Me ayudo demasiado tus consejos, ya los estoy poniendo en practica 

Los operadores detrás de VexTrio, una sofisticada red de servicios de distribución de tráfico malicioso (TDS), han sido vinculados directamente con otros sistemas similares como Help TDS y Disposable TDS, lo que evidencia una expansión estructurada de su ecosistema de malvertising. Esta infraestructura criminal se enfoca en redirigir tráfico web hacia contenido fraudulento y malware, aprovechando vulnerabilidades en sitios web legítimos y redes de afiliados engañosas.

Según un informe técnico de Infoblox, compartido con The Hacker News, VexTrio actúa como un consorcio de empresas de tecnología publicitaria maliciosa que emplean formatos como SmartLinks, redirecciones automáticas y notificaciones push, para diseminar estafas y software malicioso a escala global.

Las empresas fachada detrás de VexTrio

Entre las marcas asociadas a esta red destacan Los Pollos, Taco Loco y Adtrafico, las cuales gestionan redes de afiliados publicitarios que sirven como intermediarios entre operadores de malware y actores que ejecutan campañas fraudulentas. Estas entidades ofrecen atractivas promesas económicas para reclutar afiliados editoriales, responsables de comprometer sitios web, especialmente en WordPress, mediante inyección de scripts maliciosos.

Una vez comprometidos, estos sitios inician cadenas de redirección que conducen al usuario a infraestructuras de estafa controladas por VexTrio o sus asociados. Ejemplos de campañas empleadas incluyen Balada Injector, DollyWay, Sign1 y ataques a través de registros TXT de DNS, utilizados para ocultar mecanismos de control y rastreo dentro del tráfico web.

SmartLinks, DNS TXT y redirecciones ocultas

Los análisis de Infoblox, basados en más de 4,5 millones de registros TXT de DNS, permitieron identificar dos conjuntos principales de dominios utilizados para estas campañas. Cada conjunto funcionaba con un servidor C2 (comando y control) distinto, ambos con infraestructura conectada a proveedores rusos, aunque sin compartir recursos de red. Ambos tipos de tráfico inicialmente eran redirigidos a VexTrio, y posteriormente a Help TDS.

Help TDS y Disposable TDS han sido identificados como entidades estrechamente relacionadas, posiblemente gestionadas por los mismos operadores. Hasta noviembre de 2024, mantenían una relación exclusiva con VexTrio, actuando como rutas alternativas de redirección tras el colapso parcial de Los Pollos, cuya vinculación con VexTrio fue expuesta por Qurium Media Foundation.

De VexTrio a Monetizer: evolución del ecosistema TDS

Tras la caída de Los Pollos, Help TDS comenzó a redirigir tráfico a través de Monetizer, una plataforma que también utiliza tecnología TDS para conectar editores afiliados con anunciantes, manteniendo el flujo de monetización pese a los cambios estructurales. Si bien no presenta la complejidad operativa de VexTrio, Help TDS tiene fuertes conexiones rusas, tanto en su infraestructura como en el registro de dominios, y continúa operando como plataforma independiente dentro del ecosistema de malvertising.

VexTrio y el uso de notificaciones push maliciosas

Además de SmartLinks y campañas DNS, VexTrio y sus afiliados como BroPush, Partners House, RichAds, Admeking y RexPush han adoptado notificaciones push como vector principal para distribuir contenido engañoso. Estas campañas emplean herramientas como Google Firebase Cloud Messaging (FCM) y scripts basados en Push API personalizados para enviar mensajes directamente al navegador del usuario, dirigiéndolo hacia contenido fraudulento o software malicioso.

Cada año, cientos de miles de sitios web comprometidos redirigen a usuarios desprevenidos a esta compleja red de estafas y malware. Los operadores de VexTrio conocen bien a sus afiliados: muchos de los negocios implicados están registrados en jurisdicciones con requisitos KYC (Know Your Customer), lo que sugiere que la red cuenta con procesos de verificación estructurados, aunque destinados a fines ilícitos.

Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

ConnectWise, proveedor líder de soluciones RMM y automatización para TI, anunció que reemplazará sus certificados de firma de código digital utilizados en los productos ScreenConnect, ConnectWise Automate y ConnectWise RMM, en respuesta a preocupaciones de seguridad planteadas por un investigador externo.

El cambio responde a la forma en que versiones anteriores de ScreenConnect gestionaban ciertos datos de configuración. Aunque ConnectWise no ha publicado detalles técnicos específicos en canales oficiales, una sección privada de preguntas frecuentes —filtrada posteriormente en Reddit— aclara la raíz del problema.

