Las emisiones electromagnéticas de los dispositivos electrónicos llevan décadas siendo objeto de estudio. Tradicionalmente, este tipo de ataques, conocidos como TEMPEST, se basaban en interceptar las señales que escapaban de determinados equipos para reconstruir la información procesada.

Sin embargo, la llegada de estándares digitales modernos como HDMI complicó enormemente esta tarea. A diferencia de los antiguos cables VGA, cuyos datos podían reconstruirse con relativa facilidad, las transmisiones HDMI generan una enorme cantidad de información de alta frecuencia que, al captarse por el aire, se convierte en un conjunto de señales aparentemente inútiles.

Ahí es donde entra en juego la inteligencia artificial. Según explican los investigadores, Deep-TEMPEST emplea una red neuronal entrenada específicamente para analizar esas emisiones y eliminar el ruido presente en la señal. Después, el sistema reconstruye los fotogramas originales mostrados en pantalla hasta generar una imagen comprensible para el atacante.

El resultado es sorprendente con textos perfectamente legibles, ventanas reconocibles e incluso una especie de transmisión espejo de lo que está viendo el usuario en su monitor.

El ordenador no detecta que está siendo espiado

Uno de los aspectos más preocupantes de esta demostración es que el ataque no deja rastro detectable en el sistema. No hay programas maliciosos ejecutándose, no se producen conexiones sospechosas a través de Internet y tampoco es necesario manipular físicamente el ordenador.

Según los investigadores, un atacante únicamente necesitaría una antena y un receptor de radio relativamente asequible para captar las emisiones procedentes del cable HDMI objetivo y procesarlas mediante inteligencia artificial.

Por el momento, las principales medidas de protección pasan por utilizar cables con un blindaje más avanzado, incorporar núcleos de ferrita para reducir interferencias y recurrir a equipos o entornos diseñados específicamente para minimizar las fugas electromagnéticas.

La demostración de Deep-TEMPEST pone de relieve una realidad cada vez más evidente donde la inteligencia artificial no solo sirve para crear herramientas útiles, sino también para explotar vulnerabilidades que hasta hace poco parecían imposibles de aprovechar en situaciones reales.

Los ciberdelincuentes se están centrando en la red Ethereum, llevando a cabo un bloqueo de los servidores de mando y control. Lo más impactante es que el ataque no depende de scripts de instalación o eventos de postinstalación y permite redirigir operaciones sin necesidad de actualizar los paquetes infectados.

Para los que forman parte de empresas tecnológicas y equipos DevOps, esto significa que puede afectar de diversas maneras a proyectos de gran relevancia en el mercado. Millones de euros podrían estar en juego ahora mismo, cuentas y problemas generales en plataformas que involucran criptomonedas y, en la siguiente información, está todo el contenido relacionado para estar al día sobre las posibles amenazas.

¿Cómo utiliza PolinRider Ethereum para localizar sus servidores maliciosos?

Hay muchos casos de vulnerabilidad de seguridad donde se han involucrado múltiples criptomonedas. Hace un tiempo se dio un robo de más de 5.6 millones de euros en Bitcoin y ahora una de las amenazas más grandes impacta directamente con la red Ethereum.

Ahora, la investigación realizada el 4 de noviembre de 2026 por parte del equipo de Sonatype ha sido fundamental para identificar nuevos movimientos maliciosos que se centran en un secuestro de paquetes npm y una introducción de cargadores de JavaScript ocultos que tienen la capacidad de recuperar código de servidores remotos.

La mencionada criptomoneda es prácticamente el sistema de señalización que se debe llevar a cabo por medio de un código que se activa cuando se ejecuta un punto de entrada afectado dentro de la app. Esto quiere decir que, cuando se trata de la ciberseguridad para poder proteger la manipulación de datos de los entes malignos, no es posible hacer uso de las medidas tradicionales como deshabilitar los scripts de instalación de npm.

Los cargadores incluidos en los paquetes comprometidos consultan puntos públicos de acceso RPC de Ethereum y, si no logran obtener respuesta, recurren a servicios alternativos como Blockscout. En este caso, no se trata simplemente de almacenar malware en la cadena de bloques, pues los cibercriminales utilizan las transacciones enviadas desde la cartera "0x1eef0849eda15d87f64e51c73c8442cf3c8bcef3" con el fin de esconder las direcciones IP codificadas.

Realizando esta táctica, la blockchain sirve como un directorio distribuido donde el malware tiene el poder de identificar el servidor ideal para lograr descargar la infección con efectividad.

Una vez identificada la dirección remota, el cargador solicita recursos específicos denominados "/0x/cls" y "/0x/ls" mediante conexiones HTTP a través del puerto 443. Tras recibir la información, el código se descifra mediante una operación XOR y posteriormente se ejecuta dentro del sistema afectado.

Parte de la carga se ejecuta mediante eval, una función habitualmente asociada a técnicas de ofuscación y ejecución dinámica de código, aunque algunas variantes emplean métodos alternativos para evitar patrones de detección basados en firmas conocidas.

Según explica Sonatype en su análisis desde GBHackers, esta arquitectura permite que los operadores cambien los servidores utilizados para la campaña publicando nuevas transacciones en Ethereum.

¿Qué paquetes fueron afectados y qué deben hacer los desarrolladores?

Los investigadores identificaron doce versiones maliciosas distribuidas a través de diez paquetes npm diferentes. Entre ellos figuran @adminide-stack/client-redux, @adminide-stack/utils, server-hemera-mongo, cdeops, @cdmbase/wiki-browser y otros componentes relacionados con el ecosistema Adminide Stack.

Algunas versiones ocultaban la carga útil usando la clásica técnica

"eval(atob(...))", basada en datos codificados en Base64, mientras que otras reconstruían dinámicamente el código mediante permutaciones de caracteres y constructores de funciones JavaScript para dificultar su detección.

La atribución de la campaña apunta nuevamente hacia PolinRider debido a varias coincidencias detectadas por los investigadores. Además, la dirección IP 95.135.181.151 ya había sido identificada por GitGuardian como infraestructura relacionada con actividades maliciosas.

El análisis posterior detectó etapas capaces de instalar troyanos de acceso remoto basados en Node.js y mecanismos de persistencia orientados a apps ampliamente utilizadas, como Visual Studio Code, Cursor, Discord y GitHub Desktop.

Por esa razón, los expertos recomiendan revisar las dependencias, verificar archivos de bloqueo, examinar cachés y registros de compilación antes de continuar con cualquier acción en un proyecto de gran escala.

El problema, identificado como CVE-2026-83844, ya cuenta con una corrección oficial según Microsoft. Sin embargo, numerosos usuarios y administradores aseguran que la versión que supuestamente soluciona el fallo sigue sin estar disponible para descargar, lo que está generando dudas sobre qué equipos están realmente protegidos.

La vulnerabilidad afecta a Microsoft Paint y ha sido clasificada como un problema de ejecución remota de código. Según la documentación publicada por Microsoft, un atacante podría aprovechar el fallo mediante una imagen manipulada para ejecutar código malicioso en un sistema vulnerable.

El parche de Paint está provocando más preguntas que respuestas

La situación se ha complicado porque existe cierta confusión acerca de cuál es la versión que realmente corrige el problema. La guía de seguridad de Microsoft señaló inicialmente que la solución llegaba con Paint 11.2605.91.0, pero distintos usuarios han informado de que esa versión no aparece disponible a través de Microsoft Store.

Tanto en los foros de Microsoft como en Reddit, varios administradores explican que siguen recibiendo la versión 11.2605.81.0 pese a comprobar actualizaciones manualmente y aplicar distintas medidas para forzar la descarga de nuevas versiones.

Además, han aparecido informes contradictorios sobre la actualización correcta. Algunos administradores apuntan a que la versión que realmente incorpora la solución sería la 11.2609.401.0, una posibilidad que gana fuerza porque actualmente es la versión asociada a la corrección en la documentación de Microsoft

Ante esta situación, la principal recomendación para administradores y usuarios avanzados es no asumir que Paint está actualizado únicamente porque Microsoft Store indica que no hay nuevas descargas disponibles.

El fallo ha sido catalogado como una vulnerabilidad explotable a través de la red y sin necesidad de privilegios previos, aunque Microsoft también señala que la complejidad del ataque es alta, lo que reduce las posibilidades de explotación sencilla.

Mientras la actualización corregida llega a todos los equipos, los usuarios deberían optar por extremar las precauciones con archivos de imagen procedentes de fuentes no confiables.

Bautizada como GhostMap, esta vulnerabilidad permite que una aplicación modificada provoque un bucle continuo de errores simplemente con ser instalada. El resultado es que el teléfono puede quedar atrapado en reinicios constantes, sin llegar a completar el arranque normal del sistema y, en algunos casos, obligando al usuario a restaurar el dispositivo de fábrica para recuperarlo.

Lo más llamativo es que el problema no depende de permisos especiales ni de acciones complejas una vez instalada la aplicación. Según los investigadores, el fallo aprovecha una debilidad en la forma en que Android procesa determinados archivos incluidos dentro de las APK.

La investigación comenzó cuando Bitdefender analizó una aplicación relacionada con servicios bancarios que provocaba fallos inesperados durante las pruebas. Tras examinar el comportamiento del sistema, los investigadores concluyeron que el origen del problema no era un malware tradicional, sino una vulnerabilidad presente en Android.

El error está relacionado con la gestión de ciertos métodos de compresión utilizados en los archivos ZIP integrados en las aplicaciones. Aprovechando este comportamiento, una APK diseñada puede provocar fallos repetidos en system_server, uno de los procesos más importantes del sistema operativo.

Cada vez que Android intenta reiniciar dicho proceso, vuelve a encontrarse con el mismo archivo problemático, lo que provoca un nuevo fallo. Como consecuencia, el dispositivo entra en un ciclo continuo del que no puede salir por sí solo.

Google conoce el problema, pero todavía no hay solución

Bitdefender afirma que no ha detectado ataques reales que estén utilizando esta vulnerabilidad contra usuarios. Sin embargo, la publicación de los detalles técnicos podría facilitar que otros actores intenten desarrollar aplicaciones capaces de aprovechar el fallo.

Los investigadores notificaron el problema a Google en dos ocasiones mediante el programa de recompensas para vulnerabilidades de Android. Según explican, el primer informe fue cerrado porque la compañía no pudo reproducir el error. Posteriormente enviaron una segunda demostración funcional junto con instrucciones detalladas para replicarlo.

Aun así, Google no ha lanzado ninguna corrección pública hasta el momento. La compañía habría trasladado la información al equipo correspondiente para su revisión, pero el fallo sigue sin solución conocida.

En caso de que un dispositivo quede atrapado en este bucle de errores, la recuperación puede resultar complicada. Según los investigadores, las opciones pasan por restaurar el terminal a los ajustes de fábrica o eliminar manualmente el archivo problemático mediante herramientas avanzadas.

La compañía ha detectado que los responsables de esta campaña distribuyen supuestas versiones gratuitas de software de pago, activadores, plugins, utilidades y videojuegos. Tras la instalación, el usuario puede creer que está descargando un programa legítimo, pero en realidad está permitiendo la llegada de varios componentes adicionales diseñados para monetizar su equipo.

Según explica Microsoft, la campaña utiliza páginas de descarga falsas e instaladores basados en Inno Setup para distribuir múltiples programas durante una misma instalación. Los cebos detectados incluían aplicaciones comerciales populares, plugins de audio e incluso descargas relacionadas con videojuegos.

La compañía recomienda extremar la precaución con cualquier software procedente de fuentes no verificadas, especialmente versiones crackeadas, generadores de claves, activadores o instaladores no oficiales.

Microsoft añade que Defender XDR ya es capaz de detectar y bloquear varios de los comportamientos y cargas maliciosas asociadas a esta campaña.

Así convierten los atacantes tu ordenador en una herramienta para ganar dinero

La investigación identificó tres vías principales de monetización. La primera utiliza WorldProxyPool, una plataforma que instala software proxy para redirigir tráfico de internet de terceros a través del ordenador infectado.

La segunda aprovecha herramientas como CharityEngine y BOINC para utilizar los recursos del sistema en tareas de computación distribuida. En algunos casos también se instala VirtualBox para facilitar estas operaciones.

Por último, los atacantes distribuyen aplicaciones relacionadas con Advanced Windows Manager y Windows Manager, programas que pueden estar vinculados a publicidad, distribución de software o sistemas de afiliación que generan ingresos para sus operadores.

Uno de los aspectos más llamativos es que varios de estos programas pueden tener usos legítimos cuando el usuario los instala conscientemente. El problema surge cuando llegan ocultos dentro de instaladores engañosos y comienzan a consumir recursos del equipo sin autorización informada.

Qué recomienda Microsoft para evitar estas infecciones

La compañía aconseja evitar cualquier descarga procedente de fuentes no fiables y reforzar las medidas de protección disponibles en Windows. Entre sus recomendaciones figuran activar la protección en la nube de Microsoft Defender, mantener habilitada la protección contra manipulaciones y utilizar sistemas de reputación para bloquear aplicaciones sospechosas.

La advertencia de Microsoft llega en un momento en el que las campañas basadas en software falso siguen ganando protagonismo. En lugar de buscar un impacto inmediato, los atacantes apuestan cada vez más por convertir miles de equipos en una fuente constante de ingresos aprovechando su ancho de banda, potencia de cálculo y capacidad para distribuir otros servicios.

Una investigación de la empresa de ciberseguridad Sekoia ha descubierto que aun así estás en peligro. Han encontrado dos fallos de seguridad, uno en Google Chrome y otro en los controladores gráficos Adreno de Qualcomm.

Al aprovecharse de ambos, podían saltarse las protecciones del navegador y acceder a todo tipo de información privada del móvil.

La buena noticia es que esto, una vez se ha sabido, se ha corregido con actualizaciones, pero eso no significa que todos los móviles estén protegidos. Si tu Android todavía no tiene instalados los parches, no está de más que eches un vistazo y veas si tienes actualizaciones pendientes.

¿Cómo podían hackear tu Android con solo entrar en una página web?

Aquí no hacía falta que el usuario descargase una aplicación o pulsara en algún enlace raro dentro de la página. Bastaba con que el navegador cargara una web preparada para aprovechar los fallos de seguridad.

El primero, identificado como CVE-2026-3910, estaba en V8, el motor de Chrome que se encarga de ejecutar JavaScript, es decir, lo que permite que las páginas tengan elementos interactivos y funcionen.

El problema es que este fallo permitía ejecutar código malicioso dentro del propio proceso de Chrome.

Sin embargo, con esto no se conseguía mucho, ya que Chrome cuenta con una protección llamada sandbox, que lo que hace simplemente es aislar las páginas web para evitar que puedan acceder al resto del navegador o al móvil.

Aquí entraba en juego el segundo fallo, identificado como CVE-2025-27038. En este caso, el problema estaba en el controlador gráfico Adreno de Qualcomm, que utilizan muchos móviles Android.

Al aprovechar esta vulnerabilidad, los atacantes podían saltarse esa protección de Chrome y poner definitivamente el ataque en marcha. Por eso necesitaban combinar los dos fallos: uno les permitía ejecutar código en el navegador y el otro les ayudaba a evitar las barreras de Chrome.

Tal y como se ha podido saber, parece que, en concreto, buscaban versiones de Chrome que estaban entre la 139 y la 145, con la excepción de la 143. Además, detenía el ataque al detectar un Samsung Galaxy S25 Ultra con el código SM-S938B.

En cuanto a la información a la que podían tener acceso, estaban las cookies de Chrome, la información de inicio de sesión guardada y el historial de navegación.

Aunque en este caso no hablamos de direcciones o DNI, si un atacante consigue robar una de esas cookies y todavía está activa, puede intentar utilizarla para entrar en tu cuenta sin necesidad de saber tu contraseña. Pero eso no es todo, porque también podían acceder a todo tipo de configuraciones WiFi, incluida tu contraseña.

Qué debes actualizar para proteger tu móvil Android

Como antes se ha comentado, todo esto ya está corregido. Teniendo esto en cuenta, lo que debes hacer es abrir Google Play, buscar Google Chrome y ver si tienes alguna actualización pendiente. Instala la versión más nueva que esté disponible para tu móvil.

Después, entra en los ajustes de Android y busca el apartado de actualización de software o actualización del sistema. De nuevo, comprueba si tienes algún parche de seguridad e instálalo.

Registrado como CVE-2026-109518, el fallo afecta al proceso de descarga y validación de paquetes cuando confluyen redirecciones HTTP, reintentos automáticos de descarga y una gestión incorrecta de enlaces duros dentro del propio mecanismo de adquisición de paquetes.

Aunque no existen informes públicos sobre explotación activa, la naturaleza del problema resulta especialmente preocupante porque compromete uno de los pilares de confianza del ecosistema Linux: la integridad de las actualizaciones y del software distribuido a través de repositorios.

El descubrimiento fue revelado por Debian en su aviso de seguridad oficial y atribuido al investigador Max Justicz. La vulnerabilidad impacta especialmente en sistemas modernos configurados con reintentos automáticos activados, una característica que forma parte de la configuración predeterminada de sistemas.

Esto significa que numerosos servidores, estaciones de trabajo y entornos corporativos podrían cumplir los requisitos necesarios para una explotación exitosa si un atacante consigue posicionarse entre el equipo de la víctima y el origen de las descargas.

Cómo funciona CVE-2026-109518 y por qué compromete la seguridad de APT

El fallo reside en la manera en que APT gestiona determinadas descargas cuando intervienen redirecciones HTTP. Bajo circunstancias específicas, el gestor puede terminar fusionando dos descargas distintas al resolver ambas hacia una misma URI.

Durante los posteriores reintentos de descarga, una gestión insegura de enlaces duros reutilizados crea una ventana de oportunidad para que un atacante sustituya el contenido original por un paquete manipulado.

Los enlaces duros permiten que varios nombres de archivo apunten al mismo contenido físico dentro del sistema de archivos. En este caso, el mecanismo empleado por APT puede provocar una ruptura entre el paquete que fue validado inicialmente y el que finalmente termina instalándose.

Se trata de un clásico escenario de "time-of-check to time-of-use" (TOCTOU), una categoría de vulnerabilidades donde un archivo cambia después de superar las verificaciones de seguridad pero antes de ser utilizado por el sistema.

El resultado es especialmente delicado porque la instalación puede completarse con un paquete distinto al que previamente había sido verificado criptográficamente. Según la documentación publicada por Debian y Canonical, un atacante con capacidad para controlar el tráfico HTTP implicado, ya sea mediante un espejo malicioso, un proxy comprometido o cualquier intermediario en la ruta de comunicación, puede lograr que el sistema instale software no autenticado.

Dado que los paquetes instalados mediante APT se ejecutan con permisos elevados durante numerosos procesos de mantenimiento y actualización, el impacto potencial incluye la ejecución de malware con privilegios de administrador.

Qué versiones están afectadas y cómo proteger los sistemas Debian y Ubuntu

La vulnerabilidad recibió una puntuación CVSS v4.0 de 7,7 sobre 10, lo que la sitúa dentro de la categoría de alta gravedad. Sin embargo, la explotación no es automática. El entorno vulnerable debe cumplir ciertas condiciones concretas. Entre ellas destaca que el cliente siga redirecciones HTTP y que la opción Acquire::Retries tenga un valor superior a cero. Este detalle cobra relevancia porque Debian 12 Bookworm y Ubuntu 22.04 LTS introdujeron tres reintentos automáticos como configuración predeterminada, aumentando el número de sistemas potencialmente expuestos.

Esto no significa que todas las instalaciones de Debian o Ubuntu sean vulnerables de la misma forma. Los administradores deben revisar tanto la versión de APT instalada como la configuración efectiva del sistema.

Confiar únicamente en la antigüedad de una distribución no garantiza protección frente al problema. Un entorno más antiguo puede seguir siendo susceptible si utiliza configuraciones personalizadas que reproduzcan las condiciones necesarias para la explotación.

Tanto Debian como Canonical ya han publicado correcciones oficiales. Debian solucionó la vulnerabilidad en APT 3.0.4 para Debian Trixie, además de incorporar correcciones complementarias relacionadas con accesos fuera de límites. Por su parte, Ubuntu distribuyó actualizaciones de seguridad para las versiones compatibles del sistema operativo. Las versiones corregidas son las siguientes:

• Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
• ​Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
• ​Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
• ​Ubuntu 26.10: 3.3.3ubuntu0.1

Canonical indica que una actualización estándar del sistema aplica las correcciones necesarias automáticamente. En entornos empresariales con versiones anteriores cubiertas por Ubuntu Pro, también se encuentran disponibles los parches correspondientes.

Por ello, la recomendación principal pasa por actualizar cuanto antes APT, comprobar las versiones instaladas y mantener los componentes de gestión de paquetes dentro de las rutinas habituales de mantenimiento de seguridad.

Aunque ningún proveedor ha confirmado ataques activos relacionados con CVE-2026-109518, la posibilidad de eludir los mecanismos de verificación de paquetes convierte esta vulnerabilidad en una amenaza que merece atención inmediata.

Con la ayuda del trabajo de la compañía de Sam Altman, se confirma que estas puertas impactan como exploits funcionales capaces de otorgar acceso root desde cuentas con permisos limitados. La alerta sobre los ciberataques en Linux se ha levantado, creando una preocupación constante por mantener los equipos actualizados gracias a la capacidad que brindan los modelos de IA.

