🤖 Auto-generated daily threat intelligence digest — September 07, 2026
📡 Resumen diario de threat intelligence — 07 de septiembre de 2026
Fuentes: BleepingComputer, Group-IB, NetApp Security, SANS ISC, The Hacker News
El día de hoy vimos una serie de ataques cibernéticos que pusieron en alerta a las empresas y a los usuarios de la red. Desde ataques de ransomware hasta vulnerabilidades en la nube, los ciberdelincuentes no han parado de innovar en sus tácticas de ataque. En este resumen diario de threat intelligence exploraremos los temas clave que debes tener en cuenta para proteger tu negocio y tus datos.
Vulnerabilidad — Fallo crítico en MikroTik - Parche ahora, (Dom, 6 sep)
🔍 Qué está pasando
- Se ha identificado una vulnerabilidad crítica en MikroTik que permite el bypass de autenticación SSH.
- La vulnerabilidad ya está siendo explotada por atacantes.
- MikroTik ha liberado un parche para abordar la vulnerabilidad.
⚠️ Por qué importa
La vulnerabilidad crítica en MikroTik permite a los atacantes acceder a los dispositivos afectados sin necesidad de autenticación, lo que puede provocar una pérdida de control total de la red. Si un atacante ha explotado la vulnerabilidad, es probable que el dispositivo ya esté comprometido, y los atacantes pueden haber agregado cuentas nuevas para mantener el acceso después de que se instale un parche.
⚙️ Cómo funciona
La vulnerabilidad permite a los atacantes bypass la autenticación SSH en los dispositivos MikroTik, lo que les permite acceder al sistema sin necesidad de una autenticación válida. Una vez que un atacante ha explotado la vulnerabilidad, puede agregar nuevas cuentas al dispositivo para mantener el acceso después de que se instale un parche.
👁️ Qué vigilar
- Parche: Instala el parche de seguridad proporcionado por MikroTik lo antes posible.
- IOC: Busca actividad sospechosa en tu red, como la adición de cuentas nuevas o cambios en el acceso a los dispositivos MikroTik.
- Recomendaciones: Verifica el estado de seguridad de tus dispositivos MikroTik y asegúrate de que están actualizados con el parche de seguridad.
🔗 Fuente consultada: SANS ISC
OT_ICS — One Adversary: El plan de fusión de 90 días
🔍 Qué está pasando
- Un informe de Group-IB expone un plan de ciberataques llamado "Fusion" que pretende maturar a las organizaciones en un período de 90 días.
- El plan consiste en un proceso de maduración que se puede alcanzar sin necesidad de contratar un equipo de seguridad.
- El informe destaca la importancia de medir el éxito en términos de métricas concretas.
⚠️ Por qué importa
El plan de Fusion puede ser una herramienta peligrosa para las organizaciones que no tienen una sólida defensa contra ataques cibernéticos. Si se logra, puede permitir a los atacantes acceder a sistemas críticos y robar información valiosa.
⚙️ Cómo funciona
El plan de Fusion se centra en la maduración de la capacidad de ciberataque, en lugar de simplemente contratar a un equipo de seguridad. Esto puede incluir la creación de IOCs (Indicadores de Actividad Suspicious), la identificación de vulnerabilidades y la explotación de ellas para acceder a sistemas.
👁️ Qué vigilar
- IOCs: Identificar indicadores de actividad sospechosa en la red.
- Parches disponibles: Actualizarse con parches de seguridad para evitar vulnerabilidades conocidas.
- Recomendaciones concretas: Implementar medidas de seguridad robustas y realizar simulacros de ciberataques para prepararse para posibles ataques.
🔗 Fuente consultada: Group-IB
Vulnerabilidad — El Kit de Phishing Outsider: Una Amenaza Resiliente ante la Acción de la Autoridad
🔍 Qué está pasando
- Se identificó un kit de phishing llamado Outsider Phishing Kit creado por Chenlun.
- El kit cuenta con más de 267 plantillas de phishing listas para uso, dirigidas a más de 54 países en todo el mundo.
