Etiqueta: actualizaciones de seguridad cibernética Página 3 de 11

Aug 24, 2025Ravie Lakshmananmalware / Supply Chain Security Investigadores de seguridad cibernética han descubierto un módulo GO malicioso que se presenta como una herramienta de fuerza bruta para SSH, pero en realidad contiene funcionalidad para exfiltrarse discretamente las credenciales a su creador. «En el primer inicio de sesión exitoso, el paquete envía la dirección IP objetivo, el nombre de usuario y la contraseña a un bot de telegrama codificado controlado por el actor de amenazas», dijo el investigador de socket Kirill Boychenko. El paquete engañoso, llamado «Golang-Random-IP-SSH-BRUTEFORCE», ha sido vinculado a una cuenta de GitHub llamada Illdieanyway (G3TT), que actualmente ya no es accesible. Sin embargo, sigue estando disponible en PKG.GO[.]revestimiento Fue publicado el 24 de junio de 2022. La compañía de seguridad de la cadena de suministro de software dijo que el módulo GO funciona escaneando direcciones IPv4 aleatorias para servicios SSH expuestos en el puerto 22 de TCP, luego intentando que el servicio se convierta en una lista de palabras de nombre de usuario integrada y exfiltrando las credenciales exitosas al atacante. Un aspecto notable del malware es que deliberadamente deshabilita la verificación de la llave del host configurando «SSH.InsecureIgnorehostKey» como un Key KeyCallback, lo que permite que el cliente SSH acepte conexiones de cualquier servidor, independientemente de su identidad. La lista de palabras es bastante sencilla, incluyendo solo dos nombres de usuario root y administrador, y combinarlas contra contraseñas débiles como root, prueba, contraseña, administrador, 12345678, 1234, Qwerty, WebAdmin, Webmaster, TechSupport, LetMein y Passw@RD. El código malicioso se ejecuta en un bucle infinito para generar las direcciones IPv4, con el paquete intentando inicios de sesión SSH concurrentes desde la lista de palabras. Los detalles se transmiten a un bot de telegrama controlado por el actor de amenaza llamado «@sshzxc_bot» (ssh_bot) a través de la API, que luego reconoce la recepción de las credenciales. Los mensajes se envían a través del bot a una cuenta con el identificador «@io_ping» (gett). Una instantánea de archivos de Internet de la cuenta GitHub ahora recuperada muestra que Illdieanyway, también conocido como la cartera de software de G3TT, incluía un escáner de puerto IP, un perfil de perfil de Instagram y un analizador de medios, e incluso una botnet de comando y control (C2) basado en PHP llamado Selica-C2. Su canal de YouTube, que sigue siendo accesible, alberga varios videos de forma corta sobre «Cómo hackear un bot de telegrama» y lo que dicen ser el «bombardero SMS más potente para la Federación de Rusia», que puede enviar textos y mensajes de SMS de spam a los usuarios de VK que usan un bot de telegrama. Se evalúa que el actor de amenaza es de origen ruso. «El paquete descarga escanear y adivinar contraseña a los operadores involuntarios, difundir el riesgo en sus IPS y abunda los éxitos a un bot de telegrama controlado por el actor de una sola amenaza», dijo Boychenko. «Desactiva la verificación de la clave del host, impulsa una alta concurrencia y sale después del primer inicio de sesión válido para priorizar la captura rápida. Debido a que la API BOT de Telegram usa HTTPS, el tráfico parece solicitudes web normales y puede pasar más allá de los controles de salida gruesos».

Aug 22, 2025Ravie Lakshmananonline Fraude / Financial Crime Interpol anunció el viernes que las autoridades de 18 países de África han arrestado a 1.209 cibercriminales que se dirigieron a 88,000 víctimas. «La represión recuperó $ 97.4 millones y desmanteló 11,432 infraestructuras maliciosas, subrayando el alcance global del delito cibernético y la urgente necesidad de cooperación transfronteriza», dijo la agencia. El esfuerzo es la segunda fase de una iniciativa de aplicación de la ley en curso llamada Operation Serengeti, que tuvo lugar entre junio y agosto de 2025 para abordar crímenes severos como ransomware, estafas en línea. y Compromiso de correo electrónico comercial (BEC). La primera ola de arrestos ocurrió a fines del año pasado. Entre los aspectos más destacados se encuentran el desmantelamiento de 25 centros mineros de criptomonedas en Angola, donde 60 ciudadanos chinos estaban involucrados en el esquema ilícito de dinero. «La represión identificó 45 centrales eléctricas ilícitas que fueron confiscadas, junto con el equipo minero y de TI por valor de más de $ 37 millones, ahora destinado al gobierno para apoyar la distribución de energía en áreas vulnerables», dijo Interpol. En otros lugares, las autoridades de Zambia han eliminado una operación de fraude de inversión en línea a gran escala que reclamó a 65,000 víctimas que perdieron alrededor de $ 300 millones después de que fueron atraídos a invertir en criptomonedas a través de campañas publicitarias que prometieron rendimientos de alto rendimiento. Quince individuos han sido arrestados en relación con el esquema, con funcionarios que toman dominios, números móviles y cuentas bancarias para una mayor investigación. También se interrumpe en el país del sur de África hay un centro de estafa y una sospecha de la red de trata de personas. Por último, la policía también destrozó una estafa de herencia transnacional que se origina en Alemania, deteniendo al sospechoso principal y confiscando electrónica, joyas, efectivo y vehículos. Se estima que la estafa ha causado pérdidas de alrededor de $ 1.6 millones. «Cada operación coordinada interpol se basa en la última, profundizando la cooperación, aumentando el intercambio de información y el desarrollo de habilidades de investigación en los países miembros», dijo Valdecy Urquiza, secretaria general de Interpol. «Con más contribuciones y experiencia compartida, los resultados siguen creciendo en escala e impacto. Esta red global es más fuerte que nunca, ofreciendo resultados reales y salvaguardar a las víctimas». El Grupo-IB con sede en Singapur dijo que proporcionó «inteligencia circunstancial» en una estafa de inversión de criptomonedas, junto con los detalles de infraestructura asociados con la estafa y otras campañas BEC en toda la región africana. «El delito cibernético no reconoce las fronteras, y su impacto es verdaderamente global», dijo Dmitry Volkov, CEO de Group-IB. «El éxito de la Operación Serengeti 2.0 demuestra lo que se puede lograr cuando las naciones se mantienen juntas contra esta amenaza». En una publicación compartida en LinkedIn, la plataforma de inteligencia Blockchain TRM Labs dijo que los investigadores persiguieron clientes potenciales vinculados al grupo de ransomware BL00DY en Ghana y actuaron en información conectada a Ransomhub, otra operación de ransomware que se desconectó abruptamente a principios de abril. Los países que participaron en la represión incluyen Angola, Benin, Camerún, Chad, Costa de Marfil, República Democrática del Congo, Gabón, Ghana, Kenia, Mauricio, Nigeria, Ruanda, Senegal, Sudáfrica, Seychelles, Tanzania, el Reino Unido, Zambia y Zimbabwe. La divulgación se produce cuando Nigeria deportó a 102 ciudadanos extranjeros, incluidos 60 chinos y 39 personas de Filipinas, que fueron condenados por terrorismo cibernético y fraude en Internet, según la Comisión de Delitos Económicos y Financieros del país (EFCC). Los deportados se encontraban entre los 792 presuntos cibercriminales arrestados en diciembre de 2024. A principios de marzo, las autoridades de aplicación de la ley en siete países africanos también arrestaron a 306 sospechosos y confiscaron 1,842 dispositivos como parte de una tarjeta roja de la Operación Internacional Codenamenada que tuvo lugar entre noviembre de 2024 y febrero de 2025.

