🤖 Auto-generated daily threat intelligence digest — April 30, 2026
🚨 Alertas de ciberseguridad diarias — 30 de abril de 2026
Fuentes: AWS Security, Bitdefender Labs, Group-IB, Kaspersky Securelist, MSRC Microsoft, Microsoft Security, SANS ISC, Talos Intelligence
Este día nos encontramos con una onda de ataques de phishing que explotan vulnerabilidades en sistemas de autenticación, mientras que las redes de ciberdelincuentes se consolidan en el uso de inteligencia artificial para mejorar sus técnicas de engaño y evasión. Además, se han descubierto nuevas amenazas de malware que buscan aprovecharse de los sistemas de gestión de la nube.
ThreatIntel — ISC Stormcast For Thursday, April 30th, 2026 https://isc.sans.edu/podcastdetail/9912, (Thu, Apr 30th)
🔍 Qué está pasando
- Un grupo de atacantes ha estado lanzando ataques de phishing con el objetivo de obtener credenciales de acceso a redes corporativas.
- Los correos electrónicos falsos se están enviando a usuarios de empresas de todo el mundo, con el fin de robar información confidencial.
- Los atacantes están utilizando URL enlaza falsos y archivos adjuntos maliciosos para engañar a los usuarios.
⚠️ Por qué importa
Los ataques de phishing pueden tener consecuencias graves para las organizaciones, ya que pueden llevar a la pérdida de credenciales de acceso, acceso no autorizado a datos confidenciales y hasta la ejecución de malware en los sistemas. Además, los usuarios pueden ser víctimas de identity theft y otros tipos de fraude.
⚙️ Cómo funciona
Los atacantes están utilizando técnicas de phishing tradicionales para engañar a los usuarios. Estos envían correos electrónicos que parecen proceder de fuentes confiables, como proveedores de servicios o clientes. Los correos electrónicos contienen enlaces o archivos adjuntos que, cuando se abren, permiten a los atacantes acceder a la información confidencial del usuario o instalar malware en el sistema del usuario. Los atacantes también están utilizando técnicas de spoofing para hacer que los correos electrónicos parezcan proceder de fuentes confiables.
👁️ Qué vigilar
- IOC: Correos electrónicos con correos electrónicos falso de proveedores de servicios o clientes.
- Parches disponibles: Los usuarios deben estar atentos a los correos electrónicos sospechosos y no abrir enlaces o archivos adjuntos de fuentes desconocidas. Además, las organizaciones deben implementar medidas de autenticación adicional, como la verificación de contraseñas y la implementación de un sistema de gestión de identidades.
- Recomendaciones concretas: Los usuarios deben estar alerta a los correos electrónicos sospechosos y no abrir enlaces o archivos adjuntos de fuentes desconocidas. Las organizaciones deben implementar medidas de autenticación adicional y entrenar a los empleados para identificar y evitar los ataques de phishing.
🔗 Fuentes consultadas (2):
ThreatIntel — Peligro de Libredtail, (Wed, Apr 29th)
🔍 Qué está pasando
- Se ha descubierto una vulnerabilidad en el gestor de paquetes npm, que permite a un atacante subir un paquete malicioso a la tienda de npm.
- El paquete malicioso, llamado "Libredtail", tiene como objetivo robar credenciales de acceso a la cuenta de npm del usuario.
- La vulnerabilidad afecta a versiones anteriores de npm.
⚠️ Por qué importa
El ataque a npm puede tener un impacto significativo en las organizaciones que dependen de este gestor de paquetes. Si un atacante logra subir un paquete malicioso a la tienda de npm, puede infectar a miles de proyectos que dependen de ese paquete. Además, la pérdida de credenciales de acceso a la cuenta de npm puede dar acceso a los atacantes a información confidencial y a la capacidad de realizar cambios en proyectos sensibles.
⚙️ Cómo funciona
El ataque se produce cuando un usuario instala un paquete malicioso mediante npm, que tiene como objetivo robar credenciales de acceso a la cuenta de npm del usuario. El paquete malicioso se conecta a un servidor controlado por el atacante, que captura las credenciales de acceso de la víctima.
👁️ Qué vigilar
- IOC: El paquete malicioso "Libredtail" se puede identificar mediante el nombre del paquete y el hash de su código.
