Un instalador falso de Zoom está engañando a los usuarios de Mac para que entreguen sus contraseñas de inicio de sesión y ejecuten CloudSyncD, una puerta trasera (backdoor) recientemente identificada. El malware se oculta dentro de una aplicación con apariencia familiar, utilizando instrucciones de instalación y avisos falsos para convertir una configuración rutinaria en una infección con privilegios. La primera muestra fue detectada el 15 de septiembre de 2026.

Se ha identificado 2CLoader, un nuevo cargador de malware diseñado para instalar programas de robo de credenciales en equipos Windows. Detectado por primera vez en agosto de 2026, se ha utilizado principalmente para distribuir Vidar, Remus y el RAT XWorm, los cuales pueden extraer contraseñas guardadas, datos del navegador e información de sesión para comprometer aún más el sistema.

Operadores de malware están ocultando código malicioso dentro de la sección del instalador de 7-Zip encargada de descomprimir archivos. Mientras se ejecuta una instalación aparentemente normal, un cargador oculto contacta con un servidor controlado por atacantes, un paso que suele pasar desapercibido para usuarios y analistas. Estas muestras están vinculadas a OpenSUpdater.

Se ha detectado un creador de malware basado en Python que permite convertir un solo programa espía en múltiples aplicaciones de Windows para distintos atacantes. Esta herramienta empaqueta una carga útil diseñada para robar contraseñas guardadas, detalles de tarjetas de pago y cookies de 17 navegadores diferentes, enviando la información a un webhook controlado por el operador. Además, su capacidad de robo se extiende a cuentas de mensajería y contraseñas de redes inalámbricas.

Microsoft ha identificado a un grupo de afiliados de ransomware, denominado Storm-2570, que ha llevado a cabo ataques utilizando cuatro familias diferentes de ransomware. A pesar de cambiar el nombre del malware para ocultar su identidad, el grupo emplea consistentemente los mismos métodos para tomar el control de las redes, robar datos y preparar los sistemas para el cifrado. Este operador ha sido rastreado desde abril de 2025.

Psychedelic Stealer es un malware parte de la plataforma Lunex que ataca usuarios ucranianos mediante sitios web comprometidos y falsos CAPTCHAs. Utiliza controladores vulnerables de AMD para desactivar herramientas de seguridad y robar credenciales de navegadores, billeteras de criptomonedas y datos personales. Además, establece persistencia en el sistema y permite el control remoto total del navegador de la víctima.

Ha surgido una nueva operación de ransomware llamada Galago, la cual está llamando la atención al afirmar que mantiene una alianza con el grupo Panzer. A pesar de esto, su alcance actual es incierto, ya que los investigadores aún no han confirmado intrusiones ni han encontrado víctimas publicadas en su sitio de filtraciones. El riesgo radica en sus posibles acciones futuras más que en una ola de ataques ya verificada.

MacSync, un malware diseñado para robar información en macOS, ha regresado con un método de distribución más sofisticado. Esta versión se enfoca específicamente en usuarios de criptomonedas y desarrolladores. A diferencia de ataques anteriores, ahora utiliza archivos de imagen de disco maliciosos que se hacen pasar por aplicaciones legítimas para infectar los sistemas.

Cisco Talos detectó CLOSEDQUORUM, el primer malware de Windows que utiliza una votación entre modelos de IA para decidir sus acciones en lugar de un servidor central. El software puede robar credenciales, contraseñas y datos de criptomonedas, enviando los resultados a través de Discord. Aunque es un avance en autonomía, su eficacia es limitada ya que depende de servicios externos que pueden bloquear sus solicitudes.

Usuarios de Android en España fueron blanco de una campaña de anuncios que ofrecía un servicio de televisión gratuito. Al intentar acceder, se les instaba a descargar una aplicación maliciosa llamada StreamRat, la cual, en lugar de ofrecer contenido, permitía a los criminales tomar el control remoto de sus teléfonos. Se estima que la campaña alcanzó a unos 570.000 usuarios.