Los investigadores de ciberseguridad están llamando la atención sobre la actividad maliciosa orquestada por un grupo de espionaje cibernético de China-Nexus conocido como panda turbia que implica abusar de las relaciones confiables en la nube para violar las redes empresariales. «El adversario también ha mostrado una capacidad considerable para armarse rápidamente las vulnerabilidades de N-Día y cero y con frecuencia logra el acceso inicial a sus objetivos al explotar los electrodomésticos orientados a Internet», dijo Crowdstrike en un informe del jueves. Murky Panda, también conocido como Typhoon de Silk (anteriormente Hafnium), es mejor conocido por su explotación de día cero de fallas de Microsoft Exchange Server en 2021. Los ataques montados por el grupo de piratería han dirigido al gobierno, tecnología, académica, legal y entidades de servicios profesionales en América del Norte. A principios de marzo, Microsoft detalló el cambio de tácticas del actor de amenaza, detallando su objetivo de la cadena de suministro de la tecnología de la información (TI) como un medio para obtener acceso inicial a las redes corporativas. Se evalúa que las operaciones turbias de Panda están impulsadas por la recopilación de inteligencia. Al igual que otros grupos de piratería chinos, Murky Panda ha explotado los electrodomésticos de Internet para obtener el acceso inicial y se cree que también ha comprometido los dispositivos de una pequeña oficina/oficina doméstica (SOHO) que se geolocan en el país objetivo como un nodo de salida para obstaculizar los esfuerzos de detección. Otras vías de infección incluyen la explotación de fallas de seguridad conocidas en Citrix Netscaler ADC y NetScaler Gateway (CVE-2023-3519) y Commvault (CVE-2025-3928). El acceso inicial se aprovecha para implementar proyectiles web como Neo-Regegeorg para establecer la persistencia y, en última instancia, soltar un malware personalizado llamado Cloudedhope. Un binario ELF de 64 bits y escrito en Golang, Cloudedhope funciona como una herramienta básica de acceso remoto (RAT) mientras emplea medidas antianálisis y seguridad operativa (OPSEC), como modificar las marcas de tiempo y la eliminación de indicadores de su presencia en entornos de víctimas para volar bajo el radar. Pero un aspecto notable de la artesanía de Murky Panda se refiere al abuso de las relaciones confiables entre las organizaciones asociadas y sus inquilinos en la nube, explotando vulnerabilidades de día cero para violar los entornos de la nube de los proveedores de software como servicio (SaaS) y llevar a cabo un movimiento lateral a víctimas posteriores. En al menos un caso observado a fines de 2024, se dice que el actor de amenazas comprometió a un proveedor de una entidad norteamericana y utilizó el acceso administrativo del proveedor al inquilino Entra Id de la entidad de la víctima para agregar una cuenta temporal de entrada trasera. «Usando esta cuenta, el actor de amenazas luego fue trasero varios principios de servicio de ID de ID preexistentes relacionados con la gestión y los correos electrónicos de Active Directory», dijo CrowdStrike. «Los objetivos del adversario parecen atacados en la naturaleza en función de su enfoque en acceder a los correos electrónicos». Desde turbio hasta génesis, otro actor de amenaza vinculado a China que ha demostrado ser hábil en la manipulación de los servicios en la nube es Genesis Panda, que se ha observado utilizando la infraestructura para la exfiltración básica y las cuentas del proveedor de servicios de la nube (CSP) para expandir el acceso y establecer mecanismos persistentes de respaldo. Activo desde al menos en enero de 2024, Genesis Panda se ha atribuido a operaciones de alto volumen dirigidas a los sectores de servicios financieros, medios, telecomunicaciones y tecnología que abarcan 11 países. El objetivo de los ataques es permitir el acceso para futuras actividades de recolección de inteligencia. La posibilidad de que actúe como un corredor de acceso inicial se deriva de la explotación del grupo de una amplia gama de vulnerabilidades relacionadas con la web y exfiltración de datos limitados. «Aunque Genesis Panda se dirige a una variedad de sistemas, muestran un interés constante en comprometer los sistemas alojados en la nube para aprovechar el plano de control de la nube para el movimiento lateral, la persistencia y la enumeración», dijo CrowdStrike. El adversario ha observado consultar «consistentemente» el servicio de metadatos de instancia (IMD) asociado con un servidor alojado en la nube para obtener credenciales para el plano de control de la nube y enumerar la red y las configuraciones generales de instancias. También se sabe que usa credenciales, probablemente obtenidas de máquinas virtuales comprometidas (VM), para excavar más profundamente en la cuenta de la nube del objetivo. Los hallazgos ilustran cómo los grupos de piratería chinos se están volviendo cada vez más expertos en romper y navegar en entornos de nubes, al tiempo que priorizan el sigilo y la persistencia para garantizar el acceso sostenido y la recolección de datos encubiertos. El sector de las telecomunicaciones del panda glacial, el sector de telecomunicaciones, por crowdstrike, ha sido testigo de un aumento del 130% en la actividad del estado-nación durante el año pasado, principalmente impulsado por el hecho de que son un tesoro de inteligencia. El último actor de amenaza para capacitar sus vistas en la vertical de la industria es un actor de amenaza china denominada panda glacial. La huella geográfica del grupo de piratería abarca Afganistán, Hong Kong, India, Japón, Kenia, Malasia, México, Panamá, Filipinas, Taiwán, Tailandia y Estados Unidos. «El panda glacial es muy probable que realice intrusiones específicas para fines de recolección de inteligencia, accediendo y exfiltrando registros de detalles de llamadas y telemetría de comunicaciones relacionadas de múltiples organizaciones de telecomunicaciones», dijo la compañía de seguridad cibernética. «El adversario se dirige principalmente a los sistemas Linux típicos en la industria de las telecomunicaciones, incluidas las distribuciones de sistemas operativos heredados que admiten tecnologías de telecomunicaciones más antiguas». Los candidatos a ataque implementados por el actor de amenazas utilizan vulnerabilidades de seguridad conocidas o contraseñas débiles dirigidas a servidores orientados a Internet y no administrados, con actividades de seguimiento que aprovechan los errores de escalada de privilegios como CVE-2016-5195 (también conocido como vaca sucia) y CVE-2021-4034 (aka PWNKIT). Además de confiar en las técnicas de vida de la tierra (LOTL), las intrusiones del panda glacial allanan el camino para el despliegue de componentes de OpenSsh Troyanizados, colectivamente con nombre en código SHIELDSLIDE, para reunir sesiones y credenciales de autenticación de usuarios. «El SSH Binary del servidor SSH-Trojanizado de SSH también proporciona acceso a puerta trasera, autenticando cualquier cuenta (incluida la raíz) cuando se ingresa una contraseña codificada», dijo CrowdStrike.

