Fraude NFC, camaradas rizadas, exploits N-capas, puertas traseras y más

El poder no solo desaparece en una gran violación. Se desliza en las cosas pequeñas: un parche que se pierde, una configuración que está mal, un sistema que nadie está mirando. La seguridad generalmente no defecto a la vez; Se rompe lentamente, y de repente. Mantenerse a indemne no se negociación de saberlo todo, se negociación de llevar a cabo rápido y claro antiguamente de que los problemas se acumulen. La claridad mantiene el control. La Oscilación crea peligro.

Estas son las señales de esta semana, cada una que señala donde la obra es más importante.

⚡ Amenaza de la semana

El fraude móvil basado en Ghost Tap NFC despega -Un nuevo troyano de Android llamado PhantomCard se ha convertido en el postrero malware en violar de la comunicación de campo cercano (NFC) para realizar ataques de retransmisión para suministrar las transacciones fraudulentas en ataques dirigidos a clientes bancarios en Brasil. En estos ataques, los usuarios que terminan instalando las aplicaciones maliciosas reciben instrucciones de colocar su maleable de crédito/débito en la parte posterior del teléfono para comenzar el proceso de comprobación, solo para que los datos de la maleable se enviarán a un servidor de retransmisión NFC controlado por el atacante. Los detalles de la maleable robada se transmiten a Money Mules que vinculan la información a sistemas de suscripción sin contacto como Apple Pay o Google Pay en persona para obtener posesiones físicos.

🔔 Parte principales

• Dos fallas n-centro nables explotadas en la naturaleza -Dos fallas de seguridad que afectan el N-Central Nable se han manido bajo una explotación activa en la naturaleza. Los defectos, CVE-2025-8875 y CVE-2025-8876, permiten la ejecución de comandos e inyección de comandos, respectivamente. Los problemas se han abordado en las versiones N-Central 2025.3.1 y 2024.6 HF2 lanzadas el 13 de agosto de 2025. N-en igualmente insta a los clientes a cerciorarse de que la autenticación multifactor (MFA) esté habilitada, particularmente para cuentas de sucursal.
• Nuevos aptos de ‘camaradas rizadas’ Georgia y Moldavia -Se ha observado que un actor de amenaza previamente indocumentado denominada camaradas rizadas dirigida a entidades dirigidas a Georgia y Moldavia como parte de una campaña de espionaje cibernético diseñada para suministrar el camino a liberal plazo a las redes objetivo. La actividad, rastreada por la compañía rumana de ciberseguridad desde mediados de 2014, ha señalado organismos judiciales y gubernamentales en Georgia, así como una compañía de distribución de energía en Moldavia. Se evalúa que los camaradas rizados operan con objetivos que están alineados con la táctica geopolítica de Rusia. Obtiene su nombre de la gran dependencia de la utilidad de curl para el comando y el control (C2) y la transferencia de datos, y el secuestro de los objetos del maniquí de objeto componente (COM). El camino persistente a los puntos finales infectados se logra mediante una puerta trasera a medida llamamiento Mucoragent.
• XZ Utils Backdoor que se encuentra en docenas de imágenes Docker Hub – Varias imágenes de Docker construidas aproximadamente del tiempo del compromiso de XZ Utils contienen la puerta trasera, algunas de las cuales todavía están disponibles a través del concentrador de biblioteca de imágenes del contenedor. Binary dijo que identificó 35 imágenes Debian en Docker Hub que incrustaron la puerta trasera. Eso incluye 12 imágenes de Docker y 23 imágenes de segundo orden. La conclusión principal es que los usuarios solo deben esperar en imágenes actualizadas. Los hallazgos son una señal de que los rastros de la amenaza de la sujeción de suministro han permanecido luego de más de un año desde que salió a la luz el incidente.
• Estados Unidos expande sanciones a Garantex – El Unidad del Fortuna de los Estados Unidos sancionó el intercambio de criptomonedas rusas Garantex, su sucesor Grinex, y los afiliados relacionados como parte de los continuos esfuerzos del gobierno para detener el flujo de los ingresos de ransomware facilitados por las plataformas. Se estima que Garantex ha procesado más de $ 100 millones en transacciones vinculadas a actividades ilícitas desde 2019. «Los activos digitales juegan un papel crucial en la innovación entero y el exposición crematístico, y Estados Unidos no tolerará el exceso de esta industria para apoyar la despreocupación del delito cibernético y las sanciones», dijo el área de gestión.
• CiCryPTHUB continúa explotando la defecto de Windows para ataques de robo -El actor de amenaza en línea en Rusia conocido como CiCrypThub continúa explotando una defecto de seguridad ahora empapada que afecta a Microsoft Windows para entregar cargas efectos maliciosas, incluido un robador llamado Fickle Stealer. La campaña combina la ingeniería social y la explotación de una vulnerabilidad en el entorno de la consola de dirección de Microsoft (MMC) (CVE-2025-26633, igualmente conocido como MSC Eviltwin) para desencadenar la rutina de infección a través de un archivo Rogue Microsoft Console (MSC).
• Shinyhunters y arañas dispersas unen fuerzas – Shinyhunters y Sptered Spider parecen estar trabajando juntos para admitir a final ataques con motivación financiera, incluidos los que se dirigen a los clientes de Salesforce. Estos incluyen el uso de la admisión de tácticas que reflejan las de las arañas dispersas, como los ataques de ingeniería de Vishing (igualmente conocido como Phishing) y de ingeniería, aprovechando las aplicaciones que se disfrazan de herramientas legítimas, empleando páginas phishing con temas de OKTA para engañar a las víctimas para ingresar a las credenciales durante la apariencia y la obfusión de VPN para la exfiltración de datos.