Cómo la IA de OpenAI encontró y explotó 948 vulnerabilidades de Linux

El experimento fue llevado a cabo por el equipo Cyber de OpenAI durante octubre de 2026 utilizando una versión reciente del kernel de Linux sobre sistemas de escritorio convencionales. Los investigadores eligieron Linux por una razón evidente: se trata de uno de los proyectos de software más importantes del planeta y cuenta con más de 40 millones de líneas de código.

Esa enorme base incluye sistemas de archivos, controladores, funciones de red y llamadas al sistema que representan una superficie de ataque inmensa. Según explicó la compañía, el objetivo era analizar hasta qué punto los modelos de IA de última generación podían descubrir vulnerabilidades reales y demostrar su impacto en una plataforma de esta magnitud, según lo que se explica en Helpnet Security.

El proceso se desarrolló en varias fases coordinadas por distintos agentes de IA. Un primer grupo se encargó de identificar qué partes del kernel podían ser alcanzadas por usuarios con pocos privilegios y tenían relevancia desde el punto de vista de la seguridad.

Tras reducir el área de análisis a aproximadamente un 7 % del código total, otros agentes examinaron ese segmento durante 12 horas y localizaron 2.308 posibles fallos. Posteriormente, sistemas de validación automática intentaron reproducir cada hallazgo dentro de máquinas virtuales aisladas, logrando confirmar 1.724 vulnerabilidades potenciales, una tasa de éxito cercana al 75 %.

La etapa más llamativa llegó cuando los agentes especializados en explotación comenzaron a desarrollar ataques funcionales contra esos errores. El resultado fue la creación de 1.169 exploits capaces de obtener privilegios elevados y 291 pruebas de concepto destinadas a fugas de información.

Después de eliminar duplicados y agrupar diferentes ataques asociados al mismo fallo subyacente, OpenAI contabilizó finalmente 948 vulnerabilidades independientes de escalada de privilegios locales. Además, una muestra de 166 exploits reveló que la IA había empleado diez técnicas de explotación desconocidas incluso para expertos externos consultados por la compañía. Por razones de seguridad, OpenAI decidió no publicar los detalles técnicos de esos métodos.

¿Por qué este hallazgo cambia el futuro de la ciberseguridad en Linux?

Uno de los aspectos más relevantes del estudio es que demuestra cómo la investigación de vulnerabilidades puede evolucionar hacia un modelo sistemático y escalable. OpenAI reconoce que el verdadero reto no fue encontrar errores, sino gestionarlos. Los agentes generaron tal cantidad de resultados que la revisión manual se convirtió en el principal cuello de botella.

De hecho, los expertos de la compañía detectaron algunos casos donde determinados exploits alcanzaban acceso root utilizando una vulnerabilidad diferente a la que habían sido asignados originalmente. Este comportamiento obligó a reforzar los sistemas de validación para asegurar que cada exploit realmente aprovechaba el fallo previsto.

Los responsables del kernel reaccionaron con rapidez. Cuando concluyó el análisis manual, tras diez días de trabajo, 61 de las vulnerabilidades ya habían sido corregidas previamente, 43 contaban con parches en fase de pruebas y 299 estaban siendo debatidas públicamente.

OpenAI afirma haber enviado centenares de informes y propuestas de corrección a los mantenedores del proyecto, priorizando los errores más graves. Buena parte de ese trabajo se enmarca dentro de Patch the Planet, una iniciativa orientada a acelerar la reparación de vulnerabilidades mediante colaboración entre investigadores y desarrolladores.

También existe una dimensión económica difícil de ignorar. La ejecución completa costó 1.213.430 dólares en créditos API, una cifra considerable que equivale a unos 1.279 dólares por exploit funcional.

Sin embargo, OpenAI compara ese coste con programas especializados como Pwn2Own o TyphoonPWN, donde una vulnerabilidad crítica del kernel de Linux puede alcanzar recompensas de entre 20.000 y 70.000 dólares (aproximadamente 62.300 euros). Tomando como referencia esos valores, los investigadores calculan que el conjunto de hallazgos podría representar un valor potencial situado entre 18,9 y 66,3 millones de dólares.

Los especialistas recomiendan aplicar defensas en capas, utilizar tecnologías de aislamiento como Firecracker o gVisor y mantener una política estricta de actualización de software para reducir la exposición.

Según la información publicada por la compañía, esta puerta trasera habría servido para introducir módulos de software adicionales una vez vendidos los equipos y habría llegado a afectar a cerca de 13 millones de dispositivos antes de que los servidores utilizados para controlar la red fueran bloqueados.

Google expulsa a Mecool de su programa de dispositivos certificados

La medida más contundente tomada por Google ha sido cortar cualquier relación con el fabricante implicado. La compañía ha eliminado el acceso a los servidores utilizados para gestionar la infraestructura descubierta y ha expulsado a Videostrong del programa de dispositivos certificados con servicios de Google.

La investigación describe la existencia de un sistema de acceso remoto integrado directamente en el software de fábrica. Este mecanismo permitía activar funciones a distancia sobre dispositivos comercializados legalmente y distribuidos entre usuarios de todo el mundo.

La investigación apunta a una infraestructura específica diseñada para operar de forma discreta y que habría sido utilizada para facilitar el acceso a esos dispositivos.

La empresa afectada es Videostrong, fabricante detrás de la marca Mecool, una de las más conocidas dentro del mercado de cajas multimedia con Android TV y Google TV.

Las cajas multimedia Android TV suelen permanecer conectadas de forma permanente a internet y comparten la misma red doméstica que móviles, ordenadores, tablets y otros equipos inteligentes. Precisamente por ello, cualquier brecha de seguridad en estos dispositivos puede convertirse en una preocupación importante para los usuarios.

Google explica que el sistema detectado permitía la distribución de módulos de software adicionales a través de servidores remotos. Mientras dicha infraestructura permaneció operativa, los dispositivos podían recibir instrucciones desde el exterior sin que sus propietarios fueran conscientes de ello.

El bloqueo de los dominios utilizados por esta red ha eliminado el canal principal empleado para comunicarse con los equipos afectados. Aunque los dispositivos siguen funcionando, la vía utilizada para enviar nuevas órdenes ha quedado inutilizada.

Los investigadores cifran en aproximadamente 13 millones el número de equipos afectados antes del desmantelamiento de la infraestructura.

Google asegura además que el cierre de los dominios de control corta el acceso a más de diez millones de dispositivos comprometidos, reduciendo de forma significativa el alcance de la amenaza detectada.

Sin embargo, la compañía no ha publicado una lista oficial de modelos afectados. La relación de dispositivos conocida hasta ahora procede de la firma de análisis Synthient, que identificó varios equipos potencialmente vinculados a esta infraestructura y señaló a Mecool como la marca más presente en la investigación.

Cómo comprobar si tu Android TV ha sido afectado

Si utilizas una caja Android TV y has observado comportamientos extraños, un funcionamiento irregular o temperaturas superiores a las habituales, conviene prestar atención al dispositivo y asegurarse de que dispone de todas las actualizaciones disponibles.

También es recomendable instalar cualquier actualización de firmware publicada por el fabricante y descargar los parches de seguridad que aparezcan en Google Play para contar con las correcciones más recientes.

Además, los expertos recomiendan evitar almacenar o gestionar información sensible en este tipo de dispositivos hasta que exista una mayor claridad sobre qué modelos concretos se han visto afectados.

Dichas IPTV piratas han estado causando estragos en toda la industria, afectando a múltiples compañías. La Subsecretaría de Telecomunicaciones (Subtel) ha revelado que los principales proveedores de Internet del país han bloqueado 1.954 URL asociadas a servicios de streaming pirata entre junio y octubre, una cifra que refleja la magnitud de una campaña que comenzó tras una resolución judicial obtenida por Warner Bros.

Aunque miles de enlaces han sido bloqueados, muchas de estas marcas continúan apareciendo con facilidad en Internet bajo nuevos dominios o variantes, manteniendo viva una batalla tecnológica y legal que se extiende por todo el mundo.

Por qué Subtel vincula MagisTV y otras IPTV piratas con riesgos de seguridad y robo de datos

A partir de esa resolución, Subtel notificó a los proveedores de Internet para que bloquearan todas las variantes relacionadas con estas plataformas. Con el paso de los meses, la medida se amplió hasta alcanzar otras marcas muy conocidas dentro del ecosistema pirata, entre ellas Cuevana, TeleLatino, PelisPlus, Cinecalidad, Stella TV, Oleada TV y Fútbol Libre.

La actual ofensiva contra MagisTV, FlujoTV y XuperTV tiene su origen en una sentencia emitida por el XIX Juzgado Civil de Santiago, que dio la razón a Warner Bros. en su demanda contra estos servicios.

No obstante, el mensaje que más ha destacado en las últimas semanas no gira alrededor de la propiedad intelectual, sino de la protección de datos. La subsecretaria de Telecomunicaciones, Romina Garrido, lanzó una advertencia directa a los usuarios:

"Al instalar estas aplicaciones informales, los usuarios exponen sus contraseñas bancarias, datos personales y dispositivos a hacks y estafas, sin ningún tipo de soporte o protección".

Varias investigaciones de ciberseguridad han señalado durante años que algunas aplicaciones distribuidas fuera de tiendas oficiales pueden incluir software malicioso, mecanismos de seguimiento de actividad o sistemas de recopilación de datos cuya finalidad real resulta desconocida para el usuario. La responsable también afirmó que "cuando utilizan una aplicación o un sitio pirata, los usuarios entregan la clave de sus datos personales a organizaciones desconocidas".

En el caso de servicios IPTV piratas relacionadas con DAZN, Netflix y Disney+, además, suele existir una ausencia total de transparencia sobre el tratamiento de la información personal, los métodos de pago utilizados o las medidas de seguridad implementadas para proteger las cuentas.

Los bloqueos se multiplican, pero la piratería sigue encontrando nuevas vías para sobrevivir

Durante junio se registraron 221 URL bloqueadas, en julio fueron 180, en agosto la cifra escaló hasta 469, en septiembre alcanzó 319 y en octubre llegó a 765. En total, los operadores GTD, DirecTV, Entel, WOM, Mundo, ClaroVTR, Netline y Movistar aplicaron restricciones sobre 1.954 direcciones relacionadas con servicios de IPTV ilegal.

Parte de este incremento se debe a un protocolo desarrollado entre Subtel, el Ministerio Público, Warner Bros. y la Alianza Contra la Piratería Digital. Según informaciones publicadas por medios chilenos, este mecanismo permite identificar nuevas URL, dominios, sitios espejo y direcciones IP para incorporarlas rápidamente a las listas de bloqueo. La orden judicial original ya contemplaba una cobertura amplia, incluyendo dominios, subdominios, enlaces y redirecciones que reprodujeran contenido protegido sin autorización.

Aun así, la estrategia no ha conseguido erradicar el problema. La propia dinámica de Internet facilita la aparición constante de nuevas páginas que sustituyen a las bloqueadas en cuestión de horas o días. Algunos medios locales han constatado que varias de las plataformas incluidas en las listas siguen siendo accesibles a través de alternativas o clones fácilmente localizables mediante buscadores.

En fin, optar por servicios legales no solo evita posibles infracciones, también reduce la exposición a fraudes, robo de credenciales y ataques cibernéticos que pueden tener consecuencias mucho más costosas que una simple suscripción de pago.

Tal y como se ha podido saber, el fallo está en EDK II, un proyecto de código abierto que sirve como base para desarrollar el firmware UEFI de muchos dispositivos, es decir, el software que se pone en marcha cuando enciendes un ordenador.

La vulnerabilidad ya está registrada con el nombre CVE-2026-97631 y tiene una puntuación de gravedad de 9,5 sobre 10. Que sea tan alarmante se debe a que un atacante podría ejecutar código malicioso antes de que incluso se carguen las barreras de seguridad del dispositivo una vez se enciende.

Por supuesto, esto no significa que todos los servidores estén en contra de las cuerdas ni que este problema ahora vaya a dar pie a un ciberataque masivo. Es muy peligroso, eso es cierto, pero no compromete todos los dispositivos.

Un error que llevaba 16 años sin que nadie lo viera

Contextualizando, EDK II es un proyecto de código abierto que utilizan muchos fabricantes para crear el firmware UEFI de sus equipos. Aunque no todos lo usan de la misma forma, lo cierto es que su código sigue estando en cierta parte.

Uno de los componentes de este software permite encender un servidor utilizando una red, sin necesidad de arrancarlo directamente desde su disco duro o SSD. Esto es algo que usan las empresas, porque permite arrancar muchos equipos sin tener que ir uno por uno.

El problema es que ese componente tiene un error a la hora de recibir ciertos mensajes a través de la red. En lugar de comprobar correctamente el tamaño de esos mensajes, puede aceptar más información de la que debería.

Si un atacante consigue aprovechar el error en un servidor, podría meter código malicioso y ejecutarlo antes de que se pongan en marcha las protecciones del equipo.

Por qué es tan peligroso que el ataque ocurra antes de arrancar Windows o Linux

Que todo esto sea tan peligroso se debe precisamente al momento en el que sucede el ataque. De forma simple, cuando enciendes un ordenador, el sistema operativo no se carga al momento. Antes de comenzar a funcionar, entra en acción el firmware UEFI, que prepara el hardware y se encarga de iniciar el proceso de arranque.

El problema es que, durante esa fase, Windows Defender, por ejemplo, todavía no está funcionando. Si un atacante consigue ejecutar código malicioso en ese momento, puede hacer realmente lo que quiera.

Según los investigadores, todo esto podía ejecutarse con los máximos privilegios del procesador dentro del entorno UEFI.

Esta grave vulnerabilidad se ha hecho pública antes de lo previsto

La vulnerabilidad ha sido descubierta por Alex Matrosov, de Anthropic, y Dan Holmes, de Google. Ambos habían acordado mantenerla en secreto hasta enero, con el objetivo de dar tiempo a los fabricantes para tener listas las correcciones.

Sin embargo, AMI, un fabricante de firmware y otros componentes de hardware, ha publicado una solicitud de cambios en el repositorio de EDK II en la que habla del fallo e incluye una solución.

Con esto, puede parecer que es más positivo, ya que este problema se corta de raíz; sin embargo, no todo es tan perfecto como parece.

La mejor opción es que los fabricantes tengan tiempo para preparar las actualizaciones y que los administradores puedan instalarlas antes de que todo se haga público y aquellos hackers que lo desconocían, no se aprovechen. Ahora todos saben que existe un problema grave, pero todavía no tienen una solución.

Y actualizar el firmware no es tan fácil. Cada fabricante tiene que comprobar qué productos están afectados, adaptar la corrección y lanzarla para todos sus equipos. Ahora toca trabajar contrarreloj.

Pero ahora las herramientas impulsadas por inteligencia artificial ha aumentado el riesgo de que los atacantes las usen para este tipo de objetivos, por lo que la superficie de ataque ha aumentado en la práctica, incluso aunque los datos no sean relevantes, ya que los ataques son automatizados.

Hace varias semanas, un usuario publicó en un grupo especializado en ciberseguridad que había sido víctima de un troyano, uno de los peores ataques, en su ordenador personal. Seguramente, a consecuencia de haber instalado una extensión maliciosa en su navegador o de haber introducido un script en la terminal sin revisar la seguridad o el origen del mismo.

Y, como es lógico, su antivirus –ni del propio de Windows 11 ni otros de terceros, como el de Kaspersky– no había sido capaz de reconocer y eliminar la amenaza. Ni siquiera el reconocimiento sin conexión pudo con este troyano, algo que representa la gran vulnerabilidad de los usuarios antes estas nuevas modalidades que aprenden sobre la marcha a ser silenciosas.

El riesgo de infectarse con un troyano impulsado por inteligencia artificial

En el caso concreto que he podido revisar, la amenaza Trojan:Win32/Commando.A!ml, no es un ataque muy sofisticado, ya que no es un archivo gigante con numerosos scripts, pero hay que entender que sí puede aprender sobre cómo ocultarse en el sistema operativo, en este caso, en Windows 11.

Se ejecuta directamente sobre herramientas propias de Microsoft, como puede ser la PowerShell, por lo que rápidamente aprende a descargar e instalar código malicioso que lanza ventanas de la terminal durante períodos de tiempo muy cortos que pasan desapercibidos para el común de los mortales.

Aquí lo más importante es comprender que cualquier troyano cuenta con una carga útil (payload) que se oculta dentro del sistema operativo, una especie de regla que le dice a este que el antivirus no la borre por defecto, por lo que entrarás en un bucle infinito de análisis que sí lo identificar, pero que no lo elimina, al menos con un antivirus más tradicional.

Yo recomiendo siempre el de Kaspersky, pero en este caso no ha sido capaz de identificarlo; un paso más allá, cuentas con herramientas bastante óptimas como la versión gratuita de prueba de Malwarebytes o HitmanPro que ni siquiera hace falta instalar en tu terminal.

Pero también con el examen sin conexión de Defender, el que llega por defecto en el sistema operativo de Microsoft, ya que sí puede identificar muestras de malware que utilicen servidores –conexión a internet– para ocultarse y volver a reproducirse.

Por eso mismo, lo ideal no es actuar sobre los archivos afectados con algún tipo de antivirus, sino más bien sobre el origen del problema, que es la fuente que se retroalimenta; en este caso con la etiqueta ml, que hace referencia a machine learning (aprendiza automático), por lo que nos encontramos ante una modalidad impulsada por la inteligencia artificial. En la práctica, aprende a esconderse mejor y a recabar información de forma automatizada.

Los 5 pasos para eliminar un troyano persistente

Muchos usuarios creen que el primer paso para eliminar un troyano, el de desconectarse de la red, funciona simplemente activando el modo avión disponible en el ordenador, pero esto generalmente suele provocar que se vuelvan a configurar los adaptadores de red. Y, para un troyano persistente, esto no es suficiente.

Lo ideal en estos casos es desconectar directamente el WiFi y cualquier conexión del ordenador, pero también el router, incluso si lo tienes conectado por cable Ethernet. Es el primero paso obligatorio para que el troyano no siga recabando información y enviándola al servidor del atacante.

El segundo paso reside en ver qué está ocurriendo en los procesos de tu ordenador. Para ello, presiona el atajo Windows + R y escribe taskchd.msc. Aparecerá un menú que ponga Biblioteca del programador de tareas. Dentro de esta, mira nombres genéricos o cadenas aleatorias de letras, lo que indica un procedimiento extraño.

Pincha en las tareas que veas que siguen este tipo de nombres y selecciónalas, elige la opción de Acciones y navega hasta el campo de Detalles. Si aquí ves alguna redirección como powershell.exe, cmd.exe o scripts con comandos como iex, iwr o enlaces web, haz clic derecho sobre la tarea y selecciona la opción de Eliminar.

Reinicia tu ordenador y si ya no ves ese tipo de tareas ahí siguiendo el mismo proceso, ya habrás eliminado el troyano, aunque es mejor que vuelvas a realizar un análisis con tu antivirus.

Pero lo más habitual es que se oculte en algún tipo de carpeta de inicio automático de Windows, por lo que se activará cada vez que enciendas tu ordenador. Vuelve a presionar Windows + R y escribe shell:startup.

Aquí elimina cualquier acceso directo o script que no conozcas, que son los .bat, .vbs o .ps1. Y deshabilita los programas de inicio que no conozcas. Vuelve al atajo Windows + R y escribe %temp% y directamente elimina todo el contenido de la carpeta.

De nuevo, al ser un troyano persistente, lo mejor es que vuelvas a pasar la herramienta sin conexión de Microsoft Defender y que lo complementes con otras como Malwarebytes y HitmanPro para verificar al 100% que no ha quedado ningún tipo de residuo del troyano.

Una vez hayas eliminado el troyano, lo mejor es que cambies todas las contraseñas, tanto del equipo como de las cuentas asociadas a este, ya sean clientes de correo, redes sociales o cualquier otra plataforma en la que tengas la sesión iniciada. Lo que yo recomiendo siempre es restablecer el equipo de fábrica para usuarios no avanzados, así te curarás en salud. Pero si no quieres, al menos elimina historial, sesiones y cuentas, que eso evitará que vuelva a suceder la infección.

Según se ha compartido en Reddit, la aplicación fraudulenta aparecía incluso en algunos resultados patrocinados cuando los usuarios buscaban WhatsApp en Google Play. A simple vista era difícil distinguirla de la aplicación auténtica, ya que utilizaba capturas de pantalla, descripciones e imágenes prácticamente idénticas a las oficiales.

La aplicación estaba publicada bajo el nombre del desarrollador Agment Assets sallu, una cuenta que únicamente tenía esta app disponible. A pesar de tratarse de una copia, logró permanecer activa durante semanas y alcanzar una cifra de descargas sorprendentemente alta para una aplicación fraudulenta.

Cómo consiguió engañar a tantos usuarios

Uno de los aspectos más llamativos del caso es que la falsa aplicación parecía aprovechar el programa Early Access de Google Play. Este sistema permite a algunas aplicaciones ofrecer versiones preliminares a los usuarios, pero también tiene una consecuencia importante: las reseñas públicas no están disponibles mientras la aplicación forma parte de este programa.

Expertos en seguridad ya habían advertido recientemente de que esta característica puede ser utilizada por desarrolladores maliciosos para ocultar señales de alerta que normalmente ayudarían a los usuarios a identificar una aplicación sospechosa. Sin opiniones visibles ni valoraciones negativas, resulta más complicado detectar que una aplicación no es legítima.

