Mensajes recientes
#1
Noticias Informáticas / Descubren fallas críticas de L...
Último mensaje por AXCESS - Hoy a las 12:43:35 AM
Se han descubierto dos nuevas vulnerabilidades en componentes de Linux ampliamente implementados que podrían permitir a usuarios sin privilegios obtener acceso root en distribuciones populares.
La primera es una falla de escalada de privilegios locales (LPE), identificada como CVE-2025-6018, que afecta la configuración PAM en openSUSE Leap 15 y SUSE Linux Enterprise 15.
Esta configuración incorrecta permite que cualquier sesión local, incluidas las realizadas a través de SSH, se considere como si el usuario estuviera físicamente presente. Este estado, conocido como "allow_active", otorga acceso a ciertas operaciones privilegiadas normalmente reservadas para los usuarios del equipo.
La segunda vulnerabilidad, CVE-2025-6019, reside en libblockdev y puede activarse mediante el demonio udisks, instalado por defecto en casi todas las distribuciones de Linux. Una vez que un usuario obtiene el estado "allow_active", esta falla permite el acceso root completo.
Combinadas, estas dos vulnerabilidades crean una ruta directa y sencilla desde el acceso sin privilegios hasta el acceso root.
Cadena de exploits afecta a múltiples distribuciones
El demonio udisks y su backend libblockdev se utilizan para administrar discos y dispositivos de almacenamiento. Por diseño, otorgan más privilegios a los usuarios marcados como "activos". La vulnerabilidad PAM subvierte este modelo de confianza, convirtiendo las sesiones rutinarias en riesgos de seguridad.
Esta cadena de exploits es especialmente peligrosa porque no requiere software adicional ni acceso físico, solo un inicio de sesión SSH funcional en un sistema vulnerable.
La Unidad de Investigación de Amenazas de Qualys (TRU) ha demostrado con éxito esta cadena de exploits en Ubuntu, Debian, Fedora y openSUSE Leap 15. Su importancia radica en la facilidad con la que los atacantes pueden pasar de una sesión SSH estándar a privilegios root completos utilizando únicamente los componentes instalados por defecto.
"No se requiere nada exótico", afirmaron los investigadores de la TRU.
"Cada enlace está preinstalado en las distribuciones de Linux más populares y sus compilaciones de servidor".
Los principales riesgos incluyen:
Control total de los sistemas afectados
Evasión de herramientas de detección de endpoints
Instalación de puertas traseras persistentes
Comprometimiento de toda la flota mediante movimiento lateral
Mitigación y recomendaciones
Se insta a los equipos de seguridad a parchear ambas vulnerabilidades de inmediato.
Además, se recomienda:
Modificar la regla predeterminada de polkit para org.freedesktop.udisks2.modify-device
Cambiar la configuración de allow_active de sí a auth_admin
Seguir las recomendaciones de los proveedores para SUSE, Ubuntu y otros.
No actuar con rapidez puede dejar flotas enteras expuestas a ataques. El acceso root otorgado mediante este exploit permite persistencia indetectable y ataques entre sistemas, lo que aumenta el riesgo para la infraestructura empresarial.
Fuente:
InfoSecurity
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
#2
Noticias Informáticas / Malware GodFather para Android...
Último mensaje por AXCESS - Hoy a las 12:38:58 AMNo tienes permitido ver enlaces.
Registrate o Entra a tu cuenta
Investigadores de ciberseguridad de Zimperium zLabs, dirigidos por Fernando Ortega y Vishnu Pratapagiri, han descubierto una nueva y peligrosa versión del malware GodFather para Android que utiliza una técnica avanzada llamada virtualización en el dispositivo para controlar aplicaciones móviles legítimas. Se dirige especialmente a aplicaciones bancarias y de criptomonedas, convirtiendo tu dispositivo en un espía.
El truco de la virtualización
En lugar de simplemente mostrar una imagen falsa, el malware instala una aplicación host oculta, que descarga y ejecuta una copia real de tu aplicación bancaria o de criptomonedas dentro de su propio espacio controlado, un sandbox. Cuando intentas abrir la aplicación real, el malware te redirige a esta versión virtual.
El malware monitoriza y controla cada acción, toque y palabra que escribes en tiempo real, lo que hace casi imposible que notes algo incorrecto, ya que estás interactuando con la aplicación real, pero en un entorno manipulado. Esta sofisticada técnica permite a los atacantes obtener nombres de usuario, contraseñas y PIN del dispositivo, obteniendo así el control total de tus cuentas.
Este método ofrece a los atacantes una gran ventaja. Pueden robar datos confidenciales al ingresarlos e incluso alterar el funcionamiento de la aplicación, eludiendo los controles de seguridad, incluyendo los que detectan el rooteo de un teléfono. Cabe destacar que el malware bancario GodFather se crea readaptando varias herramientas legítimas de código abierto, como VirtualApp y XposedBridge, para ejecutar sus ataques engañosos y evadir la detección.
Objetivos Globales y Maniobras Evasivas
Si bien GodFather emplea su virtualización avanzada, también continúa utilizando ataques tradicionales de superposición, colocando pantallas engañosas directamente sobre aplicaciones legítimas. Este doble enfoque demuestra la notable capacidad de los actores de amenazas para adaptar sus métodos.
Según la publicación del blog de la compañía, la campaña de malware GodFather para Android está muy extendida y se dirige a 484 aplicaciones a nivel mundial, aunque el ataque de virtualización altamente avanzado se centra actualmente en 12 instituciones financieras turcas específicas. Este amplio alcance incluye no solo plataformas bancarias y de criptomonedas, sino también importantes servicios globales de pagos, comercio electrónico, redes sociales y comunicación.
