Octubre de 2026 trajo una nueva ola de amenazas cibernéticas dirigidas a empresas estadounidenses, con atacantes que explotan plataformas de confianza, procesos de autenticación legítimos y flujos de trabajo empresariales habituales. Para las organizaciones, estas campañas elevan el riesgo más allá de incidentes de seguridad individuales, aumentando la probabilidad de pérdidas financieras, filtraciones de datos e interrupciones operativas costosas.
A continuación, examinamos cinco amenazas cibernéticas activas mediante investigaciones reales en entornos sandbox, revelando cómo operan, los riesgos que representan para las organizaciones y cómo los equipos de seguridad pueden detectar y contener los ataques más rápido para minimizar el impacto en el negocio.
1. SkyW4lker: el phishing contra Microsoft 365 pone en riesgo las cuentas corporativas de EE. UU.
SkyW4lker es un kit de phishing activo que explota la autenticación legítima por código de dispositivo de Microsoft para comprometer cuentas corporativas sin robar contraseñas ni eludir la MFA. Los investigadores de ANY.RUN identificaron 618 análisis de sandbox relacionados entre junio y el 21 de octubre de 2026, de los cuales el 46 % procedían de Estados Unidos.
El ataque comienza con correos de phishing disfrazados de contratos, facturas o propuestas comerciales. Las víctimas pasan por verificaciones CAPTCHA y plataformas de confianza antes de ser dirigidas a la página de autenticación legítima de Microsoft, donde la introducción de un código de dispositivo puede otorgar a los atacantes acceso no autorizado a las cuentas.
Descubrir la campaña completa en segundos con el contexto de amenazas relacionado
Una sola URL de phishing puede revelar toda una operación de amenaza. La nueva y potente capacidad de ANY.RUN, Related Threat Context, conecta al instante actividad sospechosa con investigaciones previas en sandbox y con inteligencia de amenazas más amplia. En la investigación de SkyW4lker, ayudó a los investigadores a descubrir infraestructura maliciosa adicional y a rastrear vínculos técnicos con Gabagool, otro kit de phishing, reduciendo significativamente el trabajo manual de investigación.
Partiendo de una sesión de sandbox de SkyW4lker, los investigadores pasaron directamente desde Related Threat Context a TI Lookup para investigar la dirección IP 198.23.223.185, lo que reveló URL y actividad de amenaza relacionadas.
Los resultados mostraron actividad relacionada en organizaciones de tecnología, gobierno, educación, consultoría y sanidad, con envíos desde Estados Unidos, América Latina y Europa. Los equipos SOC pueden utilizar las URL asociadas para enriquecer los sistemas de detección existentes y buscar amenazas conectadas. Esto reduce el trabajo manual de investigación, acelera el triaje y ayuda a las organizaciones a identificar una posible exposición antes de que derive en incidentes costosos.
Para proteger a su organización: restrinja la autenticación por código de dispositivo innecesaria mediante el acceso condicional de Microsoft Entra e investigue los indicadores sospechosos más allá de la alerta inicial. Utilice Related Threat Context de ANY.RUN para identificar infraestructura conectada y recopilar los IOC relevantes para una detección proactiva, lo que ayuda a su SOC a contener las amenazas más rápido y a reducir el riesgo de incidentes costosos.
Reduzca el MTTR en 21 minutos por caso y disminuya el impacto de los ciberataques. Proporcione a su SOC las pruebas para investigar más rápido y contener antes las amenazas. Acelere la respuesta a amenazas.
2. Campañas falsas de IA atacan a empresas de EE. UU. con robo de credenciales y compromiso de cuentas
Los ciberdelincuentes están aprovechando la adopción de la IA mediante aplicaciones e invitaciones a eventos falsas que suplantan a ChatGPT, Claude y otros servicios populares. Los investigadores de ANY.RUN vincularon 1.258 análisis de sandbox con campañas falsas de IA, y Estados Unidos ocupa el segundo puesto a nivel mundial.
Los atacantes utilizan descargas fraudulentas para propagar malware e invitaciones a eventos falsas para robar el acceso a cuentas de Microsoft 365 y Google. En un caso especialmente engañoso, se ejecutó un instalador genuino de Claude mientras procesos ocultos robaban cookies de sesión del navegador, lo que podría permitir a los atacantes acceder a cuentas empresariales sin activar otra solicitud de MFA.
Investigue la muestra de malware de Claude.
Para proteger a su organización: apruebe las aplicaciones de IA de confianza, restrinja las instalaciones no autorizadas y verifique las invitaciones a eventos inesperadas. Utilice el sandbox interactivo de ANY.RUN para exponer descargas maliciosas y redirecciones de phishing, lo que ayuda a prevenir el robo de credenciales, reducir los costes de investigación y limitar las interrupciones del negocio.
3. GeorgeGinx: phishing con código de dispositivo dirigido al gobierno, la banca y la sanidad de EE. UU.
GeorgeGinx es una operación activa de Phishing-as-a-Service (PhaaS) dirigida a organizaciones gubernamentales, bancarias, sanitarias y de TI de Estados Unidos. Los atacantes explotan los enlaces compartidos legítimos de Adobe para redirigir a las víctimas a páginas de phishing con código de dispositivo de Microsoft, obteniendo potencialmente acceso no autorizado a cuentas corporativas sin robar contraseñas.