Además, el hecho de que imitara con tanta precisión la página oficial de WhatsApp contribuyó a generar una falsa sensación de confianza. Aunque la auténtica aplicación de Meta supera los 10.000 millones de descargas, muchos usuarios podrían haber instalado la copia sin percibir diferencias evidentes.

Afortunadamente, tras la repercusión del caso y las críticas recibidas, Google ya ha eliminado la aplicación fraudulenta de Google Play.

Aunque no lo parezca, el equipo menos pensado de tu casa podría ser la entrada perfecta para los ciberdelincuentes y esto se ha confirmado con numerosos incidentes que han hecho que las empresas sean cada vez más sofisticadas en cuanto a la protección de sus infraestructuras.

Tal vez has visto que estos problemas suceden principalmente en sistemas operativos como Windows 11 o software pirata y páginas maliciosas, pero lo que ha sucedido recientemente en Francia seguro que te va a dejar boquiabierto.

Varios supermercados han sido afectados por un ciberataque de alta capacidad. Muchos de los dispositivos que mantienen las comidas y productos han generado pérdidas a gran escala y suponen un verdadero riesgo para diversas empresas y consumidores.

Un ataque coordinado deja toneladas de alimentos inservibles en cientos de supermercados

Esto podría tratarse de un simple error de logística, pues a alguien se le puede olvidar encender los frigoríficos e incluso podría haber una falla eléctrica gigante que detiene el trabajo de las tiendas o centros comerciales.

El caso en cuestión se enfoca en las principales cadenas de supermercados francesas, las cuales han recibido un fuerte ciberataque que ha alterado el funcionamiento de los equipos más utilizados: frigoríficos y congeladores.

¿Por qué es un problema más grande de lo que parece? La razón por la que esta amenaza virtual está en crítica se debe a que las comidas y bebidas que necesitan mantenerse a cierta temperatura, se dañan. No se trata de unos pocos kilos, sino de toneladas desperdiciadas que se traducen también en inversiones de miles de euros.

Entre las empresas impactadas se encuentran Leclerc, Intermarché y Cooperative U, que confirmaron problemas en numerosos establecimientos repartidos por todo el país.

Según la información difundida por las propias cadenas y recogida por AFP, los atacantes consiguieron aumentar la temperatura de frigoríficos y congeladores tras activar de forma remota procesos de descongelación forzada.

Con esto, los hackers han logrado devastar por completo a numerosas compañías por el hecho de hacer que se deterioren productos frescos y congelados que, tras el impacto, no cumplen con las normas de seguridad alimentaria.

En el caso de Intermarché, la compañía confirmó que todas las sucursales afectadas se vieron obligadas a desechar existencias completas de alimentos dañados.

Al mismo tiempo, al menos 300 tiendas de Intermarché y Netto, más de un centenar de establecimientos de Cooperative U y varias tiendas de E. Leclerc sufrieron las consecuencias del ataque.

Dominique Schelcher, director ejecutivo de Cooperative U, ha confirmado que ha sido algo "sin precedentes" y que ir directamente por estos sistemas es extremadamente grave para el abastecimiento y la seguridad alimentaria.

El firmware obsoleto y los sistemas conectados aparecen en el centro de la investigación

Una de las líneas de investigación apunta hacia los sistemas de refrigeración fabricados por la empresa danesa Danfoss, ampliamente utilizados en supermercados franceses.

De acuerdo con la información facilitada por la compañía, los equipos más afectados fueron los reguladores AK-SM800 y AK-SC355. La empresa señaló que muchos de los dispositivos comprometidos correspondían a productos antiguos que ya no recibían actualizaciones de software ni parches de seguridad.

E. Leclerc explicó que los ciberdelincuentes habrían logrado acceder a los sistemas de programación asociados a uno de los principales proveedores de equipos de refrigeración, provocando un efecto en cadena sobre establecimientos que utilizaban esa tecnología en toda Francia.

Por el momento, las autoridades no han identificado públicamente a los responsables, aunque la Fiscalía de París ya abrió una investigación para determinar el alcance real del ataque, cuantificar los daños y establecer posibles vínculos con otros incidentes reportados.

Los especialistas en ciberseguridad señalan que este incidente pone de manifiesto el creciente interés de los delincuentes por los sistemas industriales conectados.

El hecho de que el ataque lograra impactar al mismo tiempo cientos de equipos de refrigeración refleja un grado considerable de complejidad técnica y planificación.

Danfoss debería estar manteniendo contactos con las organizaciones europeas correspondientes con el fin de saber si otros países podrían estar expuestos.

No confíes nunca en plataformas que ofrecen juegos de pago que son "gratis" en alternativas a las tiendas oficiales. ¿Por qué? Porque podría ser un verdadero peligro para tus equipos y datos personales.

Una de las cosas que se vinculan directamente a esta situación es el jailbreak de PS5, el cual se centra en permitir que se ejecuten apps o entregas no oficiales, recuperar funciones experimentales e incluso abrir la puerta a proyectos que hace poco parecían imposibles.

Este es el caso de uno de esos porque un equipo de hackers ha creado una PS Store para PlayStation 5 que imita todo al máximo. La nueva aplicación conocida como Overdrive es lo que está llamando la atención por lo que está generando en la comunidad.

Overdrive imita la PlayStation Store y promete juegos gratuitos para PS5 con jailbreak

Cuando le hacías "magia" a tu PS4 o PS3 después de un tiempo de haber sido lanzadas, los creadores de estos métodos comenzaron a ser perseguidos virtualmente por la justicia.

La piratería solo daña la industria y afecta directamente a los desarrolladores que quieren traer cada vez más propuestas de alta calidad a la mesa.

Un nuevo software llamado Overdrive está clonando por completo la PlayStation Store oficial. No solo se trata de la interfaz, sino de un catálogo extenso de la tienda que es descargable sin pagar ni un solo euro.

No hay precios, solo opciones gratis de lanzamientos destacados como Battlefield 6, 007 First Light, Forza Horizon 5 y Black Myth: Wukong. Esto quiere decir que un título como Star Wars Outlaws - Ultimate Edition que sale en 139,99 euros, se convierte en 0 euros.

Los vídeos compartidos en redes sociales muestran fichas de producto con información habitual, incluyendo valoraciones y tamaño de descarga.

Aun así, Insider Gaming señaló que no pudo verificar de manera independiente el funcionamiento real de la aplicación, por lo que parte de las afirmaciones deben tomarse con prudencia.

Otro dato que ha llamado la atención es el tamaño del supuesto catálogo. La cuenta International Cyber Digest aseguró que Overdrive incluye más de 1.600 juegos y que el proyecto apareció públicamente en GitHub el 9 de octubre.

Según esa información, las descargas se realizan desde servicios de almacenamiento externos, como MediaFire. La propuesta se ha vuelto popular apenas días después de la expansión de Relapse, el jailbreak que amplió de forma considerable el número de PS5 compatibles con modificaciones no oficiales.

Este método de jailbreak funciona en la mayoría de las PS5 con firmware anterior a la versión 14.00, incluyendo numerosas unidades de PS5 Pro que aún pueden encontrarse en circulación.

Es algo similar a cómo se aprovecha una vulnerabilidad de la consola para crear PS5-Linux, otro proyecto que se ha desplomado por su composición, aunque no tanto por los actos ilícitos como sí se encuentra más en Overdrive.

Varios informes señalan que el proceso de desbloqueo puede completarse en menos de un minuto, algo que reduce significativamente la barrera de entrada para los usuarios interesados en modificar su consola.

Sea como sea, hay que tener en cuenta que descargar archivos desde fuentes desconocidas puede exponer la consola a software malicioso, comprometer cuentas de usuario y provocar bloqueos permanentes por parte de PlayStation Network.

Además, Sony suele responder a este tipo de vulnerabilidades mediante nuevas actualizaciones de firmware destinadas a cerrar las brechas detectadas.

Por esa razón, cualquier avance relacionado con tiendas alternativas como Overdrive podría tener una vida limitada antes de enfrentarse a medidas de seguridad adicionales por parte de la compañía.

No solo pasa con el ecosistema de Sony porque también han surgido proyectos como PSXBOX, un cliente no oficial que llevaría Xbox Cloud Gaming a PS5 con jailbreak y sigue generando cierta tensión debido a la Ley de Propiedad Intelectual.

La firma de seguridad Push Security ha publicado una investigación sobre esta técnica, bautizada como Adception, que combina anuncios publicitarios, redirecciones entre servicios legítimos y una página que suplanta las instrucciones de instalación de Anthropic.

Cabe señalar que lo más peligroso está en un botón que parece copiar el comando necesario para instalar la aplicación en el ordenador, pero en realidad tiene una instrucción oculta en el portapapeles.

De acuerdo con las investigaciones, se detectó que la campaña se dirige a usuarios de macOS que buscan Claude y utiliza técnicas de ingeniería social para conseguir que ejecuten código en su ordenador.

No obstante, los expertos no han podido determinar qué malware se instala finalmente en esta operación, por lo que no se puede afirmar que todos los equipos afectados hayan sufrido un robo de información.

Así funciona el engaño que suplanta la instalación de Claude para Mac

La investigación de Push Security describe una cadena de redirecciones diseñada para ocultar la página maliciosa. Todo comienza cuando el usuario busca "Claude Mac" en Google y encuentra un anuncio patrocinado cuyo destino muestra el dominio "bing.com".

Al pulsar, el navegador atraviesa varias etapas antes de llegar a la web fraudulenta. Los investigadores identificaron una redirección publicitaria de Google y una página de WordPress comprometida que termina enviando al usuario a un sitio que imita la instalación de Claude.

La web también incorpora mecanismos para dificultar su detección. Según Europapress, comprueba determinadas características de la visita y puede mostrar un error si alguien intenta acceder directamente, sin seguir el recorrido esperado desde el buscador.

Una vez dentro, el usuario encuentra unas instrucciones que parecen legítimas, donde la página muestra un comando de instalación utilizado por Anthropic, pero el botón destinado a copiarlo introduce una instrucción diferente en el portapapeles.

De este modo, si la víctima pega el comando en la Terminal y la ejecuta, puede descargar y poner en marcha código malicioso desde una infraestructura controlada por los atacantes.

Cómo evitar caer en la trampa

Es importante mencionar que, para evitar este tipo de engaños, conviene descargar Claude desde los canales oficiales de Anthropic y desconfiar de las páginas que solicitan copiar comandos en Terminal sin poder verificar su procedencia.

Del mismo modo, es importante no asumir que un anuncio es seguro por aparecer en Google o utilizar un dominio conocido durante una redirección, en este caso se debe tener mucho cuidado.

Estas precauciones son importantes en un contexto donde los atacantes ya no dependen de páginas evidentemente falsas, sino de técnicas capaces de camuflarse entre servicios que los usuarios consideran seguros.

Sin embargo, también son algunos de los símbolos que podrían estar advirtiéndote de que un hacker ha logrado su objetivo. Malwares o virus podrían estar rondando por el sistema operativo sin que te des cuenta, cuando en realidad dan muchas señales que puedes detectar a tiempo para evitar que se convierta en un problema mayor.

Sea Windows o macOS el entorno que tengas, hay varios comportamientos que suelen ser sospechosos. Alejarte de todo esto, es de suma importancia para que se mantenga la integridad del dispositivo, así también como tu seguridad virtual. Actuar cuanto antes hace una gran diferencia y por eso en esta guía está la ayuda que necesitas para aprender a identificarlos y solucionarlos.

• El antivirus se desactiva sin que te des cuenta
• Tu navegador cambia su configuración o no funciona igual
• Alertas de inicio de sesión desconocidos
• Nuevos programas o archivos extraños aparecen en el escritorio o carpetas
• Muchas ventanas emergentes o anuncios de la nada
• El ordenador disminuye su rendimiento de forma repentina

El antivirus se desactiva sin que te des cuenta

Una de las cosas que buscan los malwares es desactivar directamente la protección del antivirus. Lo más impresionante de esto es algo que, en su mayoría, se realiza de forma silenciosa, sin dejar rastros o llamar la atención. Por esto mismo, debes mantenerte alerta sobre los avisos o revisar de vez en cuando el status.

Si sospechas que se ha deshabilitado la protección en tiempo real, debes actuar de inmediato. En Windows, es necesario que vayas a Configuración>Privacidad y seguridad>Seguridad de Windows>Protección Contra Virus y Amenazas. Verifica que todo esté activado, tanto Microsoft Defender, como las opciones de Firewall y demás.

Con respecto a macOS, si tienes un antivirus instalado, revisa que funcione de manera adecuada desde la carpeta de Aplicaciones. También es importante que hagas lo mismo en Windows si cuentas con apps de terceros para la defensa virtual.

Tu navegador cambia su configuración o no funciona igual

Podrías estar utilizando tu navegador a diario sin darte cuenta de que un posible virus ha estado configurando los parámetros para que determine enfoques de búsquedas predeterminadas a sitios maliciosos. Muchos de estos entes malignos actúan con el fin de beneficiar a los hackers que realizan phishing.

¿Crees que ya no tienes el control? Si ves mucha publicidad falsa, posicionamiento de páginas que no son oficiales o cualquier otra cosa extraña, lo primero es usar el antivirus que tengas para aplicar un análisis general.

Cuando el programa detecte amenazas, elimínalas o si no hay nada, de igual manera continúa con el siguiente paso. En algunos casos, también podría tratarse de extensiones maliciosas, así que revísalas y desinstalas las sospechosas.

Desde tu navegador, cambia los ajustes fundamentales de búsqueda. Por ejemplo, en Chrome, debes ir a Configuración>Buscador para ver si se mantiene igual. Desde aquí, debes eliminar todas las entradas o páginas que no conozcas desde Gestionar Motores de Búsqueda y Búsqueda de sitios. Aplica el proceso similar con otros navegadores, en sí, las opciones son similares.

Alertas de inicio de sesión desconocidos

El phishing crece cada día y millones de víctimas caen en las trampas de los ciberdelincuentes al replicar páginas falsas idénticas a las de las plataformas originales. Prevenir es lo mejor y por eso es crucial verificar la URL oficial del sitio y no poner datos en cualquier lugar ni enviar información confidencial a cualquier contacto.

El problema de esto es que los hackers recopilan cada uno de esos datos para poder ingresar a tus cuentas de redes sociales, plataformas de diversos tipos e incluso al banco. De repente, un aviso podría llegarte de que han accedido o te has dado cuenta de que te han hackeado y hay que realizar pasos seguros lo más rápido posible.

Algunas de las cosas que ayudan a detener el ciberataque es cambiar la contraseña de todas las cuentas inmediatamente, que sean robustas y diferentes en cada uno de los sitios. También, hay que verificar si todas esas credenciales rondan en la Dark Web con la herramienta de Google.

Por otro lado, siempre que puedas, activa la Autenticación de Dos Factores (2FA) y comprueba el status de los dispositivos conectados. En cualquier situación grave, ejecuta un análisis del antivirus para detectar si no se trata de un troyano o stealer que previamente fue insertado en el sistema.

Nuevos programas o archivos extraños aparecen en el escritorio o carpetas

Revisas tu escritorio o una carpeta que conoces y ves archivos extraños. Si es así, entra en estado de alerta porque podría tratarse de un software instalado de manera forzada por algún malware. Lo peligroso de esta táctica que usan los piratas informáticos es que toman el control del equipo y comienzan a generar todo tipo de virus.

No todo el tiempo es así, porque ciertos elementos se podrían generar con actualizaciones o cualquier otro tipo de acción normal, pero si has detectado algo peculiar, busca el nombre en Windows 11 desde Configuración>Aplicaciones>Aplicaciones Instaladas o en macOS Buscador>Aplicaciones.

En ambos sistemas, es necesario que prestes atención a las cosas que no has instalado o que no forman parte del sistema y desinstálalas. Es posible que no sepas con exactitud de qué se trata, pero puedes copiar el nombre e investigar en Internet para descartar problemas. Por otro lado, en el SO de Microsoft también puedes revisar el Administrador de Tareas para comprobar procesos.

Muchas ventanas emergentes o anuncios de la nada

Entre la gran variedad de problemas que pueden dar los entes maliciosos son los anuncios excesivos. Sin abrir nada, sin entrar en ninguna página, te comienzan a salir ventanas y más ventanas sin cesar, todo el tiempo.

Esto es una señal clara de que hay adware en tu PC y aunque en un principio solo se realiza para que caigas en publicidad de dudosa procedencia, con el tiempo se vuelve cada vez peor y consume mucha memoria RAM, hasta el punto en el que puede colgar el sistema. No solo eso, también desde aquí podrías caer en las trampas de phishing o ser afectado por spyware.

Haz un análisis con tu antivirus, elimina las apps instaladas recientemente que sean sospechosas y realiza una limpieza general antimalware de ser necesario. Además, puedes desinstalar los navegadores y elimina sus carpetas principales para después reinstalarlos.

El ordenador disminuye su rendimiento de forma repentina

Que el rendimiento se degrade con el tiempo es normal porque se van acumulando procesos y aplicaciones o también porque no hay memoria RAM suficiente para lo que se necesita. Sin embargo, cuando esta velocidad y fluido cambia de un momento a otro, al ser drástico, quiere decir que ha ingresado un intruso.

En la mayoría de los casos, los malwares consumen una gran parte de los recursos porque hacen actividades como robar datos, minar criptomonedas o ejecutan otros programas en remoto. Simplemente, usa un antivirus o antimalware y trata de eliminarlos o haz un restablecimiento de fábrica si la situación es crítica.

Al saber todos estos trucos, te vas a preparar para detectar a la mayoría de los virus en el ordenador y sabrás cómo actuar ante diversas circunstancias para que no te conviertas en una víctima de los temidos hackers.

Otros artículos interesantes:

• Los 5 malwares más peligrosos para tu PC y cómo evitarlos
• Cómo eliminar virus y malware de un PC con Windows utilizando una simple memoria USB

Cuando alguien necesita descargar un programa en su ordenador, lo más habitual es recurrir a un buscador como Google y pulsar en los primeros enlaces que aparecen en pantalla.

Aprovechando esta dinámica, un grupo de atacantes ha puesto en marcha una ingeniosa estrategia diseñada para infectar ordenadores Mac mediante falsas aplicaciones de Claude.

La maniobra arranca con un anuncio patrocinado en Google que promete la descarga oficial del asistente de inteligencia artificial para usuarios de Apple. Sin embargo, el verdadero peligro de esta campaña radica en cómo logran esquivar los controles de seguridad.

Para evitar ser detectados por las herramientas de protección de los buscadores, los atacantes no envían al usuario directamente al sitio malicioso. En su lugar, utilizan el dominio legítimo del buscador Bing como pasarela intermedia, camuflando la dirección final y haciendo que el enlace parezca totalmente seguro ante los análisis automáticos de seguridad.

Una vez que la víctima supera esta primera redirección a través del servidor de Bing, aterriza en una página web falsificada que imita a la perfección la estética de la plataforma original de Claude.

Para proteger su infraestructura de las investigaciones de ciberseguridad, el sitio web cuenta con un sistema de doble verificación que comprueba si la persona proviene estrictamente de la cadena de anuncios de Bing y Google. Si alguien intenta acceder de forma directa escribiendo la dirección en la barra del navegador, el servidor devuelve simplemente un mensaje de error para ocultar el contenido malicioso.

El engaño definitivo se produce en el momento de iniciar la supuesta instalación del programa en el sistema operativo de Apple. En lugar de ofrecer un archivo ejecutable tradicional, la web muestra una serie de instrucciones e invita al usuario a presionar un botón para copiar un comando de configuración.

La trampa está en que ese botón no copia el texto visible en pantalla, sino un código oculto diseñado para descargar archivos remotos e instalarlos sin permiso a través de la terminal de comandos de Mac.

Para evitar sospechas, mientras el código malicioso se ejecuta en segundo plano, la consola muestra un mensaje falso asegurando que la aplicación de Claude se está descargando de manera legítima desde la web oficial.

Los expertos recomiendan extremar la precaución al instalar software de este tipo, comprobando siempre que los archivos procedan directamente de los canales oficiales.

Asimismo, resulta fundamental revisar cualquier texto o código pegado en la consola de comandos antes de ejecutarlo, ya que lo que figura visualmente en una página web puede no coincidir con lo que realmente guarda el portapapeles del equipo.

Los investigadores de Bitdefender han destapado una campaña de malware llamada Midnight Mimosa, la cual se encuentra integrada directamente en el firmware de ciertos terminales antes incluso de que se enciendan por primera vez.

Esta campaña se centra principalmente en marcas secundarias de dispositivos de marca blanca y en móviles falsificados. Entre los modelos legítimos afectados se encuentran el Doogee S200 X y el Cubot KINGKONG X. Además, el malware ha sido detectado en réplicas que imitan a los grandes buques insignia del mercado, utilizando nombres engañosos como S24 Ultra, S26 Ultra o i17 Pro Max para confundir al comprador.

A diferencia de las amenazas tradicionales que requieren descargar una aplicación maliciosa, Midnight Mimosa opera con privilegios de sistema desde el primer arranque del dispositivo.

Esta profunda integración le permite instalar o eliminar aplicaciones en silencio, concederse permisos especiales y ejecutar código remoto. Para pasar totalmente desapercibida, la amenaza desactiva temporalmente la Google Play Store justo antes de desplegar su carga útil, esquivando así las defensas de Play Protect.

El objetivo final de esta operación es puramente económico. Los teléfonos infectados se reutilizan para generar ingresos mediante publicidad oculta, fraude de clics y funcionando como nodos proxy en una botnet diseñada para lanzar ataques DDoS.