El malware también utiliza trucos ingeniosos para evitar ser detectado por las herramientas de seguridad. Modifica la forma en que se crean los archivos APK (paquetes de aplicaciones de Android), alterando su estructura para que parezcan cifrados o añadiendo información engañosa como $JADXBLOCK. Además, traslada gran parte de su código dañino a la parte Java de la aplicación y dificulta la lectura de su archivo de manifiesto de Android con información irrelevante.
Investigaciones posteriores revelaron que GodFather aún utiliza los servicios de accesibilidad de Android (diseñados para ayudar a usuarios con discapacidades) para engañarlos y que instalen partes ocultas de su aplicación. Utiliza mensajes engañosos como "Necesita permiso para usar todas las funciones de la aplicación" y, una vez que obtiene los permisos de accesibilidad, puede otorgarse más permisos en secreto sin que el usuario lo sepa.
Además, el malware oculta información importante, como su conexión a su servidor de control (C2), de forma cifrada, lo que dificulta su rastreo. Una vez activo, envía detalles de la pantalla a los atacantes, brindándoles una vista en tiempo real del dispositivo. Este descubrimiento, por lo tanto, pone de relieve el desafío constante que enfrenta la seguridad móvil a medida que las amenazas se vuelven más complejas y difíciles de detectar.
"Esta es sin duda una técnica novedosa y veo su potencial", afirmó Casey Ellis, fundador de Bugcrowd. "Será interesante ver su eficacia real en la práctica, independientemente de si los actores de amenazas deciden implementarla fuera de Turquía y si otros actores intentan replicar un enfoque similar".
Fuente:
HackRead
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Investigadores de ciberseguridad de Zimperium zLabs, dirigidos por Fernando Ortega y Vishnu Pratapagiri, han descubierto una nueva y peligrosa versión del malware GodFather para Android que utiliza una técnica avanzada llamada virtualización en el dispositivo para controlar aplicaciones móviles legítimas. Se dirige especialmente a aplicaciones bancarias y de criptomonedas, convirtiendo tu dispositivo en un espía.
El truco de la virtualización
En lugar de simplemente mostrar una imagen falsa, el malware instala una aplicación host oculta, que descarga y ejecuta una copia real de tu aplicación bancaria o de criptomonedas dentro de su propio espacio controlado, un sandbox. Cuando intentas abrir la aplicación real, el malware te redirige a esta versión virtual.
El malware monitoriza y controla cada acción, toque y palabra que escribes en tiempo real, lo que hace casi imposible que notes algo incorrecto, ya que estás interactuando con la aplicación real, pero en un entorno manipulado. Esta sofisticada técnica permite a los atacantes obtener nombres de usuario, contraseñas y PIN del dispositivo, obteniendo así el control total de tus cuentas.
Este método ofrece a los atacantes una gran ventaja. Pueden robar datos confidenciales al ingresarlos e incluso alterar el funcionamiento de la aplicación, eludiendo los controles de seguridad, incluyendo los que detectan el rooteo de un teléfono. Cabe destacar que el malware bancario GodFather se crea readaptando varias herramientas legítimas de código abierto, como VirtualApp y XposedBridge, para ejecutar sus ataques engañosos y evadir la detección.
Objetivos Globales y Maniobras Evasivas
Si bien GodFather emplea su virtualización avanzada, también continúa utilizando ataques tradicionales de superposición, colocando pantallas engañosas directamente sobre aplicaciones legítimas. Este doble enfoque demuestra la notable capacidad de los actores de amenazas para adaptar sus métodos.
Según la publicación del blog de la compañía, la campaña de malware GodFather para Android está muy extendida y se dirige a 484 aplicaciones a nivel mundial, aunque el ataque de virtualización altamente avanzado se centra actualmente en 12 instituciones financieras turcas específicas. Este amplio alcance incluye no solo plataformas bancarias y de criptomonedas, sino también importantes servicios globales de pagos, comercio electrónico, redes sociales y comunicación.
El malware también utiliza trucos ingeniosos para evitar ser detectado por las herramientas de seguridad. Modifica la forma en que se crean los archivos APK (paquetes de aplicaciones de Android), alterando su estructura para que parezcan cifrados o añadiendo información engañosa como $JADXBLOCK. Además, traslada gran parte de su código dañino a la parte Java de la aplicación y dificulta la lectura de su archivo de manifiesto de Android con información irrelevante.
Investigaciones posteriores revelaron que GodFather aún utiliza los servicios de accesibilidad de Android (diseñados para ayudar a usuarios con discapacidades) para engañarlos y que instalen partes ocultas de su aplicación. Utiliza mensajes engañosos como "Necesita permiso para usar todas las funciones de la aplicación" y, una vez que obtiene los permisos de accesibilidad, puede otorgarse más permisos en secreto sin que el usuario lo sepa.
Además, el malware oculta información importante, como su conexión a su servidor de control (C2), de forma cifrada, lo que dificulta su rastreo. Una vez activo, envía detalles de la pantalla a los atacantes, brindándoles una vista en tiempo real del dispositivo. Este descubrimiento, por lo tanto, pone de relieve el desafío constante que enfrenta la seguridad móvil a medida que las amenazas se vuelven más complejas y difíciles de detectar.
"Esta es sin duda una técnica novedosa y veo su potencial", afirmó Casey Ellis, fundador de Bugcrowd. "Será interesante ver su eficacia real en la práctica, independientemente de si los actores de amenazas deciden implementarla fuera de Turquía y si otros actores intentan replicar un enfoque similar".
Fuente:
HackRead
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
#3
Noticias Informáticas / La filtración de datos récord ...
Último mensaje por AXCESS - Hoy a las 12:34:58 AM
Varias recopilaciones de credenciales de inicio de sesión revelan una de las mayores filtraciones de datos de la historia, con un total de 16 mil millones de credenciales expuestas. Es muy probable que los datos provengan de diversos ladrones de información (stealer).