🔥 CVES de tendencia

Los piratas informáticos no esperan, golpean a pocas horas de que se expuse un defecto. Un parche perdido, un error oculto o incluso un solo CVE pasado por detención es suficiente para entregarles las llaves. Lo que comienza como «solo una brecha» puede convertirse en interrupción, robo o compromiso antiguamente de que los defensores se den cuenta de que está sucediendo. A continuación se presentan las vulnerabilidades de detención peligro de esta semana. Revisarlos, parche rápidamente y mantenerse a la vanguardia antiguamente de que algún más haga el primer movimiento.

La registro de esta semana incluye: CVE-2025-20265 (Cisco Secure Firewall Management Center), CVE-2025-8671 (HTTP/2), CVE-2025-8875, CVE-2025-8876 (N-Central N-Central), CVE-2025-25256 (Fortinet Fortisiem), CVE-202525-53777777797777777775775255255255255255255252525255Om25525525525ITOS. (Microsoft Windows), CVE-2025-49457 (Teleobjetivo Clients for Windows), CVE-2025-8355, CVE-2025-8356 (Xerox FreeFlow Core), CVE-2024-42512, CVE-2024-42513, CVE-2025-1468 (OPC UA .NET Standard Stack), CVE-2025-42950, CVE-2025-42957 (SAP), CVE-2025-54472 (Apache BRPC), CVE-2025-5456, CVE-2025-5462 (Ivanti Connect Secure), CVE-2025-53652 (Jenkins), CVE-2025-49090, CVE-2025-54315 (Matrix), CVE-2025-52970 (Fortinet FortiWeb),CVE-2025-7384 (Database for Contact Form 7, WPforms, Elementor forms plugin), CVE-2025-53773 (GitHub Copilot), CVE-2025-6186, CVE-2025-7739, CVE-2025-7734 (GITLAB), CVE-2025-8341 (Grafana Infinity DataSource Plugin), CVE-2025-47227, CVE-2025-47228 (scriptcase), CVE-2025-30404, CVE-2025-30405, CVE-2025-54949, CVE-2025-54950, CVE-2025-54951, CVE-2025-54952 (Meta Executorch), CVE-2025-55154 y CVE-2025-55004 (ImagemAgick).