Los investigadores de ciberseguridad están llamando la atención sobre múltiples campañas que aprovechan las vulnerabilidades de seguridad conocidas y exponen los servidores Redis a diversas actividades maliciosas, incluida la aprovechamiento de los dispositivos comprometidos como botnets IoT, representantes residenciales o infraestructura minera de criptomonedas. El primer conjunto de ataques implica la explotación de CVE-2024-36401 (puntaje CVSS: 9.8), una vulnerabilidad de ejecución de código remoto crítico que afecta a Osgeo Geoserver Geotools que se ha armado en ataques cibernéticos desde fines del año pasado. «Los delincuentes han utilizado la vulnerabilidad para implementar kits de desarrollo de software (SDK) legítimos o aplicaciones modificadas para obtener ingresos pasivos a través del intercambio de redes o los representantes residenciales», dijeron en un informe técnico de Palo Alto Networks, dijo en un informe técnico. «Este método para generar ingresos pasivos es particularmente sigiloso. Imite una estrategia de monetización utilizada por algunos desarrolladores de aplicaciones legítimos que eligen SDK en lugar de mostrar anuncios tradicionales. Esta puede ser una opción bien intencionada que protege la experiencia del usuario y mejora la retención de aplicaciones». La compañía de ciberseguridad dijo que los atacantes han estado investigando las instancias de Geoserver expuestas a Internet desde al menos a principios de marzo de 2025, aprovechando el acceso a la caída de ejecutables personalizados de los servidores controlados por adversario. Las cargas útiles se distribuyen a través de una instancia privada de un servidor de intercambio de archivos usando Transfer.Sh, en lugar de un servidor web HTTP convencional. Las aplicaciones utilizadas en la campaña tienen como objetivo volar bajo el radar consumiendo recursos mínimos, mientras monetizan sigilosamente el ancho de banda de Internet de las víctimas sin la necesidad de distribuir malware personalizado. Los binarios, escritos en DART, están diseñados para interactuar con servicios legítimos de ingresos pasivos, discretamente utilizando los recursos del dispositivo para actividades como el intercambio de ancho de banda. El enfoque es una situación de ganar-ganar para todas las partes involucradas, ya que los desarrolladores de las aplicaciones reciben pagos a cambio de integrar la función, y los ciberdelincuentes pueden beneficiarse del ancho de banda no utilizado utilizando un canal aparentemente inocuo que no plantea ninguna bandera roja. «Una vez ejecutándose, el ejecutable opera de forma encubierta en segundo plano, monitoreando los recursos del dispositivo y compartiendo ilícitamente el ancho de banda de la víctima siempre que sea posible», dijo la Unidad 42. «Esto genera ingresos pasivos para el atacante». Los datos de telemetría recopilados por la compañía muestran que hubo más de 7.100 instancias de Geoserver expuestas públicamente en 99 países, con China, Estados Unidos, Alemania, Gran Bretaña y Singapur tomando los cinco primeros lugares. «Esta campaña en curso muestra una evolución significativa en cómo los adversarios monetizan los sistemas comprometidos», dijo la Unidad 42. «La estrategia central de los atacantes se centra en la monetización sigilosa y persistente en lugar de la explotación agresiva de los recursos. Este enfoque favorece la generación de ingresos a largo plazo y de bajo perfil sobre técnicas fácilmente detectables». La divulgación se produce cuando Censys detalló la columna vertebral de infraestructura que alimenta una botnet IoT a gran escala llamada Polaredge que comprende los firewalls de grado empresarial y los dispositivos orientados al consumidor como enrutadores, cámaras IP y teléfonos VoIP al aprovechar las vulnerabilidades de seguridad conocidas. Actualmente no se conoce su propósito exacto, aunque está claro que la botnet no se está utilizando para la exploración de masa indiscriminada. Luego se abusa del acceso inicial para soltar una puerta trasera TLS personalizada basada en TLS MBed que facilita las actualizaciones de comando y control, limpieza de registros y infraestructura dinámicas. La puerta trasera se ha observado comúnmente implementado en puertos altos y no estándar, probablemente como una forma de evitar los escaneos de red tradicionales y el alcance de monitoreo defensivo. Polaredge exhibe rasgos que se alinean con una red de caja de relé operativa (ORB), con la plataforma de gestión de superficie de ataque indicando que hay indicios de que la campaña comenzó a junio de 2023, llegando a unos 40,000 dispositivos activos a partir de este mes. Más del 70% de las infecciones están dispersas por Corea del Sur, Estados Unidos, Hong Kong, Suecia y Canadá. «Los orbes son nodos de salida comprometidos que se reenvían al tráfico para llevar a cabo compromisos o ataques adicionales en nombre de los actores de amenazas», dijo la investigadora de seguridad Himaja Motheram. «Lo que hace que las orbes sean tan valiosas para los atacantes es que no necesitan hacerse cargo de la función central del dispositivo: pueden transmitir en silencio el tráfico en segundo plano mientras el dispositivo continúa funcionando normalmente, haciendo que la detección del propietario o ISP sea poco probable». En los últimos meses, las vulnerabilidades en productos de proveedores como Draytek, TP-Link, Raisecom y Cisco han sido atacados por malos actores para infiltrarse en ellos y desplegar una variante de Mirai Botnet en código Gayfemboy, lo que sugiere una expansión del alcance de la orientación. «La campaña de Gayfemboy abarca múltiples países, incluidos Brasil, México, Estados Unidos, Alemania, Francia, Suiza, Israel y Vietnam», dijo Fortinet. «Sus objetivos también cubren una amplia gama de sectores, como fabricación, tecnología, construcción y medios o comunicaciones». Gayfemboy is capable of targeting various system architectures, including ARM, AArch64, MIPS R3000, PowerPC, and Intel 80386. It incorporates four primary functions – Monitor, which tracks threads and processes while incorporating persistence and sandbox evasion techniques Watchdog, which attempts to bind to UDP port 47272 Attacker, which launches DDoS attacks using UDP, TCP, and Protocolos ICMP, y permite el acceso a la puerta trasera conectando a un servidor remoto para recibir comandos asesino, que se termina si recibe el comando del servidor o detecta la manipulación de la caja de arena «mientras que GayFemboy hereda los elementos estructurales de Mirai, de Mirai, presenta modificaciones notables que mejoran tanto su complejidad como su capacidad para evadir la detección de seguridad, vincent LI. «Esta evolución refleja la creciente sofisticación del malware moderno y refuerza la necesidad de estrategias de defensa proactivas e impulsadas por la inteligencia». Los hallazgos también coinciden con una campaña de criptojacking realizada por un actor de amenaza llamado Ta-Natalstatus que apunta a los servidores Redis expuestos para entregar mineros de criptomonedas. El ataque esencialmente implica escanear para los servidores Redis no autenticados en el puerto 6379, seguido de emitir comandos de configuración legítima, establecer y guardar para ejecutar un trabajo de cron malicioso que está diseñado para ejecutar un script de shell que deshabilita Selinux, realiza pasos de evasión de defensa, bloquea las conexiones externas al puerto Redis para evitar que los actores de rivales usen la vía de acceso inicial para ingresar y la competencia de la competencia, y los procesos de la competencia. También se implementan scripts para instalar herramientas como MassCan o PNSCan, y luego iniciar comandos como «MassCan -Shard» para escanear Internet en busca de instancias de redis susceptibles. El último paso implica establecer persistencia a través de un trabajo cron por hora y iniciar el proceso minero. La firma de ciberseguridad Cloudsek dijo que la actividad es una evolución de una campaña de ataque revelada por Trend Micro en abril de 2020, empacando nuevas características para acomodar características similares a RootKit para ocultar procesos maliciosos y alterar las marcas de tiempo de sus archivos para engañar al análisis forense. «Al cambiar el nombre de binarios del sistema como PS y TOP a PS. Original y reemplazándolos con envoltorios maliciosos, filtran su propio malware (httpgd) fuera de la salida. Un administrador que busca el minero no lo verá usando herramientas estándar», dijo el investigador Abhishek Mathew. «Cambian el nombre de Curl y Wget a CD1 y WD1. Este es un método simple pero brillante para evitar los productos de seguridad que monitorean descargas maliciosas específicamente iniciadas por estos nombres de herramientas comunes».