Recopilar información confidencial innecesariamente puede ser tan perjudicial como intentar robarla activamente. Por ejemplo, el equipo de investigación de Cybernews descubrió una gran cantidad de conjuntos de datos gigantescos que albergan miles de millones de credenciales de inicio de sesión. Desde redes sociales y plataformas corporativas hasta VPN y portales para desarrolladores, no se escatimó en esfuerzos.
Nuestro equipo ha estado monitoreando de cerca la web desde principios de año. Hasta la fecha, han descubierto 30 conjuntos de datos expuestos que contienen desde decenas de millones hasta más de 3500 millones de registros cada uno. En total, los investigadores descubrieron la inimaginable cifra de 16 mil millones de registros.
Ninguno de los conjuntos de datos expuestos se había reportado previamente, salvo uno: a finales de mayo, la revista Wired informó que un investigador de seguridad descubrió una "misteriosa base de datos" con 184 millones de registros. Apenas roza los 20 primeros descubrimientos del equipo. Lo más preocupante es que los investigadores afirman que aparecen nuevos conjuntos de datos masivos cada pocas semanas, lo que indica la prevalencia real del malware ladrón de información.
"Esto no es solo una filtración, sino un modelo para la explotación masiva. Con más de 16 mil millones de registros de inicio de sesión expuestos, los ciberdelincuentes ahora tienen un acceso sin precedentes a credenciales personales que pueden usarse para el robo de cuentas, el robo de identidad y el phishing altamente selectivo."
Los investigadores afirmaron:
"Esto no es solo una filtración, sino un modelo para la explotación masiva. Con más de 16 mil millones de registros de inicio de sesión expuestos, los ciberdelincuentes ahora tienen un acceso sin precedentes a credenciales personales que pueden usarse para el robo de cuentas, el robo de identidad y el phishing altamente selectivo. Lo especialmente preocupante es la estructura y la actualidad de estos conjuntos de datos; no se trata solo de filtraciones antiguas que se reciclan. Se trata de inteligencia nueva y susceptible de ser utilizada como arma a gran escala", afirmaron los investigadores.
El único aspecto positivo es que todos los conjuntos de datos estuvieron expuestos solo brevemente: el tiempo suficiente para que los investigadores los descubrieran, pero no el suficiente para descubrir quién controlaba grandes cantidades de datos. La mayoría de los conjuntos de datos fueron accesibles temporalmente a través de Elasticsearch o instancias de almacenamiento de objetos no seguras.
¿Qué contienen los miles de millones de registros expuestos?
Los investigadores afirman que la mayoría de los datos de los conjuntos de datos filtrados son una mezcla de información del malware stealer, conjuntos de robo de credenciales y filtraciones reempaquetadas.
No fue posible comparar eficazmente los datos entre diferentes conjuntos de datos, pero es seguro afirmar que existen registros superpuestos. En otras palabras, es imposible determinar cuántas personas o cuentas fueron realmente expuestas.
Sin embargo, la información que el equipo logró recopilar reveló que la mayor parte de la información seguía una estructura clara: URL, seguida de los datos de inicio de sesión y una contraseña. La mayoría de los ladrones de información modernos (software malicioso que roba información confidencial) recopilan datos exactamente de esta manera.
La información de los conjuntos de datos filtrados abre las puertas a prácticamente cualquier servicio en línea imaginable, desde Apple, Facebook y Google hasta GitHub, Telegram y diversos servicios gubernamentales. Es difícil pasar algo por alto cuando hay 16 mil millones de registros en juego.
Según los investigadores, las filtraciones de credenciales a esta escala alimentan campañas de phishing, robo de cuentas, intrusiones de ransomware y ataques de compromiso de correo electrónico empresarial (BEC).
«La inclusión de registros de robo de información, tanto antiguos como recientes, a menudo con tokens, cookies y metadatos, hace que estos datos sean particularmente peligrosos para las organizaciones que carecen de autenticación multifactor o prácticas de higiene de credenciales», declaró el equipo.
¿Qué conjunto de datos expuso miles de millones de credenciales?
Los conjuntos de datos que descubrió el equipo difieren considerablemente. Por ejemplo, el más pequeño, cuyo nombre hace referencia a un software malicioso, contenía más de 16 millones de registros. Mientras tanto, el más grande, probablemente relacionado con la población de habla portuguesa, contenía más de 3500 millones de registros. En promedio, un conjunto de datos con credenciales expuestas contenía 550 millones de registros.
Algunos conjuntos de datos tenían nombres genéricos, como "inicios de sesión", "credenciales" y términos similares, lo que impidió al equipo comprender mejor su contenido. Otros, sin embargo, insinuaban los servicios con los que estaban relacionados.
Por ejemplo, un conjunto de datos con más de 455 millones de registros recibió un nombre que indicaba su origen en la Federación Rusa. Otro conjunto de datos, con más de 60 millones de registros, recibió el nombre de Telegram, una plataforma de mensajería instantánea en la nube.
"La inclusión de registros antiguos y recientes de robo de información, a menudo con tokens, cookies y metadatos, hace que estos datos sean particularmente peligrosos para las organizaciones que carecen de autenticación multifactor o prácticas de higiene de credenciales", afirmó el equipo.
Si bien nombrarlos no es la mejor manera de deducir la procedencia de los datos, parece que parte de la información se relaciona con servicios en la nube, datos empresariales e incluso archivos bloqueados. Algunos nombres de conjuntos de datos probablemente apuntan a un tipo de malware utilizado para recopilarlos.
No está claro quién es el propietario de los datos filtrados. Si bien podrían ser investigadores de seguridad los que recopilan datos para verificar y monitorear las filtraciones, es prácticamente seguro que algunos de los conjuntos de datos filtrados pertenecían a ciberdelincuentes. A los ciberdelincuentes les encantan los conjuntos de datos masivos, ya que las recopilaciones agregadas les permiten escalar diversos tipos de ataques, como el robo de identidad, los esquemas de phishing y el acceso no autorizado.