- Parche: npm ha liberado un parche para corregir la vulnerabilidad. Es importante que los usuarios actualicen npm a la versión más reciente.
- Recomendación: Los usuarios deben verificar la integridad de los paquetes que instalan mediante npm, y no deben instalar paquetes de fuentes desconocidas.
🔗 Fuente consultada: SANS ISC
Vulnerabilidad — Solicitudes web extrañas, (miércoles, 29 de abril)
🔍 Qué está pasando
- Se han detectado dos solicitudes web inusuales en los honeypots de SANS ISC.
- Ambas solicitudes parecen ser de reconocimiento y no están asociadas con vulnerabilidades específicas.
⚠️ Por qué importa
Estas solicitudes pueden ser indicadoras de un posible ataque de reconocimiento, que puede ser un paso previo a una vulnerabilidad más grave. Las organizaciones deben estar atentas a cualquier actividad anormal en sus sistemas y redes para evitar futuras vulnerabilidades.
⚙️ Cómo funciona
Las solicitudes web extrañas pueden ser un intento de mapear la infraestructura de una organización, identificar servicios y sistemas expuestos y prepararse para un posible ataque futuro. Estas solicitudes pueden ser realizadas mediante herramientas de escaneo de vulnerabilidades, como Nmap o Nessus.
👁️ Qué vigilar
- Mira las solicitudes web anormales en tus sistemas y redes.
- Actualiza tus parches y configuraciones de seguridad para evitar futuras vulnerabilidades.
- Asegúrate de que tus sistemas y aplicaciones estén configurados correctamente para evitar que se exploren vulnerabilidades.
🔗 Fuente consultada: SANS ISC
ThreatIntel — 8 mejores prácticas para CISOs que realizan revisiones de riesgos
🔍 Qué está pasando
- Los CISOs deben seguir prácticas proactivas de seguridad para mitigar la exposición a amenazas de seguridad.
- Microsoft proporciona 8 mejores prácticas para CISOs que realizan revisiones de riesgos.
⚠️ Por qué importa
La seguridad informática es un tema cada vez más crítico para las organizaciones, ya que la exposición a amenazas de seguridad aumenta constantemente. Los CISOs deben estar al tanto de las mejores prácticas para realizar revisiones de riesgos efectivas y tomar medidas para proteger a sus organizaciones. Si no se toman medidas adecuadas, las organizaciones pueden sufrir pérdidas financieras, daños a la reputación y problemas legales.
⚙️ Cómo funciona
Las revisiones de riesgos son un proceso crítico para identificar y evaluar los riesgos de seguridad en una organización. Los CISOs deben seguir una serie de pasos para realizar revisiones de riesgos efectivas, incluyendo la identificación de activos críticos, la evaluación de riesgos y la implementación de medidas de control. Las 8 mejores prácticas de Microsoft ayudan a los CISOs a seguir un enfoque proactivo para la seguridad y a mitigar la exposición a amenazas de seguridad.
👁️ Qué vigilar
- Identificar activos críticos: los CISOs deben identificar los activos críticos de la organización y priorizar la protección de estos activos.
- Implementar medidas de control: los CISOs deben implementar medidas de control efectivas para mitigar los riesgos de seguridad identificados.
- Realizar revisiones periódicas: los CISOs deben realizar revisiones periódicas de riesgos para asegurarse de que las medidas de control sean efectivas y de que no haya nuevos riesgos que no hayan sido identificados.
🔗 Fuente consultada: Microsoft Security
Vulnerabilidad — CVE-2026-33825 Microsoft Defender Elevation of Privilege Vulnerability
🔍 Qué está pasando
- La vulnerabilidad CVE-2026-33825 afecta a Microsoft Defender, permitiendo un elevamiento de privilegios.
- La vulnerabilidad se ha identificado y se está proporcionando información adicional.
- El CVE ID es CVE-2026-33825.
⚠️ Por qué importa
La vulnerabilidad en Microsoft Defender puede permitir a un atacante obtener privilegios elevados en el sistema, lo que puede llevar a una pérdida de control y acceso a datos confidenciales. Esto puede tener un impacto significativo en las organizaciones que utilizan Microsoft Defender, especialmente aquellas que manejan información sensible.
