbox y conexiones a Google Cloud Storage, y se distribuye vía ingeniería social con scripts PowerShell. Su desarrollo sugiere uso de IA generativa para adaptar funcionalidades de troyanos como Grandoreiro en Rust, destacando por su sofisticación y falta de atribución a grupos conocidos.

Se ha descubierto una nueva campaña de malware que distribuye un Troyano de Acceso Remoto (RAT) a través de sitios web falsos que suplantan la página oficial de descarga de FileZilla. Los atacantes diseñaron estos sitios fraudulentos para imitar casi a la perfección la página real de FileZilla, engañando a los usuarios para que descarguen archivos de instalación maliciosos. El objetivo es comprometer de forma silenciosa sistemas Windows mientras las víctimas creen que están instalando un software legítimo.

Los investigadores de seguridad de JFrog, Guy Korolevski y Meitar Palas, descubrieron un sofisticado ataque a la cadena de suministro en el ecosistema npm el 12 de marzo de 2026, en el que actores de amenazas disfrazaron un malware robador de información como un ejecutor de scripts legítimo de Roblox. La campaña, autodenominada Cipher stealer, utilizó dos paquetes maliciosos: bluelite-bot-manager y test-logsmodule-v-zisko, para distribuir un ejecutable de Windows capaz de recolectar credenciales de Discord

Microsoft alerta sobre los ataques ClickFix que engañan a usuarios de Windows para ejecutar malware mediante comandos peligrosos en la terminal.

Movistar alerta sobre una estafa de cambio de router con un truco inteligente que engaña a los usuarios.

Una nueva y cuidadosamente elaborada campaña de phishing está actualmente dirigiéndose a los usuarios de LastPass, con atacantes enviando correos electrónicos falsos de soporte diseñados para robar las contraseñas maestras de las bóvedas. La campaña, que comenzó alrededor del 1 de marzo de 2026, utiliza tácticas de ingeniería social para engañar a los usuarios haciéndoles creer que sus cuentas han sido comprometidas, presionándolos para que revelen sus credenciales.

Una invitación envenenada de Google Calendar es todo lo que se necesita para convertir en un arma el navegador Comet de Perplexity. Investigadores de seguridad de Zenity Labs han descubierto una vulnerabilidad crítica, denominada PerplexedBrowser, que engaña al agente de IA de Comet para que lea archivos locales y robe credenciales. Este ataque de cero clics solo requiere que el usuario pida al agente que gestione una invitación rutinaria de reunión.

Un nuevo ataque de phishing activo aprovecha el comportamiento legítimo de redirección de OAuth, lo que le permite eludir las defensas tradicionales de correo electrónico y navegador sin robar tokens. Según investigadores de Microsoft Defender, estas campañas se dirigen principalmente a organizaciones gubernamentales y del sector público, utilizando dominios de proveedores de identidad confiables para ocultar redirecciones maliciosas. 

Microsoft bloqueó 13 millones de correos de phishing personalizados en 2025 explotando configuraciones incorrectas en Microsoft 365, no Zero-Days, donde la mayoría de brechas comienzan con políticas en "solo informes" desde hace años. Los atacantes de IA automatizan ataques a gran escala, identificando errores comunes en miles de inquilinos simultáneamente, reduciendo el tiempo de brecha de semanas a horas. El riesgo no son vulnerabilidades desconocidas, sino problemas conocidos sin solucionar que la IA explota hoy: autenticación heredada, permisos excesivos y políticas desactualizadas. Las herramientas existen, pero el trabajo atrasado crece; se recomienda habilitar políticas de riesgo, bloquear autenticación heredada y auditar permisos.

Una ola de ataques de *relleno de credenciales* ha revelado un preocupante cambio en la forma en que los actores de amenazas acceden a las redes corporativas: no explotando vulnerabilidades de software, sino simplemente iniciando sesión con contraseñas robadas. En el centro de esta campaña se encuentran familias de malware infostealer, que recopilan silenciosamente credenciales de dispositivos infectados de empleados.

Se ha descubierto una nueva campaña de troyanos botnet, denominada OCRFix, que combina trucos de ingeniería social con una infraestructura de comandos basada en blockchain para construir silenciosamente una red de máquinas comprometidas. La campaña fusiona la conocida técnica de phishing ClickFix con EtherHiding —un método que almacena instrucciones del atacante directamente en una blockchain pública, haciendo que los desmantelamientos sean casi imposibles—. 

Una nueva campaña de phishing llamada GTFire está abusando de dos de los servicios más confiables de Google —Firebase y Google Translate— para robar credenciales de inicio de sesión de víctimas en todo el mundo. Lo que hace peligrosa esta campaña es su capacidad para ocultar actividad maliciosa detrás de dominios legítimos propiedad de Google, permitiendo que los enlaces de phishing pasen a través de filtros de correo electrónico y web.

Los ciberdelincuentes están perfeccionando constantemente sus técnicas para explotar la confianza de los consumidores, y recientemente ha surgido una campaña de phishing altamente sofisticada que se hace pasar por la empresa de ciberseguridad Avast. Esta operación está diseñada para robar credenciales financieras sensibles engañando a los usuarios para que crean que están resolviendo un cargo erróneo.

Los actores de amenazas siempre buscan nuevas formas de abusar de plataformas confiables, y Microsoft Entra ID se está convirtiendo cada vez más en un objetivo mediante una técnica conocida como abuso de consentimiento OAuth. Un escenario de ataque recientemente documentado muestra cómo una aplicación de terceros maliciosa o con permisos excesivos —que se asemeja mucho a una herramienta confiable como ChatGPT— puede obtener acceso silenciosamente.

Ha surgido un ataque a la cadena de suministro dirigido a desarrolladores de ASP.NET, que involucra cuatro paquetes NuGet maliciosos diseñados para robar credenciales de inicio de sesión e instalar puertas traseras persistentes dentro de aplicaciones web. Los paquetes — NCryptYo, DOMOAuth2_, IRAOAuth2.0 y SimpleWriter_ — fueron publicados entre el 12 y el 21 de agosto de 2024 por un actor de amenazas que opera bajo el nombre de usuario “hamzazaheer”,