Una tasa de éxito inferior al uno por ciento puede abrir las puertas a millones de personas, que pueden ser engañadas para que revelen detalles más sensibles, como cuentas financieras. Es preocupante que, dado que no se sabe con certeza quién posee los conjuntos de datos expuestos, los usuarios puedan hacer poco para protegerse.
Sin embargo, una ciberseguridad básica es esencial. Unas contraseñas seguras y cambiadas con frecuencia pueden marcar la diferencia entre una cuenta segura y el robo de datos. Los usuarios también deben revisar sus sistemas en busca de ladrones de información para evitar perder sus datos a manos de atacantes.
Miles de millones de registros expuestos en línea
Las grandes filtraciones de datos, con miles de millones de registros expuestos, se han vuelto casi omnipresentes. La semana pasada, Cybernews publicó sobre la que probablemente sea la mayor filtración de datos jamás registrada en China: miles de millones de documentos con datos financieros, detalles de WeChat y Alipay, así como otros datos personales sensibles.
El verano pasado, la mayor recopilación de contraseñas, con casi diez mil millones de contraseñas únicas, RockYou2024, se filtró en un popular foro de hacking. En 2021, se filtró en línea una recopilación similar con más de 8 mil millones de registros.
A principios de 2024, el equipo de investigación de Cybernews descubrió la que probablemente siga siendo la mayor filtración de datos de la historia: la Madre de Todas las Brechas (MOAB), con la asombrosa cifra de 26 mil millones de registros.
Fuente:
CyberNews
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
#4
Noticias Informáticas / Iraníes se niegan a las restri...
Último mensaje por AXCESS - Hoy a las 12:31:15 AM
Mientras el gobierno iraní endurece las restricciones a internet en un momento crítico, muchos iraníes siguen conectados, al menos aquellos que han logrado acceder y usar una VPN.
Irán ha restringido el acceso a internet tras los ataques aéreos israelíes. Según Iran Wire, el fiscal general iraní incluso amenazó a los usuarios de redes sociales con acciones legales, ya que algunos contenidos supuestamente "perjudican la seguridad psicológica de la sociedad".
Según datos de telemetría, el acceso a internet sigue restringido.
Desde entonces, el interés en las VPN para Irán se ha disparado. Según Google Trends, ahora es el quinto tema de búsqueda más popular, con un aumento de más del 250 % en las búsquedas relacionadas con VPN en los últimos 30 días.
Como suele ocurrir durante conflictos armados, disturbios sociales o protestas, los regímenes y los países menos democráticos tienden a bloquear sitios de medios occidentales como Facebook, X, YouTube, Telegram y otros, en un intento por limitar la capacidad de los ciudadanos para comunicarse, compartir información y organizarse.
Por esta razón, los iraníes buscan VPN para eludir las restricciones y seguir usando las aplicaciones de redes sociales occidentales. También se recomienda a periodistas y activistas que utilicen una VPN para comunicaciones seguras y privadas.
Top10VPN, un sitio web de análisis de VPN que rastrea las restricciones de internet en todo el mundo, afirmó que la demanda de VPN en Irán ha aumentado drásticamente desde el viernes pasado. "Drásticamente" significa que la demanda está aproximadamente un 700 % por encima de la línea base.
"Muchos iraníes, a pesar de que las VPN están oficialmente prohibidas, recurren a estas herramientas para mantenerse conectados a noticias globales, plataformas de comunicación y contenido digital sin censura mientras navegan por la agitación actual que afecta al país", declaró el sitio web.
La escalada del conflicto está repercutiendo en todo el mundo. Los expertos en ciberseguridad ahora observan de cerca el ámbito cibernético, ya que esperan más ciberataques y otros intentos de hacktivismo dirigidos contra las partes en conflicto y sus aliados por igual.
Fuente:
CyberNews
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
#5
Noticias Informáticas / Internet colapsa en Irán, segú...
Último mensaje por AXCESS - Hoy a las 12:29:26 AM
La conectividad a internet en Irán desapareció casi por completo el miércoles, según empresas de monitoreo web, mientras la guerra con Israel entra en su sexto día.
NetBlocks, una empresa que monitorea el acceso a internet en todo el mundo, escribió en X que Irán se encuentra "ahora en medio de un apagón nacional casi total de internet".
La evaluación de la empresa fue confirmada por otras organizaciones de monitoreo de internet.
Los datos recopilados por IODA, un sistema que "monitorea la conectividad de la infraestructura de internet casi en tiempo real, con el objetivo de identificar cortes de internet macroscópicos", mostraron el miércoles el repentino colapso de la conectividad a internet en Irán.
David Belson, director de análisis de datos de la empresa de infraestructura de internet Cloudflare, declaró a TechCrunch que los niveles de tráfico de internet en Irán "están ahora un 97 % por debajo de los de hace una semana", y citó los datos de la propia empresa sobre la conectividad a internet de Irán.
La noticia de los cortes de internet se produce en un momento en que Irán e Israel se encuentran enfrascados en un conflicto militar. Irán también ha sufrido varios ciberataques desde el inicio de este último conflicto, incluyendo el hackeo de un importante banco y una plataforma de intercambio de criptomonedas iraníes. Tras los ataques, el medio de comunicación iraní IRIB afirmó que Israel había lanzado una "ciberguerra masiva" contra Irán, y, según informes, las autoridades iraníes comenzaron a restringir el acceso a internet del país.
Sin embargo, no está claro cuál es la causa del colapso de internet en Irán, afirmó Belson.
"En casos similares de cortes de internet casi totales, solemos observar una caída simultánea del espacio de direcciones IP anunciadas, lo que significa que las redes del país dejan de ser visibles en internet. Sin embargo, no hemos observado tal actividad en este caso", declaró Belson a TechCrunch.
"Solo podemos ver que el tráfico disminuyó; los datos no nos indican el motivo", añadió Belson.