- El kit es bien conocido en la comunidad china.
⚠️ Por qué importa
La presencia de este kit de phishing es una preocupación real para las organizaciones y usuarios, ya que puede ser utilizado para realizar ataques de phishing sofisticados que pueden engañar a las víctimas para que revelen información sensible o realicen transacciones fraudulentas.
⚙️ Cómo funciona
El kit de phishing Outsider es un conjunto de herramientas y plantillas preconfiguradas que permiten a los atacantes crear emails y sitios web de phishing personalizados para engañar a las víctimas. El kit incluye plantillas de phishing para diferentes objetivos, como robo de credenciales, phishing de transferencia de dinero y otros.
👁️ Qué vigilar
- IOC: Busca en tu entorno cualquier actividad sospechosa relacionada con el kit de phishing Outsider.
- Parche: Asegúrate de que tu sistema esté actualizado con los últimos parches de seguridad.
- Recomendaciones: Educa a tus usuarios sobre las señales de phishing y cómo protegerse contra ellos.
🔗 Fuente consultada: Group-IB
Cibercrimen — Anatomy of BraZetsu: Cómo los ciberdelincuentes alimentan el ecosistema subterráneo
🔍 Qué está pasando
- Se ha descubierto una nueva variante de malware llamada BraZetsu, basada en Python para Windows.
- BraZetsu funciona como una herramienta de master para los intermediarios de acceso inicial (Initial Access Brokers) y alimenta un mercado subterráneo único para la comercialización de objetivos iberoamericanos y latinoamericanos.
- El malware se utiliza para acceder a sistemas y robar datos, alimentando así el ecosistema subterráneo.
⚠️ Por qué importa
La aparición de BraZetsu y su capacidad para comercializar objetivos específicos de Iberia y Latinoamérica puede tener un impacto significativo en las organizaciones y usuarios de estas regiones. Los ciberdelincuentes pueden utilizar esta herramienta para acceder a sistemas y robar datos confidenciales, lo que puede llevar a una pérdida de información valiosa y daños financieros.
⚙️ Cómo funciona
BraZetsu es un malware basado en Python que funciona como una herramienta de master para los intermediarios de acceso inicial. Se utiliza para acceder a sistemas y robar datos, lo que permite a los ciberdelincuentes comercializar objetivos específicos. El malware utiliza una tecnología AI para identificar y atacar sistemas vulnerables, lo que lo hace aún más peligroso.
👁️ Qué vigilar
- Vigilar el tráfico de red para detección de IOCs relacionados con BraZetsu.
- Aplicar parches disponibles para protegerse contra ataques similares.
- Revisar la configuración de seguridad para garantizar que no haya vulnerabilidades en sistemas y aplicaciones.
🔗 Fuente consultada: Group-IB
Cibercrimen — One Adversary, Two Outcomes: The 0.027% Proof
🔍 Qué está pasando
• Una campaña de malware comprometió 11.000 dispositivos.
• Dos bancos con resultados muy diferentes en cuanto a la tasa de fraude.
• El promedio de tasa de fraude es de 0,27% en el banco con defensa fusionada.
⚠️ Por qué importa
La eficacia de la defensa en contra del ataque es crucial para evitar pérdidas financieras. En este caso, el banco con una estrategia de defensa más sólida logró una tasa de fraude significativamente menor que el promedio del mercado. Esto muestra la importancia de tener una estrategia de defensa adecuada para protegerse contra ciberamenazas.
⚙️ Cómo funciona
El malware en cuestión es un ataque tradicional de "phishing" que implica envío de correos electrónicos maliciosos a los usuarios para obtener credenciales bancarias. El ataque se ejecuta en dos etapas: la primera etapa consiste en el envío de correos electrónicos maliciosos, mientras que la segunda etapa implica el acceso a las cuentas bancarias de los usuarios comprometidos.
👁️ Qué vigilar
• IOC: el malware en cuestión utiliza una técnica de "phishing" para obtener credenciales bancarias.