⚙️ Cómo funciona
La vulnerabilidad en Microsoft Defender se debe a una debilidad en la implementación de controles de acceso. Un atacante podría aprovechar esta debilidad para ejecutar código con privilegios elevados, lo que permitiría acceder a áreas restringidas del sistema y realizar acciones no autorizadas.
👁️ Qué vigilar
- Parche disponible: Se espera que Microsoft libere un parche para la vulnerabilidad.
- Informe de seguridad: Asegúrate de revisar el informe de seguridad de Microsoft para obtener más información sobre la vulnerabilidad y el proceso de patcheo.
- Actualizar Microsoft Defender: Asegúrate de mantener actualizado Microsoft Defender para evitar cualquier posible vulnerabilidad.
🔗 Fuente consultada: MSRC Microsoft
Vulnerabilidad — CVE-2025-21892 RDMA/mlx5: Fix la recuperación del flujo de la UMR QP
🔍 Qué está pasando
- Se ha publicado una información sobre una vulnerabilidad en el componente RDMA/mlx5.
- La vulnerabilidad afecta la recuperación del flujo de la UMR QP (Unreliable Multi-Packet).
- El CVE ID asignado es CVE-2025-21892.
⚠️ Por qué importa
La vulnerabilidad en RDMA/mlx5 puede permitir a un atacante aprovechar la situación en la que el componente no se recupera correctamente, lo que podría provocar una falla en el sistema. Esto podría tener un impacto significativo en la estabilidad y la seguridad de las redes de alta velocidad que utilizan este componente.
⚙️ Cómo funciona
La vulnerabilidad se produce cuando el componente RDMA/mlx5 no se recupera correctamente después de una falla en la comunicación. Esto puede provocar que el componente se encuentre en un estado inconsistente, lo que podría permitir a un atacante explotar la situación y obtener acceso no autorizado a la red.
👁️ Qué vigilar
- Verificar la disponibilidad de parches para la vulnerabilidad CVE-2025-21892.
- Asegurarse de que los componentes RDMA/mlx5 estén actualizados a la versión más reciente que incluya la corrección de la vulnerabilidad.
- Realizar pruebas de penetración y de seguridad regularmente para detectar posibles vulnerabilidades en la red.
🔗 Fuente consultada: MSRC Microsoft
Vulnerabilidad — CVE-2025-21870 ASoC: SOF: ipc4-topology: Harden loops for looking up ALH copiers
🔍 Qué está pasando
- Se ha publicado una vulnerabilidad en el componente ASoC (Advanced Linux Sound Architecture) de Linux.
- El CVE ID asignado es CVE-2025-21870.
- La vulnerabilidad afecta a la funcionalidad SOF (Sound Open Firmware) e ipc4-topology.
⚠️ Por qué importa
La vulnerabilidad CVE-2025-21870 puede permitir a un atacante ejecutar código arbitrario en el kernel de Linux, lo que puede provocar una escalada de privilegios y acceso no autorizado a la información confidencial del sistema. Esto puede tener un impacto significativo en la seguridad y la confiabilidad de los sistemas Linux que utilicen la funcionalidad ASoC y SOF.
⚙️ Cómo funciona
La vulnerabilidad se debe a la falta de validación adecuada en la funcionalidad ipc4-topology, lo que permite a un atacante crear un bucle infinito en la búsqueda de copias de audio (ALH) que puede ser utilizado para ejecutar código arbitrario en el kernel. Esto requiere un conocimiento técnico avanzado y puede ser difícil de detectar para usuarios no especializados.
👁️ Qué vigilar
- Parche disponible: los desarrolladores de Linux están trabajando en un parche para corregir la vulnerabilidad CVE-2025-21870.
- IOC (Indicador de actividad sospechosa): cualquier actividad inusual en la funcionalidad ASoC y SOF, como la creación de bucles infinitos en la búsqueda de copias de audio.
- Recomendación: los administradores de sistemas deben actualizar su software de Linux lo antes posible y garantizar que la funcionalidad ASoC y SOF esté configurada correctamente para evitar la explotación de esta vulnerabilidad.
🔗 Fuente consultada: MSRC Microsoft
Vulnerabilidad — CVE-2026-24051 OpenTelemetry-Go Affected by Arbitrary Code Execution via PATH Hijacking
🔍 Qué está pasando
- Se ha identificado una vulnerabilidad crítica en OpenTelemetry-Go que permite ejecución de código arbitrario.