Otros expertos en monitoreo de internet, como Doug Madory, de Kentik, también observaron el mismo colapso.
"Numerosos proveedores de servicios iraníes se encuentran fuera de línea en el segundo apagón nacional de internet en pocos días", escribió Madory en X. "Este corte es más grave que el de ayer".
Fuente:
TechCrunch
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
#6
Noticias Informáticas / Plataforma de intercambio de c...
Último mensaje por AXCESS - Hoy a las 12:26:56 AM
18 de junio (Reuters) - Un grupo de hackers antiiraní con posibles vínculos con Israel anunció el miércoles un ataque contra una de las mayores plataformas de intercambio de criptomonedas de Irán, destruyendo casi 90 millones de dólares y amenazando con exponer el código fuente de la plataforma.
Un grupo conocido como Gonjeshke Darande, o "Gorrión Depredador", se atribuyó el ataque, convirtiéndose en la segunda operación del grupo en dos días. El martes, el grupo afirmó haber destruido datos del banco estatal iraní Sepah, en medio del aumento de las hostilidades y los ataques con misiles entre Israel e Irán.
El ataque del miércoles tuvo como objetivo Nobitex, una de las mayores plataformas de intercambio de criptomonedas de Irán. La plataforma supuestamente ayuda al gobierno iraní a evitar sanciones y a financiar operaciones ilícitas en todo el mundo, según afirmaron los hackers en un mensaje publicado en sus redes sociales la madrugada del miércoles.
El sitio web de Nobitex no estuvo disponible el miércoles. Los mensajes enviados al canal de soporte de la compañía en Telegram no fueron devueltos. Gonjeshke Darande no respondió a las solicitudes de comentarios.
Nobitex anunció en una publicación en X que había retirado su sitio web y aplicación de la red tras revisar un "acceso no autorizado" a sus sistemas.
Gonjeshke Darande es un grupo de hackers consolidado con un historial de sofisticados ciberataques contra Irán. Una operación de 2021, reivindicada por el grupo, causó cortes generalizados en gasolineras, mientras que un ataque de 2022 contra una acería iraní provocó un gran incendio y daños tangibles en la red.
Israel nunca ha reconocido formalmente estar detrás del grupo, aunque los medios israelíes han reportado ampliamente que Gonjeshke Darande está "vinculado a Israel".
El ataque del miércoles comenzó en la madrugada cuando se transfirieron fondos a billeteras controladas por hackers que denunciaban al Cuerpo de la Guardia Revolucionaria Islámica (CGRI), según la firma de análisis blockchain TRM Labs, que calculó el robo total en aproximadamente 90 millones de dólares en múltiples tipos de criptomonedas.
La forma en que se crearon las billeteras controladas por hackers sugiere que estos no podrían acceder al dinero robado, lo que significa que "quemaron los fondos para enviar a Nobitex un mensaje político", según declaró la firma de análisis blockchain Elliptic en una publicación de blog.
La publicación de Elliptic compartía evidencia de que Nobitex había enviado y recibido fondos a billeteras de criptomonedas controladas por grupos hostiles a Israel, como la Yihad Islámica Palestina, Hamás y los hutíes de Yemen.
Los senadores Elizabeth Warren y Angus King expresaron su preocupación por el papel de Nobitex en la evasión de las sanciones iraníes en una carta de mayo de 2024 dirigida a altos funcionarios de la administración Biden, citando información de Reuters de 2022.
Andrew Fierman, jefe de inteligencia de seguridad nacional de Chainalysis, confirmó en un correo electrónico a Reuters que el valor del ataque fue de aproximadamente 90 millones de dólares y que probablemente tuvo motivaciones geopolíticas, dado que se quemó el dinero.
Chainalysis ha observado previamente que actores de ransomware afiliados al CGRI utilizan Nobitex para obtener ganancias, y que otros grupos aliados del CGRI utilizan la plataforma, afirmó Fierman.
Fuente:
Reuters
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
#7
Noticias Informáticas / Veeam corrige falla crítica CV...
Último mensaje por Dragora - Junio 18, 2025, 02:19:46 PM
Veeam, proveedor líder de soluciones de respaldo y recuperación, ha lanzado actualizaciones de seguridad para abordar una grave vulnerabilidad de ejecución remota de código (RCE) en su software de Backup & Replication. El fallo de seguridad, identificado como CVE-2025-23121, ha sido calificado con una puntuación CVSS de 9.9, lo que lo convierte en una amenaza crítica para entornos empresariales.
Esta vulnerabilidad permite que un usuario de dominio autenticado ejecute código arbitrario de forma remota en el servidor de respaldo, lo que puede comprometer completamente la integridad del entorno afectado.
Detalles de la vulnerabilidad CVE-2025-23121 en Veeam Backup & Replication
El fallo de seguridad afecta a todas las versiones anteriores a Veeam Backup & Replication 12.3.2 (compilación 12.3.2.3617), incluida la versión 12.3.1.1139. El problema fue descubierto por investigadores de seguridad de CODE WHITE GmbH y watchTowr, quienes notificaron a la empresa para facilitar la corrección.
El aviso oficial de Veeam describe la vulnerabilidad como una RCE que puede ser explotada por un atacante con credenciales válidas en el dominio, lo cual pone en riesgo la confidencialidad, disponibilidad e integridad de los datos respaldados.
Actualización clave: parche y versiones afectadas
Veeam recomienda a todos sus usuarios empresariales actualizar de inmediato a la versión 12.3.2 (compilación 12.3.2.3617) para mitigar el riesgo asociado a CVE-2025-23121. Esta actualización no solo soluciona esta vulnerabilidad crítica, sino que también refuerza otras áreas del producto afectadas por fallos adicionales:
- CVE-2025-23120: Otra RCE con CVSS 9.9, que podría eludirse incluso después del parche inicial, según advertencias previas de CODE WHITE.