En un periodo de dos años, se han rastreado miles de dispositivos comprometidos repartidos en más de 150 países, con México, Francia e Italia a la cabeza, seguidos de España, Estados Unidos, Alemania y Brasil.

Eliminar Midnight Mimosa no es un proceso sencillo para el usuario medio. Al residir en la partición del sistema, un restablecimiento de fábrica resulta completamente inútil.

Erradicarlo exige intervenciones complejas a nivel de firmware o comandos ADB avanzados, opciones técnicas inviables para el público que adquiere estos teléfonos económicos.

Por este motivo, para quienes poseen un dispositivo afectado, sustituir el terminal se perfila actualmente como la única solución práctica.

Gran parte de estas amenazas se centran en ser generadas también a través de phishing. Redes criminales que funcionan casi como empresas clandestinas han demostrado ser capaces de arrasar con todo a su paso.

Lo curioso es que, en ocasiones, los conflictos internos dentro de estos grupos terminan revelando dinámicas sorprendentes que exponen cómo funciona realmente la economía del cibercrimen.

Aquí es donde llama la atención el caso de Azazel, un atacante que no solo habría extorsionado a decenas de organizaciones, sino que además decidió engañar a la propia banda de ransomware para quedarse con todas las ganancias.

Cómo Azazel combinó inteligencia artificial y credenciales robadas para ampliar sus ataques

Durante los últimos años se han reportado numerosos tipos de ransomware que han llamado la atención por lo masivas que puedan llegar a ser las campañas.

Según una investigación de la firma de ciberseguridad CloudSEK, Azazel operaba como afiliado del grupo The Gentlemen, una organización que ofrece ransomware bajo el modelo conocido como Ransomware as a Service (RaaS).

En el equipo se tenía que hacer uso de diversas herramientas y tácticas relacionadas con la negociación o plantillas de rescate. Confiando en todos los integrantes, el ciberataque se llevó a cabo ante víctimas que pertenecían a sectores especialmente sensibles.

Datos de infraestructuras de servicios médicos, seguros, farmacéuticas y organizaciones gubernamentales fueron robados por los mencionados hackers.

Fueron en total dos docenas de objetivos repartidos en seis países, de los cuales se obtuvieron más de 50 TB de almacenamiento en servidores físicos dedicados, incluyendo una bóveda de aproximadamente 22 TB destinada a conservar información obtenida durante múltiples campañas.

"Construyó y operó su propio sitio de filtraciones independiente bajo la marca LEAKNED, publicando datos de las víctimas y recolectando ganancias de la extorsión sin enviarlas a través del programa Gentlemen".

CloudSEK señaló que la infraestructura utilizada por Azazel era mucho más grande de lo habitual para un afiliado porque no siguió las reglas habituales del programa criminal.

El atacante creó y operó su propio portal de filtraciones llamado LEAKNED, donde publicaba los datos robados y negociaba directamente con las víctimas, "traicionando" a su propio grupo para quedarse con las ganancias.

En otras palabras, el atacante habría dado la espalda tanto a las empresas afectadas como a la organización criminal para la que trabajaba para ir más allá.

Inteligencia artificial, secretos robados y una operación de enorme alcance

La investigación también destaca la forma en que Azazel obtenía acceso a sus objetivos. Todas las víctimas confirmadas habrían sido comprometidas mediante secretos CI/CD robados.

En uno de los incidentes, una única instancia comprometida de GitLab permitió alcanzar dos organizaciones distintas. En otro caso, un token CI/CD expuso más de 150 bases de datos pertenecientes a una plataforma SaaS y a sus clientes.

CloudSEK considera especialmente relevante el uso de inteligencia artificial dentro de la operación. Según la compañía, Azazel registró un shell inverso como herramienta invocable a través del Model Context Protocol (MCP), una tecnología que está ganando popularidad en ecosistemas de IA.

Además, desarrolló sistemas automatizados para buscar asistentes de inteligencia artificial expuestos en Internet y llegó a utilizar asistentes de IA para gestionar partes de su infraestructura criminal.

Entre los incidentes documentados figura el ataque a una empresa del sector de inteligencia artificial. Los investigadores detectaron la extracción de más de 6 TB de información y señalaron que la transferencia continuaba cuando descubrieron la actividad.

Otro caso afectó a un registro financiero vinculado al gobierno, donde el atacante exfiltró más de 120.000 registros antes de eliminar la base de datos de producción.

CloudSEK cree que Azazel mantiene vínculos con Rusia debido al uso fluido del idioma ruso en scripts operativos y al nombre interno "novostnik", que en ruso significa "periodista".

Recientemente se conoció que ShinyHunters tomó el control del portal de filtraciones de Clop tras conflictos previos entre ambas organizaciones.

De forma similar, una investigación de Sophos reveló enfrentamientos entre DragonForce y grupos rivales relacionados con plataformas de filtración y extorsión.

Lo más impresionante de todo esto es que es un caso distinto porque muestra disputa entre grupos criminales que no suele pasar con frecuencia.

Por ahora, la empresa dice que han tenido acceso a algunos datos básicos, como nombres y datos de contacto. La parte tranquilizadora es que Asos no cree que los datos de las tarjetas bancarias ni las contraseñas de las cuentas se hayan visto afectados.

Sin embargo, parece que no hay confirmación total al respecto. Teniendo en cuenta la gravedad de lo ocurrido, toca confirmar que sí, han sido hackeados, pero para evitar problemas mayores dejan caer que solo saben tu nombre y poco más. Por el momento, toca desconfiar.

La compañía ha pedido a los usuarios que ignoren la notificación que recibieron y que no pulsen ningún enlace que apareciera en ella. La web y la aplicación de Asos siguen funcionando con normalidad.

¿Qué es lo que ha ocurrido para que Asos confirme el hackeo?

En el mensaje que le ha aparecido a algunos usuarios se aseguraba que los atacantes habían conseguido comprometer por completo una parte de Snowflake, una plataforma que Asos utiliza para almacenar y trabajar con datos.

El punto en cuestión, y al que Asos se agarra para decir que no hay nada que temer, es que, que ese mensaje haya aparecido en la aplicación; no demuestra por sí solo que los atacantes tuvieran acceso total a Snowflake ni que se hayan llevado todos los datos que había allí.

De hecho, una de las cosas que la compañía está intentando saber ahora mismo es hasta dónde llegaron realmente los atacantes.

En cuanto a quienes están detrás de todo esto, parece que todos los caminos llevan a un grupo que se hace llamar Xuanye Group, que ya ha publicado mensajes en Telegram asegurando que consiguió acceder a los sistemas de Asos.

¿Qué debes hacer si eres cliente de Asos?

Si recibes un correo, SMS o mensaje que confirme este ataque, no pulses enlaces ni metas tus datos. Si quieres entrar en Asos, hazlo directamente desde la aplicación o escribiendo la dirección de la web en el navegador.

Por otro lado, desconfía en estos momentos de cualquier mensaje que te pida confirmar un pago, cambiar la contraseña o meter los datos de tu tarjeta.

Asos ha confirmado que su web y su aplicación funcionan como siempre, sin problema alguno, y que la investigación continúa.

"Nuestro sitio web y nuestra aplicación funcionan con normalidad, sin interrupciones en ningún aspecto de nuestras operaciones. La confianza de nuestros clientes es sumamente importante para nosotros, y si la situación cambia, les informaremos oportunamente", explican.

Un grupo de piratas informáticos logró vulnerar la cuenta oficial de Microsoft en la red social X, un perfil que supera los 13 millones de seguidores.

Durante el incidente, los atacantes tomaron el control total del canal, sustituyeron la imagen de perfil oficial por la del recordado clip y utilizaron el alcance masivo de la plataforma para promocionar una criptomoneda no autorizada vinculada a la marca.

El ataque no se limitó a simples publicaciones promocionales. Tras el despliegue inicial del fraude, la cuenta comenzó a interactuar de manera directa con perfiles externos dedicados a impulsar el activo digital. La confusión aumentó poco después cuando la cuenta publicó una elaborada declaración de disculpa que aparentaba ser un comunicado corporativo oficial.

En el mensaje, se desvinculaba formalmente a la corporación de cualquier token relacionado con el ticker $MSFT o la figura de Clippy. Sin embargo, la propia compañía confirmó más tarde que dicho texto también formaba parte del engaño orquestado por los ciberdelincuentes.

Tras percatarse del incidente, los equipos de seguridad de Microsoft actuaron para recuperar el control del perfil, eliminar todo el contenido fraudulento y dar inicio a una investigación interna.

Por su parte, la plataforma X procedió a suspender una de las cuentas principales desde las que se operaba el esquema, aunque han detectado perfiles secundarios que continúan intentando promover el activo bajo falsas promesas de liquidez vinculadas a las acciones de la compañía.

Este tipo de suplantaciones de identidad dirigidas a audiencias masivas para la promoción de estafas cripto no son un fenómeno aislado en la industria. La propia Microsoft ya sufrió un precedente similar en el verano de 2024, cuando su cuenta institucional en India fue comprometida para promover una presunta venta anticipada de activos digitales dirigida a vaciar los monederos de los usuarios desprevenidos.

El caso reciente evidencia que, a pesar de los esfuerzos de verificación y seguridad en las redes sociales, los perfiles con mayor visibilidad global continúan siendo un objetivo prioritario para las redes de fraude financiero.

Esto es algo que sucede con relativa frecuencia, teniendo en cuenta los millones de usuarios que usan cada día esta herramienta. El problema viene cuando esa clave se queda publicada y nadie la cambia. Porque aunque borres después el archivo, la credencial puede seguir funcionando igual.

Eso es lo que ha encontrado Truffle Security después de analizar 224 millones de repositorios y más de 58.000 millones de archivos. Los investigadores encontraron 543.699 credenciales diferentes que seguían siendo válidas cuando las comprobaron en julio.

Rizando el rizo, algunas llevaban muchísimo tiempo expuestas. La mitad de las credenciales analizadas estuvieron accesibles de forma totalmente pública durante al menos 784 días, es decir, más de dos años. Además, el 10% de las que seguían funcionando tenían más de 6,3 años y la más antigua se remontaba a 2009.

¿Cómo puede seguir funcionando una contraseña publicada hace años?

La respuesta es simple: no se ha cambiado. Aunque GitHub descubra que hay una credencial circulando, no puede decidir que esta deje de estar operativa. Al final, quien debe avisar es el servicio al que corresponde y, en última instancia, el usuario debe cambiarla.

Eso sí, matizar que, aunque una credencial siga activa, no significa que alguien la haya robado o utilizado. El estudio no puede realmente saber cuántas de esas claves han acabado en manos de ciberdelincuentes. Solo han querido avisar de que seguían siendo válidas cuando las probaron.

Por otro lado, GitHub lleva años intentando que las credenciales no lleguen a publicarse por accidente. Una de sus herramientas es Push Protection.

Cuando intentas subir código, GitHub lo analiza y busca patrones que puedan corresponder a contraseñas, tokens o claves de acceso. Si encuentra algo dudoso, puede bloquear la publicación antes de que llegue al repositorio.

El problema es que este sistema no reconoce todos los tipos de credenciales. Según Truffle Security, el 51,8% de las credenciales que seguían funcionando pertenecían a categorías que la protección predeterminada de GitHub no bloquea, como algunas cadenas de conexión a bases de datos o claves de Google API.

Además, de las 543.699 credenciales que seguían funcionando, 199.843 se habían publicado después de que Push Protection estuviera activado por defecto, según la investigación. Son alrededor del 36,8% del total.

Eso sí, los investigadores reconocen que esta herramienta de protección de la paltaforma funciona a la perfección. Según sus datos, la cantidad de credenciales expuestas dentro de esas categorías cayó un 53% después de que la protección se activara por defecto.

Sin embargo, no todas las claves se pueden reconocer de la misma forma. Algunas tienen formatos que el sistema no identifica y otras pueden aparecer de maneras que hacen más difícil detectarlas. Resumiendo, GitHub ha puesto una barrera bastante útil, pero no es una barrera que lo cubra todo.

¿Qué sucede si descubres una clave tuya en GitHub?

Parece evidente, pero lo que tienes que hacer es cambiarla. Recuerda que borrar el archivo del repositorio no basta. Si la contraseña o el token ya ha sido publicado, no puedes estar 100% seguro de que nadie la tenga.

Después, no estaría de más que echases un vistazo para ver dónde más aparece dentro del repositorio, porque puede seguir en el historial de Git aunque hayas eliminado el archivo.

También deberías revisar los accesos que ha tenido el servicio en cuestión por si alguien ha utilizado esa credencial. Y, cuando el servicio lo permita, activaría la caducidad automática de las claves para que no puedan quedarse funcionando durante años.

La campaña ha sido descubierta por investigadores de Huntress y utiliza una técnica conocida como ClickFix, basada en engañar a la víctima para que ejecute por sí misma una instrucción que supuestamente sirve para solucionar un problema o completar una comprobación de seguridad.

En este caso, los delincuentes crearon un GPT personalizado llamado Plus 5.6. El servicio parecía formar parte de ChatGPT y estaba alojado dentro del propio dominio de OpenAI, algo que podía generar todavía más confianza entre quienes llegasen hasta él.

El GPT malicioso dirige a los usuarios hacia una página alojada en Google Sites que imita una comprobación de Cloudflare. La web muestra un mensaje que pide realizar una acción aparentemente necesaria para verificar que el visitante es una persona real.

El problema es que seguir las instrucciones termina descargando e instalando software malicioso en Windows.

Los investigadores de Huntress detectaron al menos 40 incidentes relacionados con la página utilizada en esta campaña, aunque solo dos pudieron vincularse directamente con una versión de ChatGPT personalizada y maliciosa.

OpenAI retiró el primer GPT identificado el 25 de septiembre. Sin embargo, dos días después los investigadores encontraron otro relacionado con la misma campaña, lo que demuestra que los atacantes podían volver a poner en circulación el señuelo.

Una vez que la víctima cae en la trampa, el programa instalado permite a los atacantes acceder remotamente al ordenador. Entre sus capacidades se encuentran controlar el escritorio, buscar archivos, obtener información del equipo e incluso acceder a la cámara y al micrófono.

Además, el malware está preparado para mantenerse activo después de reiniciar Windows, por lo que eliminarlo no resulta tan sencillo como cerrar una ventana del navegador.

Huntress también ha detectado cambios en la campaña. Los atacantes han ido modificando algunos elementos utilizados para esconder el malware, aunque el objetivo final continúa siendo el mismo y es conseguir que el usuario confíe en unas instrucciones falsas y las ejecute en su propio ordenador.

El caso es un ejemplo de que un resultado de Google o una página que parezca legítima no garantiza que sea segura.

Muchos de los contenidos que se encuentran aquí son de alta calidad Y ofrecen horas de entretenimiento. Sin embargo, la popularidad de estas plataformas también las ha convertido en un reclamo habitual, no solo por el uso ilegal como en LaLiga, sino también por las campañas de malware en Android.

La última alerta de ciberseguridad pone el foco en una falsa aplicación que aparenta ser un conocido servicio IPTV y que puede comprometer por completo la seguridad de millones de dispositivos en España.

Lo preocupante es que el software malicioso se distribuye mediante páginas falsas que imitan a Google Play, aumentando las probabilidades de que los usuarios caigan en la trampa.

RemControl se esconde detrás de una falsa app IPTV para Android

Hay muchas IPTV en la actualidad que ofrecen miles de canales con diversos contenidos que vale la pena tener en el móvil, ordenador o televisor inteligente.

El uso de estas plataformas es bueno hasta cierto punto porque también es posible que uno se tope con contenido distribuido de forma ilegal, mientras que también hay una mayor probabilidad de que estas aplicaciones cuenten con acciones maliciosas.

Los investigadores de Group-IB han identificado a RemControl como una nueva plataforma de malware para Android distribuida bajo un modelo Malware-as-a-Service (MaaS).

Según la compañía, los ciberdelincuentes utilizan versiones fraudulentas de TVTap, una popular aplicación IPTV que no está disponible en Google Play, para convencer a las víctimas de descargar el archivo infectado.

La campaña afecta especialmente a usuarios de España, Francia, Italia, Portugal, Polonia, Canadá y varios países de Oriente Medio, aunque lo particular es que esta infección no se imparte de manera aleatoria.

Lo que hacen los ciberdelincuentes es emplear anuncios dirigidos en plataformas de Meta y páginas que imitan con gran fidelidad la tienda oficial de Google.

Este tipo de phishing es tan efectivo que logra contar con los sistemas de geolocalización y filtros para saber la información del usuario hasta finalmente lograr que se descargue el software malicioso.

Una vez instalada la aplicación falsa, el riesgo aumenta rápidamente. El instalador solicita permisos para activar una VPN local que, lejos de proteger la conexión, bloquea las comunicaciones con los servicios de Google.

Este mecanismo impide que Google Play Protect pueda realizar comprobaciones en tiempo real, facilitando que el malware continúe su instalación sin ser detectado.

¿Cómo roba datos bancarios y toma el control del dispositivo?

Lo más impactante de todo es que este modus operandi se centra en obtener los datos bancarios para extraer dinero de las víctimas de una manera efectiva y directa.

El malware se entra en el sistema hasta que finalmente solicito el acceso al servicio de Accesibilidad. De esta manera, el RemControl consigue un elevado nivel de control sobre el dispositivo y sin levantar sospechas.

Una vez que esto sucede y se aceptan los permisos, el troyano comienza a esparcirse para hacer de las suyas. Es decir, se adentra en las entrañas del sistema hasta llegar a registrar pulsaciones, capturar información en la pantalla y monitorizar toda la actividad del equipo en tiempo real, incluyendo lo que se hace en las apps o el navegador.

Los expertos de Group-IB descubrieron que el malware incorpora más de 30 superposiciones falsas dirigidas a entidades financieras de distintos países.

Cuando detecta una aplicación bancaria compatible con su lista de objetivos, muestra una pantalla fraudulenta sobre la aplicación legítima para solicitar credenciales, códigos de acceso o información de tarjetas. Todo ello ocurre sin que la víctima perciba que está interactuando con una interfaz manipulada.

La investigación también revela capacidades más avanzadas. RemControl puede transmitir capturas de pantalla a los atacantes, registrar textos introducidos en otras aplicaciones e incluso bloquear intentos de desinstalación al cerrar automáticamente determinadas ventanas de configuración.

Los analistas han encontrado indicios que relacionan la operación con el alias "UNKK" y han observado similitudes con campañas previas asociadas al conocido troyano bancario Medusa, aunque esta conexión todavía no ha sido confirmada oficialmente.

Entonces, recuerda que antes de descargar aplicaciones, verifica que sea únicamente desde fuentes verificadas, desconfía de supuestas versiones gratuitas de servicios IPTV y revisa cuidadosamente cualquier permiso solicitado durante la instalación.

Google asegura que observaba parte de la operación desde dentro gracias a Austin Larsen, analista de la empresa, y parece que se trata de una de las amenazas más fuertes registradas hasta la fecha.

El monitoreo se llevó a cabo mediante las ejecuciones de las acciones maliciosas tras afectar a más de un millar de organizaciones. A continuación, han compartido la información sobre cómo se han dado las cosas.

El infiltrado de Google que observó a TeamPCP desde el inicio

Desde las puertas traseras para acceder a todo tu ordenador con las bibliotecas de Python hasta una afectación de más de 70 repositorios de GitHub, puedes hacerte una idea de lo peligroso que pueden llegar a ser los hackers de TeamPCP.

Con el tiempo se ha convertido en uno de los grupos de ciberdelincuentes más populares dentro de la industria tecnológica. De hecho, ha pasado por varios nombres, como PCPcat, ShellForce o DeadCatx3.

De acuerdo con los detalles revelados por Austin Larsen, investigador de Google Threat Intelligence Group, la organización llevó a cabo una campaña masiva de ataques contra proyectos de código abierto.

Lo descubierto indica que se estaba utilizando malware para comprometer herramientas ampliamente utilizadas y expandir su alcance a nuevas víctimas.

Por supuesto, en este tipo de equipos es difícil adentrarse o tener datos relacionados con los integrantes. Esto es justo lo que hace particular este caso porque Google ha logrado infiltrarse para tener una fuente dentro del círculo cercano de los atacantes.

Según explicó Larsen durante la conferencia LABScon y en declaraciones a WIRED, un analista encubierto de Mandiant, empresa de seguridad propiedad de Google, llevaba meses generando confianza con una persona que posteriormente fue invitada a TeamPCP.

Gracias a ello, el investigador obtuvo acceso al chat interno conocido como CanisterWorm prácticamente desde los primeros momentos de actividad del grupo.

Larsen resumió la situación con una frase reveladora: "Básicamente, casi el primer día, Mandiant estaba observando todo detrás de escena". Esa visibilidad permitió a Google seguir en tiempo real parte de los movimientos de la organización.

El infiltrado llegó a tener acceso a servidores donde se almacenaban credenciales robadas, incluidos nombres de usuario, contraseñas y tokens de acceso obtenidos durante la campaña. Todos los uuariso

En lugar de limitarse a recopilar información, el equipo decidió actuar para reducir el impacto potencial. Larsen explicó que su objetivo era impedir nuevos compromisos antes de que los delincuentes pudieran aprovechar las credenciales o utilizarlas en esquemas de extorsión.

Cómo Google ayudó a frenar los ataques y la caída de los presuntos responsables

La información obtenida por el analista encubierto ayudó a Google a coordinar acciones defensivas a gran escala. En este punto, la compañía optó por avisar primero a proveedores clave como Amazon Web Services y Microsoft para revocar credenciales comprometidas.

