Están utilizando trucos de ClickFix para instalar cargadores de malware y túneles de Python en sistemas Windows. Este método crea un acceso que podría facilitar ataques de ransomware. Un incidente ocurrido a finales de septiembre demostró cómo la ejecución de un comando puede iniciar una cadena de infección basada en programas confiables de Microsoft, código oculto y tráfico de red cifrado, aunque el ataque fue detenido antes de que el ransomware se desplegara.

El malware XWorm ha evolucionado más allá del robo de contraseñas, permitiendo a los atacantes escuchar a través de computadoras infectadas, rastrear la ubicación y controlar navegadores en sesiones ya iniciadas. Gracias a su creciente colección de complementos, un dispositivo Windows comprometido se convierte en una herramienta de espionaje y en una vía de acceso a cuentas en línea sin necesidad de robar las claves previamente.

El malware ICMacOS ha evolucionado de ser una herramienta de robo de contraseñas y datos de billeteras de criptomonedas a convertirse en un troyano de acceso remoto. Su versión más reciente incluye un canal de comandos en vivo y un mecanismo de inicio, lo que permite a los atacantes mantener una conexión persistente con los Macs infectados más allá del robo inicial de datos.

Midnight Mimosa es un malware que infecta teléfonos Android antes incluso de que los usuarios los enciendan. El software malicioso se integra directamente en el firmware del dispositivo, lo que permite a los atacantes obtener acceso sin necesidad de enlaces de phishing, descargas maliciosas o permisos de aplicaciones. Esta campaña afecta principalmente a dispositivos Android de bajo costo de diversas marcas.

Móviles Android baratos pueden venir infectados de fábrica con un malware en el firmware que evade Play Protect y es imposible de borrar.

Comprometieron más de 100 sitios web utilizando páginas falsas de verificación de Cloudflare para propagar LUNEXSTEALER, un malware de Windows diseñado para robar información y recibir comandos remotos. Los atacantes insertaron JavaScript malicioso en páginas legítimas, convirtiendo un control de seguridad familiar en el punto de inicio de la infección.

Un instalador falso de Zoom está engañando a los usuarios de Mac para que entreguen sus contraseñas de inicio de sesión y ejecuten CloudSyncD, una puerta trasera (backdoor) recientemente identificada. El malware se oculta dentro de una aplicación con apariencia familiar, utilizando instrucciones de instalación y avisos falsos para convertir una configuración rutinaria en una infección con privilegios. La primera muestra fue detectada el 15 de septiembre de 2026.

Se ha identificado 2CLoader, un nuevo cargador de malware diseñado para instalar programas de robo de credenciales en equipos Windows. Detectado por primera vez en agosto de 2026, se ha utilizado principalmente para distribuir Vidar, Remus y el RAT XWorm, los cuales pueden extraer contraseñas guardadas, datos del navegador e información de sesión para comprometer aún más el sistema.

Operadores de malware están ocultando código malicioso dentro de la sección del instalador de 7-Zip encargada de descomprimir archivos. Mientras se ejecuta una instalación aparentemente normal, un cargador oculto contacta con un servidor controlado por atacantes, un paso que suele pasar desapercibido para usuarios y analistas. Estas muestras están vinculadas a OpenSUpdater.

Se ha detectado un creador de malware basado en Python que permite convertir un solo programa espía en múltiples aplicaciones de Windows para distintos atacantes. Esta herramienta empaqueta una carga útil diseñada para robar contraseñas guardadas, detalles de tarjetas de pago y cookies de 17 navegadores diferentes, enviando la información a un webhook controlado por el operador. Además, su capacidad de robo se extiende a cuentas de mensajería y contraseñas de redes inalámbricas.

Microsoft ha identificado a un grupo de afiliados de ransomware, denominado Storm-2570, que ha llevado a cabo ataques utilizando cuatro familias diferentes de ransomware. A pesar de cambiar el nombre del malware para ocultar su identidad, el grupo emplea consistentemente los mismos métodos para tomar el control de las redes, robar datos y preparar los sistemas para el cifrado. Este operador ha sido rastreado desde abril de 2025.

Psychedelic Stealer es un malware parte de la plataforma Lunex que ataca usuarios ucranianos mediante sitios web comprometidos y falsos CAPTCHAs. Utiliza controladores vulnerables de AMD para desactivar herramientas de seguridad y robar credenciales de navegadores, billeteras de criptomonedas y datos personales. Además, establece persistencia en el sistema y permite el control remoto total del navegador de la víctima.

Ha surgido una nueva operación de ransomware llamada Galago, la cual está llamando la atención al afirmar que mantiene una alianza con el grupo Panzer. A pesar de esto, su alcance actual es incierto, ya que los investigadores aún no han confirmado intrusiones ni han encontrado víctimas publicadas en su sitio de filtraciones. El riesgo radica en sus posibles acciones futuras más que en una ola de ataques ya verificada.

MacSync, un malware diseñado para robar información en macOS, ha regresado con un método de distribución más sofisticado. Esta versión se enfoca específicamente en usuarios de criptomonedas y desarrolladores. A diferencia de ataques anteriores, ahora utiliza archivos de imagen de disco maliciosos que se hacen pasar por aplicaciones legítimas para infectar los sistemas.

Cisco Talos detectó CLOSEDQUORUM, el primer malware de Windows que utiliza una votación entre modelos de IA para decidir sus acciones en lugar de un servidor central. El software puede robar credenciales, contraseñas y datos de criptomonedas, enviando los resultados a través de Discord. Aunque es un avance en autonomía, su eficacia es limitada ya que depende de servicios externos que pueden bloquear sus solicitudes.

Usuarios de Android en España fueron blanco de una campaña de anuncios que ofrecía un servicio de televisión gratuito. Al intentar acceder, se les instaba a descargar una aplicación maliciosa llamada StreamRat, la cual, en lugar de ofrecer contenido, permitía a los criminales tomar el control remoto de sus teléfonos. Se estima que la campaña alcanzó a unos 570.000 usuarios.

Se ha detectado una nueva variante de malware para WordPress que utiliza un plugin oculto, acceso de administrador robado y un canal de comando basado en blockchain para mantenerse activo en los sitios comprometidos. Esta amenaza está diseñada para sobrevivir a los esfuerzos comunes de limpieza mientras recopila silenciosamente datos sensibles de los servidores afectados, instalándose específicamente como un plugin de "uso obligatorio" (must-use plugin).

Se ha detectado un nuevo framework de malware para Windows llamado MovieReaper, el cual se distribuye a través de torrents de películas populares. Los atacantes han manipulado las descargas para convertir la búsqueda de entretenimiento en una vía de robo de datos y acceso remoto, afectando a usuarios y organizaciones en diversos países mediante el uso de enlaces magnet.

Un malware de Android puede cifrar archivos, robar datos y controlar el dispositivo

Un grupo está utilizando canales de YouTube y técnicas de manipulación de motores de búsqueda (SEO) para engañar a los usuarios. A través de videos de juegos y búsquedas comunes, dirigen a las víctimas hacia instaladores que aparentan ser software útil, herramientas de juegos o mejoras de rendimiento, pero que en realidad instalan malware. Esta operación, denominada CL-CRI-1171, funciona bajo un modelo de pago por instalación, facilitando así el acceso de otros criminales a los sistemas comprometidos.