- La vulnerabilidad se debe a una manipulación de la variable de entorno PATH.
- El CVE asociado es CVE-2026-24051.
⚠️ Por qué importa
La vulnerabilidad afecta a OpenTelemetry-Go, una biblioteca popular utilizada para la recopilación y análisis de métricas y trazas en aplicaciones distribuidas. Si no se corrige, los atacantes pueden ejecutar código arbitrario en el contexto de la aplicación, lo que puede provocar acceso no autorizado, robo de datos o incluso toma del control del sistema. Las organizaciones que utilizan OpenTelemetry-Go deben actuar con prontitud para evitar posibles ataques.
⚙️ Cómo funciona
La vulnerabilidad se debe a la falta de validación adecuada de la variable de entorno PATH en la biblioteca OpenTelemetry-Go. Los atacantes pueden manipular la variable PATH para que apunte a una dirección de archivo maliciosa, lo que permite ejecutar código arbitrario en el contexto de la aplicación. Esta vulnerabilidad se puede aprovechar mediante un ataque de inyección de código, donde el atacante envía una solicitud maliciosa a la aplicación que utiliza OpenTelemetry-Go.
👁️ Qué vigilar
- Verifique si su aplicación utiliza OpenTelemetry-Go y actualice a la versión más reciente que contiene el parche para la vulnerabilidad CVE-2026-24051.
- Revisar las configuraciones de seguridad de la aplicación para asegurarse de que la variable de entorno PATH no se puede manipular de manera maliciosa.
- Monitorear las aplicaciones y sistemas para detectar posibles intentos de explotación de la vulnerabilidad.
🔗 Fuente consultada: MSRC Microsoft
Vulnerabilidad — CVE-2026-21620 TFTP Path Traversal
🔍 Qué está pasando
- La vulnerabilidad TFTP Path Traversal (CVE-2026-21620) afecta a sistemas que utilizan el protocolo TFTP (Trivial File Transfer Protocol).
- Se trata de una vulnerabilidad de inyección de cadena que permite a un atacante acceder a archivos y directorios no autorizados.
- La información se publicó oficialmente por parte de Microsoft.
⚠️ Por qué importa
La vulnerabilidad CVE-2026-21620 puede permitir a un atacante acceder a archivos confidenciales y comprometer la integridad de los sistemas afectados. Esto puede tener graves consecuencias para las organizaciones que utilizan sistemas vulnerables, incluyendo la pérdida de datos, la revelación de información confidencial y la compromiso de la reputación.
⚙️ Cómo funciona
La vulnerabilidad se aprovecha mediante la inyección de cadenas en el protocolo TFTP, que permite a un atacante acceder a archivos y directorios no autorizados. El atacante puede enviar peticiones malformadas al servidor TFTP, lo que permite acceder a información confidencial y realizar acciones no autorizadas.
👁️ Qué vigilar
- Verificar la disponibilidad de parches y actualizaciones para sistemas afectados.
- Revisar la configuración de seguridad del protocolo TFTP para evitar inyecciones de cadena.
- Realizar un análisis de auditoría para identificar posibles vulnerabilidades en el sistema.
🔗 Fuente consultada: MSRC Microsoft
Ciberseguridad — Designing trust and safety into Amazon Bedrock powered applications
🔍 Qué está pasando
- Amazon Bedrock, una plataforma de desarrollo de aplicaciones de inteligencia artificial (IA), promueve la integración de conceptos de IA responsable en el ciclo de vida de desarrollo de aplicaciones.
- Se busca abordar los desafíos de seguridad y confianza en la implementación de IA en aplicaciones.
- No se menciona una vulnerabilidad específica ni un CVE ID.
⚠️ Por qué importa
La integración de IA responsable en la plataforma de Amazon Bedrock tiene un impacto significativo en la seguridad y confianza de las aplicaciones que se desarrollan con ella. La falta de énfasis en la seguridad y la confianza en la IA puede llevar a vulnerabilidades y ataques que comprometan la integridad de la información y la privacidad de los usuarios.