Aug 22, 2025  Las pruebas de periódicos del hacker / operaciones de seguridad Pentesting sigue siendo una de las formas más efectivas de identificar las debilidades de seguridad del mundo real antes de que lo hagan los adversarios. Pero a medida que el paisaje de amenaza ha evolucionado, la forma en que entregamos los resultados más pentest no ha mantenido el ritmo. La mayoría de las organizaciones aún dependen de los métodos de informes tradicionales: PDF estatales, documentos enviados por correo electrónico y seguimiento basado en la hoja de cálculo. El problema? Estos flujos de trabajo obsoletos introducen demoras, crean ineficiencias y socavan el valor del trabajo. Los equipos de seguridad necesitan ideas más rápidas, traspensas más estrictas y caminos más claros para la remediación. Ahí es donde entra entre la entrega automatizada. Plataformas como Plextrac automatizan la entrega de búsqueda de Pentest en tiempo real a través de flujos de trabajo sólidos basados ​​en reglas. (¡No espere el informe final!) El problema de entrega estática en un mundo dinámico que entrega un informe más pentest solo como un documento estático podría haber tenido sentido hace una década, pero hoy es un cuello de botella. Los resultados están enterrados en documentos largos que no se alinean con la forma en que los equipos operan día a día. Después de recibir el informe, las partes interesadas deben extraer hallazgos manualmente, crear boletos en plataformas como JIRA o ServiceNow, y coordinar el seguimiento de la remediación a través de flujos de trabajo desconectados. Para el momento en que comienza la remediación, pueden haber pasado días o semanas desde que se descubrieron los problemas. Por qué la automatización es importante ahora a medida que las organizaciones adoptan la gestión continua de exposición a amenazas (CTEM) y expanden la frecuencia de las pruebas ofensivas, el volumen de hallazgos crece rápidamente. Sin automatización, los equipos luchan por mantenerse al día. La administración de la entrega ayuda a reducir el ruido y entregar resultados en tiempo real para transferencias y visibilidad más rápidas en todo el ciclo de vida de vulnerabilidad. Los beneficios de la automatización de la entrega más pentest incluyen: Acción en tiempo real: Actuar sobre los hallazgos de inmediato, no después de que el informe se finalice la respuesta más rápida: Acelerar la remediación, la reestima y la validación Operaciones estandarizadas: garantizar que cada hallazgo siga un proceso consistente de trabajo menos manual: los equipos gratuitos para centrarnos en las iniciativas estratégicas mejoran los equipos enfocados en los que los equipos de los servicios de los servicios obtienen una ventaja competitiva menos manual por la entrega de la entrega y la entrega de la entrega y la integración directa en la integración de la integración directamente en el cliente. para impulsar el valor del cliente. Para las empresas, es una vía rápida para la madurez operativa y una reducción medible en el tiempo medio de remediación (MTTR). 5 Componentes clave de la ingestión de datos centralizados de entrega Pentest automatizada: comience consolidando todos los hallazgos, manuales y automatizados, en una sola fuente de verdad. Esto incluye salidas de escáneres (como Tenable, Qualys, Wiz, Snyk), así como los hallazgos manuales de Pentest. Sin centralización, la gestión de vulnerabilidad se convierte en un mosaico de herramientas desconectadas y procesos manuales. Entrega automatizada en tiempo real: a medida que se identifican los hallazgos, deben enrutarse automáticamente a las personas y flujos de trabajo adecuados sin esperar el informe completo. Los conjuntos de reglas predefinidos deben activar el triaje, la venta de boletos y el seguimiento para permitir que comience la remediación mientras las pruebas aún están en progreso. Enrutamiento automático y boletos: estandarizar el enrutamiento definiendo reglas basadas en la gravedad, la propiedad de activos y la explotabilidad. La automatización puede asignar hallazgos, generar boletos en herramientas como JIRA o ServiceNow, notificar a las partes interesadas a través de Slack o Correo electrónico y cerrar problemas informativos para garantizar que los resultados se enruten automáticamente a los equipos y sistemas adecuados. Flujos de trabajo de remediación estandarizados: cada hallazgo de sus datos centralizados debe seguir el mismo ciclo de vida desde el triaje hasta el cierre en función de los criterios que ha establecido, independientemente de la fuente. Ya sea que se descubra desde un escáner o pruebas manuales, el proceso de la clasificación hasta la solución debe ser consistente y rastreable. Valorización y validación activadas: cuando un hallazgo se marca como se resuelve, la automatización debe activar el flujo de trabajo de reestima o validación apropiado. Esto garantiza que nada se deslice a través de las grietas y mantiene la comunicación entre los equipos de seguridad y TI coordinados y el circuito cerrado. PlexTrac admite cada una de estas capacidades a través de su motor de automatización de flujo de trabajo, ayudando a los equipos a unificar y acelerar la entrega, remediación y cierre en una plataforma. Evite la automatización común de dificultades es más que solo la velocidad. Se trata de construir sistemas estandarizados y escalables. Sin embargo, si no se implementa cuidadosamente, puede crear nuevos problemas. Tenga cuidado con: Complicar los primeros esfuerzos: tratar de automatizar todo a la vez puede detener el impulso. Comience con poco y concéntrese primero en algunos flujos de trabajo repetibles. Agregue la complejidad con el tiempo y se expanda a medida que valida el éxito. Tratar la automatización como una configuración única: sus flujos de trabajo deben evolucionar junto con sus herramientas, estructura de equipo y prioridades. La falta de iterar conduce a procesos rancios que ya no se alinean con la forma en que los equipos operan. Automatizar sin flujos de trabajo claramente definidos: saltar a la automatización sin mapear primero sus flujos de trabajo actuales a menudo conduce al caos. Sin reglas claras para el enrutamiento, la propiedad y la escalada, la automatización puede crear más problemas de los que resuelve. Cómo comenzar aquí es cómo