¿Cuál es la vulnerabilidad?

El problema radica en que ScreenConnect almacenaba datos de configuración en una sección del instalador que no está firmada digitalmente, aunque forma parte del ejecutable. Esta sección se usaba para transmitir parámetros como la URL del servidor de callback entre el agente y el servidor, sin invalidar la firma del código.

Aunque esta práctica era común para la personalización del instalador, su uso en combinación con herramientas de control remoto podría derivar en un patrón de diseño inseguro, especialmente según los estándares modernos de ciberseguridad. Esta debilidad ha sido calificada como potencialmente riesgosa por expertos en seguridad.

Rotación de certificados y nuevas medidas

ConnectWise anunció que la revocación de los certificados digitales existentes tendrá lugar el 13 de junio a las 8 p. m. ET (14 de junio a las 12 a. m. UTC). Paralelamente, la empresa lanzará una actualización de seguridad para ScreenConnect destinada a mejorar la gestión de datos de configuración, eliminando así vectores de riesgo.

Citar"Ya teníamos planes para fortalecer la gestión de certificados y mejorar la seguridad del producto. Ahora hemos acelerado ese calendario", explicó ConnectWise.

Además, se ha confirmado que:

• Las instancias en la nube de ConnectWise Automate y RMM ya están recibiendo la actualización de certificados automáticamente.
• Los usuarios de instalaciones locales deben actualizar sus versiones antes de la fecha límite y validar que todos los agentes estén correctamente actualizados para evitar interrupciones de servicio.

No hay evidencia de compromiso interno

ConnectWise enfatizó que no se ha producido una violación directa de sus sistemas o certificados digitales, aclarando que la medida es proactiva y preventiva.

Amenazas recientes y ataques avanzados

Este anuncio ocurre pocos días después de que ConnectWise revelara un incidente de seguridad en el que un presunto actor de amenazas patrocinado por un Estado-nación explotó la vulnerabilidad CVE-2025-3935, relacionada con inyección de código ViewState, para atacar a un número limitado de clientes.

A esto se suma el creciente uso de software legítimo de RMM, como ScreenConnect, por parte de ciberatacantes en campañas stealth bajo la técnica conocida como "living-off-the-land" (LotL). Esta metodología permite a los atacantes usar herramientas legítimas del entorno para movimiento lateral, transferencia de archivos y ejecución remota de comandos, eludiendo controles de seguridad tradicionales.

Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

GitLab, la popular plataforma DevSecOps, ha lanzado una serie de actualizaciones de seguridad para abordar múltiples vulnerabilidades críticas que afectan tanto a su edición Community como Enterprise. Entre los fallos corregidos se encuentran aquellos que podrían permitir a atacantes remotos tomar el control de cuentas, inyectar trabajos maliciosos en canalizaciones CI/CD y realizar ataques de denegación de servicio.

Las actualizaciones de seguridad fueron liberadas en las versiones 18.0.2, 17.11.4 y 17.10.8. GitLab recomendó a todos los administradores de instalaciones autogestionadas actualizar inmediatamente para evitar la explotación de estas fallas.

Citar"Estas versiones contienen importantes correcciones de errores y seguridad. Recomendamos encarecidamente que todas las instalaciones autogestionadas se actualicen de inmediato", indicó GitLab. "GitLab.com ya opera con versiones parcheadas y los clientes de GitLab Dedicated no requieren ninguna acción adicional".

Principales vulnerabilidades corregidas

CVE-2025-4278 – Inyección de HTML y secuestro de cuentas

La vulnerabilidad CVE-2025-4278 permite a atacantes remotos inyectar código HTML malicioso en la página de búsqueda, lo que podría derivar en toma de control de cuentas al ejecutar scripts en el navegador de los usuarios.

CVE-2025-5121 – Inyección de trabajos CI/CD

Otra falla grave, identificada como CVE-2025-5121, afecta a las instancias con licencia de GitLab Ultimate EE. Esta vulnerabilidad permite a usuarios autenticados inyectar trabajos maliciosos en canalizaciones CI/CD de cualquier proyecto, comprometiendo el flujo de integración continua y la integridad del entorno DevOps.

¿Cómo funcionan las canalizaciones CI/CD en GitLab?

Las canalizaciones CI/CD de GitLab son componentes esenciales del proceso de desarrollo moderno. Permiten a los equipos automatizar la creación, prueba e implementación de código, ya sea de forma secuencial o en paralelo. La manipulación de estas canalizaciones por actores maliciosos representa un riesgo crítico para la seguridad del software y la infraestructura empresarial.