- CVE-2025-24286: Vulnerabilidad con una puntuación CVSS de 7.2 que permite a un usuario con rol de operador de backup modificar tareas de respaldo y ejecutar código arbitrario.
- CVE-2025-24287: Fallo en Veeam Agent para Microsoft Windows (CVSS 6.1) que permite a usuarios locales modificar contenido en el sistema y escalar privilegios.
Este último problema ha sido resuelto en Veeam Agent versión 6.3.2 (compilación 6.3.2.1205).
Seguridad en Veeam: una prioridad creciente ante ataques dirigidos
La empresa de ciberseguridad Rapid7 ha indicado que más del 20% de sus incidentes de respuesta durante 2024 involucraron la explotación de vulnerabilidades en Veeam, una vez que los atacantes habían comprometido el perímetro inicial. Esto evidencia que los productos de respaldo como Veeam se han convertido en objetivos prioritarios dentro de las campañas de ataque de ransomware, exfiltración de datos y movimientos laterales dentro de redes empresariales.
Recomendaciones para usuarios de Veeam
Debido a la severidad de las vulnerabilidades descubiertas, se recomienda a los usuarios de Veeam tomar las siguientes acciones inmediatas:
- Actualizar a la versión 12.3.2 de Veeam Backup & Replication.
- Aplicar los parches correspondientes para Veeam Agent para Microsoft Windows.
- Restringir el acceso al servidor de respaldo a usuarios estrictamente necesarios.
- Monitorear los logs del sistema en busca de actividades sospechosas.
- Implementar políticas de segmentación de red y autenticación multifactor.
La explotación de fallos en software de respaldo como Veeam no solo pone en riesgo los datos, sino también la capacidad de recuperación ante ataques de ransomware, haciendo que una falla de este tipo tenga implicaciones devastadoras para la continuidad del negocio.
Veeam y el reto de la ciberseguridad en infraestructuras de respaldo
La aparición de vulnerabilidades críticas como CVE-2025-23121 subraya la importancia de mantener actualizados los sistemas de respaldo y adoptar un enfoque de seguridad proactivo. Veeam ha respondido con rapidez mediante el lanzamiento de parches, pero la responsabilidad de proteger el entorno recae también en los administradores de sistemas y equipos de TI.
En un contexto donde los atacantes priorizan la infiltración en herramientas de backup para inhibir la recuperación ante incidentes, ignorar estas actualizaciones puede tener consecuencias irreparables.
Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
#8
Noticias Informáticas / Water Curse: Nuevo actor de am...
Último mensaje por Dragora - Junio 18, 2025, 02:15:32 PM
La comunidad de ciberseguridad ha identificado a un nuevo y sofisticado actor de amenazas conocido como Water Curse, que emplea repositorios maliciosos de GitHub como plataforma de distribución de malware de múltiples etapas. Este grupo se destaca por su capacidad técnica, su enfoque en el robo de credenciales y su capacidad para mantener la persistencia en los sistemas comprometidos.
Según un informe publicado por Trend Micro, Water Curse ha montado una campaña activa y sostenida, en la que cargas útiles maliciosas están ocultas en herramientas de pruebas de penetración aparentemente legítimas. Estas cargas se camuflan en archivos de configuración de proyectos de Visual Studio, y entregan malware como SMTP Email Bomber y Sakura-RAT.
GitHub como vector para ataques a la cadena de suministro
Uno de los aspectos más preocupantes de esta campaña es el abuso de repositorios públicos de GitHub para alojar código malicioso, disfrazado como herramientas para desarrolladores. Este enfoque representa una amenaza directa para la cadena de suministro de software, ya que las víctimas potenciales tienden a confiar en plataformas reconocidas como GitHub para descargar utilidades.
Los investigadores han detectado hasta 76 cuentas de GitHub vinculadas directamente con esta operación, lo que sugiere una estrategia bien organizada y de gran escala. Además, se ha determinado que la campaña podría haber estado activa desde marzo de 2023, utilizando múltiples lenguajes de programación y una amplia gama de herramientas ofensivas.
Técnicas avanzadas: ofuscación, persistencia y evasión
Scripts ofuscados y reconocimiento del sistema
Water Curse emplea complejas cadenas de infección por etapas, iniciadas por scripts altamente ofuscados en Visual Basic Script (VBS) y PowerShell. Estos scripts descargan archivos cifrados, extraen aplicaciones desarrolladas en Electron, y realizan un minucioso reconocimiento del sistema para maximizar el impacto del ataque.
Persistencia y debilitamiento de defensas
Además, los atacantes utilizan técnicas de evasión como:
- Antidepuración
- Escalada de privilegios
- Modificación de configuraciones del sistema
- Desactivación de herramientas de defensa mediante PowerShell
Estas técnicas permiten a Water Curse mantener la persistencia a largo plazo y dificultar significativamente la remediación por parte de los equipos de seguridad.
Motivación financiera y segmentación multivertical
Water Curse no es un actor motivado políticamente; su objetivo principal es la monetización del acceso ilícito. Esto incluye:
- Robo de credenciales
- Secuestro de sesiones
- Reventa de accesos comprometidos
Los repositorios vinculados a esta operación también incluyen trucos para videojuegos, bots de spam, herramientas OSINT, ladrones de wallets de criptomonedas y otros recursos con alto valor en el mercado negro, lo que refuerza su enfoque multivertical.
La infraestructura del grupo muestra un alto grado de automatización y escalabilidad, con exfiltración activa de datos a través de plataformas como Telegram y servicios públicos de intercambio de archivos.
ClickFix y la expansión del malware basado en infraestructura legítima
En paralelo a la operación de Water Curse, se han observado campañas que utilizan la táctica de ClickFix, desplegando familias de malware como AsyncRAT, DeerStealer, SectopRAT y LightPerlGirl mediante el cargador Hijack Loader.