comenzar a automatizar la entrega de Pentest: asigne su flujo de trabajo actual: documente cómo se entregan, triadas, asignados y rastreados hoy. Identifique los puntos de fricción: busque tareas repetitivas, retrasos de transferencia y áreas donde la comunicación se descompone. Inicie pequeño: automatice uno o dos pasos de alto impacto primero, como la creación de boletos, las alertas por correo electrónico o la búsqueda de entrega. Agregue la complejidad con el tiempo a medida que valida lo que funciona bien y usa los resultados tempranos para evolucionar los flujos de trabajo, agregar reglas y agilizar aún más. Elija la plataforma correcta: busque soluciones que se integren con sus herramientas existentes y proporcionen visibilidad en el ciclo de vida de vulnerabilidad. Medida del impacto: rastrear métricas como MTTR, retrasos de transferencia y completar la finalización para mostrar el valor de sus esfuerzos. El futuro de los equipos de seguridad de entrega de Pentest está cambiando de pruebas reactivas a la gestión de exposición proactiva. La automatización de entrega de Pentest es una parte clave de esa evolución para ayudar a los equipos a moverse más rápido, colaborar mejor y reducir el riesgo de manera más efectiva. Para los proveedores de servicios, esta es una oportunidad para diferenciar los servicios, las operaciones de escala y ofrecer más valor con menos gastos generales. Para los equipos empresariales, significa conducir la madurez, demostrar el progreso y mantenerse por delante de las amenazas emergentes. Conclusión Pentesting es demasiado importante para quedarse atrapado en informes estáticos y flujos de trabajo manuales. Al automatizar el seguimiento de la entrega, el enrutamiento y la remediación, las organizaciones pueden desbloquear el valor total de sus esfuerzos de seguridad ofensivos haciendo que los hallazgos sean más procesables, estandarizando los flujos de trabajo de remediación y entregando resultados medibles. Ya sea que esté entregando pruebas a los clientes o a un equipo interno, el mensaje es claro: el futuro de la entrega de Pentest está automatizado. ¿Quieres ver cómo se ven los flujos de trabajo Pentest automatizados en acción? Plataformas como PlexTrac centralizan los datos de seguridad de las pruebas manuales y las herramientas automatizadas, lo que permite la entrega en tiempo real y los flujos de trabajo estandarizados en todo el ciclo de vida de vulnerabilidad. ¿Encontró este artículo interesante? Este artículo es una pieza contribuida de uno de nuestros valiosos socios. Síguenos en Google News, Twitter y LinkedIn para leer más contenido exclusivo que publicamos.

Los investigadores de ciberseguridad han arrojado luz sobre una nueva cadena de ataque que emplea correos electrónicos de phishing para entregar una puerta trasera de código abierto llamada Vshell. La «cadena de infección de malware específica de Linux que comienza con un correo electrónico spam con un archivo de archivo rar malicioso», dijo el investigador de Trellix Sagar Bade en una redacción técnica. «La carga útil no está oculta dentro del contenido del archivo o en una macro, está codificada directamente en el nombre de archivo en sí. Mediante el uso inteligente de la inyección de comando de shell y las cargas de bash codificadas en Base64, el atacante convierte una simple operación de listado de archivos en un desencadenante automático de ejecución de ejecución de malware». La técnica, agregada la compañía de seguridad cibernética, aprovecha un patrón simple pero peligroso comúnmente observado en los scripts de shell que surge cuando los nombres de archivos se evalúan con desinfección inadecuada, lo que provoca un comando trivial como Eval o Echo para facilitar la ejecución del código arbitrario. Además, la técnica ofrece la ventaja adicional de evitar las defensas tradicionales, ya que los motores antivirus generalmente no escanean los nombres de archivos. El punto de partida del ataque es un mensaje de correo electrónico que contiene un archivo RAR, que incluye un archivo con un nombre de archivo malicioso: «Ziliao2.pdf` {Echo,} | {Base64, -d} | Bash` «Específicamente, el nombre del archivo incorpora un código compatible con Bash que está diseñado para ejecutar comandos cuando el shell interpreta el shell. Vale la pena señalar que simplemente extraer el archivo del archivo no realiza la ejecución. Sintaxis, lo que significa que se creó con otro lenguaje o se soltó utilizando una herramienta o script externo que omite la validación de la entrada de shell, dijo Trellix. Parte, inicia la comunicación con un servidor de comando y control (C2) para obtener la carga útil de Vshell cifrada, decodificar y ejecutarla en el host del host. Instruir explícitamente al usuario que lo abra o extraiga «, explicó Bade.» El ángulo de ingeniería social es sutil: el usuario se distrae con el contenido de la encuesta, y la presencia del archivo adjunto podría confundirse con un documento relacionado con la encuesta o el archivo de datos. C2 Communications. abusa del entorno de ejecución permisiva de Linux y, en última instancia, ofrece un potente malware Vshell Vshell capaz de control remoto completo sobre el sistema. «El desarrollo se produce cuando PICUS Security lanzó un análisis técnico de una parte posterior a la explotación centrada en Linux denominado que la herramienta de monitoreo de Linux se denomina que se acomoda el marco de los estandarias de Linux. como Read, Write, Recv, Send o Connect, Ringreaper emplea io_uringprimitives (por ejemplo, io_uring_prep_*) para ejecutar operaciones equivalentes de forma asincrónica, «el investigador de seguridad Sıla özeren Hacıoğlu dijo». Este método ayuda a los mecanismos basados ​​en el anzuelo y reduce la visibilidad de la actividad maliciosa en la Telemetría en la telemetría de la telemetría. Ringreaper utiliza las sesiones de pseudo-terminal activa (PTS), las conexiones de red y los usuarios de inicio de sesión, al tiempo que reducen su huella y evita la detección de la detección de la detección de los binte de la entrega. La moderna interfaz de E/S asíncrona del kernel de Linux, IO_uring, para minimizar la dependencia de las llamadas del sistema convencionales que las herramientas de seguridad con frecuencia monitorean o ganconan «, dijo Picus.