⚙️ Cómo funciona
La plataforma Amazon Bedrock se enfoca en proporcionar herramientas y recursos para que los desarrolladores puedan integrar conceptos de IA responsable en sus aplicaciones. Esto incluye la implementación de mecanismos de seguridad y confianza, como la privacidad y el control de datos, para garantizar que la IA se use de manera responsable y ética.
👁️ Qué vigilar
- Verificar la implementación de mecanismos de seguridad y confianza en las aplicaciones desarrolladas con Amazon Bedrock.
- Revisar la política de privacidad y el control de datos de las aplicaciones que utilicen IA.
- Considerar la implementación de tecnologías de IA responsable y ética en las aplicaciones para garantizar la seguridad y confianza de los usuarios.
🔗 Fuente consultada: AWS Security
Cibercrimen — Silver Fox utiliza el nuevo backdoor ABCDoor para atacar organizaciones en Rusia e India
🔍 Qué está pasando
- El grupo Silver Fox está atacando empresas en Rusia e India mediante el envío de malware y el uso de un nuevo backdoor llamado ABCDoor.
- El ataque se hace pasar por una autoridad fiscal para engañar a las víctimas.
- La noticia no menciona un CVE ID específico.
⚠️ Por qué importa
Este ataque puede tener un impacto significativo en las organizaciones rusas e indias que son víctimas del engaño. Los cibercriminales pueden acceder a datos confidenciales, robar información valiosa y causar daños a la reputación de las empresas. Además, la utilización de un nuevo backdoor como ABCDoor puede permitir a los atacantes mantener una presencia persistente en las redes de las víctimas.
⚙️ Cómo funciona
El ataque comienza con una campaña de phishing que se hace pasar por una autoridad fiscal. Los cibercriminales envían correos electrónicos con archivos adjuntos que contienen el malware ValleyRAT y el backdoor ABCDoor. Una vez que el malware se ejecuta en la víctima, el backdoor ABCDoor se instala en la red de la empresa, permitiendo a los atacantes acceder a la red y moverse libremente.
👁️ Qué vigilar
- Parche: Es importante que las organizaciones en Rusia e India se mantengan actualizadas con los últimos parches de seguridad para evitar la instalación de malware y backdoors.
- IOCs: Las organizaciones deben estar atentas a cualquier actividad sospechosa que pueda estar relacionada con el ataque, como correos electrónicos sospechosos o cambios en la configuración de la red.
- Recomendaciones: Las empresas deben implementar medidas de seguridad robustas, como la autenticación multifactor y la monitoreo de la red, para prevenir futuros ataques.
🔗 Fuente consultada: Kaspersky Securelist
Cibercrimen — Operation Road Trap: Mensajes falsos de peaje y estacionamiento se propagan por todo el mundo
🔍 Qué está pasando
- Scammers están enviando decenas de miles de mensajes de texto fraudulentos a usuarios móviles en 12 países.
- Los mensajes se están enviando desde diciembre de 2025, según los investigadores de Bitdefender Labs.
- Los mensajes imitan a autoridades de transporte, operadores de peaje y servicios de estacionamiento.
⚠️ Por qué importa
La campaña de phishing por mensaje de texto (smishing) puede llevar a los usuarios a revelar información sensible, como números de tarjeta de crédito o detalles de cuenta bancaria. Además, los usuarios pueden descargar malware o ser dirigidos a sitios web fraudulentos, lo que puede comprometer la seguridad de sus dispositivos y datos personales.
⚙️ Cómo funciona
Los scammers envían mensajes de texto que parecen ser de autoridades de transporte o servicios de estacionamiento, informando sobre supuestas multas o facturas pendientes. Los mensajes suelen incluir un enlace o un número de teléfono para que los usuarios puedan "pago" o "resolver" la supuesta multa. Sin embargo, el enlace o el número de teléfono están vinculados a sitios web fraudulentos o a malware que pueden infectar el dispositivo del usuario.
👁️ Qué vigilar
- Revisa las notificaciones de tus dispositivos móviles con cuidado y no hagas clic en enlaces sospechosos.
- No proporciones información sensible a través de mensajes de texto o llamadas telefónicas.
- Asegúrate de que el sitio web sea seguro antes de realizar cualquier transacción financiera.