Estos ataques aprovechan túneles temporales proporcionados por Cloudflare para entregar las cargas útiles desde dominios efímeros y no registrados. Esta técnica permite a los atacantes eludir defensas perimetrales al parecer tráfico legítimo dentro de flujos de trabajo de DevOps o mantenimiento de TI.
Sorillus RAT: ataques recientes contra Europa
En Europa, una campaña maliciosa ha tenido como objetivo a organizaciones en países como España, Portugal, Italia, Francia, Bélgica y los Países Bajos, utilizando correos electrónicos de phishing con señuelos de facturación que conducen a la instalación de Sorillus RAT, también conocido como Ratty RAT.
Este troyano de acceso remoto, basado en Java y multiplataforma, es capaz de:
- Exfiltrar datos sensibles
- Registrar pulsaciones de teclas
- Tomar capturas de pantalla y grabar audio
- Descargar y subir archivos
- Ejecutar comandos arbitrarios
La infección comienza con un archivo adjunto PDF que contiene un enlace de OneDrive. Al hacer clic en "Abrir el documento", la víctima es redirigida a un sistema de distribución de tráfico (TDS) que evalúa la solicitud y, si cumple con los criterios, entrega un archivo JAR malicioso.
Según Orange Cyberdefense, este ataque también ha distribuido el malware SambaSpy, que forma parte de la familia de Sorillus RAT, y utiliza servicios legítimos como MediaFire, Ngrok y LocaltoNet para eludir detecciones.
CEl nuevo rostro del malware en la era de la confianza digital
La campaña de Water Curse y otras operaciones similares revelan una tendencia preocupante en el mundo de la ciberseguridad: la explotación de plataformas legítimas como GitHub, Cloudflare y OneDrive para llevar a cabo ataques a gran escala.
Estas amenazas no solo desafían las capacidades de las herramientas tradicionales de defensa, sino que también requieren un cambio estratégico hacia la detección proactiva, el monitoreo de comportamiento y la verificación contextual de fuentes confiables. En este nuevo panorama, la confianza no puede asumirse: debe verificarse continuamente.
Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
#9
Noticias Informáticas / Phishing de ChainLink: la nuev...
Último mensaje por Dragora - Junio 18, 2025, 01:52:37 PM
El phishing sigue siendo una de las amenazas más persistentes en el panorama de la ciberseguridad moderna. No se trata de una falta de evolución por parte de los defensores, sino de la rapidez con la que los ciberdelincuentes se adaptan a los entornos tecnológicos. Hoy, el phishing de hora cero representa una forma avanzada de engaño digital, donde los atacantes no solo se apoyan en correos falsos o dominios sospechosos, sino que explotan la confianza depositada en herramientas y plataformas legítimas utilizadas a diario.
¿Qué es el phishing de ChainLink?
De los correos falsos a las secuencias encadenadas
Mientras que el phishing tradicional se basaba en señales claras como URLs dudosas o remitentes desconocidos, el phishing moderno ha evolucionado hacia técnicas más sutiles y efectivas. Una de ellas es el phishing de ChainLink, donde los atacantes orquestan una cadena de pasos cuidadosamente diseñada que lleva a la víctima desde un correo aparentemente legítimo a un sitio de phishing camuflado, utilizando dominios y servicios de confianza como Google Drive, Dropbox o plataformas de recursos empresariales.
En esta cadena:
- El usuario recibe un enlace legítimo.
- Al hacer clic, es redirigido gradualmente a través de servicios reconocidos.
- Finalmente, se le presenta un formulario falso donde entrega sus credenciales sin sospechar.
¿Por qué es tan efectivo el phishing moderno?
El navegador: el nuevo campo de batalla
El navegador web se ha convertido en el núcleo de la actividad digital empresarial. Desde revisiones de código hasta tareas administrativas, la mayoría de las acciones del día a día suceden en pestañas del navegador. Esta centralización ofrece una superficie de ataque ideal para los actores maliciosos.
Incluso los empleados con mayor conciencia en ciberseguridad pueden caer en la trampa cuando interactúan con interfaces familiares y dominios legítimos. Los atacantes aprovechan esta confianza e insertan elementos como CAPTCHA reales, enlaces firmados y verificaciones de autenticidad, haciendo que los intentos de phishing pasen desapercibidos.
Ingeniería social en el navegador
Exploiting lo cotidiano
Los CAPTCHA, las páginas de inicio de sesión y las redirecciones seguras se han vuelto tan comunes que los atacantes los usan como herramientas de ingeniería social. Esto no solo ocurre en campañas de phishing, sino también en amenazas emergentes como ClickFix, una técnica basada en engañar al usuario para ejecutar acciones maliciosas desde el navegador.
Este fenómeno evidencia un hecho alarmante: lo "conocido" ya no es sinónimo de seguro. Las plataformas y dominios confiables ahora funcionan como vehículo para ejecutar ataques invisibles ante los ojos de las soluciones de seguridad convencionales.
¿Por qué las soluciones tradicionales fallan frente al phishing de hora cero?
Las herramientas de seguridad no lo ven venir
Aunque muchas organizaciones cuentan con defensas en capas como:
- Pasarelas de correo electrónico seguras (SEG)
- Filtrado DNS
- Puertas de enlace web seguras (SWG)
- Sistemas EDR y antivirus
- Protecciones del navegador
...la mayoría sigue siendo vulnerable al phishing basado en dominios confiables.
Esto se debe a que las soluciones tradicionales están diseñadas para identificar comportamientos maliciosos conocidos. En el phishing de hora cero, no hay malware que detectar. Solo hay formularios de recolección de credenciales cuidadosamente ocultos, alojados en dominios legítimos. Como resultado, las herramientas de seguridad del endpoint no marcan ninguna alerta.