Se ha observado que los actores de amenaza aprovechan la táctica engañosa de ingeniería social conocida como ClickFix para desplegar un versátil con el nombre de Cornflake Cornflake. V3. Mandiant, propiedad de Google, describió la actividad, que rastrea como UNC5518, como parte de un esquema de acceso como servicio que emplea páginas Captcha falsas como señuelos para engañar a los usuarios para que proporcionen acceso inicial a sus sistemas, que luego está monetizado por otros grupos de amenazas. «El vector de infección inicial, denominado ClickFix, implica atraer a los usuarios a los sitios web comprometidos para copiar un script de PowerShell malicioso y ejecutarlo a través del cuadro de diálogo Windows Run», dijo Google en un informe publicado hoy. Se evalúa que el acceso proporcionado por UNC5518 está aprovechado por al menos dos grupos de piratería diferentes, UNC5774 y UNC4108, para iniciar un proceso de infección en varias etapas y eliminar cargas útiles adicionales: UNC5774, otro grupo motivado financieramente que ofrece maíz como una forma de implementar varias cargas posteriores a la UNC4108, un acto de amenaza con la motivación desconocida que usa el powershell a la delgada de los powershell a la desglose. NetSupport Rat La cadena de ataque probablemente comience con la víctima que aterriza una página de verificación Captcha falsa después de interactuar con los resultados de búsqueda que emplean envenenamiento de optimización de motores de búsqueda (SEO) o anuncios maliciosos. Luego se engaña al usuario para ejecutar un comando Malicioso PowerShell al iniciar el cuadro de diálogo Run Windows, que luego ejecuta la carga útil de la próxima etapa desde un servidor remoto. El script recientemente descargado verifica si se ejecuta dentro de un entorno virtualizado y finalmente lanza Cornflake.v3. Observado tanto en las versiones de JavaScript como en PHP, Cornflake.v3 es una puerta trasera que admite la ejecución de cargas útiles a través de HTTP, incluidos ejecutables, bibliotecas de enlace dinámico (DLL), archivos JavaScript, scripts de lotes y comandos de PowerShell. También puede recopilar información básica del sistema y transmitirla a un servidor externo. El tráfico se representa a través de los túneles de Cloudflare en un intento por evitar la detección. «Cornflake.v3 es una versión actualizada de Cornflake.v2, que comparte una parte significativa de su base de código», dijo el investigador Mandiant Marco Galli. «A diferencia de V2, que funcionó únicamente como un descargador, V3 presenta persistencia del host a través de una clave de ejecución de registro y admite tipos de carga útil adicional». Ambas generaciones son notablemente diferentes de su progenitor, un descargador basado en C que utiliza sockets TCP para comunicaciones de comando y control (C2) y solo tiene la capacidad de ejecutar cargas de DLL. La persistencia en el host se logra mediante cambios en el registro de Windows. Al menos tres cargas útiles diferentes se entregan a través de Cornflake.v3. Esto comprende una utilidad de reconocimiento de Active Directory, un script para cosechar credenciales a través de Kerberoasting, y otra puerta trasera conocida como WindyTwist.SEA, una versión C de Windytwist que admite transmitir el tráfico TCP, proporcionando un shell inverso, comandos de ejecución y retirarse. También se han observado versiones seleccionadas de WindyTwist.SEA que intentan moverse lateralmente en la red de la máquina infectada. «Para mitigar la ejecución de malware a través de ClickFix, las organizaciones deben deshabilitar el cuadro de diálogo Windows Ejecutar siempre que sea posible», dijo Galli. «Los ejercicios de simulación regulares son cruciales para contrarrestar esta y otras tácticas de ingeniería social. Además, los sistemas robustos de registro y monitoreo son esenciales para detectar la ejecución de las cargas útiles posteriores, como las asociadas con Cornflake.v3». El auge de los kits de clicfix El uso de ClickFix se ha disparado en popularidad entre los actores de amenazas durante el año pasado, ya que engaña a los usuarios para infectados en sus máquinas con el pretexto de ayudar a resolver los problemas técnicos menores, completar las verificaciones de verificación Captcha al pasar por el torniquín de Cloudflare, o despreciar un servidor discordia que se supone que necesita verificar un usuario antes de unirse. Esto, a su vez, implica dar instrucciones a los usuarios que implican hacer clic en las indicaciones y copiar, pegar y ejecutar comandos directamente en el cuadro de diálogo Ejecutar Windows, Terminal de Windows, Windows PowerShell o MacOS Terminal, dependiendo del sistema operativo utilizado. «Debido a que ClickFix se basa en la intervención humana para lanzar los comandos maliciosos, una campaña que utiliza esta técnica podría superar las soluciones de seguridad convencionales y automatizadas», dijo Microsoft en un artículo detallado. «A menudo se combina con vectores de entrega como phishing, malvertimiento y compromisos de conducción, la mayoría de los cuales incluso se hacen pasar por marcas y organizaciones legítimas para reducir aún más las sospechas de sus objetivos». La estratagema de ingeniería social ha sido adoptada por numerosos actores de amenazas para entregar información a los robadores de información (robador de lumma), troyanos de acceso remoto (Xworm, Asyncrat, NetSupport Rat y Sectoprat), cargadores de malware (Latrodectus y Mintsloader), Rootkits (R77) y banking (Lampion). Microsoft dijo que también ha observado varios actores de amenazas que venden a los constructores de ClickFix configurables (también llamados «Win + R») en los foros populares del delito cibernético desde finales de 2024 desde cualquier lugar de $ 200 a $ 1,500 por mes. Otras ofertas incluyen soluciones de una sola vez y en pieza, por ejemplo, el código fuente, la página de destino o la línea de comandos utilizada para iniciar la infección, a los precios entre $ 200 y $ 500. «Algunos de estos actores están agrupando a los constructores de ClickFix en sus kits existentes que ya generan varios archivos como LNK, JavaScript y SVG Files», dijo el fabricante de Windows. «Los kits ofrecen creación de páginas de destino con una variedad de señuelos disponibles, incluida Cloudflare». «También ofrecen la construcción de comandos maliciosos que los usuarios pegarán en el diálogo de Windows Run. Estos kits afirman garantizar la derivación antivirus y protección web (algunos incluso prometen que pueden pasar por alto la pantalla inteligente de Microsoft Defender), así como la persistencia de carga útil». Para contrarrestar los ataques de estilo ClickFix, se aconseja que los usuarios sean educados para identificar ataques de ingeniería social y tengan cuidado de lo que se está pegando en aplicaciones como Terminal o PowerShell. Se recomienda a las organizaciones que consideren utilizar navegadores administrados por la empresa, bloquear las páginas web de la ejecución automáticamente de complementos flash y activar las políticas de archivos adjuntos seguros para mensajes entrantes. Otros pasos incluyen: la infección por USB cae a Xmrig Miner, la divulgación se produce cuando la firma de inteligencia de amenazas detalló una campaña en curso que emplea unidades USB para infectar a otros anfitriones y desplegar mineros de criptomonedas desde septiembre de 2024 «. Esto demuestra la efectividad continua del acceso inicial a través de unidades USB infectadas», dijo Mandiant. «El bajo costo y la capacidad de evitar la seguridad de la red hacen que esta técnica sea una opción convincente para los atacantes». La cadena de ataque comienza cuando se engaña a una víctima para ejecutar un atajo de Windows (LNK) en la unidad USB comprometida. El archivo LNK da como resultado la ejecución de un script Visual Basic también ubicado en la misma carpeta. The script, for its part, launches a batch script to initiate the infection – DIRTYBULK, a C++ DLL launcher to initiate the execution of other malicious components, such as CUTFAIL CUTFAIL, a C++ malware dropper responsible for decrypting and installing malware onto a system, such as HIGHREPS and PUMPBENCH, as well as third-libraries like OpenSSL, libcurl, and WinPthreadGC HighReps, un descargador que recupera archivos adicionales para garantizar la persistencia del Banco de Banco de Bobado de la Boba, una puerta trasera de C ++ que facilita el reconocimiento, proporciona acceso remoto al comunicarse con un servidor de base de datos PostgreSQL, y descargar XMRIG XMRIG, un software de origen abierto para extraer míneas de mínimo como Montonero, como MoniMerero, «Bifming Spections,», por influencia, «,», «, un sendar», «,», «, un raver,». Dijo Mandiant. «Escanea el sistema de unidades disponibles y luego crea un archivo por lotes, un archivo VBScript, un archivo de acceso directo y un archivo DAT».