Posteriormente, se enviaron cientos de notificaciones tanto a proveedores como a organizaciones afectadas, acelerando la respuesta ante la amenaza.

Según el experto en ciberseguridad, una persona vinculada al entorno de TeamPCP utilizó herramientas de inteligencia artificial para desarrollar un exploit dirigido contra un software de autenticación ampliamente empleado.

La compañía alertó al desarrollador responsable del producto afectado para que corrigiera la vulnerabilidad antes de que pudiera explotarse de forma masiva.

Se ha confirmado que una investigación basada en filtraciones de datos, registros de foros de hackers y cuentas vinculadas permitió seguir un rastro digital que apuntaba hacia Ruben Ian Thomson, uno de los presuntos integrantes clave del grupo.

Como señaló, “escribir informes solo puede ser útil hasta cierto punto. Tomar medidas para proteger a los usuarios y clientes, ese es el siguiente paso”.

Tras estas decisiones y el trabajo de ciberseguridad realizado por parte del gigante tecnológico. Google trasladó esa información al FBI, que posteriormente colaboró con las autoridades australianas.

El mes pasado, Thomson y Louis Michael Gaebler fueron arrestados en Australia y acusados de delitos relacionados con piratería informática. Por el momento, esta es toda la información que se sabe, aunque las investigaciones continúan para seguir obteniendo datos con respecto al popular grupo de hackers.

Por eso, Windows 11 incorpora diferentes mecanismos de protección que buscan impedir que terceros accedan a tus archivos sin autorización.

Sin embargo, algunas de estas funciones pueden convertirse en un problema si desconoces cómo funcionan o no tomas ciertas precauciones básicas.

Uno de los temas que más inquietud genera es el cifrado automático del almacenamiento y la recuperación de archivos críticos. A pesar de que está diseñada para proteger tu información personal, también puede dejarte sin acceso a tus propios documentos u otros elementos.

Entonces, antes de que aparezca un mensaje inesperado durante el arranque del sistema, conviene conocer cómo funciona esta protección y qué debes hacer para evitar un bloqueo total de tus datos.

La clave de recuperación de BitLocker puede convertirse en la única puerta de acceso a tus archivos

BitLocker ha formado parte de las ediciones profesionales de Windows desde Windows Vista, mientras que una variante denominada Device Encryption o Cifrado del dispositivo llegó a las ediciones Home con Windows 10.

Con Windows 11 24H2, esta protección adquiere aún más relevancia debido a que puede encontrarse activada de forma predeterminada en determinados equipos compatibles.

El objetivo es claro: cifrar el contenido del disco para que nadie pueda acceder a la información sin autorización si el dispositivo cae en manos ajenas. El problema aparece cuando Windows solicita la clave de recuperación de BitLocker.

Esto puede ocurrir tras determinados cambios en el hardware, modificaciones en la configuración de seguridad, actualizaciones de firmware UEFI o situaciones que el sistema interpreta como potencialmente riesgosas. En ese momento, el equipo puede mostrar una pantalla solicitando un código de recuperación de 48 dígitos.

Si no dispones de esa clave, no podrás acceder al contenido de la unidad, independientemente de que intentes arrancar Windows con normalidad o mediante herramientas externas.

La situación resulta especialmente delicada para quienes utilizan cuentas locales. Cuando inicias sesión con una cuenta de Microsoft, la clave suele almacenarse automáticamente en la cuenta asociada, lo que facilita su recuperación en caso de emergencia.

Sin embargo, si utilizas una cuenta local y no has guardado previamente ese código, recuperar el acceso a los datos puede convertirse en una tarea extremadamente complicada o incluso imposible.

Por este motivo, la copia de seguridad de la clave de recuperación debería considerarse una medida de seguridad tan importante como cualquier otra protección del sistema.

Cómo comprobar si tu disco está cifrado y guardar la clave antes de que sea demasiado tarde

Para verificar si el cifrado del dispositivo está activo en Windows 11, abre la aplicación Configuración y entra en Privacidad y seguridad > Cifrado del Dispositivo. Si la función aparece habilitada, significa que la unidad está protegida mediante cifrado.

Muchos usuarios desconocen este detalle porque el proceso puede haberse activado durante la configuración inicial del sistema, especialmente cuando se utiliza una cuenta Microsoft desde el primer momento. En consecuencia, es posible que el disco esté protegido incluso si nunca recuerdas haber activado manualmente BitLocker.

Si utilizas una cuenta Microsoft, puedes consultar las claves almacenadas accediendo a la página oficial de recuperación de Microsoft. Tras iniciar sesión, aparecerán los dispositivos vinculados a tu cuenta junto con los identificadores de las claves disponibles.

Conviene anotar tanto el ID de la clave como el código de recuperación correspondiente. Si has utilizado la misma cuenta en varios ordenadores a lo largo del tiempo, es posible que encuentres varias entradas, por lo que identificar correctamente cada una puede ahorrar muchos problemas en una futura recuperación.

Los usuarios que emplean cuentas locales deben prestar aún más atención. Una forma de obtener la clave consiste en abrir el Símbolo del sistema con permisos de administrador y ejecutar el comando "manage-bde.exe -protectors -get C:".

El sistema mostrará la contraseña de recuperación de 48 dígitos asociada a la unidad. Lo recomendable es copiarla, imprimirla y guardar también una copia en una memoria USB almacenada en un lugar seguro.

Mantener varias copias físicas reduce considerablemente el riesgo de pérdida y garantiza que, si Windows solicita la clave en algún momento, puedas recuperar el acceso.

Esta sencilla medida puede marcar la diferencia entre recuperar toda tu información en cuestión de minutos o perder el acceso a documentos importantes durante un largo período de tiempo.

El cifrado de BitLocker es una herramienta muy eficaz para proteger datos personales y profesionales, pero solo cumple su función correctamente cuando la clave de recuperación está disponible.

Al final, dedicar unos minutos a comprobar su existencia y guardarla adecuadamente puede evitar uno de los problemas más frustrantes que pueden producirse en un PC con Windows 11.

El descubrimiento ha sido realizado por los investigadores de Zimperium zLabs, que han analizado las capacidades de esta amenaza.. RatHat estaría llegando a los usuarios mediante campañas de publicidad maliciosa, SMS y páginas de phishing que ofrecen archivos APK fuera de Google Play.

Una vez instalado, el malware intenta conseguir permisos de accesibilidad de Android, que utiliza para realizar acciones con un nivel elevado de control sobre el dispositivo. Además, activa las opciones de desarrollador y la depuración inalámbrica para obtener acceso a una consola local con privilegios de ADB, sin necesidad de conectar físicamente el teléfono a un ordenador.

RatHat instala después un agente desarrollado en Go que puede ejecutar comandos con privilegios de shell de ADB. Este componente también incorpora mecanismos para evitar algunas restricciones de batería y mantener la presencia del malware en el dispositivo.

La amenaza también cuenta con otro agente encargado de establecer un túnel persistente con los atacantes. A esto se suma una larga lista de funciones destinadas a robar información: RatHat puede mostrar falsas interfaces sobre aplicaciones bancarias y de criptomonedas para capturar credenciales, interceptar SMS y notificaciones, incluidos códigos de un solo uso, y extraer las direcciones de las páginas web que visita la víctima.

El malware también puede registrar cambios de texto y obtener información sensible como el PIN de bloqueo, contraseñas y patrones de desbloqueo.

La parte más novedosa de RatHat está en su sistema de automatización. El malware convierte la estructura de accesibilidad que representa la interfaz de Android en datos XML y los envía a una herramienta de inteligencia artificial. A partir de esa información, el sistema puede identificar elementos concretos de la pantalla, averiguar qué texto muestran y devolver instrucciones para desplazarse por la interfaz.

Esto permite que los atacantes controlen el dispositivo de una forma más flexible que mediante scripts rígidos que solo pueden ejecutar una secuencia de acciones previamente definida.

Además, RatHat intenta dificultar su eliminación. Si la víctima trata de desinstalarlo, puede interceptar la pantalla de confirmación y cancelar el proceso, mostrando después una falsa interfaz de Google Play con un supuesto mensaje de error.

La amenaza ha sido bautizada como Mantax Otax y, según los investigadores de la compañía de seguridad móvil Zimperium, está siendo distribuida por operadores de Indonesia mediante archivos APK maliciosos. Los atacantes recurren a mensajes de phishing y técnicas de ingeniería social para intentar convencer a sus víctimas de que instalen estas aplicaciones fuera de Google Play.

Una vez instalado, el malware solicita acceso a los servicios de accesibilidad de Android. Con este permiso puede realizar numerosas acciones en el dispositivo y automatizar interacciones como si estuviera manejándolo el propio usuario.

Las capacidades de Mantax Otax van mucho más allá del ransomware. El malware puede obtener información como la ubicación del teléfono, el operador móvil, la versión de Android y el identificador del dispositivo, además de comunicarse con la infraestructura controlada por los atacantes.

Los investigadores también han descubierto funciones capaces de obtener el PIN de la pantalla de bloqueo, leer SMS y códigos de un solo uso, consultar registros de llamadas, contactos, historial de navegación, aplicaciones instaladas e información relacionada con la cuenta de Google.

La amenaza puede incluso acceder a perfiles y conversaciones de WhatsApp y Telegram utilizando las funciones de accesibilidad para simular interacciones dentro de las aplicaciones.

Además, Mantax Otax puede capturar la pantalla, grabar vídeos y transmitir lo que ocurre en ella prácticamente en tiempo real. También tiene capacidad para utilizar las cámaras del dispositivo y enviar fotografías a los atacantes.

La parte más llamativa del malware es su capacidad para cifrar archivos, aunque esta función afecta principalmente a dispositivos antiguos. Mantax Otax busca determinados archivos almacenados en el almacenamiento compartido y los cifra utilizando una clave AES específica para cada víctima.

Después elimina los originales y añade una extensión distinta a los archivos cifrados. También puede sustituir imágenes almacenadas en el dispositivo por mensajes de rescate y mostrar una pantalla de chat para negociar el pago.

Sin embargo, el componente de ransomware únicamente funciona contra dispositivos con Android 9 o versiones anteriores.

La combinación de espionaje, control remoto, robo de información y estas técnicas de intimidación convierte a Mantax Otax en una amenaza invasiva.

La buena noticia es que los dispositivos Android actualizados con Google Play Protect activo ya detectan y bloquean este malware.

El ataque en cuestión se llama PROMPTFLUX y todavía está en una fase experimental, así que parece que podemos estar tranquilos. De hecho, Google afirma que la muestra analizada estaba en desarrollo y que no tenía capacidad para comprometer por sí sola una red o un dispositivo.

Aun así, aquí lo realmente importante es cómo se comportaba este malware. PROMPTFLUX puede pedir a un modelo de IA que lo reescriba y lo haga diferente. Google encontró incluso una variante lista para pedir a Gemini que reescribiera todo su código cada hora con el objetivo de que fuese imposible que se le detectara en un PC.

De nuevo, matizar que no estamos ante un virus que hoy esté infectando de forma masiva los ordenadores de medio mundo. Google deja claro que esto aún es tan solo una prueba de hacia dónde pueden ir los ataques. Pero, precisamente por eso, preocupa: la IA permite automatizar algo que antes necesitaba mucho más trabajo por parte del atacante.

¿Cómo consigue PROMPTFLUX cambiar su propio código?

Este malware está escrito en VBScript y se comunica con la API de Gemini. Su componente más importante, al que Google llama Thinking Robot, está creado para pedir al modelo nuevas formas de cambiar y esconder el código malicioso.

Piensa en ello como un programa que cada cierto tiempo le dice a una IA que haga que su código tenga otra apariencia para que sea más difícil de reconocer. La IA devuelve una nueva versión y el malware puede utilizar ese código modificado.

En una de las variantes analizadas, esa operación se hacía cada hora. El objetivo es que el malware no tenga siempre la misma cara. Aunque siga intentando hacer lo mismo, su código puede ser diferente de una versión a otra.

Eso es importante porque muchas herramientas de seguridad utilizan, entre otras técnicas, firmas para identificar amenazas que ya se conocen. Una firma es, de forma simple, una especie de huella digital de un archivo malicioso. Cuando aparece algo que coincide con una amenaza registrada, el antivirus puede bloquearlo. El problema llega cuando esa huella cambia todo el tiempo.

No es que el antivirus vaya a quedarse completamente a ciegas ante PROMPTFLUX. Los sistemas de seguridad no dependen solo de firmas y también pueden buscar comportamientos sospechosos.

Pero, desde luego, sería complicado de encontrar. Si un malware cambia todo el tiempo su código, resulta casi como un callejón sin salida.

Por eso, lo que pone los pelos de punta aquí no está tanto en que la IA sepa escribir virus, algo que ya se había visto, sino en que el malware puede utilizar una IA como parte de su funcionamiento.

"Cada fallo de seguridad crítico hay que solucionarlo de inmediato"

Teniendo en cuenta lo que un malware con IA puede provocar, desde luego que todo esto está poniendo patas arriba el sector de la ciberseguridad.

Si hablamos de este sector, durante años ha existido una especie de regla no escrita. Cuando un experto encontraba un fallo de seguridad en un programa, le daba a la empresa 90 días para arreglarlo antes de hacerlo público.

Era un tiempo más que suficiente para que los programadores no trabajaran a contrarreloj y los usuarios estuvieran protegidos. Pero ese pacto se ha acabado.

Los expertos advierten que la era de los 90 días ha muerto, y el culpable es la inteligencia artificial. Con herramientas capaces de analizar código a una velocidad nunca antes vista, lo que antes llevaba semanas de investigación ahora se resuelve en una hora.

El problema es que la IA nunca descansa y es una máquina perfecta reconociendo patrones de programación erróneos. Si un hacker (de los buenos) encuentra una vulnerabilidad, puedes estar seguro de que un hacker (de los malos) está usando un modelo de lenguaje para encontrar exactamente lo mismo. Ya no hay margen de maniobra.

Himanshu Anand, investigador de seguridad, ha dado la voz de alarma sobre esto, advirtiendo que la IA puede convertir un parche en un arma en apenas 30 minutos.

Los atacantes ya no esperan a que salga una noticia que alerta sobre un fallo de seguridad en Windows 11, por ejemplo; se dedican a vigilar los cambios en el código de los repositorios públicos.

En cuanto ven que un programador sube una corrección, usan la IA para analizar la diferencia entre el código viejo y el nuevo, entienden dónde estaba el fallo y crean un ataque automático antes de que tú hayas tenido tiempo de actualizar tu PC para eliminar ese fallo.

Bajo esta frase tan contundente se esconde una realidad más que evidente, como es la inocencia o la ingenuidad que todos podemos tener en algún momento de nuestra vida, incluso manejando ya términos técnicos en ciberseguridad.

En la actualidad, técnicas como el phishing o el smishing se han perfeccionado tanto que resulta complicado observar de un vistazo si te encuentras ante una estafa o si, verdaderamente, ese archivo que vas a descargar en tu móvil o tu PC es legítimo.

Hace varios años, probablemente tendrías que haber configurado una máquina virtual para descargar ahí tus archivos, con una configuración en VMware o VirtualBox apta para que la máquina anfitrión no se contagiara si descargabas algún malware.

Pero, afortunadamente, los tiempos han cambiado y, con ello, también las herramientas disponibles para todo tipo de usuarios. La más básica, como seguramente ya puedas conocer, es VirusTotal, una página web que puede analizar si un archivo, URL y demás es malicioso en base a lo que ofrezcan diferentes vendors.

No obstante, no funciona con algo que estos no hayan analizado, por lo que phishing bien cuidado o un archivo creado específicamente para infectar tu PC puede dar falsos negativos. Aquí tienes la guía que a mí siempre me funciona para analizar todos los archivos e incluso poder ver su contenido con total seguridad.

Un simple archivo de texto malicioso puede ser tu perdición

Aunque generalmente se pueda pensar que un archivo malicioso siempre es un ejecutable que acaba en .exe, cualquier documento utilizado habitualmente –como JPG, PNG, DOCX o XLSX– es capaz de ejecutar un malware en tu máquina.

Hay muchísimas trampas que utilizan los atacantes, como ocultar los marcos en formatos del día a día relacionados con tareas ofimáticas, con técnicas de ingeniería social que acabarán dando el control a los ciberdelincuentes.

Además, los archivos PDF que parecen menos peligrosos pueden ocultar código en JavaScript y explotar las conocidas como vulnerabilidades de desbordamiento de búfer en visores tan populares como Adobe Acrobat Reader.

En tal caso, un antivirus tradicional no te va a servir para absolutamente nada, ya que ni siquiera estos serían capaces de reconocer un ataque si pasan la barrera de la ingeniería social o si, directamente, son ataques de día cero, esos que ni siquiera las grandes compañías aún no han parcheado.

Por eso, un análisis previo para analizar archivos peligrosos siempre es VirusTotal, aunque solo recomiendo este para enlaces web a los que aún no hayas accedido, ya que en tal caso funciona de maravilla.

Pero si quieres ir un paso más allá lo mejor es que desactives la invisibilidad de las extensiones en Windows; por defecto, estas suelen venir desactivadas, y un archivo EXE, VBS, SCR, BAT o LNK ha de considerarse como un riesgo real de infección.

A nivel de ejecutables, ya la cosa cambia y deberías tomar muy en serio qué estás instalando. Windows permite acceder a un sandbox –un entorno controlado, seguro y separado de tu sistema principal– para que puedas ejecutar de forma segura todo lo que hayas descargado.

Simplemente busca en el menú de inicio de Windows el término Windows Sandbox, ejecútalo y reinicia el PC cuando te lo pida. Así, tendrás un entorno de escritorio totalmente separado para abrir ahí ese archivo sospechoso y no infectar tu máquina anfitriona, ya que la ventana virtual se destruirá si el programa contiene un troyano o un ransomware, quizá los peores eventos a los que te podrías enfrentar.

Pero un paso más allá de esto, y de forma más accesible para todos los usuarios, funciona Dangerzone, una herramienta que antes sí requería tener Docker Desktop bien configurada, pero que ahora funciona como una aplicación totalmente independiente.

Puede usarla tanto en Windows 10 como en Windows 11, aunque necesitarás haber activado la virtualización en la BIOS/UEFI, además de 1,5 gigabytes libres en tu disco para que la instalación tenga hueco y se puedan realizar correctamente las imágenes del contenedor de aislamiento.

Desde el repositorio oficial de GitHub, descarga el archivo y ejecuta el que acaba en .msi para seguir las instrucciones de instalación; seguramente te aparezca una ventana de seguridad de Windows, la que tendrás que aceptar para continuar con la configuración.

Aquí no hay ni máquinas virtuales para configurar en varios pasos ni comandos extraños que has de introducir en la consola. Solo tienes que abrir el programa y el mismo confirmará que se está ejecutando de forma aislada.

Ahora, cada vez que quieras abrir un archivo del que sospeches, lo único que tendrás que hacer es ejecutarlo desde esta herramienta. En ningún caso tienes que abrir antes el archivo sospechoso, ya sea por el correo electrónico o mediante el explorador de archivos.

Solo arrastra el archivo a la ventana de Dangerzone y podrás configurar diferentes herramientas: el reconocimiento de texto (OCR) para que el PDF resultante te permita editar el texto; el lenguaje según el idioma en el que esté escrito y la opción de abrir tras convertir, para que el archivo desinfectado se abra inmediatamente y puedas visualizar su interior con total seguridad.

Básicamente, es como si realizaras una limpieza a fondo de un documento, pero con la garantía de que tu máquina no se va a infectar: el resultado es un archivo limpio que puedes revisar para ver cómo actúan los ciberdelincuentes y de forma que no tengas que realizar una virtualización o crear un entorno aislado en un contenedor.

Lo mejor de todo es que no solo sirve para archivos PDF, sino que tendrás a tu disposición muchísimos formatos: docx, doc, xlsx, pptx, ppt, odt, ods, odp, odg, jpg, jpeg, png, gif, tiff, epub, hwp y muchos más relacionados con documentos de ofimática, archivos de imagen y formatos de texto o de libros electrónicos.

Sinceramente, es una herramienta que utilizo de forma habitual y que me ha encantado. Si la usas, recuerda siempre tomar todas las precauciones y jamás abrir el archivo original, para garantizar totalmente tu seguridad.

Bajo el usuario de darama22 en GitHub, ha creado el repositorio Malware Research Hub, con una lista muy bien integrada de hasta 53 años de historia de malware, desde el virus histórico Creeper, que apareció en 1971.

Ahora bien, no es un simple repositorio para los especialistas y aficionados en ciberseguridad, sino que funciona mediante un diseño de arquitectura de almacenamiento seguro, así como el desarrollo de una aplicación web local en Python y Flask para indexar y explorar todas las muestras sin que se ejecuten accidentalmente en la máquina este tipo de software malicioso.

En su propia página de GitHub lo explica claramente: "Malware Research Hub es una plataforma local que unifica un catálogo forense curado, un arsenal de 2.764 especímenes reales (todos cifrados), un motor de búsqueda propio y un hub de recursos de investigación, desde Creeper (1971) hasta el ransomware moderno".

Y añade que todo está indexado y que se puede buscar tanto en inglés como en español mediante una app web propia, sin dependencias externas más allá del mencionado Flask.

En total, aquí encontrarás hasta 84 familias de malware con 11 colecciones disponibles durante más de medio siglo, una verdadera reliquia para los equipos de defensa de cualquier empresa y organización.