📰 aproximadamente del mundo cibernético

• Fallas en el software ZTNA -Los investigadores de seguridad cibernética han descubierto múltiples fallas de seguridad que afectan las soluciones de camino a la red de confianza cero (ZTNA) de ZScaler (CVE-2025-54982), Netskope y el perímetro de Check Point 81 que podría ser abusado por los atacantes para escalarse los privilegios en los dispositivos del afortunado final y a la autenticación por completo, concesión de camino a los medios internos como un afortunado. Los hallazgos siguen el descubrimiento de debilidades críticas en el cliente Cato de Cato Networks, incluido uno que podría permitir que un atacante obtenga el control funcionario completo del dispositivo de un afortunado simplemente haciendo que el afortunado visite una página web maliciosa.
• Ataque de información por dirección de Google – Google ha remediado un serio problema de seguridad que permitió las invitaciones de Google Calendar de forma maliciosa a hacerse cargo de los agentes de Gemini que se ejecutan en el dispositivo del objetivo, los datos del afortunado sensibles a las filtraciones y el control de secuestro de los sistemas domésticos inteligentes. El ataque de información específica es iniciado simplemente por un atacante que envía una invitación al calendario de Google a una víctima cuyo nombre contiene una inyección indirecta de inmediato. Cuando se le pide a la insignia de chatbot de AI de Google que resume sus próximos eventos calendario, esas instrucciones inactivas se activan, causando estragos en el entorno físico, como controlar remotamente los electrodomésticos de una víctima. Los ataques emplean un enfoque llamado invocación de herramientas automáticas retrasadas para evitar las medidas de seguridad existentes de Google. Asimismo demuestran un posible sensación secundario de los amplios permisos de Géminis para tomar medidas en el ecosistema de Google. «Como resultado, pudimos secuestrar el contexto de la aplicación, invocar a sus agentes integrados y explotar sus permisos para realizar una matiz impactante de actividades maliciosas, incluida la identificación de la ubicación de la víctima, registrar a la víctima e incluso hacer cambios internamente del entorno físico de la víctima». El enfoque muestra que la rápida, una variable de Echoleak, es capaz de realizar tanto el movimiento colateral entre agentes, desencadenando la actividad maliciosa entre los diferentes agentes de Gemini y el movimiento colateral interpapia, al escapar de los límites de Gemini y el apalancamiento de aplicaciones instaladas en el teléfono inteligente de una víctima, a actividades de desempeño con consecuencias de todo el mundo. Los ataques de aviso muestran por otra parte que Gemini se puede hacer para despachar enlaces de spam, gestar contenido vulgar, cascar la aplicación Teleobjetivo e iniciar una llamamiento, robar correo electrónico y reuniones de detalles de un navegador web, y descargar un archivo desde el navegador web de un teléfono inteligente. Desde entonces, Google ha implementado soluciones como refuerzo de pensamiento de seguridad para acometer los problemas. Las inyecciones indirectas de inmediato son una amenaza de IA más serio, ya que la solicitud maliciosa es insertada por una fuente externa, ya sea incrustada internamente de una página web o como texto en una fuente blanca en un correo electrónico que es invisible a simple paisaje, pero puede ser analizado por los sistemas de IA. Afrontar las inyecciones de inmediato es un problema difícil ya que los métodos LLMS pueden ser engañados están evolucionando continuamente, y la superficie de ataque se está volviendo más compleja.
• La materia agrega nuevas funciones de seguridad — Matter, a unifying, IP-based connectivity protocol and technical standard for smart home and IoT devices, has received numerous security enhancements in version 1.4.2, including (1) Wi-Fi Only Commissioning, which enables devices to be onboarded to Matter ecosystems over Wi-Fi without requiring Bluetooth Low Energy (LE) radios, (2) Vendor ID (VID) Verification, which allows controllers to cryptographically verify that the Admins Instalados en un dispositivo están genuinamente de los proveedores que afirman, (3) Listas de restricción de camino (ARL), que proporcionan un mecanismo para restringir el camino a configuraciones y datos confidenciales a controladores confiables y verificados, y (4) listas de revocación de certificados (CRLS), que ofrece soporte para revocar los certificados de auxilio de dispositivo no utilizados o comprometidos.
• Los autobuses inteligentes se pueden piratear remotamente – Los investigadores de ciberseguridad han descubierto que los autobuses inteligentes taiwaneses que incorporan varios sistemas para mejorar la seguridad, la eficiencia y la experiencia de los pasajeros, como los servicios avanzados de transporte conocido (APT) y los sistemas avanzados de auxilio al conductor (ADA) pueden ser pirateados remotamente. La investigación mostró que es posible evitar fácilmente la autenticación del enrutador a costado y obtener camino no acreditado a su interfaz de sucursal, y luego hacerse cargo de la funcionalidad APT y ADAS adecuado a la desliz de segmentación de red. Esto permite a un atacante rendir el camino remoto para rastrear los movimientos del transporte, manipular controles o entrar a la cámara. Las vulnerabilidades impactan enrutadores de BEC Technologies, que comúnmente se instalan en autobuses inteligentes en Taiwán.
• Cmimai Stealer vio en la naturaleza – En la naturaleza se ha observado un nuevo malware de robo de script de Visual Basic Script (VBS) llamado CMIMAI Stealer desde junio de 2025, empleando capacidades para cosechar una amplia matiz de información de hosts infectados y exfiltrando los datos utilizando un webhook de discords. «Es libertino y carece de características avanzadas como la persistencia en el reinicio del sistema, la comunicación cifrada y el robo de credenciales; tal vez por diseño», dijo K7 Security. «Aunque está recopilando datos y capturas de pantalla del navegador, haciéndonos clasificarlo como un infoptealer, puede estar de moda para el doble propósito como robador y igualmente como una aparejo de registro de segunda etapa utilizada para estrategias para estrategias futuros ataques futuros».
• Windows Hola o Windows Hell No? – Los investigadores de ciberseguridad han presentado un nuevo ataque de ataque de Windows Hello for Business (WHFB) que aprovecha el subsistema de almacenamiento de la dispositivo biométrica para realizar ataques de derivación. Esencialmente, el ataque puede suministrar la inyección biométrica de otra computadora que comprometería la autenticación biométrica, otorgando camino a cualquier cara o huella digital presentada. Ernw Research demostró que un administrador nave, o algún que tiene camino a sus credenciales a través de malware u otros medios, puede inyectar información biométrica en una computadora que le permita distinguir cualquier cara o huella digital. Si correctamente las plantillas biométricas están «encriptadas», un administrador nave puede canjear características biométricas en la pulvínulo de datos, permitiendo la autenticación como cualquier afortunado ya inscrito en el sistema objetivo, incluida la posibilidad de hacer un movimiento colateral al usurpar a un administrador de dominio. La seguridad mejorada de Microsoft (ESS), que opera en un nivel de confianza posible de Hypervisor más detención (VTL1), bloquea esta vírgula de ataque.
• Securam fallas de retiro pródico revelado – Los investigadores James Rowley y Mark Omo lograron descubrir una «puerta trasera» destinada a dejar que los cerrajeros autorizados abran los bloqueos pródicos de Securam utilizados en Liberty Safe y otras siete marcas. Adicionalmente, descubrieron una guisa para que un hacker explotara esa puerta trasera, intendida para ser accesible solo con la ayuda del fabricante, para cascar una caja robusto por sí sola en segundos, así como encontrar otra vulnerabilidad de seguridad en muchas versiones más recientes de Securam que permitiría a un actor malo insertar una aparejo en un puerto oculto en el retiro en el retiro de desbloqueo de Securam, informado Wired. Se calma que Securam solucione los problemas en modelos futuros del retiro prólogo.
• UAC Bypass a través de eudcedit.exe -Un método de omisión de la cuenta de afortunado inventivo (UAC) Explota el editor de caracteres privado incorporado de Windows («eudcedit.exe»), lo que permite a los atacantes obtener privilegios elevados sin el consentimiento del afortunado. La técnica resalta una vez más cómo las utilidades legítimas de Windows se pueden armarse para eludir los mecanismos de seguridad críticos. «Si Eudcedit.exe se ejecuta en un contexto de afortunado que ya pertenece al clan de administradores, y UAC se configura de guisa permisiva (por ejemplo, ‘elevar sin solicitar’), Windows lo lanzará inmediatamente con inscripción integridad, sin mostrar un diálogo UAC», dijo el investigador de seguridad Matan Bahar.
• Fugas de información en entornos de Linux de múltiples usuarios -Una nueva investigación ha demostrado cómo los comandos básicos de Linux como «PS Auxww» pueden armarse para extraer credenciales de bases de datos, claves API y contraseñas administrativas en entornos de Linux multiusuario, «sin aumentar los privilegios o explotar un solo error», según Ionutut Cernica.
• Fugas de privacidad a través de Siri – Se han descubierto problemas de privacidad en Apple Siri, encontrar el asistente de chat transmite metadatos sobre aplicaciones abiertas instaladas y activas, así como metadatos de reproducción de audio (por ejemplo, nombres de compacto) sin la capacidad del afortunado para controlar estas configuraciones de privacidad o su consentimiento. Adicionalmente, los mensajes dictados a través de Siri a aplicaciones como iMessage y WhatsApp se envían a los servidores de Apple, anejo con el número de teléfono del destinatario y otros identificadores. Los problemas han sido nombrados en código Applestorm por Lumia Security. Apple dijo que el comportamiento surgió del uso de Sirikit por parte de los servicios de terceros, su sistema de extensión para integrar aplicaciones externas con Siri.
• Aplicaciones de oauth como aparejo de subida de privilegios – Las aplicaciones de OAuth maliciosas podrían estar de moda para aumentar los privilegios o moverse lateralmente internamente de un entorno objetivo. Eso es de acuerdo con los hallazgos de Praetorian, que tiene una aparejo de equipo roja llamamiento OAuthseeker que realiza ataques de phishing utilizando aplicaciones de OAuth maliciosas para comprometer las identidades de los usuarios internamente de Microsoft Azure y Office365. «Es posible que las aplicaciones externas verificadas o no verificadas internas soliciten privilegios de usuarios de Microsoft Azure, que luego le permite al atacante hacerse acontecer por el afortunado a los medios de computación en la aglomeración internamente de Microsoft Azure, como entrar a la infraestructura de cálculo, como las máquinas virtuales», dijo Praetorian. «Los operadores pueden rendir Oauthseeker para obtener el camino auténtico en un entorno, para el movimiento colateral luego de obtener el camino auténtico y para fines de persistencia luego de comprometer una cuenta aprovechando otros métodos».