Aug 21, 2025Ravie Lakshmananvulnerability / Software Security Commvault ha publicado actualizaciones para abordar cuatro brechas de seguridad que podrían explotarse para lograr la ejecución de código remoto en instancias susceptibles. La lista de vulnerabilidades, identificada en las versiones de CommVault antes del 11.36.60, es la siguiente: CVE-2025-577788 (puntaje CVSS: 6.9): una vulnerabilidad en un mecanismo de inicio de sesión conocido permite a los atacantes no autorizados a las llamadas API sin requerir credenciales de usuario de los usuarios CVE-2025-57789 (CVSS CVS: 5.3). Instalación y el primer inicio de sesión del administrador que permite a los atacantes remotos explotar las credenciales predeterminadas para obtener el control de administración CVE-2025-57790 (puntaje CVSS: 8.7): una vulnerabilidad transversal de ruta que permite a los atacantes remotos realizar el acceso del sistema de archivo no autorizado a través de un problema de traversal de ruta, lo que resulta en la ejecución de código remoto CVE-2025-57791 (cvss CVSS-6.9)-6.9). Permite a los atacantes remotos inyectar o manipular argumentos de línea de comandos pasados ​​a componentes internos debido a la validación insuficiente de entrada, lo que resulta en una sesión de usuario válida para un rol de bajo privilegio Los investigadores de WatchToWr Labs, Sonny MacDonald y Piotry Bazydlo 11.36.60. La solución SaaS de CommVault no se ve afectada. In an analysis published Wednesday, the cybersecurity company said threat actors could fashion these vulnerabilities into two pre-authenticated exploit chains to achieve code execution on susceptible instances: One that combines CVE-2025-57791 and CVE-2025-57790, and the other that strings CVE-2025-57788, CVE-2025-57789, and CVE-2025-57790. Vale la pena señalar que la segunda cadena de ejecución del código remoto previo a la autoridad se vuelve exitosa solo si la contraseña de administrador incorporada no se ha cambiado desde la instalación. La divulgación se produce casi cuatro meses después de que WatchToWr Labs informó una falla crítica del Centro de Comando CommVault (CVE-2025-34028, puntaje CVSS: 10.0) que podría permitir la ejecución del código arbitrario en las instalaciones afectadas. Un mes después, la Agencia de Seguridad de Ciberseguridad e Infraestructura de los Estados Unidos (CISA) agregó la vulnerabilidad a su catálogo de vulnerabilidades explotadas (KEV) conocidas, citando evidencia de explotación activa en la naturaleza.

AUG 20, 2025RAVIE LAKSHMANVULNERABLED / SEGURIDAD DE SEGURIDAD POPULAR Manager de contraseñas para navegadores web se han encontrado susceptibles a las vulnerabilidades de seguridad que podrían explotarse para robar credenciales de cuentas, códigos de autenticación de dos factores (2FA) y detalles de la tarjeta de crédito bajo ciertas condiciones. La técnica ha sido denominada Docum Object Model (DOM) Extension Clickjacking por el investigador de seguridad independiente Marek Tóth, quien presentó los hallazgos en la Conferencia de Seguridad Def Con 33 a principios de este mes. «Un solo clic en cualquier lugar en un sitio web controlado por los atacantes podría permitir a los atacantes robar los datos de los usuarios (datos de la tarjeta de crédito, datos personales, credenciales de inicio de sesión, incluido TOTP)», dijo Tóth. «La nueva técnica es general y se puede aplicar a otros tipos de extensiones». Clickjacking, también llamado UI Reparación, se refiere a un tipo de ataque en el que los usuarios son engañados para realizar una serie de acciones en un sitio web que parecen aparentemente inofensivos, como hacer clic en los botones, cuando, en realidad, realizan inadvertidamente las ofertas del atacante. La nueva técnica detallada por Tóth implica esencialmente el uso de un script malicioso para manipular elementos de la interfaz de usuario en una página web que el navegador de las extensiones inyecte en el DOM, por ejemplo, las indicaciones de relleno automáticamente, haciéndolos invisibles al establecer su opacidad en cero. La investigación se centró específicamente en 11 complementos populares del navegador de contraseñas Administrador, que van desde 1 paso de paso hasta contraseñas de iCloud, todas las cuales se han encontrado susceptibles al clickjacking de extensión basado en DOM. Colectivamente, estas extensiones tienen millones de usuarios. Para lograr el ataque, todo lo que tiene un mal actor tiene que hacer es crear un sitio falso con una ventana emergente intrusiva, como una pantalla de inicio de sesión o un banner de consentimiento de cookies, mientras que el administrador de contraseñas incrusta un formulario de inicio de sesión invisible de tal manera que hacer clic en el sitio para cerrar la ventana emergente hace que la información de la credencial se llene automáticamente y se exfilice a un servidor remoto. «Todos los administradores de contraseñas llenaron credenciales no solo al dominio ‘principal’, sino también a todos los subdominios», explicó Tóth. «Un atacante podría encontrar fácilmente XSS u otras vulnerabilidades y robar las credenciales almacenadas del usuario con un solo clic (10 de 11), incluido TOTP (9 de 11). En algunos escenarios, la autenticación de PassKey también podría explotarse (8 de 11)». Siguiendo la divulgación responsable, seis de los proveedores aún no han liberado correcciones para el defecto – 1Password Manager de contraseña 8.11.4.27 Apple ICloud Passwords 3.1.25 Bitwarden Password Manager 2025.7.0 Enpass 6.11.6 LastPass 4.146.3 Logmeonce 7.12.4 Software Supply Chail Security Firma Schocket, que revisó independientemente la investigación, dijo Bitwarden, enpass, y icloud. 1Password y LastPass los marcaron como informativos. También se ha comunicado con US-Cert para asignar identificadores CVE para los problemas identificados. Hasta que las correcciones estén disponibles, se recomienda que los usuarios desacten la función de relleno automático en sus administradores de contraseñas y solo usen copiar/pegar. «Para los usuarios de navegador basados ​​en Chromium, se recomienda configurar el acceso del sitio a ‘en clic’ en la configuración de extensión», dijo Tóth. «Esta configuración permite a los usuarios controlar manualmente la funcionalidad de relleno automático». Actualizar BitWarden ha lanzado la versión 2025.8.0 del Administrador de contraseñas para abordar las vulnerabilidades de clickjacking.