Qué puedes encontrar exactamente en Malware Research Hub

El contenido de este repositorio está dividido en 3 pilares principales: catálogo forense, colecciones de especímenes reales y recursos de ingeniería inversa. Todo esto dirigido a la ciberseguridad defensiva y a las operaciones del equipo azul, encargado de las defensas de una organización.

Como suele decirse, hay que conocer al enemigo para poder combatirlo, y esto es precisamente lo que busca Malware Research Hub: "Todas las muestras van en ZIP cifrado con contraseña infected. Nunca las descomprimas en tu máquina principal. Opera solo en una VM aislada (host‑only / sin red) con snapshots, usando REMnux + FakeNet‑NG. El servidor no ejecuta ni sirve binarios por defecto. Solo metadatos y 'abrir carpeta'. Un espécimen extraído es hostil. Trátalo como plutonio digital".

De tal forma, la primera recomendación es que crees un entorno aislado y controlado mediante una máquina virtual, con la configuración que comparte el propio autor, para evitar que acabes infectando tu máquina principal.

Si ya tienes esto listo, te toparás con casi 3.000 especímenes reales de malware que están distribuidos en 11 colecciones diferentes verificadas por toda la comunidad de ciberseguridad defensiva.

La que acumula mayor número de especímenes es Malware-Databes-Src, con código fuente desglosado por cada plataforma –Win32, Linux, macOS, MS-DOS, etc.–. A partir de aquí, le siguen VX-Underground, con código fuente histórico y moderno por lenguaje de programación, y theZoo, con binarios reales cifrados y código fuente agrupado por familias.

Según el autor, se centra en "corpus agregado a partir de colecciones públicas de investigación reconocidas (theZoo, VX‑Underground, MalwareBazaar/abuse.ch, InQuest, javascript‑malware‑collection y otras); cada subcolección conserva su licencia original en su carpeta. Curación, integración, cifrado, indexado y plataforma: trabajo propio".

A partir de aquí, hay muchas más colecciones, como Malware-Database, con binarios históricos cifrados categorizados por amenazas; VX-API, con demostraciones de técnicas avanzadas de malware en C y C++; JavaScript Malware; Malware-Samples, con familias y amenazas modernas en formato binario cifrado, e incluso el gusano Stuxnet, con el código fuente completo.

O lo que es lo mismo, en lugar de listar miles y miles de técnicas, reúne 84 familias deduplicadas, para que el usuario pueda tener a su disposición todo sin tener que rebuscar mucho.

Adicionalmente, cuenta con una línea de tiempo interactiva, desde 1971 hasta 2024, para ver cómo han evolucionado este tipo de ataques, además de integración con estándares, como STIX/MAEC o conjuntos de datos para aprendizaje automático en el campo de la ciberseguridad defensiva.

Al ejecutar la herramienta no existe ningún servidor externo, sino que corre localmente, a la par que su motor de búsqueda te permitirá filtrar por familiar, arquitectura o plataforma objetivo, tipo de amenaza y colección de origen.

Para la seguridad en el backend, el servidor web no ejecuta los binarios ni sirve cargas ejecutables a través del navegados; simplemente maneja metadatos, visualización de fichas e interacción con carpetas locales.

Y el creador del repositorio, como es lógico, extiende una advertencia sobre el uso responsable de este: "Uso exclusivamente educativo y de investigación en ciberseguridad defensiva. La posesión, manipulación y ejecución de malware está sujeta a las leyes de tu jurisdicción. El operador es el único responsable de contener las muestras en entornos aislados. Distribuir o ejecutar estos artefactos con intención dañina es un delito. Opera en aislamiento. No seas el paciente cero".

Con el objetivo de que tu máquina principal (host) no acabe infectada con estas tipologías de malware, es obligatorio el uso de un entorno virtualizado aislado con tu herramienta favorita, ya sea VMware, VirtualBox o Proxmox.

La configuración tiene que cumplir estrictamente con la siguiente regla: la máquina virtual solo puede estar en modo Solo Anfitrión (host-only) o totalmente desactivada, con la red interna desconectada para que no existan brechas.

En el caso de los gusanos, estos son autorreplicables, por lo que el autor también advierte de que lo mejor es usar distros especializadas como REMnux, combinándola con simuladores de red como FakeNet-NG o INetSim para evitar que estos intenten propagarse.

En definitiva, Malware Research Hub es una herramienta vital que sirve como archivo histórico para los equipos de ciberseguridad defensiva o los especialistas en inteligencia de amenazas, pero bajo ningún concepto has de utilizarla sin conocimientos en este ámbito, y mucho menos para cuestiones ilegales.

La campaña ha sido descubierta por los investigadores de seguridad de ThreatFabric y ha tenido un impacto especialmente importante en España. Entre el 11 de junio y el 3 de julio de 2026, uno de los anuncios maliciosos difundidos a través de Meta habría alcanzado aproximadamente 570.000 usuarios.

Todo comienza con un anuncio que presenta un supuesto servicio de televisión en streaming gratuito. El usuario que pulsa sobre él termina en una página web preparada específicamente para continuar con el engaño.

La página comprueba qué dispositivo está utilizando la víctima. Si no es Android, muestra un error, mientras que los usuarios de teléfonos Android reciben instrucciones para descargar una aplicación en formato APK.

El proceso está diseñado para parecer legítimo y cambia incluso dependiendo de si la víctima llega desde Facebook, Instagram, TikTok o directamente desde un navegador.

El objetivo es convencer al usuario de que permita la instalación de aplicaciones procedentes de fuentes desconocidas y, posteriormente, conceda a la aplicación acceso a los Servicios de Accesibilidad de Android. Y ahí es donde la situación empieza a complicarse.

La aplicación descargada funciona inicialmente como un instalador que se encarga de introducir el malware definitivo en el teléfono. Incluso puede pedir al usuario que la establezca como lanzador predeterminado del dispositivo, de manera que el botón de inicio termine mostrando su propia interfaz.

Una vez instalado StreamRat y obtenidos los permisos necesarios, el malware establece comunicación con sus servidores y comienza a recopilar información del teléfono.

Entre sus capacidades se encuentra la posibilidad de supervisar lo que aparece en pantalla y capturar información introducida por el usuario. Además, incluye diferentes mecanismos para que los atacantes puedan controlar remotamente el dispositivo.

Uno de ellos utiliza VNC junto con la función de proyección de pantalla de Android. Pero existe otro método todavía más discreto que utiliza los Servicios de Accesibilidad para realizar capturas sin mostrar el indicador habitual asociado a la grabación o transmisión de pantalla.

Según ThreatFabric, este sistema puede llegar a realizar una captura aproximadamente cada 200 milisegundos, proporcionando al atacante una visión prácticamente en tiempo real del teléfono.

El malware también puede reconstruir el contenido de la pantalla utilizando los elementos de accesibilidad de Android en lugar de enviar una imagen completa.

StreamRat no se limita a espiar el teléfono. El troyano puede mostrar interfaces falsas por encima de aplicaciones legítimas, algo especialmente peligroso cuando la víctima abre una aplicación bancaria.

De esta forma, los atacantes pueden intentar engañarla para que introduzca sus credenciales en una pantalla controlada por el malware.

Además, puede bloquear prácticamente toda la pantalla con una superposición negra, mostrando incluso falsas pantallas de actualización de Android para mantener al usuario distraído mientras el atacante opera en segundo plano.

El problema está identificado como CVE-2026-85046 y afecta al motor V8 de Chrome, encargado de ejecutar JavaScript y WebAssembly. Google lo ha clasificado como una vulnerabilidad de alta gravedad y ha confirmado que existe un exploit circulando actualmente.

La vulnerabilidad es de tipo type confusion, un problema que puede provocar que el software interprete de forma incorrecta determinados objetos en memoria. En determinadas circunstancias, un atacante podría aprovechar este comportamiento para provocar una corrupción de memoria.

Aunque Google no ha publicado detalles técnicos sobre cómo se están llevando a cabo los ataques, el funcionamiento del fallo resulta relevante porque V8 procesa código JavaScript procedente de las páginas web que visitamos.

Esto significa que, al menos en teoría, una página especialmente diseñada podría utilizar el fallo para ejecutar código malicioso dentro del proceso de Chrome. El aislamiento del navegador proporciona una capa de protección adicional, pero una vulnerabilidad de este tipo sigue representando un riesgo importante, especialmente cuando ya está siendo explotada.

La compañía ha decidido mantener bajo reserva buena parte de la información técnica para evitar facilitar el trabajo a los atacantes mientras los usuarios terminan de recibir el parche.

La actualización no se limita a esta vulnerabilidad. Google también ha solucionado otros fallos de seguridad de alta gravedad relacionados con componentes como WebGL, DevTools, Skia, CacheStorage, Network y el propio V8.

La vulnerabilidad CVE-2026-85046 es, además, el sexto fallo de día cero de Chrome explotado activamente que Google ha corregido durante 2026. La frecuencia de estos incidentes demuestra la importancia de mantener el navegador actualizado incluso cuando aparentemente funciona con normalidad.

Para comprobar si la actualización ya está disponible, basta con abrir Chrome y entrar en Configuración e Información de Chrome. El navegador comprobará automáticamente si existe una nueva versión y comenzará a descargarla cuando corresponda.

La versión que Google está distribuyendo es la 152.0.7977.82/.83 para Windows y macOS, mientras que Linux recibe la 152.0.7977.82.

Una vez instalada, será necesario reiniciar Chrome para que las correcciones de seguridad queden activas.

Los usuarios de navegadores basados en Chromium, como Microsoft Edge, Brave, Opera o Vivaldi, también deberían estar atentos a sus respectivas actualizaciones, ya que las correcciones pueden llegar con algunos días de diferencia.

Investigadores de seguridad de Socket han descubierto una campaña maliciosa que afectó a 19 extensiones de Chrome y Edge. En total, decenas de miles de usuarios pudieron quedar expuestos, especialmente aquellos que utilizaban servicios y monederos relacionados con criptomonedas.

La estrategia utilizada por los atacantes hacía que las extensiones resultaran difíciles de detectar. Según los investigadores, 14 de los complementos fueron desarrollados directamente por los ciberdelincuentes, mientras que otros cinco fueron adquiridos a desarrolladores y empresas legítimas.

En un primer momento, estos programas cumplían las funciones que prometían. El problema llegó después, cuando recibieron actualizaciones que incorporaban código diseñado para recopilar información y comprometer los dispositivos.

Una de las extensiones más afectadas fue Enable Right Click & Copy - Smart Unlock + OCR. Llegó a acumular alrededor de 70.000 instalaciones en Chrome y otras 10.000 en Edge, por lo que unos 80.000 usuarios estuvieron potencialmente expuestos.

Los atacantes tenían especial interés en monederos de criptomonedas y otros datos relacionados con estos activos, aunque la campaña también podía recopilar otra información del usuario.

Los investigadores creen que algunas de las técnicas utilizadas en esta campaña ya estaban presentes desde febrero de 2024. Los atacantes podían introducir las cargas maliciosas después de haber conseguido una base considerable de usuarios y controlar posteriormente la campaña mediante una infraestructura de comando y control.

Google y Microsoft terminaron retirando las extensiones afectadas de sus respectivas tiendas. Sin embargo, eso no significa necesariamente que todos los usuarios estén protegidos automáticamente.

Si alguna de estas extensiones sigue instalada en un ordenador, eliminarla manualmente es una de las medidas más importantes. También conviene revisar las extensiones instaladas en Chrome o Edge y desconfiar especialmente de aquellas que no se recuerde haber instalado.

El caso demuestra además que tener una extensión disponible en la tienda oficial no garantiza que vaya a mantenerse segura para siempre. Una extensión legítima puede cambiar de propietario o recibir posteriormente una actualización que modifique por completo su comportamiento.

Ahora, el kernel de Linux Torvalds es el nuevo objetivo de los ciberdelincuentes porque se han detectado varias vulnerabilidades en Red Hat Enterprise Linux (RHEL). Millones de personas están actualmente en peligro por las posibles fallas virtuales que pueden afectar a los dispositivos.

Este incidente vuelve a hacer que se vuelva urgente mantener una estrategia constante de parcheo en infraestructuras críticas y servidores empresariales con Red Hat, SAP o arquitecturas como ARM, IBM z e IBM Power.

Las vulnerabilidades del kernel amplían la superficie de ataque en sistemas Red Hat

Se han presentado diversas debilidades en sistemas operativos de distintas compañías. En este caso, llama la atención porque se trata de un anuncio oficial de Red Hat donde han confirmado múltiples avisos de seguridad para corregir fallos detectados en el kernel de Linux.

Los problemas afectan a distintas versiones y variantes de Red Hat Enterprise Linux y Red Hat CodeReady Linux Builder. Entre los productos impactados se encuentran plataformas para arquitecturas x86_64, ARM64 (aarch64), IBM z Systems (s390x) y Power (ppc64le), incluyendo también ediciones con soporte extendido y ciclos de vida ampliados, según HKCERT.

Un atacante remoto podría aprovechar algunas de estas vulnerabilidades para provocar denegaciones de servicio, obtener acceso a información confidencial, elevar privilegios dentro del sistema comprometido, manipular datos o incluso ejecutar código de forma remota en determinadas circunstancias.

Aunque no todas las fallas presentan el mismo nivel de criticidad, la combinación de numerosos identificadores CVE incrementa la complejidad del panorama de riesgo para los administradores de sistemas.

La lista de vulnerabilidades corregidas incluye decenas de identificadores, entre ellos CVE-2025-21834, CVE-2026-23003, CVE-2026-43450, CVE-2026-53026, CVE-2026-64018, CVE-2026-64276, CVE-2026-64384, CVE-2026-68086 y CVE-2026-72130, entre otros.

Los inconvenientes se pueden visualizar y confirmar en la página oficial, por lo que es importante tener en cuenta los códigos para determinar si hay un punto de entrada para comprometer servicios críticos o facilitar movimientos laterales dentro de una red corporativa.

Actualizar cuanto antes es la principal recomendación para mitigar los riesgos

La respuesta de Red Hat frente a estas vulnerabilidades ha consistido en la publicación de correcciones oficiales distribuidas a través de varios avisos de seguridad.

La compañía recomienda instalar los parches disponibles y revisar la documentación asociada antes de desplegarlos en producción. Esta práctica permite validar posibles impactos operativos y garantizar una implementación adecuada dentro de cada entorno tecnológico.

Entre los boletines de seguridad publicados se encuentran RHSA-2026:61310, RHSA-2026:61887, RHSA-2026:61959, RHSA-2026:61973, RHSA-2026:62345 y RHSA-2026:62346.

Estos paquetes incluyen las correcciones destinadas a resolver las vulnerabilidades identificadas en las distintas versiones afectadas del kernel.

Con respecto a los equipos de TI, la recomendación pasa por verificar el inventario de sistemas, identificar la presencia de versiones vulnerables y programar la instalación de las actualizaciones siguiendo las políticas internas de gestión de cambios.

En entornos empresariales, donde el kernel constituye uno de los componentes más sensibles del sistema operativo, actuar con rapidez ante los avisos de seguridad puede marcar la diferencia entre una actualización rutinaria y un incidente de seguridad de gran alcance.

Sin embargo, instalar estas apps no verificadas puede convertir tu dispositivo en una puerta abierta a ciberdelincuentes capaces de acceder a información, incluyendo credenciales bancarias y datos personales.

De acuerdo con 20minutos, se ha advertido de este riesgo y se ha señalado a Massiv, un malware capaz de acceder a información sensible y de poner en peligro incluso las apps del banco.

Cabe señalar que este troyano no solo compromete el dispositivo, sino que está diseñado específicamente para robar datos bancarios mediante técnicas sofisticadas de vigilancia digital.

Massiv convierte una app de IPTV en una amenaza

Cabe mencionar que Massiv es un troyano bancario para Android descubierto por los investigadores de ThreatFabric, cuyo objetivo no es simplemente mostrar publicidad o robar algún dato personal.

Cuenta con capacidades para tomar el control del dispositivo y utilizarlo para realizar acciones fraudulentas. Y una de sus técnicas consiste en mostrar pantallas falsas sobre aplicaciones legítimas.

Si la víctima abre una aplicación bancaria, por ejemplo, el malware puede colocar encima una interfaz que imita la original y solicitar las credenciales o información que necesita el atacante.

También puede registrar las pulsaciones del teclado del móvil e interceptar mensajes SMS y notificaciones. Esto resulta peligroso porque muchos servicios utilizan mensajes o notificaciones para confirmar operaciones.

Si el ciberdelincuente consigue controlar el dispositivo y acceder a esa información, puede tener más posibilidades de completar operaciones fraudulentas.

ThreatFabric también documentó casos en los que se utilizaron datos obtenidos de dispositivos infectados para abrir nuevas cuentas a nombre de las víctimas.

La investigación identificó campañas dirigidas inicialmente contra usuarios de Portugal y Grecia, aunque el uso de aplicaciones que imitan servicios IPTV también se ha observado en España, Francia y Turquía.

Así consiguen que el usuario instale el malware

El ataque parte de un engaño bastante sencillo, donde los hackers crean una aplicación que parece un servicio IPTV y la distribuyen fuera de las tiendas oficiales mediante páginas web u otros canales.

Esto aprovecha una particularidad del público que busca determinadas plataformas IPTV, ya que está más acostumbrado a instalar apps mediante archivos APK externos.

En algunos casos, la app que ve el usuario ni siquiera es la que contiene directamente todo el malware. ThreatFabric encontró aplicaciones que muestran una página IPTV mediante un navegador integrado mientras el componente malicioso ya está instalado y funciona en segundo plano.

Durante el proceso también pueden aparecer solicitudes de permisos que conceden al programa un acceso mucho mayor al teléfono. Aceptarlos sin comprobar qué está pidiendo la app puede facilitar que el atacante controle diferentes funciones del dispositivo.

Qué hacer para evitar el malware

La principal protección consiste en no instalar aplicaciones IPTV procedentes de fuentes desconocidas, especialmente cuando exigen descargar un APK desde una página externa o activar permisos que no parecen necesarios para su funcionamiento.

También conviene comprobar quién desarrolla la app, revisar los permisos antes de aceptarlos y desconfiar de programas que prometen acceso gratuito a contenidos de pago a cambio de instalar componentes adicionales.

Si una aplicación desconocida solicita permisos de accesibilidad, acceso a mensajes o cualquier otro privilegio que no tenga relación clara con su función, lo recomendable es detener la instalación.

El problema no es la tecnología IPTV en sí misma, sino que el peligro aparece cuando una aplicación falsa utiliza ese reclamo para introducir malware en el teléfono.

Massiv demuestra que el coste de conseguir una retransmisión gratis puede terminar siendo mucho mayor si el usuario entrega sin saberlo el control de su dispositivo y el acceso a información financiera.

Aproximadamente sobre las ocho y media de la tarde del 2 de noviembre de 1988, un programa malicioso se había colado en la red y llegó a infectar a alrededor de 6.000 ordenadores del total de 60.000 que conformaban la red en aquel entonces.

Los ordenadores afectados no solo fueron los del MIT, sino que el responsable de observar el inicio de este supuesto ataque era un estudiante que pertenecía a la Universidad de Berkeley, en California (Estados Unidos), donde sus máquinas comenzaban a detenerse.

Cuando descubrieron lo que había ocurrido, los investigadores se dieron cuenta de que un gusano había afectado a muchísimos centros educativos y universidades de referencia, como las ya mencionadas, y el FBI llegó a pensar que se estaba produciendo una incursión a gran escala en sus sistemas.

Los 6.000 ordenadores afectados en aquel entonces utilizaban una versión específica derivada del sistema operativo Unix, aunque se amplió rápidamente aprovechando puertas traseras en el sistema de correo electrónico primitivo de aquella época.

Además, afectó a otro programa que permitía identificar individualmente a todos los usuarios conectados a la red. El FBI continuó la investigación, a la par que el gusano se extendía aún más y afectaba a más y más servicios. Curiosamente, ningún agente externo había atacado la red, sino que había sido un experimento.

El experimento inofensivo que acabó investigando el FBI

El gusano, al que más adelante se acabó apodando el gusano Morris, no fue uno de los peores, pero podía recorrer todos los servicios de aquel Internet original, por lo que llegó a afectar a prestigiosas organizaciones, como la Universidad de Harvard, la de Princeton, Stanford, Johns Hopkins, a la NASA y al Laboratorio Nacional Lawrence Livermore.

El FBI comenzó a investigar, ya que a pesar de que no había destruido archivos, sí había logrado ralentizar toda la red, el cliente de correo electrónico e implicó una investigación conjunta para saber cómo acabar con el gusano Morris.

La institución estimó las pérdidas en un principio en aproximadamente unos 100.000 dólares que, tras unos días, alcanzó millones de dólares en daños; algunas instituciones limpiaron sus sistemas, mientras que otras optaron por desconectar sus máquinas durante una semana entera, con lo que esto implicó.

Tras intentar solucionar aquel desastre, un programador escribió a 2 amigos para explicarles que había sido él el responsable, que había lanzado aquel gusano, pero había perdido totalmente el control de la situación. Y, como era lógico, no sabía qué hacer.

Este joven programador de 23 años, Robert Tappan Morris –de ahí el nombre posterior con el que se bautizó al gusano–, pertenecía a la Universidad de Cornell, y le pidió a uno de sus amigos que enviara un mensaje anónimo en Internet pidiendo perdón por todo lo sucedido.