• La configuración falsa de Minecraft conduce a NJRAT – Se ha observado una nueva campaña de malware utilizando instaladores o modificaciones falsos de Minecraft para distribuir un troyano de camino remoto llamado NJRAT. «Está escrito en .NET y permite a los atacantes controlar completamente las máquinas infectadas de forma remota, lo que lo convierte en una de las familias de malware más populares y persistentes utilizadas en el espionaje cibernético, el delito cibernético y las operaciones de vigilancia», dijo Point Wild. La divulgación se produce cuando la compañía de seguridad cibernética detalló el funcionamiento interno de otra rata llamamiento rata Sakula que se ha empleado en intrusiones específicas desde al menos 2012. Adicionalmente de la cosecha de datos confidenciales, el malware puede conectarse a un servidor de comando y control (C2) para admitir instrucciones del atacante para ejecutar comandos arbitrarios y descargar carga adicional.
• Israel dirigido por PowerShell Rat usando ClickFix -Hablando o en ratas, múltiples organizaciones israelíes han sido atacadas por ataques de phishing de asta que dirigen a los usuarios a fingir páginas de destino que imitan las invitas de los equipos de Microsoft, mientras usan señuelos similares a ClickFix para engañar a los destinatarios para que lanzaran comandos de PowerShell bajo la apariencia de unirse a la conversación. El comando inicia la recuperación y ejecución de un script de PowerShell secundario del servidor del atacante, que, a su vez, actúa como un cargador para un troyano de camino remoto de PowerShell que puede ejecutar comandos de PowerShell desde el C2 y ejecutar más malware. «El adversario apalancó la infraestructura de correo electrónico interna comprometida para distribuir mensajes de phishing en todo el panorama comercial regional», dijo Fortinet. «El atacante comprometió sistemáticamente múltiples compañías israelíes durante varios días consecutivos, utilizando cada entorno violado como una plataforma de tirada para dirigirse a organizaciones adicionales en la región. Esta táctica refleja de cerca el enfoque peculiar de Muddywater para la expansión colateral». La abandono de herramientas de dirección remota (RMMS), un sello distintivo de los ataques de Muddywater, indica una desviación táctica. La divulgación se produjo cuando Profero dijo que rompió el secreto de los encriptadores de pandillas de ransomware Darkbit (igualmente conocido como Storm-1084), permitiendo a las víctimas recuperar archivos de forma gratuita sin retribuir un rescate. Darkbit se evalúa para compartir superposiciones con Muddywater. El DecryPter explota un operación de coexistentes de claves débil utilizado por el clan Darkbit para hacer fuerza bruta la esencia de descifrado.
• Kimsuky supuestamente sufre violación de datos -Según los informes, los piratas informáticos patrocinados por el estado de Corea del Finalidad conocidos como Kimsuky han sufrido una violación de datos luego de que un par de piratas informáticos, llamados Enterarse y Cyb0rg, robaron los datos del clan y la filtraron públicamente en vírgula. «Kimsuky, no eres un hacker. Estás impulsado por la codicia financiera, enriquecer a tus líderes y para cumplir su memorándum política», comentaron los hackers en un estudio publicado en el postrero número de la revista Phrack. «Usted roba a los demás y favorece a los suyos. Usted vale por encima de los demás: está moralmente pervertido». Entre los datos filtrados se encuentran el backend de Kimsuky, exponiendo herramientas de piratería, direcciones de correo electrónico, manuales internos y contraseñas que podrían proporcionar información sobre campañas desconocidas y compromisos indocumentados. Enterarse y CyB0RG afirman tener enemigo evidencia de que Kimsuky compromete varias redes y empresas gubernamentales de Corea del Sur. Los archivos igualmente incluyen las modificaciones de Android Toybox del clan y el uso de exploits como Bushfire. Otro software es un rootkit de estilo de módulo de kernel cargable (LKM) con la capacidad de esconderse de la detección y trabajar en cualquier puerto de red. «El objetivo principal de RootKit es crear una puerta trasera persistente y sigilosa», dijo Sandfly Security. «La puerta trasera se activa cuando se recibe un paquete mágico exclusivo, combinado con una contraseña correcta para iniciar una conexión SSL. La puerta trasera se puede activar en cualquier puerto. Esto es importante para entender porque un firewall por sí solo puede no proteger el sistema objetivo. Si el paquete mágico puede magullar a la víctima, entonces la puerta trasera se puede activar». Se dice que el tramo de datos se originó a partir de una periodo de trabajo posible y un servidor privado posible (VPS) utilizado por el actor de amenazas. Dicho esto, los indicios son que los vertederos pueden haberse originado en un probable actor chino que tiene conocimiento de la artesanía de Kimsuky.
• 2 Fundador de Samourai Wallet se declaró culpable de lavado de cuartos – Dos altos ejecutivos y fundadores del mezclador de criptomonedas de billetera de Samourai se declararon culpables de cargos que involucran a colar más de $ 200 millones en activos criptográficos de los ingresos penales y ocultando la naturaleza de las transacciones ilícitas utilizando servicios como Whirlpool y Ricochet. La CEO de Samourai, Keonne Rodríguez y el CTO, William Lonergan Hill, fueron arrestados el año pasado luego de que la Oficina Federal de Investigación de los Estados Unidos (FBI) retiró su servicio. Como parte de sus acuerdos de culpabilidad, Rodríguez y Hill igualmente acordaron perder $ 237,832,360.55. «Los acusados crearon y operaron un servicio de mezcla de criptomonedas que sabían que los delincuentes permitieron colar millones en cuartos desaliñado, incluidas las ganancias de los robos de criptomonedas, las operaciones de tráfico de drogas y los esquemas de fraude», dijo el Unidad de Honestidad de los Estados Unidos (DOJ). «No solo facilitaron este movimiento ilícito de cuartos, sino que igualmente lo alentaron».
• Fundador de Tornado Cash condenado por trabajar un negocio de transmisión de cuartos -Roman Storm, cofundador del servicio de mezcla de criptomonedas Tornado Cash, fue evidente culpable de conspirar para trabajar un negocio de transmisión de cuartos sin atrevimiento. Sin bloqueo, el comité no logró arribar a un veredicto sobre los cargos más significativos de conspiración para cometer lavado de cuartos y violar las sanciones. «Roman Storm y Tornado Cash brindaron un servicio para los piratas informáticos de Corea del Finalidad y otros delincuentes para mudarse y esconder más de $ 1 mil millones de cuartos desaliñado», dijo el Unidad de Honestidad. Tormenta será sentenciada a finales de este año y enfrenta una sentencia de prisión máxima de cinco abriles. El exposición se produjo cuando el Unidad del Fortuna de los Estados Unidos retiró su apelación contra un veredicto sumarial que lo obligó a exculpar las sanciones contra el efectivo de Tornado el mes pasado. Tornado Cash fue eliminado de la registro de personas nacionales y bloqueadas especialmente designadas (SDN) a principios de marzo. El servicio fue sancionado en 2022 por sus presuntos vínculos con los ciberdelincuentes y por tener «no acabado repetidamente imponer controles efectivos» para evitar el lavado de cuartos.
