Entradas de blog de ' 2026 ' ' abril ' Rss

La respuesta se envía de vuelta a su ordenador, que la reenvía al usuario no autorizado.

En muchos casos, los usuarios autorizados no se dan cuenta de que su ordenador ha sido comprometido. 

Las redes proxy residenciales están compuestas por cientos o miles de direcciones IP residenciales. Por lo general, son administradas por proveedores o empresas de alojamiento web que no preguntan cómo sus clientes utilizan estas IP ni por qué necesitan acceso residencial.

El valor de estas direcciones IP residenciales reside en su autenticidad, algo que la infraestructura de proxy tradicional no puede replicar fácilmente.

Consideremos dos llamadas telefónicas. Una es de un amigo de confianza que te dice que consiguió una gran oferta en un producto que ambos buscaban y dónde encontrarlo en línea. La otra es de una empresa con la que ya has tenido contacto, ofreciéndote la misma información. Si bien el contenido es el mismo, la fuente es diferente. Es más probable que confíes en alguien que conoces que en alguien que no conoces.

Las direcciones IP residenciales ofrecen el mismo tipo de confianza a las organizaciones. Si solicitan información (aparentemente) a usuarios residenciales, estos tienden a confiar en ellas.

Si bien existen casos de uso legítimos para las redes de proxy residenciales, como el anonimato en línea para una mayor protección individual o la monitorización SEO en múltiples ubicaciones para empresas, estas redes suelen estar gestionadas por empresas que no se preguntan qué hacen los usuarios ni por qué. 

Esto ofrece múltiples oportunidades para los actores malintencionados, entre ellas:

• Infracciones de derechos de autor
• Fraude publicitario y fraude de clics
• Eludir los sistemas antifraude
• Ataques de pulverización de contraseñas y credenciales
• Difundir desinformación en las redes sociales

Google contra IPIDEA: perturbando las operaciones de proxy residenciales

Una de las mayores redes de proxy residenciales del mundo era IPIDEA. Operada por una empresa con sede en China, esta red secuestró millones de dispositivos de usuarios finales sin su consentimiento. Entre estos dispositivos se incluían ordenadores, teléfonos inteligentes y televisores inteligentes. Mediante kits de desarrollo de software (SDK), IPIDEA pudo instalar su programa proxy en dichos dispositivos. 

En algunos casos, la empresa pagaba a los desarrolladores para que incluyeran estos SDK en sus aplicaciones, lo que a su vez infectaba los dispositivos. IPIDEA también ofrecía VPN "gratuitas" que instalaban el software proxy al usarse e integraban sus SDK en aplicaciones y juegos gratuitos. Si bien IPIDEA y redes similares suelen afirmar públicamente que sus proxies residenciales se obtienen de forma legítima y con consentimiento, el análisis de los SDK de IPIDEA demostró que estaban diseñados para integrarse en otras aplicaciones sin ningún mecanismo de consentimiento.

Para ayudar a reducir el riesgo de ataques de proxy residenciales e impedir las operaciones de IPIDEA, el Grupo de Inteligencia de Amenazas de Google (GTIG) llevó a cabo tres acciones:

1. Se desactivaron los dominios utilizados para controlar dispositivos y tráfico proxy.
2. Compartir información sobre los kits de desarrollo de software IPIDEA y las herramientas de software proxy con las fuerzas del orden y las empresas de investigación para mejorar la concienciación y la aplicación de la ley.
3. Se garantizó que Google Play Protect para dispositivos Android advirtiera automáticamente a los usuarios sobre las aplicaciones IPIDEA, eliminara estas aplicaciones si estaban instaladas y bloqueara cualquier intento de instalación futuro. 

Según Google, estos esfuerzos conjuntos han provocado una degradación significativa de la red proxy y las operaciones comerciales de IPIDEA, reduciendo en millones el número de dispositivos disponibles para los operadores de proxy. Si bien esto no elimina la amenaza que representan IPIDEA y redes proxy similares, las acciones de Google han dificultado que los ciberdelincuentes instalen y operen servidores proxy sin el consentimiento del usuario. 