Cómo defenderse del phishing de ChainLink
Llevar la seguridad al navegador
La clave para contrarrestar estas amenazas sofisticadas está en trasladar la seguridad al punto de interacción real: el navegador. Las organizaciones deben adoptar herramientas capaces de realizar análisis en tiempo real de las páginas web, supervisar el comportamiento del usuario y detectar secuencias encadenadas de phishing antes de que se produzca la filtración de datos.
Además:
- Implementa soluciones de protección del navegador que analicen el contenido renderizado.
- Supervisa interacciones en tiempo real y comportamiento contextual del usuario.
- Educa a los empleados sobre los nuevos vectores de ataque que ya no presentan "banderas rojas" evidentes.
- Considera tecnologías que identifican y bloquean formularios de recolección sospechosos, incluso en dominios conocidos.
Detener el phishing en su raíz
Los ataques de phishing de ChainLink representan un nuevo nivel de sofisticación, aprovechando la infraestructura confiable para sortear filtros y soluciones de seguridad. Para combatir estas amenazas modernas, es necesario abandonar el enfoque perimetral clásico y actuar directamente donde se manifiesta el riesgo: en el navegador y durante las interacciones del usuario.
Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
#10
Noticias Informáticas / Campaña de malware en Minecraf...
Último mensaje por Dragora - Junio 18, 2025, 01:47:11 PM
Una campaña de malware a gran escala dirigida a jugadores de Minecraft ha sido descubierta recientemente, afectando a miles de usuarios que descargan mods y trucos infectados para este popular videojuego. La operación utiliza ladrones de información (infostealers) diseñados para robar credenciales, tokens de autenticación, y billeteras de criptomonedas en sistemas Windows.
La amenaza fue identificada por investigadores de Check Point Research, quienes atribuyen la campaña al grupo conocido como Stargazers Ghost Network, una red activa desde 2023 que emplea tácticas de distribución como servicio (Distribution-as-a-Service, DaaS) para propagar su malware utilizando plataformas legítimas como GitHub y Pastebin.
Stargazers Ghost Network: malware oculto en mods de Minecraft
Ecosistema de modding como vector de ataque
La campaña aprovecha el vasto ecosistema de modding de Minecraft, un entorno ideal para infiltrar malware a través de archivos aparentemente inofensivos. Según Check Point, los actores maliciosos utilizan repositorios de GitHub disfrazados de mods populares como Skyblock Extras, Polar Client, FunnyMap, Oringo y Taunahi. En total, se han identificado aproximadamente 500 repositorios, muchos de ellos bifurcados o clonados, que forman parte de esta operación.
Check Point también ha detectado más de 700 "estrellas" en GitHub generadas por unas 70 cuentas falsas, lo que indica un esfuerzo coordinado para dar legitimidad a estos proyectos maliciosos.
Técnicas avanzadas para eludir detección
Malware basado en Java y Godot
El malware se presenta en múltiples etapas. La infección inicial comienza cuando el jugador ejecuta un archivo JAR malicioso dentro de Minecraft, lo que desencadena la descarga de una segunda etapa desde Pastebin, utilizando URLs codificadas en Base64. Esta segunda etapa incluye un ladrón de información basado en Java, que apunta a:
- Tokens de cuentas de Minecraft
- Datos de lanzadores como Lunar, Feather y Essential
- Tokens de Discord y Telegram
Los datos robados se transmiten a través de solicitudes HTTP POST al servidor del atacante.
44 CALIBER: ladrón de información .NET
Una vez ejecutado, el ladrón de Java también actúa como cargador para un segundo malware conocido como 44 CALIBER, un ladrón .NET más tradicional que roba:
- Credenciales de navegadores (Chromium, Edge, Firefox)
- Documentos personales y archivos del sistema
- Billeteras de criptomonedas (BitcoinCore, Monero, Ethereum, Zcash, entre otras)
- Cuentas de VPN (ProtonVPN, NordVPN, OpenVPN)
- Información de aplicaciones como Steam, Discord, FileZilla y Telegram
Este malware también captura información del sistema, datos del portapapeles y realiza capturas de pantalla, lo que representa una amenaza crítica para la privacidad y seguridad del usuario.
Origen y señales de compromiso (IoC)
Los investigadores destacan que los webhooks de exfiltración usan Discord y contienen comentarios en ruso, junto con marcas de tiempo UTC+3, lo que apunta a que los operadores podrían tener origen en Europa del Este, posiblemente Rusia.
Check Point ha compartido una lista completa de indicadores de compromiso (IoC) al final de su informe técnico, con el fin de ayudar a administradores y expertos en ciberseguridad a identificar y mitigar esta amenaza.
Recomendaciones para protegerse del malware en Minecraft
Para evitar ser víctima de esta y otras campañas similares, se recomienda a los jugadores de Minecraft tomar las siguientes precauciones:
- Descargar mods únicamente de plataformas de confianza y comunidades oficiales.
- Verificar que los proyectos en GitHub tengan un historial legítimo de confirmaciones, colaboradores activos y una comunidad real.
- Evitar mods compartidos por usuarios desconocidos o repositorios con poca o ninguna actividad reciente.
- Utilizar cuentas de Minecraft secundarias o "desechables" al probar mods desconocidos.
- Contar con una solución de seguridad endpoint actualizada que pueda detectar cargas maliciosas.
En fin, la campaña dirigida por Stargazers Ghost Network pone en evidencia cómo plataformas legítimas como GitHub y Pastebin pueden ser utilizadas para distribuir software malicioso a través de archivos que aparentan ser herramientas útiles para la comunidad gamer. En el caso de Minecraft, cuya base de usuarios incluye una gran cantidad de menores de edad y entusiastas del modding, los riesgos son aún más altos.
La concienciación en ciberseguridad, combinada con buenas prácticas de higiene digital, sigue siendo la primera línea de defensa contra estas campañas que buscan explotar la confianza de los usuarios en entornos populares.
Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