Otras vulnerabilidades críticas

Además, GitLab solucionó:

• CVE-2025-2254: una vulnerabilidad de XSS (cross-site scripting) que permitiría a atacantes ejecutar acciones maliciosas en nombre de usuarios legítimos.
• CVE-2025-0673: una vulnerabilidad de denegación de servicio (DoS) que podía provocar bucles de redireccionamiento infinitos, agotando recursos y dejando la plataforma inoperativa.

GitLab: objetivo frecuente de ciberataques

Los repositorios GitLab son objetivos frecuentes de ciberataques dirigidos a robar información confidencial, claves API, credenciales o código propietario. Este riesgo quedó evidenciado en los incidentes recientes que afectaron a Europcar Mobility Group y Pearson, cuyos repositorios fueron comprometidos durante el primer trimestre de 2025.

GitLab en cifras

La plataforma DevSecOps de GitLab cuenta con más de 30 millones de usuarios registrados y es utilizada por más del 50% de las empresas Fortune 100, incluyendo nombres como Goldman Sachs, Airbus, T-Mobile, Lockheed Martin, Nvidia y UBS.

Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Una investigación forense reciente ha confirmado el uso del software espía Graphite, desarrollado por Paragon, en ataques de clic cero dirigidos a dispositivos iOS de Apple. Las víctimas incluyen al menos a dos periodistas en Europa, uno de ellos identificado como Ciro Pellegrino, de la publicación italiana No tienes permitido ver enlaces. Registrate o Entra a tu cuenta, y otro que ha solicitado permanecer en el anonimato.

Según el informe de Citizen Lab, se identificó evidencia forense concluyente que vincula estos ataques con la plataforma mercenaria de vigilancia digital Graphite, utilizada para comprometer los dispositivos de las víctimas sin requerir interacción del usuario, una técnica conocida como ataque de clic cero.

Exploit de día cero en iOS 18.2.1

Los ataques ocurrieron a principios de 2025, y el 29 de abril Apple notificó a los afectados que habían sido blanco de un "spyware avanzado". El grupo atacante explotó una vulnerabilidad de día cero, catalogada como CVE-2025-43200, presente en iOS 18.2.1.

Apple describió esta falla como un problema de lógica al procesar imágenes o videos maliciosos enviados mediante enlaces de iCloud. Esta vulnerabilidad fue corregida en iOS 18.3.1, lanzado el 10 de febrero de 2025, mediante la implementación de comprobaciones de seguridad mejoradas. Sin embargo, el identificador CVE se incorporó oficialmente al boletín de seguridad de Apple semanas más tarde.

Vector de ataque: iMessage y servidor C2 de Paragon

El análisis de Citizen Lab reveló que el vector de entrega del spyware fue iMessage, mediante una cuenta etiquetada como "ATTACKER1", utilizada para enviar mensajes manipulados que explotaban la vulnerabilidad CVE-2025-43200 y permitían la ejecución remota de código (RCE) sin que la víctima tuviera que interactuar con el mensaje.

Una vez comprometido el dispositivo, el spyware se comunicaba con un servidor de comando y control (C2) alojado en la dirección IP https://46.183.184[.]91, identificada como parte de la infraestructura de Paragon y operativa al menos hasta el 12 de abril. Esta IP estaba alojada por EDIS Global, un proveedor de servicios VPS.

Atribución y casos relacionados

Aunque el software espía Graphite está diseñado para operar de forma sigilosa, Citizen Lab logró recuperar registros forenses suficientes para atribuir con alta confianza estos ataques a la plataforma desarrollada por Paragon. Este no es un caso aislado: la misma familia de spyware estuvo implicada a inicios de año en otro ataque de clic cero contra usuarios de WhatsApp en Italia.


Las autoridades italianas confirmaron recientemente múltiples ataques dirigidos a periodistas y activistas, incluyendo a Francesco Cancellato, Luca Casarini y el Dr. Giuseppe "Beppe" Caccia. Aunque el modus operandi es similar, las identidades de los responsables de esos ataques aún no han sido reveladas públicamente.

Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Un grupo de investigadores de Aim Labs descubrió en enero de 2025 una vulnerabilidad crítica en Microsoft 365 Copilot, denominada EchoLeak, que representa la primera vulnerabilidad de IA de clic cero conocida. Esta falla permite a los atacantes exfiltrar datos confidenciales directamente desde el contexto del usuario, sin requerir ninguna interacción.