• UPI de la India para detener las solicitudes de cuartos P2P para acometer el fraude -La National Payments Corporation of India (NPCI) anunció que suspenderá la función de solicitud de colecta de persona a persona (P2P) del sistema de suscripción instantáneo del país, interfaz de pagos unificados (UPI), a partir del 1 de octubre de 2025, con el objetivo de vigorizar la seguridad y evitar la fraude relacionada con el suscripción. La característica permite a los usuarios solicitar cuartos a otra persona a través de UPI, pero los estafadores han sido mal utilizados enviando solicitudes de transferencia de cuartos falsas que pueden ser aprobadas inadvertidamente por un simple toque, engañando así a los usuarios involuntarios para autorizar los pagos. El cambio, sin bloqueo, no se aplica a los comerciantes.
• Microsoft planea encerrar los tipos de archivos peligrosos en los equipos – Microsoft reveló que planea encerrar los tipos de archivos peligrosos y las URL maliciosas en los chats y canales de los equipos. «Los equipos de Microsoft ahora bloquean mensajes que contienen tipos de archivos de armas, como ejecutables, en chats y canales, aumentando la protección contra el malware y otros ataques basados en archivos», dijo la compañía. «Los equipos de Microsoft ahora pueden detectar y advertir a los usuarios de las URL maliciosas enviadas en el chat y los canales de los equipos, aumentando la protección contra los ataques de malware». Por separado, el coloso de la tecnología dijo que igualmente está integrando equipos con defensor para la registro de los inquilinos de Office 365 Permitir/Block para permitir a los administradores mandar centralmente dominios externos bloqueados en los equipos.
• USB Worm ofrece cripto minero -Se está utilizando un infeliz basado en USB para entregar el minero de criptomonedas XMRIG como parte de una campaña entero dirigida a sectores financiero, de educación, vigor, fabricación, fabricación, telecomunicaciones y petróleo y gas en Australia, India, Estados Unidos y otros países. «La infección comienza con la ejecución de un archivo de script VB desde una dispositivo USB (usando un nombre de archivo que comienza con X y 6 dígitos aleatorios) desde una carpeta llamamiento ‘RootDir'», dijo Cyberproof. Después, la sujeción de ataque aprovecha las técnicas de carga colateral de DLL para difundir una DLL maliciosa que sea responsable de comenzar el proceso de minería. En un exposición relacionado, las empresas rusas se han convertido en el objetivo del clan criptojacking Kinsing (igualmente conocido como H2Miner y Wolf ingenioso) como parte de los ataques a gran escalera que las instancias SSH de fuerza bruta o escanear servidores expuestos a Internet por vulnerabilidades conocidas (por ejemplo, CVE-2017-9841) para eliminar el minero criticada de monero.
• Fallas SMM en el firmware AMI Aptio UEFI -Se han identificado vulnerabilidades de corrupción de memoria del modo de dirección del sistema (SMM) (CVE-2025-33043) en los módulos UEFI presentes en el firmware AMI APTIO UEFI UEFI que podría ser explotado por un atacante para elevar los privilegios y ejecutar código caprichoso en el entorno SMM en extremo privilegiado. «Esto podría evitar ciertas protecciones a nivel de firmware, como las que protegen la memoria Flash SPI, y permitir modificaciones persistentes al firmware que operan independientemente del sistema operante», dijo CERT Coordination Center (CERT/CC).
• Ex ingeniero de Intel sentenciado a 2 abriles de confianza condicional por robar secretos comerciales – Un ingeniero que robó secretos comerciales de Intel y los compartió con su nuevo empleador, Microsoft, fue sentenciado a dos abriles de confianza condicional y se le ordenó retribuir una multa de más de $ 34,000. Varun Gupta fue empleado en Intel desde julio de 2010 hasta enero de 2020, cuando aseguró su nuevo trabajo en Microsoft. Gupta se declaró culpable de poseer secretos comerciales en febrero de 2025. «Entre febrero y julio de 2020, mientras estaba empleado por la Compañía en Washington, Gupta poseía y accedió a los secretos comerciales de su empleador inicial e información de propiedad sin autorización», señaló el Unidad de Honestidad en ese momento. «Gupta accedió a la información relacionada con el diseño y los precios de los productos personalizados para compras significativas de procesadores informáticos, que Gupta utilizó, como representante de la compañía de Washington, durante las negociaciones directas con su empleador inicial». Fue demandado por Intel a principios de 2021.
• Repositorios de GitHub entrega malware de robador – Los repositorios de GitHub disfrazados de proyectos legítimos, incluidos trucos de juegos, grietas de software y herramientas de automatización, se han utilizado para distribuir un cargador de malware llamado SmartLoader. Se cree que los usuarios que buscan tales herramientas en los motores de búsqueda son el objetivo de la campaña. El cargador actúa como un conducto para el malware del robador de información de Rhadamanthys, que se recupera de un servidor remoto. Asimismo se ha enemigo que los usuarios que buscan herramientas para descargar videos de YouTube de forma gratuita reciben sitios falsos como YTMP4, donde aquellos que ingresan a una URL de video se muestran un tallo «Descargar ahora» que deja de costado el proxyware digitalpulse en el host de la víctima por medio de un ejecutable alojado en Github. En una campaña separada, los anuncios de Facebook se están utilizando para redirigir a los usuarios a páginas de destino fingentes que tienen como objetivo engañar a los usuarios para que instalen versiones falsas de aplicaciones de intercambio de criptomonedas como binance que contienen malware. La actividad se superpone con un clan de amenazas denominado Weevilproxy.