• Parches disponibles: los bancos deben implementar medidas de autenticación más seguras, como la autenticación de dos factores (2FA), para reducir la tasa de fraude.
• Recomendaciones: los usuarios deben ser conscientes de los correos electrónicos maliciosos y no proporcionar credenciales bancarias a menos que sean seguras.
🔗 Fuente consultada: Group-IB
Cibercrimen — Tortoiseshell: Nuevo conjunto de herramientas y infraestructura operativa expuestos
🔍 Qué está pasando
- Un equipo de ciberseguridad ha descubierto un nuevo conjunto de herramientas y infraestructura operativa relacionada con el grupo APT Tortoiseshell.
- Las herramientas y la infraestructura descubiertas muestran similitudes con malware conocido de Tortoiseshell.
- La investigación se realizó mediante la enriquecimiento de datos públicos recientes sobre el grupo APT Tortoiseshell.
⚠️ Por qué importa
El descubrimiento de este nuevo conjunto de herramientas y infraestructura operativa puede significar un aumento en la actividad cibernética del grupo APT Tortoiseshell, lo que puede resultar en un mayor riesgo para las organizaciones y usuarios que no tomen medidas de protección adecuadas. Además, la similitud con malware conocido sugiere que el grupo puede estar explorando nuevas formas de evadir la detección.
⚙️ Cómo funciona
El grupo APT Tortoiseshell utiliza malware para realizar ataques cibernéticos, y el nuevo conjunto de herramientas y la infraestructura operativa descubiertas sugieren que el grupo está continuando con su actividad cibernética. Aunque no se proporciona información sobre la naturaleza específica de las herramientas o la infraestructura, es probable que se utilicen para realizar ataques cibernéticos, como el robo de datos o la suplantación de identidad.
👁️ Qué vigilar
- Vigila el tráfico de red y las actividades cibernéticas relacionadas con el grupo APT Tortoiseshell.
- Asegúrate de que tus sistemas y aplicaciones estén actualizados con los últimos parches de seguridad.
- Revisa tus protocolos de seguridad y considera implementar medidas adicionales de protección, como la detección de amenazas avanzadas y la respuesta a incidentes cibernéticos.
🔗 Fuente consultada: Group-IB
Vulnerabilidad — NTAP-20260903-0010: CVE-2026-53362 Linux Kernel Vulnerability in NetApp Products
🔍 Qué está pasando
• Se ha identificado una vulnerabilidad en el kernel de Linux que afecta a los productos de NetApp.
• La vulnerabilidad se puede explotar para causar crecimiento ilimitado de memoria en un servidor que utiliza OpenSSL para verificar certificados.
• El CVE asignado es CVE-2026-53362.
⚠️ Por qué importa
La vulnerabilidad puede ser explotada por un atacante malintencionado para causar un colapso del servidor, lo que puede llevar a una pérdida de datos y servicios. Además, la explotación de esta vulnerabilidad puede permitir a un atacante obtener acceso no autorizado a los sistemas afectados.
⚙️ Cómo funciona
La vulnerabilidad se produce cuando un servidor OpenSSL utiliza una sola instancia de OSSL_CMP_CTX para verificar certificados durante toda la vida de un proceso de servidor. Si un atacante malintencionado envía peticiones repetidas con certificados únicos, el servidor puede crecer sin límite en memoria, lo que puede llevar a un colapso del sistema.
👁️ Qué vigilar
• Actualizaciones de OpenSSL: Asegúrese de que su versión de OpenSSL esté actualizada a la versión 4.0 o superior.
• Monitoreo de memoria: Vigile el consumo de memoria en sus servidores para detectar cualquier crecimiento anormal.
• Revisión de configuración: Revisar la configuración de su servidor para asegurarse de que no esté utilizando una sola instancia de OSSL_CMP_CTX durante toda la vida de un proceso de servidor.
🔗 Fuentes consultadas (5):
Cibercrimen — Ataques de phishing y extorsión en Microsoft 365
🔍 Qué está pasando
- Ataques de vishing (vocal phishing) a ejecutivos y directivos de empresas, aprovechando la confianza en el soporte IT.