El hallazgo fue reportado a Microsoft, que lo identificó como CVE-2025-32711, calificándolo como una falla de divulgación de información crítica. La empresa corrigió el problema en el lado del servidor en mayo de 2025, lo que significa que no se necesita ninguna actualización por parte del usuario final. Además, Microsoft aseguró que no hay evidencia de que la vulnerabilidad haya sido explotada activamente en entornos reales.

¿Qué es Microsoft 365 Copilot?

Microsoft 365 Copilot es un asistente de inteligencia artificial basado en modelos de lenguaje como GPT de OpenAI y Microsoft Graph, que está integrado en herramientas populares como Word, Excel, Outlook y Teams. Este asistente puede generar contenido, resumir correos electrónicos, responder preguntas empresariales y analizar datos utilizando la información interna de una organización.

¿Por qué EchoLeak es una amenaza relevante?

Aunque EchoLeak ya ha sido corregida, su importancia radica en que demuestra una nueva clase de vulnerabilidades conocidas como violaciones del alcance de los LLM (Large Language Models). Este tipo de vulnerabilidad hace que un modelo de lenguaje filtre datos internos confidenciales sin intención ni interacción del usuario, lo que expone a las organizaciones a exfiltraciones silenciosas y automatizadas.

La naturaleza de clic cero del ataque significa que los sistemas empresariales pueden ser comprometidos sin que la víctima haga nada más que usar Copilot normalmente, lo cual representa una nueva superficie de ataque para actores maliciosos que buscan explotar integraciones de IA en entornos corporativos.

Cómo funciona el ataque EchoLeak

El proceso de ataque de EchoLeak comienza con el envío de un correo electrónico malicioso al usuario objetivo. El mensaje aparenta ser legítimo, redactado como si fuera un documento comercial común, pero contiene una inyección de aviso (prompt injection) oculta.

Esta inyección está diseñada para instruir al modelo de lenguaje a recuperar y exfiltrar datos internos cuando se le realicen consultas relacionadas. Gracias a su redacción natural, el correo evita ser detectado por el clasificador XPIA (Cross-Prompt Injection Attack) de Microsoft.

Posteriormente, cuando el usuario realiza una consulta legítima a Copilot, el sistema RAG (Retrieval-Augmented Generation) puede considerar relevante ese correo electrónico y lo incluye en el contexto de solicitud del modelo. Una vez que la inyección alcanza al LLM, este extrae información sensible y la incrusta en una URL o imagen manipulada.

Los investigadores descubrieron que ciertos formatos de imagen en Markdown pueden activar automáticamente la solicitud de carga en el navegador, enviando datos incrustados directamente al servidor controlado por el atacante. Esto ocurre incluso si la víctima nunca hace clic en nada.

Limitaciones en la protección y vectores de abuso

Aunque Microsoft CSP bloquea la mayoría de los dominios externos, EchoLeak puede abusar de URLs de confianza, como las de Teams y SharePoint, para realizar exfiltraciones sin ser bloqueadas. Esta técnica aumenta significativamente el riesgo, ya que se aprovecha de las excepciones de seguridad ya establecidas en entornos empresariales.

La creciente adopción de herramientas de IA como Copilot, combinada con la complejidad de los modelos LLM y los sistemas RAG, sobrepasa las defensas tradicionales. Esto hace que sea probable que veamos nuevas vulnerabilidades similares en el futuro, especialmente si los atacantes perfeccionan técnicas de inyección encubierta.

Recomendaciones de seguridad para mitigar ataques como EchoLeak

Para proteger los entornos corporativos frente a vulnerabilidades similares a EchoLeak, se recomienda aplicar las siguientes medidas:

• Fortalecer los filtros de inyección de solicitudes, especialmente en plataformas que utilizan modelos de lenguaje.
• Implementar un control granular del alcance de entrada, para limitar qué datos se incorporan en las consultas del modelo.
• Aplicar filtros de posprocesamiento que bloqueen respuestas con enlaces externos o datos estructurados sospechosos.
• Configurar motores RAG para excluir fuentes externas no verificadas, especialmente correos electrónicos no empresariales.
• Auditar los permisos de acceso a aplicaciones como Teams y SharePoint, que podrían ser utilizados como canales de exfiltración.
• Mantenerse informado sobre nuevas técnicas de prompt injection y ataques a LLM para anticipar futuras amenazas.