En dicho mensaje, el programador pedía disculpas por haber causado tantos daños; irónicamente, muchas de las instituciones no recibieron el mensaje por culpa de estar infectados con el gusano Morris. Así que, paralelamente, su otro amigo realizó una llamada anónima a The New York Times.

Según contó este al medio, todo formaba parte de un experimento inofensivo y el resultado de la propagación había sido un error de programación; este también se refirió a él por sus iniciales, RTM, lo que llevó a los periodistas de The Times a dar con el nombre completo del causante.

A pesar de que Morris no lo había hecho de forma malintencionada, sí había vulnerado las leyes federales, ya que había comenzado pirateando un ordenador del MIT, gracias a los conocimientos que había adquirido con los conocimientos de su padre, que trabajaba en Bell Labs.

Morris era un experto en Unix, un estudiante con muy buenas calificaciones y, además, también era bastante bromista. Había desarrollado en secreto un programa que podía extenderse lentamente por Internet y había logrado cubrir todos sus rastros.

El FBI comenzó rápidamente una investigación más exhaustiva y entrevistó a Morris y a sus amigos, lo que dio lugar a numerosas pruebas que lo incriminaban; el resultado fue una investigación federal por incumplir la Ley de Fraude y Abuso Informático aprobada por el Congreso en 1986, 2 años antes del incidente ocurrido.

Esta prohibía el acceso no autorizado a ordenadores protegidos, como el que pirateó del MIT, por lo que acabó convirtiéndose en la primera persona de todo el mundo en ser condenada por este tipo de actos.

A pesar de ello, pudo evitar la cárcel y recibió a cambio una multa de 10.050 dólares, la libertad condicional durante 3 años y tuvo que realizar hasta 400 horas de servicios sociales. En cualquier caso, el gusano Morris se hizo muy popular en un país que jamás había vivido una situación así.

Más adelante, Morris siguió de forma normal con su carrera en informática y comenzó su carrera como investigador, incluso dando clases en el MIT, además de desarrollar diferentes proyectos para compañías privadas.

De cualquier forma, el gusano Morris dio lugar a nuevas modalidades de ataques durante el inicio de Internet, pero también al inicio del equipo de respuesta, el Computer Emergency Response Team (CERT), para coordinar las respuestas a vulnerabilidades y ataques de este tipo.

En aquel entonces, el 10% de los ordenadores conectados ya suponían una superficie de ataque increíble; en la actualidad, con el aumento de los dispositivos conectados, se hace más que evidente que aquel inicio de Morris fue casi imprescindible para aprender sobre los errores de seguridad.

Y, gracias a aquel ejemplo tan temprano, el sistema pudo desarrollar sus defensas, provocando un aumento de los equipos de seguridad, algo que ni siquiera preocupaba al principio, al ser una red más cerrada que prácticamente utilizaban centros y universidades.

Entre las cosas que se recomendaban siempre, además de tener un antivirus, era apagar el teléfono una vez a la semana para detener procesos de malwares persistentes.

Hasta en 2025 fue algo efectivo para millones, pero en 2026, las cosas se están poniendo difíciles para aquellos que intentan defenderse. Todo se debe a que hay cada vez más estrategias maliciosas aplicadas a través de numerosos virus.

Las autoridades recomiendan cambiar la frecuencia en la que se hacen los reinicios y agregar otras formas de protegerse de las amenazas que aprenderás en la siguiente información.

¿Por qué ya no sirve apagar o reiniciar el móvil una vez por semana ante los ciberataques?

Apagar o reiniciar el teléfono cada semana ya no sirve de mucho ante los ciberataques y es que este año las cosas se complican aún más. Los piratas informáticos no solamente están creando campañas de phishing para engañarte con el fin de compartir tu información personal, sino que también han surgido malwares roba datos.

Algunos virus le permiten a los atacantes tomar el control de los dispositivos sin que el usuario se dé cuenta, mientras que otros actúan silenciosamente para hacer acciones fraudulentas o adentrarse en tus cuentas de banco y redes sociales.

Anteriormente, los expertos recomendaban usar esa táctica de ciberseguridad mencionada porque detiene los procesos cada cierto tiempo. Para este 2026, la Agencia de Seguridad Nacional de los Estados Unidos (NSA) y el Primer Ministro de Australia, Anthony Albanese, advierten a los usuarios de hacer esto al menos una vez al día y no semanal.

“Todos tenemos una responsabilidad. Cosas sencillas: apaga el teléfono cinco minutos cada noche. Para quienes ven esto, hazlo cada 24 horas, mientras te cepillas los dientes o haces lo que sea” - Albanese.

Desde The Guardian explican que con realizarlo cada 24 horas y dejarlo apagado unos 5 minutos, garantiza que los procesos de los cibercriminales se detengan. Esta simple acción sirve para impedir que se lleven a cabo los spywares, ataques zero-click y otros programas maliciosos.

Es una medida simple, pero efectiva hasta con estrategias sofisticadas. El único problema es que para algunos usuarios podría ser “fastidioso” o algo que se puede olvidar fácilmente.

En efecto, el profesor especialista en ciberseguridad de la Universidad de Tecnología de Sídney, Dr. Priyadarsi Nanda, afirma que conoce “casos en los que las personas no han apagado sus teléfonos en un año entero”

La clave está en tomarlo como un hábito, donde cualquier momento libre o cuando estés haciendo algo donde no necesites el móvil, ejecutar el apagado y así no afecta de ninguna manera la experiencia, pues son solo 5 minutos.

Otras medidas de seguridad que deberías aplicar en tu móvil

Eso no es todo, la propia NSA ha dicho que se deben considerar otros métodos de protección si de verdad se quiere mantener la integridad de los datos y el sistema.

Hay que empezar con lo básico y es que, si está dentro de tus posibilidades, lo mejor es que uses un antivirus en tu Android o iOS, mientras que también podrías agregar una VPN para mantener la protección al navegar por Internet.

Las otras recomendaciones son cosas fundamentales como actualizar siempre el SO, descargar archivos solo de fuentes confiables y evitar las redes públicas de WiFi y Bluetooth. Además, es bueno usar la autenticación de dos pasos en las plataformas donde te registres.

Si cualquier amenaza se cuela en el sistema, todo esto se pone en peligro, tanto en Android como en iPhone. Habiendo tantos casos de phishing y malware rondando en internet, detectar a tiempo una posible intrusión se ha convertido en una prioridad para todos.

¿Crees que alguien ha accedido a tu teléfono sin tu consentimiento? Si notas comportamientos extraños o que el dispositivo está infectado de virus, hay que analizar con mucha atención las señales.

En 2026, los casos aumentan y prepararse antes de cualquier cosa es lo que te va a mantener a salvo de las garras de los ciberdelincuentes. Por eso, en este artículo vas a aprender todo sobre cómo monitorear tu smartphone para determinar si te han hackeado.

Señales que indican que tu smartphone podría estar siendo vigilado

No todos los comportamientos extraños significan que tu teléfono ha sido hackeado y es por eso que hay que tener en cuenta cada detalle. De hecho, es posible confundir ciertas cosas con problemas de rendimiento u otros errores que se presentan en el sistema.

A medida que se va utilizando el dispositivo, surgen estos inconvenientes, pero lo bueno es que existen ciertas señales que indican si se trata de algo con lo que hay que tener mucho cuidado.

Uno de los síntomas más habituales es el consumo anormal de batería, pues cuando comienza a perderse porcentaje drásticamente sin que se esté haciendo nada, es posible que se trate de un malware realizando acciones en segundo plano sin que te des cuenta.

Evidentemente, la vida útil es un tema, pero cuando es una exageración lo de la energía, seguro que hay algo causando el problema. También debes prestar atención al sobrecalentamiento frecuente sin que se esté ejecutando una app o juego exigente.

Por otra parte, está el consumo de datos móviles porque muchas de las amenazas drenan esto rápido cuando inyectan programas de espionaje o recopilan información para mandarla a fuentes externas.

Asimismo, la aparición de aplicaciones que no recuerdas haber instalado, permisos excesivos concedidos a ciertas apps o publicidad emergente fuera de lo normal.

Llamadas, mensajes o notificaciones extrañas y reinicios inesperados junto a intentos de inicio de sesión que no has hecho, son suficientes como para darte cuenta de que hay un intruso.

¿Qué debes comprobar antes de cambiar de teléfono?

¿Tienes que comprar de una vez un nuevo móvil? Cuando un teléfono está infectado, es normal pensar si es necesario reemplazar el dispositivo o cambiar el número.

Sin embargo, los especialistas en ciberseguridad advierten que esta decisión no siempre resuelve el problema de fondo. Uno de los casos que los describe es el que se comparte en el medio AnalisiDifesa, en Italia se ha hecho una denuncia del experto Andrea Mavilla debido a que ha revelado números telefónicos y datos institucionales.

Esto se hizo sin necesidad de recurrir a técnicas avanzadas de hackeo o a la dark web. De aquí se abrió una investigación para poder encontrar el origen de los registros y dieron con que todo giraba alrededor de las cuentas vinculadas al smartphone y diversas plataformas en internet.

Por esto mismo, se recomienda encarecidamente que, antes de considerar sustituir el móvil, es necesario verificar todas las cuentas con sesiones activas de Google, Apple, Microsoft y redes sociales para cerrarlas.

Cambiar las contraseñas y activar la autenticación multifactor es crucial. Además, es importante mantenerse al día con los posibles dispositivos desconocidos que estén vinculados.

En sí, cuando un atacante ya obtuvo acceso a tus cuentas, reemplazar únicamente el hardware podría dejar intacta parte del riesgo. De hecho, si vas a vender o tirar el dispositivo, siempre haz un restablecimiento de fábrica para no comprometer nada.

Cómo proteger tu móvil y recuperar la seguridad en 2026

Los hackers siempre buscan los datos más valiosos con los que puedan afectarte directamente a corto o largo plazo. Cualquier información que sirva para robar tu identidad o dinero es suficiente.

Aquí se incluyen los contactos, correos electrónicos, números de teléfono, cuentas iniciadas, tarjetas y mucho más. Por ello, la investigación y la contención deben realizarse de forma conjunta antes de considerar resuelto el incidente.

¿Qué hacer entonces para mantener el dispositivo listo? Cuando notas que hay algunas de las señales mencionadas en los anteriores apartados, lo primero que tienes que hacer es mantener el sistema actualizado, al igual que todas las aplicaciones.

Principalmente, se debe a que los desarrolladores suelen agregar los parches de seguridad necesarios para combatir las amenazas. Sin embargo, en varias situaciones eso no es suficiente.

Es recomendable eliminar aplicaciones que no utilices y revisar individualmente los permisos concedidos en cada una de ellas. Si tienes plataformas de cifrado de extremo a extremo, mejor.

Las recomendaciones más recientes de la Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) destacan la importancia de activar métodos de autenticación resistentes al phishing y todos los métodos de seguridad al día.

Si persisten los indicios de compromiso, realiza una copia de seguridad de la información esencial y valora restablecer el teléfono a los ajustes de fábrica. Recuerda no ingresar a cualquier página web, comprueba los mensajes o correos de marcas y no compartas tus datos a la ligera en Internet.

Esto quiere decir que los navegadores más populares de la actualidad son unos de los softwares más afectados. Millones de usuarios están a punto de sufrir la amenaza "arrayref", un create que impacta directamente con proyectos relacionados con criptografía, blockchain e interfaces gráficas.

Además, la situación recuerda otros incidentes recientes que han afectado repositorios y registros de software de uso masivo. El problema es más grande de lo que parece y por eso las autoridades recomiendan prestar atención para tomar cartas sobre el asunto.

¿Cómo se produjo el ataque y por qué preocupa tanto a la comunidad Rust?

Los hackers vuelven a hacer de las suyas con respecto a los malware. Esta vez se trata de uno que definitivamente está llamando la atención del sector de los desarrolladores.

Para ser más específicos, los investigadores de StepSecurity descubrieron que un atacante comprometió la cuenta de mantenimiento asociada a varios crates de Rust para distribuir código malicioso a través de actualizaciones aparentemente legítimas.

Básicamente, engañaron el sistema para que reemplazara versiones correctas por unas infectadas con el fin de agregar las respectivas "actualizaciones".

Según BleepingComputer, las versiones afectadas fueron "arrayref 0.3.10", "append-only-vec 0.1.9" e "internment 0.8.7". Cada una de estas está relacionada con la misma cuenta de mantenimiento y parte de una dependencia en específico.

Esta en cuestión es conocida como "proc-macro1", la cual fue modificada para hacerse pasar por "proc-macro2". En este proceso, se inyectó el malware sin levantar sospechas, ya que el hacker mantuvo todo lo demás intacto, insertando todo el contenido malicioso por este medio.

El archivo "build.rs" de "proc-macro1" se ejecutaba automáticamente durante el proceso de compilación para que el script generara componentes codificados en Base64. Eso fue suficiente como para construir una infección específica para cada sistema operativo: Windows, Linux, macOS Intel y macOS ARM.

En Windows, creaba "%TEMP%\rust-setup.ps1" y utilizaba una combinación de scripts VBS y procesos ocultos mediante wscript.exe para garantizar la ejecución continua del código malicioso.

El atacante mantuvo intacto prácticamente todo el código original de los proyectos comprometidos, incorporando únicamente esta dependencia maliciosa.

De esta forma, la actualización parecía normal y pasaba desapercibida incluso sobre revisiones superficiales. En efecto, aprovechaba la confianza de los desarrolladores sobre las dependencias, porque todo se ejecutaba en segundo plano.

Malware multiplataforma, robo de credenciales y medidas urgentes para los desarrolladores

El ataque comenzó el 20 de agosto con la creación de cuentas falsas que imitaban a desarrolladores reconocidos de la comunidad Rust. Entre los objetivos de este ataque identificados se encontraban las bases de datos SQLite utilizadas por los navegadores Google Chrome, Microsoft Edge y Brave para almacenar información de acceso.

Eso no era todo porque el malware implementaba mecanismos de persistencia. Se dice que se quedaba en Run del Registro de Windows, servicios systemd en Linux y LaunchAgents en macOS.

La buena noticia es que Crates.io retiró "proc-macro1" y eliminó las versiones comprometidas cuando se confirmó el incidente. De igual manera, StepSecurity, SafeDep y Aikido compartieron análisis que ayudaron a identificar las infecciones.

Los desarrolladores que hayan instalado alguno de los paquetes afectados durante la ventana de exposición, la recomendación es verificar archivos Cargo.lock, buscar contenido generado por el ente malicioso y analizar conexiones hacia la dirección 23.254.165.112 a través de los puertos 9089 y 443.

Cuando se confirma que se ha afectado, hay que rotar inmediatamente todas las contraseñas, tokens y otros sistemas similares. A su vez, los entornos contaminados deben ser reconstruidos para evitar que el atacante se siga colando en el código.

Por eso, una de las partes más importantes de cualquier ciberataque contra un smartphone no consiste únicamente en conseguir esos datos, sino en encontrar una forma de enviarlos a los atacantes.

Los programas maliciosos para Android suelen depender de una conexión con la infraestructura de quienes los controlan para transmitir la información que consiguen.

Por ello, cuando esa comunicación no está disponible, el ciberdelincuente pierde una de las piezas necesarias para aprovechar los datos robados. Pero Manic plantea una solución distinta.

Este malware puede utilizar otros teléfonos Android infectados que se encuentren cerca para continuar con la extracción de información.

En este caso, el dispositivo comprometido puede comunicarse con ellos mediante conexiones inalámbricas de corto alcance y aprovechar el acceso a internet de otro móvil para sacar los datos fuera del equipo.

Manic no solo roba información, también busca cómo sacarla del smartphone

Cabe señalar que Manic es una familia de malware para Android centrada en el robo de información y el fraude financiero. Puede vigilar aplicaciones relacionadas con banca, pagos, criptomonedas, mensajería y otros servicios que manejan datos sensibles.

Los investigadores de ThreatFabric identificaron compatibilidad con 169 aplicaciones utilizadas en Europa y descubrieron que entre sus capacidades se encuentran la captura de información mostrada en pantalla y de las pulsaciones realizadas por el usuario.

Esto puede exponer credenciales, códigos de acceso, así como otros datos introducidos en las aplicaciones. Pero conseguir la información es solo una parte del ataque.

Y es que Manic puede conservar los datos en el propio dispositivo y esperar hasta disponer de una vía para enviarlos. Aquí es donde aparece su característica más llamativa.

Otros móviles infectados pueden actuar como intermediarios

Si el teléfono comprometido no tiene acceso directo a internet, Manic puede buscar otros dispositivos infectados que estén cerca. Para comunicarse con ellos puede utilizar Bluetooth, Bluetooth Low Energy (BLE) y Wi-Fi Direct.

El funcionamiento depende de que exista otro dispositivo comprometido en las proximidades. Si ese segundo móvil también está infectado y dispone de conexión, puede convertirse en el intermediario que necesita el malware.

De esta manera, el móvil que ha recopilado los datos los transmite al dispositivo cercano. Este, a su vez, puede enviarlos a la infraestructura de los atacantes utilizando su propia conexión. El malware consigue así crear un recorrido alternativo para sacar la información del primer dispositivo.

Cabe señalar que no significa que cualquier móvil cercano pueda utilizarse como puente, ya que el segundo dispositivo debe estar comprometido y contar con una conexión que permita completar la comunicación.

Una conexión inalámbrica puede convertirse en otra vía de ataque

Las tecnologías de proximidad como Bluetooth no son nuevas como posibles canales para extraer información de dispositivos comprometidos.

Lo particular de Manic es que incorpora esta posibilidad como parte de su estrategia para mantener la comunicación cuando la conexión directa no está disponible. Esto obliga a mirar más allá del tráfico que sale directamente hacia internet.

Un teléfono puede estar intercambiando información con otros dispositivos próximos y, si alguno de ellos está comprometido, esa comunicación puede terminar formando parte del ataque.

Manic lleva esa posibilidad al terreno del malware y demuestra que un smartphone infectado puede buscar una salida a través de otro dispositivo comprometido.

La amenaza, por tanto, no está únicamente en lo que el malware consigue robar, sino en su capacidad para encontrar una ruta alternativa para sacar esa información del móvil.

El ransomware es uno de los tipos de estas amenazas que se conoce por secuestrar datos para extorsionar, algo que suele afectar a grandes compañías. Aunque lamentablemente es común hoy en día, el nuevo Medusa está invadiendo infraestructuras críticas.

Cientos de organizaciones están siendo afectadas y las agencias de seguridad están volviendo a levantar las alarmas porque la situación está aumentando a un punto de alta gravedad. Incluso los organismos federales advierten de las capacidades que tiene este ciberataque.

Más de 500 organizaciones críticas afectadas por Medusa

El ransomware Medusa no es uno de los que se tenga que tomar a la ligera, pues ha hecho que reaccionen las agencias más importantes de Estados Unidos.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA), en coordinación con la Oficina Federal de Investigaciones (FBI) y el Departamento de Salud y Servicios Humanos (HHS), ha advertido el alcance que tiene esta campaña de ciberdelincuentes en la actualidad.

La amenaza ha comprometido a más de 500 organizaciones pertenecientes a sectores de infraestructura crítica desde junio de 2021. Por lo tanto, han estado bajo constante ataque por años y hasta abril de 2026 las víctimas abarcan áreas tan sensibles como la salud pública.

Varios sistemas registrados se vinculan a servicios gubernamentales, sector financiero y tecnología. Esto hace que el problema sea más grande de lo esperado porque se involucran organizaciones médicas, educativas, jurídicas, aseguradoras, tecnológicas y manufactureras.

En tan solo marzo de 2025, la cifra de víctimas iba alrededor de las 300 y eso ha aumentado casi el doble en tan solo un año. En el comunicado oficial de las autoridades, se menciona que los operadores de Medusa siguen aprovechando vulnerabilidades de seguridad.

Las brechas que se encuentran en los dispositivos son suficientes como para acceder a sistemas corporativos. Por esto mismo es que se recomienda que se mantengan los sistemas operativos, software y firmware actualizados.

También es una buena idea la segmentación de redes para impedir movimientos laterales y la restricción del acceso remoto desde ubicaciones o fuentes no confiables.

¿Cómo opera Medusa y por qué sigue siendo una amenaza relevante?

Tras varios años operando, es normal preguntarse por qué sigue haciendo de las suyas, habiendo tantos métodos para hacerle frente. La cuestión es que se trata de uno de los ransomwares más peligrosos que han afectado a las infraestructuras estadounidenses.

La operación Medusa apareció originalmente en enero de 2021, aunque su actividad ganó notoriedad a partir de 2023 con el lanzamiento de su portal de filtración conocido como Medusa Blog. Ahora, se aplica la estrategia de doble extorsión y parece que los ciberdelincuentes no se van a detener muy pronto.

El ataque sigue el camino de cifrar los archivos de las víctimas para bloquearlos y pedir algo a cambio. En su mayoría, se trata de transferencias de dinero altas. De lo contrario, los atacantes amenazan con liberar la información o simplemente dejarla restringida para que no puedan entrar a ella.

De acuerdo con la alerta de CISA, Medusa evolucionó desde un modelo de ransomware cerrado hacia una estructura de ransomware como servicio (RaaS) basada en afiliados, por lo que los desarrolladores reclutan Initial Access Brokers (IAB) constantemente para poder hacer que la operación sea masiva.

El aviso destaca que estos colaboradores pueden recibir pagos que oscilan entre 100 y 1 millón de euros por facilitar el proceso. Otro aspecto importante es que el nombre Medusa suele generar confusión dentro del ecosistema de amenazas digitales.

