Resumen Semanal: Explotación de VMware, Día Cero en Windows, Ataques MCP, Secuestro de Navegadores y Más

Los ataques más costosos no siempre son los más inteligentes. Esta semana hubo pruebas de ello: servicios expuestos fueron atacados, viejas vulnerabilidades encontraron nuevos usos, las sesiones de navegador se convirtieron en vectores de ataque y los problemas de la cadena de suministro se extendieron más allá de la brecha original. Gran parte se debió a accesos que ya existían y a defensas que asumían que nadie miraría demasiado de cerca. Nada mágico, solo muchas pequeñas brechas que se convirtieron en problemas mayores.

Amenaza de la Semana

Se sospecha que un APT vinculado a China está detrás de la explotación de una vulnerabilidad recientemente parcheada en VMware vCenter. Los ataques aprovechan CVE-2026-59310 (CVSS 9.8), una grave vulnerabilidad de directory traversal que permite ejecutar código arbitrario. En al menos un caso, se implementó un backdoor y un binario de reverse SSH, y finalmente se desplegó ransomware derivado de Babuk. Sin embargo, según QUIRSO, el ransomware no parece ser el objetivo principal, sino más bien una cortina de humo para ocultar la intrusión y dificultar el análisis forense.

La Adopción de IA Supera la Gobernanza

Una encuesta de SANS revela que el 78% de los profesionales considera que la IA es parte de su estrategia de ciberseguridad, frente al 50% del año anterior. La gobernanza no ha seguido el ritmo: solo el 36% tiene un programa formal de riesgo de IA. El estudio analiza las deficiencias de estos programas y ofrece recomendaciones.

Principales Noticias

Vulnerabilidad en macOS explotada para minar criptomonedas: CVE-2026-65400, un fallo crítico en Screen Sharing, se ha utilizado activamente para instalar un minero de Monero en sistemas expuestos.
Lazarus explota día cero en Windows: El grupo norcoreano ha utilizado CVE-2026-68820, una vulnerabilidad en AFD.sys, para entregar el backdoor Troy en campañas dirigidas a defensa y aeroespacio.
GeoServer parchea fallo crítico bajo ataque: Se corrigió una vulnerabilidad de inyección SQL que permite ejecución remota de código, con explotación activa horas después de su divulgación.
Amnesia Stealer amplía el robo de datos: Este malware para macOS emplea ataques ClickFix, roba información y además permite el control remoto del navegador mediante CDP.
Nueva técnica GhostSplice contra asistentes de IA: Se pueden eludir las salvaguardas de los asistentes de codificación dividiendo instrucciones maliciosas en diferentes canales de herramientas.
Uso de Chrome DevTools Protocol para robo de datos: SpecterOps detalla cómo habilitar CDP en un navegador en ejecución para robar cookies y sesiones autenticadas.

CVEs Destacados

Esta semana se destacan múltiples vulnerabilidades críticas o explotadas activamente, incluyendo CVE-2026-68820 (Microsoft Windows), CVE-2026-65400 (Apple macOS), un fallo en GeoServer, múltiples vulnerabilidades en ClamAV, SonicWall, Fortinet, entre otras. Se recomienda priorizar la aplicación de parches.

Noticias del Mundo Cibernético

FileRun: Se divulgó CVE-2026-14863, una vulnerabilidad de inyección de comandos que permite ejecución remota de código. Corregida en la versión 2026.2.1.
ClickFix con ACR Stealer y GhostPipe: ThreatLocker analizó una campaña que combina esteganografía y scripting para robar credenciales de Google.
Falla en Citrix NetScaler: Se resolvió silenciosamente una vulnerabilidad de desbordamiento de búfer que podría permitir ejecución de código remota, con explotación activa observada.
EtherHiding dirigido a usuarios de portugués: Un loader de malware utiliza la técnica EtherHiding para operar en la testnet de BNB Smart Chain, reduciendo costos.
Disminución de tanques de combustible expuestos: BitSight reporta una caída del 55% en los sistemas ATG expuestos en EE. UU.
Campaña PhantomEnigma en Brasil: Ataques a bancos y sector público mediante documentos policiales falsos.
Agente del FBI acusado de robar criptomonedas: Un agente de contrainteligencia habría realizado retiros no autorizados de una cuenta de un objetivo.
Ucrania desmantela 94 centros de llamadas fraudulentos: Se incautaron miles de equipos y se confiscaron alrededor de 2 millones de dólares.
Sentencia por extorsión cibernética: Cameron Curry fue condenado a 24 meses por extorsionar a una empresa tecnológica.
ExfilSquad accede a datos de 13 organizaciones: Se confirma el acceso a datos sensibles, posiblemente a través de portales Power Pages mal configurados.
OpenAI lanza Computer History: Nueva función que crea memorias a partir de interacciones del usuario, generando preocupaciones de privacidad y riesgos de prompt injection.
LightSpy activo en más de 13 países: El malware chino se ha expandido a capacidades de router y se comercializa como plataforma de vigilancia.
Ataque a la cadena de suministro de Trivy y LiteLLM: SOCRadar revela que el 95% de las organizaciones afectadas estuvieron expuestas previamente.
Campaña masiva de exfiltración en Azure: Un actor llamado TheHatman ha publicado bases de datos de empleados de múltiples empresas, probablemente mediante credenciales comprometidas.

Conclusión

Esta semana demuestra que no todos los ataques requieren exploits sofisticados; a veces basta con un sistema expuesto, una credencial robada o un eslabón débil en la cadena. La clave es identificar el tipo de amenaza antes de que se convierta en un problema. Parchear lo que importa, cerrar lo que no debería ser público y prestar atención a los detalles aparentemente insignificantes sigue siendo fundamental.