Vea la sesión y recopile los IOC.
Para investigar cómo GeorgeGinx oculta los destinos de phishing tras enlaces de Adobe de confianza, los investigadores utilizaron la inspección de datos en el navegador (In-Browser Data Inspection) de ANY.RUN para examinar cambios en el DOM HTML y solicitudes HTTP. La investigación también descubrió un panel de administración en un servidor de ataque, lo que aportó más información sobre la operación de phishing.
Para proteger a su organización: no confíe en los enlaces para compartir documentos solo por su dominio. Utilice la inspección de datos en el navegador de ANY.RUN para examinar redirecciones ocultas, scripts de página y solicitudes HTTP, lo que ayuda a su SOC a descubrir actividad de phishing detrás de servicios legítimos y a prevenir un compromiso de cuenta costoso.
4. WKLP: el malware desactiva Microsoft Defender para obtener acceso remoto persistente
WKLP es un infostealer y troyano de acceso remoto (RAT) basado en Python observado contra organizaciones gubernamentales de Estados Unidos y Francia. Roba credenciales, datos del navegador y archivos sensibles, al tiempo que permite a los atacantes mantener el acceso a los sistemas comprometidos.
El malware utiliza PowerShell y un entorno de ejecución de Python legítimo para ejecutar código malicioso. WKLP añade exclusiones a Microsoft Defender, termina procesos de seguridad y crea reglas de firewall camufladas, debilitando la protección del endpoint y aumentando el riesgo de robo de datos y compromiso prolongado.
Vea la sesión de sandbox.
Para proteger a su organización: active la protección contra alteraciones (Tamper Protection) de Microsoft Defender y supervise las exclusiones de seguridad no autorizadas, la actividad sospechosa de PowerShell y los cambios en el firewall. Utilice el sandbox interactivo de ANY.RUN para descubrir el comportamiento oculto del malware y generar automáticamente un informe detallado de nivel Tier 1 con pruebas claras y recomendaciones de respuesta, lo que ayuda a los equipos a contener las amenazas más rápido y a reducir la costosa recuperación de incidentes.
5. Mir0Auth: el robo de tokens de Microsoft 365 pone en riesgo las cuentas corporativas de EE. UU.
Mir0Auth es un kit de phishing dirigido a usuarios de Microsoft 365, con una actividad significativa observada contra organizaciones estadounidenses. Explota la autenticación legítima por código de dispositivo para robar tokens de acceso y comprometer cuentas corporativas sin necesidad de robar contraseñas.
Vea la cadena de ataque completa.
El ataque comienza con correos de phishing que contienen archivos PDF maliciosos adjuntos que redirigen a las víctimas a páginas falsas de DocuSign. Los investigadores de ANY.RUN descubrieron scripts ofuscados y solicitudes de autenticación ocultas utilizadas para obtener tokens de Microsoft 365, lo que podría dar a los atacantes acceso a comunicaciones y datos empresariales sensibles.
Para proteger a su organización: supervise la autenticación sospechosa por código de dispositivo y revoque las sesiones comprometidas de Microsoft 365. Mantenga actualizados los sistemas de detección con URL y dominios maliciosos recientes procedentes de investigaciones del mundo real a través de los feeds de inteligencia de amenazas de ANY.RUN para identificar antes la actividad de phishing relacionada y limitar el riesgo de apropiación de cuentas.
Cómo las empresas de EE. UU. pueden reducir el riesgo cibernético sin aumentar los costes del SOC
Los ataques de octubre muestran la rapidez con la que un enlace de phishing, una descarga maliciosa o una cuenta comprometida pueden provocar pérdidas financieras, robo de datos e interrupciones operativas. Para los CISO, la prioridad es reducir la exposición a estos riesgos sin añadir más presión a unos equipos de seguridad ya sobrecargados.
ANY.RUN ayuda a las empresas a mejorar el rendimiento del SOC y a obtener más valor de sus inversiones en seguridad existentes:
- Triaje de amenazas un 94 % más rápido: identifique rápidamente la actividad maliciosa y recopile las pruebas necesarias para tomar decisiones de contención fundamentadas.
- 21 minutos menos de MTTR por incidente: contenga los ataques antes, limitando las oportunidades de robo de datos, acceso no autorizado e interrupción operativa.
- Un 30 % menos de escalados de Tier 1 a Tier 2: resuelva más incidentes en el primer nivel, liberando a los especialistas sénior de seguridad para que se centren en amenazas complejas.
- Un 30 % de IOC maliciosos únicos: incorpore los indicadores de amenaza hallados en las investigaciones de sandbox de los clientes de ANY.RUN directamente a sus sistemas de seguridad existentes, lo que ayuda a detectar infraestructura maliciosa que otras fuentes de inteligencia podrían pasar por alto.
Estas mejoras permiten a los líderes de seguridad gestionar volúmenes crecientes de amenazas con los recursos existentes, controlar los costes de investigación y reducir el impacto potencial de un ataque exitoso.
Proteja su negocio frente a brechas costosas sin aumentar el gasto del SOC. Proporcione a su SOC las pruebas de comportamiento y el contexto de amenazas para actuar más rápido. Reduzca el riesgo cibernético y los costes del SOC.
Deja una respuesta