Existen diferentes familias de malware y operaciones cibercriminales que utilizan esa denominación, como MedusaLocker que no tiene nada que ver con esta.

La nueva advertencia de las autoridades estadounidenses deja claro que Medusa continúa siendo una de las amenazas más activas en la actualidad y se debe tener muchísimo cuidado porque un ataque tan masivo podría afectar otros países, incluyendo España.

"Las notificaciones de amenazas de Apple están diseñadas para informar y ayudar a los usuarios que pueden haber sido atacados individualmente por ataques de spyware mercenarios, probablemente debido a quiénes son o lo que hacen", explican en la página oficial de Apple.

Según han podido confirmar medios como TechCrunch, el blanco de estos ataques son tanto organizaciones civiles como militares y ciudadanos con información especialmente sensible o relevante, como el ejército ucraniano, afectado en este caso.

Desde 2021, fecha en la que se activó este servicio, Apple ha mandado numerosas alertas varias veces al año a usuarios en más de 150 países; en este incidente más reciente, la notificación ha abarcado a usuarios de iPhone en más de 110 países. Aunque estos no suelen ser casi nunca civiles.

"Tales ataques son mucho más sofisticados que la actividad civil regular, ya que los atacantes de spyware mercenario aplican recursos excepcionales para apuntar a un número muy pequeño de individuos específicos y sus dispositivos", añaden en el comunicado.

Para que los atacantes no sepan cómo funcionan los métodos que usa Apple para identificar la infección, Apple no comparte ningún detalle sobre las investigaciones internas de inteligencia de amenazas. Adicionalmente, aseguran que, aunque no exista una certeza absoluta de infección, sí son alertas altamente confiables y deben tomarse muy en serio.

"Los ataques de spyware de mercenarios cuestan millones de dólares y a menudo tienen una vida útil corta, lo que los hace mucho más difíciles de detectar y prevenir. La gran mayoría de los usuarios nunca serán blanco de tales ataques", continúan.

Asimismo, aseguran que las víctimas suelen ser periodistas, activistas, políticos y diplomáticos; es decir, un número de usuarios más pequeño, aunque los ataques de spyware mercenario son continuos y globales.

Una vez que la compañía identifica un iPhone infectado, Apple alerta en una notificación en el propio dispositivo, además de enviar otra mediante correo electrónico a las direcciones asociadas a la cuenta de la compañía. Aquí puedes ver un ejemplo:

Apple recomienda que, en caso de haber recibido una alerta de este tipo en el iPhone, los usuarios soliciten la ayuda de expertos en la materia, ya que infectarse con un spyware de este tipo dará lugar al acceso total a toda la información.

Además, avisa de que este tipo de notificaciones nunca pedirán al usuario que haga clic en ningún enlace, abra archivos, instale aplicaciones o perfiles, o que proporcione ninguna contraseña de la cuenta de Apple o código de verificación por correo electrónico teléfono.

Sea como sea, si eres un usuario normal y no perteneces a las categorías antes mencionadas, lo más probable es que nunca recibas una alerta de spyware, por lo que deberías estar tranquilo. De todas formas, si te llega, actúa de inmediato.

El aviso puede aparecer con mensajes como "Actualización crítica" o "actualización disponible", intentando convencer al usuario de que debe instalar inmediatamente una nueva versión para continuar utilizando el navegador. Sin embargo, al pulsar sobre el botón correspondiente, en lugar de iniciarse una actualización normal, se descarga un archivo sospechoso.

El problema no parece limitarse a Google Chrome. También se han registrado casos similares en Brave y Opera, dos navegadores basados en Chromium. Esto apunta a que el origen está en determinados complementos capaces de ejecutar código y cargar contenido desde servidores externos.

Los testimonios publicados por usuarios apuntan especialmente a extensiones que han sufrido algún tipo de compromiso. Entre ellas aparece Enable Right Click & Copy Smart Unlock + OCR, una herramienta diseñada para permitir copiar contenido y utilizar funciones de OCR.

Una de las particularidades de este ataque es que el navegador no tiene por qué estar directamente infectado. La extensión puede actuar como intermediaria, conectándose a un servidor externo para obtener el contenido malicioso y mostrar posteriormente la falsa actualización.

Esto también explica por qué algunos programas antivirus pueden no detectar nada durante un análisis convencional. El archivo potencialmente peligroso puede permanecer sin ejecutar hasta que el propio usuario pulsa sobre la descarga y abre manualmente el ejecutable o script.

Además, existe el riesgo de que extensiones que originalmente eran legítimas sean adquiridas por terceros y posteriormente utilizadas con fines maliciosos. En estos casos, una actualización aparentemente normal del complemento puede introducir cambios peligrosos sin que el usuario sea consciente de ello.

La recomendación es sencilla: no descargues archivos ejecutables desde una ventana emergente que asegure que Chrome necesita actualizarse. Las actualizaciones del navegador se gestionan desde el propio Chrome, por lo que una página web o extensión que te obligue a descargar un ejecutable debería considerarse una señal de alarma.

Si estos avisos aparecen constantemente, conviene revisar las extensiones instaladas recientemente y eliminar aquellas que no reconozcas o que hayan comenzado a mostrar comportamientos extraños.

La campaña ha sido investigada por la firma de ciberseguridad Group-IB y utiliza SpyNote, un troyano de acceso remoto, junto con WindRelay, un malware especializado en ataques mediante NFC. La combinación permite a los ciberdelincuentes controlar el dispositivo y, al mismo tiempo, interceptar las comunicaciones de una tarjeta bancaria sin contacto.

El ataque comienza con una llamada telefónica. El delincuente se hace pasar por un empleado del banco y avisa a la víctima de un supuesto problema con su tarjeta. Para solucionarlo, le pide instalar una aplicación que en realidad contiene SpyNote.

La aplicación puede incluso mostrar el nombre de la víctima para parecer más legítima. Una vez instalada, el usuario debe conceder permisos de accesibilidad, lo que permite al atacante obtener un amplio control remoto sobre el dispositivo.

A partir de ese momento, el ciberdelincuente puede instalar WindRelay sin que la víctima tenga que realizar más acciones. En el caso analizado por Group-IB, los atacantes utilizaron la aplicación bancaria instalada en el teléfono para solicitar un préstamo a nombre de la víctima.

Pero el ataque no termina ahí. Los delincuentes también pidieron a la víctima que acercara su tarjeta bancaria al teléfono e introdujera el PIN. WindRelay convierte el móvil en una especie de lector de tarjetas fraudulento y retransmite en tiempo real la comunicación NFC entre la tarjeta y el dispositivo del atacante.

De esta forma, los delincuentes pueden utilizar los datos obtenidos para realizar compras en terminales de pago reales. Según Group-IB, todo el proceso se completó durante una llamada telefónica de apenas 13 minutos, y las operaciones fueron autorizadas utilizando el PIN que la propia víctima había proporcionado.

SpyNote lleva circulando desde hace años y es capaz de robar credenciales bancarias, cuentas de Google y Facebook, mensajes SMS y códigos de autenticación. También puede acceder al micrófono y la cámara, obtener la ubicación del dispositivo e interceptar las pulsaciones del teclado.

Han encontrado casi una veintena de muestras de WindRelay enviadas a VirusTotal entre noviembre de 2025 y julio de 2026. Los investigadores creen que los ataques identificados están especialmente dirigidos a usuarios de República Checa, Eslovaquia y Eslovenia.

Este tipo de malware NFC se ha convertido en una amenaza cada vez más habitual. Otras familias como NFCShare, NGate, SuperCard X y RelayNFC también han utilizado técnicas similares para interceptar las comunicaciones de tarjetas contactless.

La principal recomendación para los usuarios de Android es no instalar APK procedentes de fuentes desconocidas, especialmente cuando alguien se hace pasar por un banco y exige actuar con urgencia. Si recibes una llamada de tu entidad bancaria, lo más seguro es colgar y contactar directamente con el banco utilizando el número oficial que aparece en su web o en la propia tarjeta.

Pero OpenAI quiere llevar esto un paso más allá y ha creado GPT-5.6-Cyber, un modelo pensado para trabajar en ciberseguridad y ayudar a encontrar fallos antes de que puedan aprovecharlos los atacantes.

Sin ir más lejos, hay varios casos recientes, y uno de ellos involucra a la propia compañía de Sam Altman. Uno de sus agentes de IA atacó la plataforma de Hugging Face mientras estaba realizando una serie de pruebas para probar sus capacidades.

Ahora que ya tienen al atacante, parece que conocen a fondo cómo la IA se las ingenia para saltarse todo tipo de barreras y acceder a lo más profundo de un sistema. Este nuevo modelo es la respuesta que muchas empresas estaban buscando.

Y es que un equipo de seguridad puede tener que revisar enormes cantidades de código para encontrar un problema. Una persona puede tardar horas o incluso días en encontrarlo y comprobar qué se puede hacer con él. Una IA especializada puede revisar todo eso mucho más rápido y señalar dónde puede estar el problema.

Pero OpenAI no quiere que esta IA se limite a decir que hay un fallo. GPT-5.6-Cyber está pensado para seguir el problema, comprobar si realmente se puede aprovechar, saber qué equipos o programas están afectados y ayudar a buscar una solución. Es decir, intenta cubrir buena parte del trabajo que hay desde que se descubre una vulnerabilidad hasta que queda corregida.

¿Qué puede hacer GPT-5.6-Cyber para proteger una empresa?

Puede ayudar a buscar vulnerabilidades, comprobar si realmente pueden utilizarse para entrar en un sistema, hacer pruebas de seguridad y analizar qué ha ocurrido después de un ataque.

También puede ayudar a preparar una solución. Por ejemplo, si encuentra un problema en un programa, los expertos pueden utilizar la IA para entender qué parte del código está causando el fallo y buscar una forma de corregirlo. Después, esa solución puede probarse para comprobar que el problema desaparece y que el cambio no da pie a otro error.

Aquí está una de las grandes diferencias respecto a utilizar una IA general como ChatGPT para una tarea puntual. GPT-5.6-Cyber está preparado para trabajos de seguridad largos y complicados, en los que hay que revisar mucha información y seguir pistas antes de llegar a una conclusión.

Eso sí, la compañía no quiere entregar directamente los modelos a cualquiera porque reconoce que las mismas capacidades que sirven para encontrar fallos pueden utilizarse para intentar atacar sistemas. Por eso el acceso está limitado.

Entre las compañías que tienen acceso a estas capacidades están Accenture, IBM, Capgemini, Cognizant, EY, KPMG, PwC, NCC Group y SpecterOps. También participan empresas de seguridad como Palo Alto Networks, CrowdStrike, Cisco, Sophos, Akamai, Fortinet y Cloudflare.

La idea es que estas empresas puedan integrar la IA dentro de las herramientas y servicios que ya utilizan sus clientes. Así, una empresa no tiene que montar desde cero un sistema de inteligencia artificial para analizar sus servidores o su código.

OpenAI divide además estas capacidades en dos tipos de acceso. Daybreak Blue está pensado para tareas de seguridad más generales, mientras que Daybreak Red está dirigido a trabajos más complicados y especializados.

El acceso solo está pensado para trabajar con identidad verificada, límites sobre las pruebas, registros de actividad, vigilancia y supervisión humana. Además, el modelo no se entrega directamente a los clientes finales. Son los proveedores autorizados los que utilizan la tecnología dentro de sus propios servicios.

El fallo ha sido corregido en macOS Sonoma 14.8.9, macOS Sequoia 15.7.9 y macOS Tahoe 26.6.1. Apple incluye en las notas de las tres actualizaciones la misma descripción y las clasifica como correcciones de seguridad importantes, por lo que recomienda instalarlas a todos los usuarios.

El problema se encontraba concretamente en el sistema de autenticación de Compartir pantalla. Según Apple, un atacante conectado a la misma red podía llegar a autenticarse en este servicio sin proporcionar unas credenciales válidas. La compañía explica que solucionó el problema mediante una mejora en la gestión del estado durante el proceso de autenticación.

Aunque Apple no ha indicado que esta vulnerabilidad esté siendo explotada activamente, sus posibles consecuencias hacen que la actualización sea especialmente recomendable. Si un atacante consiguiera aprovechar el fallo, podría obtener acceso remoto al ordenador a través de Compartir pantalla y, potencialmente, visualizar lo que aparece en el escritorio, abrir aplicaciones, acceder a archivos o realizar otras acciones en el sistema.

La situación resulta relevante para quienes utilizan esta función habitualmente, aunque incluso quienes nunca recurren a Compartir pantalla deberían instalar las nuevas versiones. Apple ha decidido corregir el problema en tres generaciones diferentes de macOS, una señal de que considera suficientemente importante mantener protegidos también los equipos que todavía utilizan versiones anteriores del sistema.

Para comprobar si tu Mac está actualizado, puedes entrar en Ajustes del Sistema, luego a General y a Actualización de software. Si aparece cualquiera de las nuevas versiones disponibles para tu equipo, es recomendable instalarla cuanto antes.

También conviene revisar qué aplicaciones y servicios tienen acceso remoto al Mac. Si utilizas Compartir pantalla, asegúrate de hacerlo únicamente con personas o dispositivos de confianza y evita mantener abiertas ventanas con información sensible durante una sesión remota.

Como medida adicional, puedes comprobar al terminar una sesión que Compartir pantalla quede desactivado si no necesitas mantenerlo funcionando. Mantener activadas las actualizaciones automáticas también puede ayudarte a recibir rápidamente futuras correcciones de seguridad.

El punto en cuestión es que, esta vez, los agentes de IA no solo intentaron atacar sistemas fuera del entorno de pruebas. También llegaron a interactuar con personas reales para intentar convencerlas de que instalaran código malicioso o aceptaran cambios en proyectos de software.

Las dos situaciones fueron diferentes y ocurrieron en laboratorios distintos, pero ambos modelos acabaron actuando fuera de los límites previstos por los investigadores.

Tanto OpenAI como Anthropic insisten en que estos comportamientos no se han dado en las versiones que utilizan los clientes y que las pruebas se realizaron con muchas de sus medidas de seguridad desactivadas para conocer el potencial real de los modelos.

Ahí es donde, en parte, reside el problema. Los investigadores desactivaron parte de las protecciones, dieron a los agentes acceso libre a Internet y les permitieron actuar con una autonomía que normalmente no tienen. El objetivo era descubrir hasta dónde podían llegar si esas barreras desaparecían.

¿Qué hicieron los agentes de OpenAI y Anthropic durante estas pruebas de ciberseguridad?

Uno de los ataques fue detectado por el UK AI Security Institute (AISI), un organismo británico que estudia los riesgos de los modelos de inteligencia artificial más potentes. Durante una serie de pruebas, los investigadores dieron acceso a Internet a varios agentes para comprobar hasta dónde eran capaces de llegar al intentar resolver pruebas de ciberseguridad.

En total se llevaron a cabo 122 pruebas. En diez de ellas los modelos hicieron acciones que nunca deberían haber llevado a cabo. Según AISI, 17 de esos intentos correspondieron a un modelo basado en Claude Mythos 5, de Anthropic, y dos a GPT-5.6 Sol, de OpenAI.

Lo que más preocupa a los investigadores fue el comportamiento de uno de los modelos de Anthropic. Mientras buscaba información para resolver una de las pruebas, encontró un proyecto real en GitHub y creyó, por error, que estaba relacionado con el reto que debía superar. A partir de ahí comenzó una cadena de acciones.

La IA creó cuentas falsas para intentar convencer a desarrolladores reales

El agente empezó investigando quiénes eran los responsables del proyecto. Después creó varias cuentas falsas en GitHub para hacerse pasar por distintos usuarios y trató de convencer al desarrollador principal de que aceptara un cambio en el código que, en realidad, tenía software malicioso.

Cuando un humano avisó de que ese cambio incluía malware, el modelo no dio marcha atrás. Según explica AISI, negó las acusaciones y utilizó otras cuentas falsas que también controlaba para intentar crear la impresión de que varios usuarios apoyaban ese cambio.

Los investigadores aseguran que el agente llegó incluso a enviar correos electrónicos dirigidos a los desarrolladores, publicó informes falsos sobre errores del proyecto y modificó algunos mensajes cuando una persona empezó a sospechar de su comportamiento.

OpenAI también atacó una página web real por un error de configuración

Este otro caso sucedió durante unas pruebas organizadas por la empresa especializada en ciberseguridad Irregular, donde los modelos de OpenAI debían resolver un reto de tipo capturar la bandera dentro de un entorno aislado de Internet.

Sin embargo, una configuración que no estaba bien hecha permitió que el modelo saliera de ese entorno cerrado. Durante la prueba encontró un dominio real que tenía el mismo nombre que el objetivo del ejercicio y creyó que esa era la máquina que debía atacar.

Según OpenAI, el agente consiguió explotar una vulnerabilidad de esa página web e incluso encontró credenciales para funcionar sin problemas.

Una carrera entre OpenAI y Anthropic por demostrar el potencial de sus agentes de IA

Lo cierto es que todo esto se escapa de cualquier tipo de lógica. Si bien es cierto que es correcto probar las capacidades de los modelos de IA para luego comercializarlos totalmente capados, parece que tanto a OpenAI como a Anthropic esto se les está yendo de la manos.

Estas dos empresas presentan estos problemas detectados como un ejercicio de transparencia y de investigación en seguridad, pero también acaban dando la imagen de que sus modelos están un paso por delante.

Al final, si una IA es capaz de encontrar una vulnerabilidad, moverse por una base de datos o completar tareas sin apenas ayuda, también está demostrando el enorme nivel que ha alcanzado. Y eso, en una carrera como esta, también sirve como escaparate para atraer clientes, empresas e inversores.

A diferencia de ChatGPT o de otros modelos de la compañía, GPT-Red no responde preguntas ni ayuda a programar. Su trabajo consiste en actuar como un superhacker: intenta engañar a otros modelos de IA, saltarse sus restricciones y descubrir vulnerabilidades que podrían ser aprovechadas por un ciberdelincuente.

Solo cuando consigue romper sus defensas, los ingenieros pueden corregir esos fallos antes de lanzar el modelo al público. Puede parecer una idea un tanto rara, pero ciertamente tiene todo el sentido del mundo.

¿Qué es GPT-Red?

GPT-Red es un modelo de lenguaje especializado en red teaming, una técnica utilizada desde hace años en ciberseguridad que consiste en atacar un sistema para descubrir sus puntos débiles antes que un atacante real.

Normalmente, este trabajo lo hacen expertos humanos que intentan romper las defensas de un programa buscando errores, vulnerabilidades o formas raras de hacerlo fallar. El problema es que este proceso requiere mucho tiempo y resulta casi imposible de escalar cuando los propios modelos de IA mejoran tan rápido y se usan para los ataques.

Para resolver ese problema, OpenAI decidió crear un modelo capaz de hacer ese trabajo de forma automática. En lugar de responder preguntas como ChatGPT, GPT-Red tiene un único objetivo: encontrar la manera de engañar a otros modelos.

Su especialidad son los llamados ataques de inyección de prompts (prompt injection). Consisten en dar instrucciones ocultas dentro de documentos, páginas web, correos electrónicos o cualquier otro contenido que una IA pueda leer para conseguir que se salte sus instrucciones y haga algo que nunca debería hacer, como dar información confidencial, modificar datos o realizar acciones que no debería.

¿Cómo aprende a convertirse en un "superhacker"?

GPT-Red no fue entrenado con una lista de ataques escritos por personas. OpenAI utilizó una técnica llamada autojuego (self-play). En lugar de enfrentarlo a hackers humanos, lo puso a competir todo el tiempo contra otros modelos de inteligencia artificial.

Como realmente funciona, recuerda mucho al entrenamiento de programas como AlphaGo o AlphaZero. Un modelo intenta atacar mientras el otro intenta defenderse.

Cada vez que el atacante encuentra una nueva forma de romper las defensas, recibe una recompensa durante el entrenamiento. Al mismo tiempo, el modelo atacado aprende a protegerse frente a ese nuevo método.

Después de miles y miles de enfrentamientos, ambos mejoran todo el tiempo. Además, según las pruebas, GPT-Red demostró ser muy persistente. Cada vez que encontraba un pequeño fallo, lo probaba una y otra vez de formas distintas hasta dar con la mejor forma de romper el sistema de su rival.

Pero esto no es todo y, para realmente ver de qué era capaz, en OpenAI lo pusieron a prueba repitiendo un examen que varios expertos humanos hicieron en 2025 sobre una versión antigua de GPT-5.

El resultado fue que GPT-Red encontró más fallos y más rápido que los profesionales humanos. En concreto, este modelo superhacker consiguió saltarse sus defensas el 90% de las veces.

Sin embargo, al probar esos mismos ataques contra el nuevo GPT-5.6, la tasa de éxito bajó a menos del 23%, demostrando que esto no solo va de encontrar fallos sino de que los modelos también aprendan a protegerse.

También lo probaron contra Vendy, una inteligencia artificial que gestiona máquinas expendedoras de refrescos, y logró hackearla para cambiar los precios de las bebidas y cancelar pedidos de clientes.

¿Podrás algún día utilizar GPT-Red?

Parece que la respuesta es que no. Esta IA ha sido entrenada para algo que poco tiene que ver con el usuario de a pie. OpenAI ha confirmado que permanecerá como una herramienta solo para uso interno.

En su lugar, lo que llegará al público serán los resultados de su trabajo: modelos más resistentes, con menos vulnerabilidades y mejor preparados para soportar intentos de manipulación.