• Los ataques de phishing usan líneas y enlaces de asunto personalizados – Se han observado ataques de phishing la creación de líneas de asunto personalizadas, nombres de archivos adjuntos y enlaces integrados para crear una sensación de franqueza o emergencia, y aumentar la probabilidad de que los destinatarios se involucren con los mensajes de correo electrónico. «Esta táctica no se limita a la vírgula de asunto; a menudo se extiende a los archivos adjuntos de correo electrónico, enlaces y cuerpo de mensajes», dijo Cofense. «Al incluir fundamentos personalizados, los atacantes tienen como objetivo aumentar la probabilidad de un compromiso exitoso». Se ha enemigo que estas campañas de personalización de sujetos con auxilio de delirio, respuesta, finanzas, impuestos y correos electrónicos temáticos de notificación entregan troyanos de camino remoto y robos de información. Las campañas con temas de finanzas entregan predominantemente JRAT, un troyano de camino remoto de plataforma cruzada escrita en Java que permite la compatibilidad del sistema multi-operación, mientras que los correos electrónicos de temática de respuesta con frecuencia sirven malware Pikabot.
• Google PKVM logra la certificación SESIP Level 5 -Google anunció que su máquina posible protegida de kernel (PKVM) para Android ha acabado la certificación SESIP Level 5, el nivel de respaldo de seguridad más detención para las plataformas IoT y móviles. «Esto hace que PKVM sea el primer sistema de seguridad de software diseñado para la implementación a gran escalera en Electrónica de Consumidor para cumplir con esta mostrador de respaldo», dijo Google. «Esto incluye características vitales, como cargas de trabajo de IA en dispositivo que pueden trabajar con datos ultrapersonalizados, con las mayores garantías de privacidad e integridad».
• El 81% de las organizaciones envían un código indefenso a sabiendas – Mientras que el 98% de las organizaciones experimentaron infracciones adecuado al código indefenso, el 81% envió a sabiendas ese código, a menudo para cumplir con los objetivos comerciales. «Bajo presión para entregar, los equipos están tratando las prácticas de parche-lateral como un peligro aceptable, incrustando la inseguridad en el SDLC», dijo CheckMarx en su futuro mensaje de APPSEC. El mensaje se pedestal en una averiguación de 1.500 líderes de seguridad de aplicaciones. La porción de los encuestados ya usan asistentes del código de seguridad de IA, y el 34% admitió que más del 60% de su código se genera utilizando herramientas de inteligencia fabricado (IA).
• Entidades pak dirigidas por el ransomware del casillero zarco – El Equipo Franquista de Respuesta a Cibernes de Emergencias (NCERT) de Pakistán emitió una advertencia de alerta sobre los ataques de ransomware de casillero zarco dirigidos al sector de petróleo y gas. El ransomware, que se cree que está conectado a la tribu de malware Shinra, se distribuye a través de un cargador basado en PowerShell que intenta deshabilitar las defensas de seguridad, aumentar los privilegios y difundir su carga útil principal. Los correos electrónicos de phishing, los archivos adjuntos maliciosos, las descargas de transmisión y el camino remoto inseguro son algunas de las rutas de camino iniciales utilizadas por los actores de amenaza detrás de la operación. «El motivo detrás de estos eventos puede variar, pero es poco probable que una ordenamiento cibercriminal tradicional sea responsable; en cambio, es más probable que un clan de estado-nación esté atacando la infraestructura crítica», dijo ReseCurity. «Muy a menudo, los actores avanzados operan bajo la apariencia del delito cibernético para difuminar la atribución y evitar el contexto geopolítico». La divulgación se produjo cuando Huntress detalló un incidente de ransomware Kawalocker (igualmente conocido como Kawa4096) que involucró a los atacantes que acceden al punto final de una víctima a través del Protocolo de escritorio remoto (RDP) utilizando una cuenta comprometida, seguido de deshabilitar las herramientas de seguridad utilizando controladores de kernel y luego soltar el casillero.
• La campaña de phishing utiliza «ん» como una mostrador de url delantera -Se ha observado una campaña de phishing con temática de Booking.com utilizando el carácter de Unicode «ん» en URL como un sustituto de las cortes de avance cuando se renderiza en un navegador web para engañar a los usuarios desprevenidos para que ejecute instaladores MSI maliciosos que probablemente sean capaces de entregar malware adicional.
• Los actores de amenaza venden camino a cuentas de aplicación de la ley comprometidas – Una crematística subterránea floreciente permite el camino no acreditado a las cuentas del gobierno y la aplicación de la ley pirateadas. Estas cuentas se ven comprometidas a través del phishing o mediante infecciones de robo de información. Una sola cuenta está arreglado por tan solo $ 40.
• Pruebas de Chrome Bloqueando las huellas dactilares en modo de incógnito -El equipo de Chrome de Google dijo que está probando una función de retiro de script que tiene como objetivo frustrar los scripts que participan en técnicas conocidas y prevalentes para la reidentificación del navegador utilizando API del navegador para extraer información adicional sobre el navegador o las características del dispositivo del afortunado. Se calma que la característica se envíe en la interpretación 140.
• Noruega dice que los piratas informáticos rusos sabotearon la presa -El Servicio de Seguridad de la Policía Noruega dijo que los piratas informáticos pro-rusos probablemente sabotearon una presa en el suroeste del país en abril de 2025. Esta es la primera vez que los funcionarios han vinculado públicamente el incidente con Rusia. «El objetivo de este tipo de operación es influir y causar miedo y caos entre la población caudillo», dijo PST. Exactamente quién está detrás de él es actualmente desconocido.
• NIST finaliza el en serie de criptografía ligera para fijar dispositivos IoT – El Instituto Franquista de Normas y Tecnología de los Estados Unidos (NIST) ha completado el trabajo en el en serie criptográfico ASCON. El en serie contiene cuatro algoritmos criptográficos (ASCON-128 AAD, ASCON-Hash 256, ASCON-XOF 128 y ASCON-CXOF 128) diseñados para estar de moda en dispositivos IoT de muerto memoria, así como etiquetas RFID e implantes médicos. La agencia ha estado trabajando en el en serie desde 2023.
• La firma de IA china ejecuta campañas de propaganda – El gobierno chino está solicitando la ayuda de compañías de IA nacionales para monitorear y manipular la opinión pública sobre las redes sociales a través de campañas de propaganda sofisticadas. Una de esas compañías, llamamiento Golaxy, ha realizado operaciones de influencia dirigidas a Hong Kong y Taiwán con la ayuda de herramientas de IA. Fundada en 2010, igualmente ha utilizado una aparejo llamamiento GoPro para construir perfiles psicológicos y construir perfiles de datos para al menos 117 legisladores de los Estados Unidos y más de 2,000 otros líderes políticos y pensativos estadounidenses. Adicionalmente, se cree que Golaxy está rastreando a miles de personas influyentes y periodistas de derecha. Desde entonces, la compañía ha intentado fregar su huella digital, aunque sin éxito. En una testimonio al New York Times, Golaxy dijo que sus productos se basan principalmente en datos de código despejado.