Los investigadores de seguridad cibernética han demostrado una nueva técnica de inyección rápida llamada TISTFIX que engaña a un modelo generativo de inteligencia artificial (Genai) para llevar a cabo acciones previstas al incrustar la instrucción maliciosa dentro de una verificación falsa de Captcha en una página web. Descrito por Guardio Labs, una «toma de la era de A-A-en la estafa de clickfix», la técnica de ataque demuestra cómo los navegadores impulsados por la IA, como el cometa de Perplexity, que prometen automatizar tareas mundanas como compras para artículos en línea o que manejan los correos electrónicos en el nombre de los usuarios de los usuarios. «Con PromptFix, el enfoque es diferente: no tratamos de ver al modelo a la obediencia», dijeron los investigadores de Guardio Nati Tal y sacudieron Chen. «En cambio, lo engañamos utilizando técnicas tomadas del libro de jugadas de ingeniería social humana, atrayendo directamente a su objetivo de diseño central: ayudar a su humano rápidamente, por completo y sin dudarlo». Esto lleva a una nueva realidad que la compañía llama Scamlexity, un portmanteau de los términos «estafa» y «complejidad», donde la IA agente, los sistemas que pueden buscar objetivos de forma autónoma, tomar decisiones y tomar medidas con una supervisión humana mínima, lleva estafas a un nivel completamente nuevo. Con asistentes de codificación con AI como adorable demostrado que son susceptibles a técnicas como Vibescamming, un atacante puede engañar efectivamente al modelo AI para que entregue información confidencial o realice compras en sitios web parecidos que se disfrazan de Walmart. Todo esto se puede lograr emitiendo una instrucción tan simple como «Comprar un Apple Watch» después de que el humano aterriza en el sitio web falso en cuestión a través de uno de los diversos métodos, como anuncios de redes sociales, mensajes de spam o envenenamiento de optimización de motores de búsqueda (SEO). La escamlexidad es «una nueva era compleja de estafas, donde la conveniencia de IA choca con una nueva superficie de estafa invisible y los humanos se convierten en el daño colateral», dijo Guardio. La compañía de seguridad cibernética dijo que realizó la prueba varias veces en Comet, y el navegador solo se detiene ocasionalmente y le pide al usuario humano que complete el proceso de pago manualmente. Pero en varios casos, el navegador entró todo, agregando el producto al carrito y llenando automáticamente la dirección guardada del usuario y los detalles de la tarjeta de crédito sin pedir su confirmación en un sitio de compras falso. En una línea similar, se ha descubierto que pedirle a Comet que revise sus mensajes de correo electrónico para cualquier elemento de acción es suficiente para analizar los correos electrónicos de spam que pretenden ser de su banco, haga clic automáticamente en un enlace integrado en el mensaje e ingrese las credenciales de inicio de sesión en la página de inicio de sesión falsa. «El resultado: una cadena de confianza perfecta que se volvió pícaro. Al manejar toda la interacción del correo electrónico al sitio web, Comet efectivamente respondió para la página de phishing», dijo Guardio. «El humano nunca vio la dirección sospechosa del remitente, nunca se cernía sobre el enlace, y nunca tuvo la oportunidad de cuestionar el dominio». Eso no es todo. A medida que las inyecciones rápidas continúan afectando a los sistemas de IA de manera directa e indirecta, los navegadores de IA también tendrán que lidiar con las indicaciones ocultas ocultas dentro de una página web que es invisible para el usuario humano, pero que el modelo AI puede analizar las acciones no intencionadas. Este llamado Attfix Attack está diseñado para convencer al modelo AI de que haga clic en botones invisibles en una página web para evitar los cheques de Captcha y descargar cargas útiles maliciosas sin ninguna participación por parte del usuario humano, lo que resulta en un ataque de descarga. «PromptFix solo funciona en Comet (que realmente funciona como un agente de IA) y, para el caso, también en el modo de agente de ChatGPT, donde logramos hacer clic en el botón o llevar a cabo acciones según las instrucciones», dijo Guardio a The Hacker News. «La diferencia es que en el caso de ChatGPT, el archivo descargado aterriza dentro de su entorno virtual, no directamente en su computadora, ya que todo todavía se ejecuta en una configuración de sandboxed». Los hallazgos muestran la necesidad de que los sistemas de IA vayan más allá de las defensas reactivas para anticipar, detectar y neutralizar estos ataques mediante la construcción de barandillas robustas para la detección de phishing, verificaciones de reputación de URL, falsificación de dominio y archivos maliciosos. El desarrollo también se produce cuando los adversarios se apoyan cada vez más en plataformas Genai como constructores de sitios web y asistentes de escritura para crear contenido realista de phishing, marcas de confianza clon y automatizar la implementación a gran escala utilizando servicios como constructores de sitios de bajo código, según Palo Alto Networks Unit 42. Lo que es más, los asistentes de codificación de IA pueden exponer inadvertidamente el código propaño o el código sensible a la propiedad sensible, la creación de los puntos de entrada potencial de la compañía. La firma de seguridad empresarial, Proofpoint, dijo que ha observado «numerosas campañas que aprovechan los servicios adorables para distribuir kits de phishing de autenticación multifactor (MFA) como el magnate, el malware, como los drenadores de billeteras de criptomonedas o los cargadores de malware, y los kits de phishing con tarjeta de crédito e información personal». Los sitios web falsificados creados con el uso adorable de CaptCha cheques que, cuando se resuelven, redirigen a una página de phishing de credencial de marca Microsoft. Se ha encontrado que otros sitios web se hacen pasar por servicios de envío y logística como UPS para engañar a las víctimas para que ingresen su información personal y financiera, o los lleven a páginas que descargan troyanos de acceso remoto como Zgrat. Las URL adorables también han sido abusadas por estafas de inversión y el phishing de la credencial bancaria, reduciendo significativamente la barrera de entrada para el delito cibernético. Desde entonces, Levable ha eliminado los sitios e implementado protecciones de seguridad impulsadas por la LA AI para evitar la creación de sitios web maliciosos. Otras campañas han aprovechado el contenido engañado engañoso distribuido en las plataformas de YouTube y las redes sociales para redirigir a los usuarios a sitios de inversión fraudulentos. Estas estafas de comercio de IA también se basan en blogs falsos y sitios de revisión, a menudo alojados en plataformas como Medium, Blogger y Pinterest, para crear una falsa sensación de legitimidad. Una vez que los usuarios aterrizan en estas plataformas falsas, se les pide que se registren para una cuenta comercial e instruyen por correo electrónico por su «gerente de cuentas» que haga un pequeño depósito inicial entre $ 100 y $ 250 para supuestamente activar las cuentas. La plataforma de negociación también los insta a proporcionar prueba de identidad para la verificación e ingrese su billetera de criptomonedas, tarjeta de crédito o detalles de banca por Internet como métodos de pago. Estas campañas, por grupo-IB, han atacado a los usuarios en varios países, incluidos India, el Reino Unido, Alemania, Francia, España, Bélgica, México, Canadá, Australia, la República Checa, Argentina, Japón y Turquía. Sin embargo, las plataformas fraudulentas son inaccesibles de las direcciones IP que se originan en los Estados Unidos e Israel. «Genai mejora las operaciones de los actores de amenaza en lugar de reemplazar las metodologías de ataque existentes», dijo CrowdStrike en su informe de caza de amenazas para 2025. «Los actores de amenazas de todas las motivaciones y niveles de habilidad casi seguramente aumentarán su uso de herramientas de Genai para la ingeniería social en el término cercano, particularmente a medida que estas herramientas se vuelven más disponibles, afortunadas de los usuarios y sofisticadas».