🔗 Fuente consultada: Bitdefender Labs
ThreatIntel — AI-powered honeypots: Volviendo la página a los agentes maliciosos de IA
🔍 Qué está pasando
- Se está utilizando la inteligencia artificial (IA) para crear trampas de cebo (honeypots) adaptativas y rápidas.
- Estas trampas de cebo están diseñadas para atraer y detectar agentes maliciosos de IA.
- La tecnología permite una rápida implementación y adaptación a nuevas amenazas.
⚠️ Por qué importa
La amenaza de los agentes maliciosos de IA es cada vez más real y puede tener un impacto significativo en las organizaciones. Si no se detectan y detienen, pueden causar daños financieros y de reputación graves. Además, la capacidad de los agentes maliciosos de IA de evadir y adaptarse a las medidas de seguridad tradicionales hace que sea cada vez más difícil para las organizaciones mantener su seguridad.
⚙️ Cómo funciona
La tecnología de AI-powered honeypots utiliza modelos de aprendizaje automático para crear trampas de cebo que se adaptan en tiempo real a las amenazas más recientes. Estas trampas de cebo pueden ser implementadas rápidamente en redes y sistemas, permitiendo una detección y respuesta más efectivas a los agentes maliciosos de IA. La tecnología también permite la recopilación de datos sobre las amenazas, lo que puede ayudar a las organizaciones a mejorar su seguridad y prevención de ataques.
👁️ Qué vigilar
- Utilice modelos de aprendizaje automático para crear trampas de cebo adaptativas y rápidas.
- Implemente la tecnología en redes y sistemas para detectar agentes maliciosos de IA.
- Recopile datos sobre las amenazas para mejorar la seguridad y prevención de ataques.
- Mantenga actualizados los sistemas y aplicaciones para evitar vulnerabilidades conocidas.
🔗 Fuente consultada: Talos Intelligence
Cibercrimen — Phoenix Rising: Exponiendo el Kit PhaaS detrás de campañas masivas de phishing global
🔍 Qué está pasando
- Los investigadores de Group-IB descubrieron una plataforma centralizada de Phishing-as-a-Service (PhaaS) llamada 'Phoenix System' en un análisis global de operaciones de smishing que abarcan APAC, LATAM, Europa y MEA.
- La plataforma tiene una panel de administración donde se puede monitorear en tiempo real a las víctimas, configurar geofencing y realizar intervenciones de phishing en vivo para bypassar la autenticación de múltiples factores.
⚠️ Por qué importa
La existencia de una plataforma PhaaS centralizada y sofisticada como 'Phoenix System' aumenta el riesgo de ataques de phishing masivos y sofisticados que pueden afectar a organizaciones y usuarios en todo el mundo. Estos ataques pueden ser especialmente peligrosos ya que pueden ser diseñados para bypassar medidas de seguridad adicionales como la autenticación de múltiples factores.
⚙️ Cómo funciona
La plataforma 'Phoenix System' parece ser una herramienta de PhaaS que permite a los ciberdelincuentes realizar campañas de phishing masivas con una gran cantidad de características y opciones. Algunas de estas características incluyen:
- Monitoreo en tiempo real de las víctimas: permite a los ciberdelincuentes ver en tiempo real quiénes están siendo afectados por el ataque y qué acciones están tomando.
- Geofencing: permite a los ciberdelincuentes limitar el alcance del ataque a ciertas regiones geográficas.
- Intervenciones de phishing en vivo: permite a los ciberdelincuentes realizar ataques de phishing en vivo para bypassar la autenticación de múltiples factores.
👁️ Qué vigilar
- IOC: Investigar cualquier actividad sospechosa relacionada con la plataforma 'Phoenix System' o sus dominios asociados.
- Parches: Mantener actualizados los parches de seguridad de los sistemas y aplicaciones para evitar vulnerabilidades que puedan ser explotadas por los ciberdelincuentes.
- Recomendaciones: Implementar medidas de seguridad adicionales como la autenticación de múltiples factores, el uso de contraseñas seguras y el monitoreo constante de las actividades de los usuarios en la red.
🔗 Fuente consultada: Group-IB
Vulnerabilidad — Anatomy of a Fraud Operation: Mule Account Creation on B2B Fintech Platforms in France
How corporate/retail accounts are exploited for financial fraud through sophisticated device fingerprinting and mule networks.
🔗 Fuente consultada: Group-IB
Top comments (0)