🎥 seminarios web de ciberseguridad

• 5 Riesgos ocultos en su canalización de código a aglomeración, y cómo solucionarlos rápidamente: las brechas de seguridad no comienzan en la aglomeración, comienzan en su código. Únase a nosotros para descubrir cómo la visibilidad de código a aglomeración une a los desarrolladores, devops y equipos de seguridad con un planisferio compartido de peligro. Aprenda a cortar el ruido, la remediación de la velocidad y proteger sus aplicaciones críticas de negocios antiguamente de que los atacantes encuentren el vínculo débil.
• Cómo detectar las amenazas silenciosas de IA que se esconden en sus sistemas: la IA ya no es solo una aparejo: puede llevar a cabo como una información privilegiada que se esconde a la paisaje. Únase a nuestro seminario web, agentes de la sombra y amenazas silenciosas, para descubrir cómo la IA está remodelando los riesgos de identidad, por qué las defensas tradicionales no son suficientes y qué puede hacer ahora para mantenerse por delante de las amenazas invisibles.
• Cómo detener a los agentes de AI de Rogue antiguamente de secuestrar sus identidades y datos: los agentes de IA se están multiplicando internamente de su negocio más rápido que la mayoría de los equipos pueden rastrear: se enciende en flujos de trabajo, plataformas en la aglomeración e identidades sin previo aviso. En este panel exclusivo, los expertos en seguridad descubrirán dónde se esconde la IA de la sombra, los riesgos que plantean y los pasos prácticos que puede tomar en este momento para recuperar el control, sin desacelerar la innovación.