- Robo de tokens AitM (adversary-in-the-middle) para acceder a Microsoft 365 y otras SaaS.
- Uso de proxy residencial para realizar inicios de sesión en Microsoft 365.
⚠️ Por qué importa
Estos ataques pueden tener un impacto significativo en las empresas, ya que permiten a los atacadores acceder a información confidencial y extorsionar a los ejecutivos. Además, la confianza en el soporte IT es una debilidad común que los atacadores explotan para engañar a las víctimas.
⚙️ Cómo funciona
Los atacadores utilizan técnicas de phishing para engañar a los ejecutivos y obtener acceso a sus cuentas de Microsoft 365. Una vez dentro, pueden robar tokens AitM para acceder a información confidencial y realizar transferencias de dinero. El uso de proxy residencial permite a los atacadores ocultar su ubicación y evadir las medidas de seguridad.
👁️ Qué vigilar
- Vigilar las llamadas de soporte IT que parecen proceder de Microsoft, ya que pueden ser ataques de vishing.
- Realizar revisiones regulares de las cuentas de Microsoft 365 para detectar cualquier actividad sospechosa.
- Configurar el inicio de sesión de dos factor (2FA) para aumentar la seguridad en las cuentas de Microsoft 365.
🔗 Fuente consultada: The Hacker News
Vulnerabilidad — ⚡ Weekly Recap: Chrome 0-Day, Router Hijacks, Coder Supply Chain Attack and More
Turning off email images should at least stop the pictures. This week, attackers had a workaround: a scannable QR code built out of text. It still appears, even with images blocked. A small detail, but an annoying one if that was a precaution you were counting on.
Elsewhere, a trusted software sour
🔗 Fuente consultada: The Hacker News
CloudSecurity — Your Cloud Security Checklist Doesn't Work the Way You Think It Does
If managing security across multiple cloud providers wasn't hard enough, each one fails in a different way. For the 2026 Cloud Security Index, Intruder analyzed misconfiguration data from 3,000 organizations across AWS, Azure, and Google Cloud and found that risk profiles across providers have almos
🔗 Fuente consultada: The Hacker News
Cibercrimen — Rogue ScreenConnect Clients Spread Four-Stage VBScript Chain to Newly Connected Hosts
Cybersecurity researchers have disclosed details of worm-like activity that abuses ConnectWise ScreenConnect to distribute a malicious Visual Basic Script (VBScript) payload to newly connected systems.
According to Huntress, three unrelated incidents have been found to use diverse initial access me
🔗 Fuente consultada: The Hacker News
Vulnerabilidad — Telerik UI Padding-Oracle Bug Chained to Unauthenticated RCE — Public Exploit Released
A TantoSec proof-of-concept turns an AES-CBC "padding oracle" in Telerik UI for ASP.NET AJAX into unauthenticated remote code execution — but only against applications in a specific non-default configuration, and Progress patched the chain in July. There are no confirmed reports of exploitation in t
🔗 Fuente consultada: The Hacker News
Vulnerabilidad — Magento StyleSmuggler zero-day exploited to deploy Linux backdoor
A zero-day vulnerability dubbed "StyleSmuggler" affecting all versions of Magento and Adobe Commerce is being exploited in attacks to deploy a backdoor. [...]
🔗 Fuente consultada: BleepingComputer
Cibercrimen — BigBear Microsoft 365 phishing service bypassed MFA at 258 organizations
A phishing-as-a-service framework called BigBear 2.0 has been used to bypass multi-factor authentication at 258 organizations and steal more than 5,000 Microsoft 365 credentials. [...]
🔗 Fuente consultada: BleepingComputer
Privacidad — Mathspace discloses data breach affecting over 1 million people
Online maths learning platform Mathspace disclosed over the weekend that attackers stole data from more than 1 million students, staff, and parents after breaching its Metabase internal reporting system. [...]
🔗 Fuente consultada: BleepingComputer
Top comments (0)