Se ha detectado una nueva variante de malware para WordPress que utiliza un plugin oculto, acceso de administrador robado y un canal de comando basado en blockchain para mantenerse activo en los sitios comprometidos. Esta amenaza está diseñada para sobrevivir a los esfuerzos comunes de limpieza mientras recopila silenciosamente datos sensibles de los servidores afectados, instalándose específicamente como un plugin de "uso obligatorio" (must-use plugin).

Se ha detectado un nuevo framework de malware para Windows llamado MovieReaper, el cual se distribuye a través de torrents de películas populares. Los atacantes han manipulado las descargas para convertir la búsqueda de entretenimiento en una vía de robo de datos y acceso remoto, afectando a usuarios y organizaciones en diversos países mediante el uso de enlaces magnet.

Un malware de Android puede cifrar archivos, robar datos y controlar el dispositivo

Un grupo está utilizando canales de YouTube y técnicas de manipulación de motores de búsqueda (SEO) para engañar a los usuarios. A través de videos de juegos y búsquedas comunes, dirigen a las víctimas hacia instaladores que aparentan ser software útil, herramientas de juegos o mejoras de rendimiento, pero que en realidad instalan malware. Esta operación, denominada CL-CRI-1171, funciona bajo un modelo de pago por instalación, facilitando así el acceso de otros criminales a los sistemas comprometidos.

Se ha descubierto una nueva amenaza para Android llamada Mantax Otax, un malware que combina el ransomware con el espionaje. Este programa infecta a los usuarios que instalan aplicaciones desde enlaces no confiables, permitiéndole bloquear archivos, grabar la pantalla, interceptar códigos de verificación y utilizar las cámaras del dispositivo sin consentimiento, provocando una crisis tanto de extorsión como de privacidad.

Los ciberdelincuentes están aprovechando la gran expectación por Grand Theft Auto VI para distribuir descargas falsas del juego. Estas contienen diversos tipos de malware, como troyanos de acceso remoto (RAT), robadores de información y software de borrado de datos, dirigidos a usuarios que buscan copias filtradas o demos no oficiales a través de foros y resultados de búsqueda manipulados.

ClearFake ha implementado una estafa sofisticada que utiliza CAPTCHAs falsos para robar criptomonedas y credenciales. El ataque convierte sitios web comprometidos en plataformas de lanzamiento, engañando a los usuarios para que ejecuten comandos que parecen rutinarios. La operación utiliza código inyectado en el navegador e instrucciones alojadas en blockchain para desactivar las herramientas de protección de endpoints (EDR) mediante controladores vulnerables.

NodeStealer ha regresado con un conjunto de herramientas más invasivo. Este programa de robo de información basado en Python ahora puede registrar pulsaciones de teclas, monitorear el texto copiado y capturar pantallas de las víctimas. Lo que antes era una infección para robar cuentas se ha transformado en un sistema de vigilancia continua, aumentando el riesgo para quienes acceden a banca, redes sociales o trabajo desde sus navegadores.

Están utilizando instalaciones de soporte remoto no autorizadas para propagar código malicioso entre computadoras con Windows. Esta técnica es notable porque un cliente de acceso remoto infectado puede transmitir cargas útiles a los sistemas conectados, ampliando la intrusión sin necesidad de engañar a cada víctima individualmente. La campaña comienza mediante ingeniería social, incluyendo phishing e interacciones falsas de soporte técnico.

Se ha detectado una campaña de malware que utiliza currículums falsos de estudiantes para instalar una herramienta de acceso remoto en ordenadores Windows de investigadores. El ataque consiste en un archivo comprimido que aparenta ser una solicitud de posgrado; al abrirlo, se muestra un documento de Word legítimo para distraer al usuario mientras, en segundo plano, se ejecuta un archivo ejecutable malicioso. El señuelo afirma provenir de una institución de Pekín.