🔧 Herramientas de ciberseguridad

• Buttercup: es un sistema de razonamiento cibernético (CRS) construido para encontrar y corregir automáticamente vulnerabilidades en el software de código despejado. Desarrollado por Trail of Bits para el software AIXCC de DARPA, combina fuzzing, estudio de programas y parches impulsados por IA para descubrir fallas de seguridad y gestar reparaciones. Diseñado para trabajar con proyectos C y Java compatibles con OSS-Fuzz, Buttercup integra múltiples componentes, como un orquestador, fuzzer y patcher, en un flujo de trabajo que puede probar, monitorear y fijar código a escalera.
• BEELZEBUB: es un entorno de honeypot de código despejado que proporciona un entorno controlado para estudiar ataques cibernéticos. Combina la configuración de bajo código con una simulación basada en AI para imitar sistemas de inscripción interacción mientras se mantiene un núcleo más seguro y de muerto interacción. Apoyando múltiples protocolos como SSH, HTTP y TCP, así como el monitoreo a través de la integración Prometeo y los alces, Beelzebub ayuda a los investigadores y defensores a observar el comportamiento del atacante, probar las defensas y analizar las amenazas emergentes.
• Extensionhound: es una aparejo de estudio forense diseñada para rastrear la actividad DNS de las extensiones de cromo. Al correlacionar las solicitudes de red con extensiones específicas, supera la barrera de atribución de nivel de proceso predeterminada de Chrome, lo que permite identificar qué extensión generó consultas sospechosas. Con integraciones opcionales para la reputación del dominio (Virustotal), los detalles de la extensión (anexo seguro) y la detección de firmas basada en Yara, ExtensionHound proporciona a los investigadores una visibilidad más clara sobre el comportamiento de extensión en los entornos de Windows, MacOS y Linux.

Descargo de responsabilidad: estas herramientas recientemente lanzadas son solo para uso educativo y no han sido completamente auditados. Use con su propio peligro: revie el código, pruebe de forma segura y aplique las salvaguardas adecuadas.

🔒 Consejo de la semana

Permisos de portapapeles: una filtración de datos ocultas que esperan suceder – La mayoría de las personas piensan en su portapapeles como una conveniencia inofensiva: copie algún texto, péguelo donde lo necesite, terminado. Pero en los navegadores modernos como Chrome, el portapapeles es un espacio compartido entre su computadora y cualquier sitio web al que otorgue permiso. Una vez permitido, un sitio puede ojear lo que esté actualmente en su portapapeles, no solo lo que copió de ese sitio, sino desde cualquier zona: su administrador de contraseñas, un PDF, un documento corporativo o incluso notas seguras.

El peligro no es solo la «paranoia técnica»: el camino al portapapeles es un objetivo conocido para los atacantes porque evita muchos límites de seguridad. Si ha permitido que un sitio lea su portapapeles:

• Puede ojear datos confidenciales de otras aplicaciones – (por ejemplo, contraseñas, identificaciones personales, información bancaria) Si esos datos están en su portapapeles mientras el sitio está despejado.
• Puede ojear más de lo que pegas – Una vez que se otorga el permiso, un sitio puede ojear su portapapeles cuando interactúa con él (por ejemplo, hacer clic en un tallo). Puede ver datos copiados desde cualquier zona, no solo desde ese sitio.
• Está en silencio -No hay ventana emergente ni alerta para cada recital. No sabrás que está sucediendo.

Por ejemplo, permite que la aparejo de diseño (.) Com lea su portapapeles porque desea pegar una imagen directamente en el sitio. Más tarde en el día, copia:

• Una contraseña de su administrador de contraseñas,
• Un fragmento de correo electrónico de cliente confidencial,
• O una dirección de billetera criptográfica.

Mientras todavía está trabajando en la aparejo de diseño (.) COM, su código podría (maliciosamente o adecuado a un compromiso) despachar cada portapapeles leída a un servidor remoto, sin que haya presionado «Pegar».

A diferencia de las descargas de archivos o el camino al micrófono, el permiso del portapapeles de Chrome es «todo o mínimo» para ese sitio. Una vez permitido, el sitio puede ojear a voluntad hasta que revoque manualmente el permiso.

Lo que puedes hacer

1. Otorgar camino solo cuando sea necesario: Vaya a Chrome: // Configuración/contenido/portapapeles y establezca permisos para «preguntar antiguamente de entrar».
2. Revocar el camino luego del uso: Haga clic en el icono de retiro anejo a la mostrador de direcciones → Configuración del sitio → Paso de portapl los de monolito.
3. Use perfiles separados: Mantenga sitios de control de portapapeles en un perfil de Chrome dedicado; Cerrarlo cuando no esté en uso.
4. Evite copiar datos confidenciales mientras un sitio está despejado: Si debe copiar información confidencial, vallado primero la pestaña para cualquier sitio con permisos de portapapeles.

El camino al portapapeles es como darle a un extraño una ventana a su escritorio: es posible que solo desee que se vean una vez, pero si deja la ventana abierta, pueden seguir mirando sin preguntar. Trate los permisos del portapapeles tan cuidadosamente como el camino a la cámara o el micrófono.

Conclusión

El ritmo no se está desacelerando y los riesgos no están esperando. Cada retraso, cada punto ciego, se convierte en una comprensión que algún más está diligente para usar. Lo que es urgente no es solo parchear o reaccionar, es seguir un paso delante.