En fin, la vulnerabilidad EchoLeak marca un punto de inflexión en la ciberseguridad aplicada a modelos de lenguaje, al evidenciar cómo una IA integrada puede ser manipulada para filtrar datos sin intervención del usuario. Aunque Microsoft solucionó la falla, su existencia subraya la necesidad urgente de adaptar las defensas tradicionales a un nuevo paradigma dominado por sistemas inteligentes y altamente conectados. Las organizaciones que dependen de asistentes de IA deben reforzar sus prácticas de seguridad y vigilancia para prevenir exfiltraciones silenciosas y automatizadas.

Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Un nuevo vector de ciberataque, denominado SmartAttack, ha sido desarrollado por investigadores de seguridad israelíes. Este ataque innovador utiliza relojes inteligentes como receptores encubiertos de señales ultrasónicas, permitiendo la exfiltración de datos desde sistemas físicamente aislados, también conocidos como sistemas con air gap o espacio de aire.

Sistemas aislados: no tan seguros como parecen
Los sistemas con air gap se utilizan ampliamente en entornos de alta seguridad como instalaciones gubernamentales, infraestructura crítica, plantas nucleares y plataformas militares. Estos entornos están completamente desconectados de redes externas con el objetivo de proteger información confidencial contra malware y filtraciones de datos.

Sin embargo, esta separación física no los hace invulnerables. Existen múltiples vectores de ataque, como empleados malintencionados, dispositivos USB comprometidos y ataques a la cadena de suministro patrocinados por estados. Una vez que un actor de amenazas logra introducir malware en el sistema, puede comenzar la transmisión encubierta de datos sin interferir con el funcionamiento normal del equipo.

Cómo funciona el ataque SmartAttack

El ataque SmartAttack fue desarrollado por un equipo dirigido por Mordechai Guri, conocido por explorar canales de exfiltración encubiertos. Este nuevo enfoque aprovecha el altavoz interno del ordenador comprometido para emitir señales ultrasónicas codificadas que pueden ser recibidas por el micrófono de un smartwatch cercano.

Mediante el uso de modulación por desplazamiento de frecuencia binaria (B-FSK), las señales de audio se codifican en unos y ceros:

• Una frecuencia de 18,5 kHz representa el bit "0".
• Una frecuencia de 19,5 kHz representa el bit "1".

Estas frecuencias son inaudibles para los humanos, pero detectables por relojes inteligentes. Un algoritmo de procesamiento de señales en el reloj demodula la señal para reconstruir los datos, como teclas pulsadas, contraseñas, claves de cifrado y otras credenciales sensibles.

Una vez capturada, la información puede ser exfiltrada mediante Wi-Fi, Bluetooth o conectividad celular.

Limitaciones técnicas del ataque

Aunque efectivo, SmartAttack enfrenta desafíos técnicos:

• Los micrófonos de los relojes inteligentes son menos sensibles que los de los teléfonos inteligentes, lo que dificulta la captura de señales en ambientes ruidosos o con baja intensidad.
• La orientación de la muñeca afecta el éxito del ataque; la línea de visión entre el reloj y el altavoz es clave.
• El alcance máximo de transmisión varía entre 6 y 9 metros (20 a 30 pies).
• La velocidad de transmisión de datos es limitada, oscilando entre 5 y 50 bits por segundo, reduciendo la fiabilidad a mayores distancias o velocidades.

Medidas de mitigación contra SmartAttack

Para proteger sistemas críticos frente a este tipo de ataques, los investigadores recomiendan:

• Prohibir el uso de relojes inteligentes en zonas de alta seguridad.
• Eliminar altavoces incorporados en equipos con air gap, lo que neutralizaría los canales de exfiltración acústica.
• Implementar interferencia ultrasónica activa, como emisión de ruido de banda ancha.
• Aplicar cortafuegos de audio a nivel de software, para bloquear cualquier emisión sonora no autorizada.

En fin, SmartAttack demuestra cómo incluso los sistemas aislados físicamente pueden ser vulnerables ante ciberataques avanzados utilizando canales encubiertos de exfiltración. Este ataque resalta la necesidad de políticas estrictas de seguridad física, control de dispositivos personales como smartwatches y la adopción de contramedidas activas en entornos sensibles. En un contexto donde las amenazas internas y la ingeniería de hardware juegan un papel cada vez más relevante, SmartAttack es un claro recordatorio de que la seguridad de la información requiere un enfoque integral y en constante evolución.

Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Muchas gracias por tu gran aporte.

Considero que la evolución técnica y el interés económico van de la mano en este caso y posiblemente en 10 años ya tendremos equipos cuánticos operativos, la duda es si tendremos desarrolladores humanos para controlarlos y explotarlos.