Cómo protegerse de los testaferros residenciales

Si tu dispositivo se ve comprometido por un proxy residencial que luego es utilizado por un atacante malintencionado, podrías verte involucrado en investigaciones policiales o de fraude. Además, estos proxies pueden contener malware y otras cargas maliciosas que afecten el funcionamiento de tu dispositivo.

Para protegerse se recomienda:

• Evitar los servicios de transmisión de TV que afirman ofrecer contenido gratuito, como películas o deportes.
• Hay que tener precaución al usar cualquier servicio VPN, especialmente los gratuitos.
• Utilizar únicamente tiendas de aplicaciones de confianza y aplicaciones de editores reconocidos.

• Asegurarse de que todos los sistemas operativos, aplicaciones y herramientas de seguridad estén actualizados.

Análisis de la Amenaza

El Ransomware suele propagarse más rápido de lo que las soluciones EDR estándar pueden detectarlo. Muchos ataques alcanzan el cifrado rápidamente, dejando poco tiempo para responder si la detección se produce demasiado tarde.

Las reglas STAR personalizadas detectan el Ransomware en una etapa temprana de la cadena de ataque. El SOC de Barracuda crea detecciones STAR a partir de las técnicas reales de ataque al Ransomware para detectar la actividad previa al cifrado.

La detección temprana permite una contención e interrupción más rápidas. Las detecciones de alta fiabilidad pueden activar la contención automatizada para detener el avance del atacante mientras el SOC responde.

El diferenciador

Barracuda Managed XDR Endpoint Security es una solución de seguridad para endpoints gestionada por un SOC que aprovecha SentinelOne Complete , una plataforma líder en detección y respuesta de endpoints. Como resultado, los clientes obtienen la sólida protección básica de una solución EDR (detección y respuesta de endpoints) de vanguardia. Y eso es solo el principio. Los clientes también obtienen una capa de servicios gestionada por Barracuda que ofrece ingeniería de detección continua, flujos de trabajo automatizados de respuesta a amenazas, inteligencia sobre amenazas y telemetría de nuestras operaciones XDR.

La capa de servicio es fundamental porque transforma las capacidades básicas del EDR en resultados concretos. Aquí es donde el SOC de Barracuda y sus ingenieros de seguridad de endpoints colaboran para potenciar la protección con detecciones más tempranas y fiables, y una interrupción más rápida de la actividad de ransomware. De esta forma, su organización puede contener la amenaza cuanto antes y evitar un incidente costoso y perjudicial.

Gran parte de esta ventaja proviene de la combinación de la funcionalidad Storyline Active Response (STAR) de SentinelOne con la experiencia de Barracuda SOC. STAR permite a los equipos convertir consultas de visibilidad avanzada en reglas personalizadas que evalúan la telemetría de los puntos finales a medida que se recopila, lo que activa alertas y, cuando se configura, acciones de respuesta automatizadas.

ejemplos de reglas star

Las reglas STAR personalizadas son lo que distingue a Managed XDR Endpoint Security de las implementaciones basadas únicamente en EDR. Se trata de detecciones diseñadas por el SOC que Barracuda integra sobre SentinelOne para detectar comportamientos relacionados con el ransomware antes del impacto y, cuando sea necesario, activar la contención automatizada:

• La regla de detección temprana del ransomware Akira: se centra en patrones de comportamiento específicos y artefactos iniciales asociados con intrusiones de tipo Akira, lo que permite tomar medidas preventivas, incluyendo la contención de la red antes del cifrado. Algunos ejemplos de amenazas de tipo Akira incluyen la carga lateral de DLL, la actividad de "traiga su propio controlador vulnerable" (BYOVD) e intentos de comprometer hosts VMware ESXi.
• La regla de detección temprana de ransomware de Cephalus: detecta cadenas de ejecución compatibles con cargadores de ransomware que utilizan la carga lateral de DLL, donde un ejecutable legítimo se usa para cargar una DLL maliciosa. Está diseñada para generar alertas en una etapa temprana del ciclo de vida del ataque y activar la contención automatizada de la red cuando el nivel de confianza es alto.
• La consulta DNS de ConnectWise ScreenConnect para detectar TLD sospechosos: detecta actividad DNS sospechosa relacionada con ScreenConnect que puede indicar acceso remoto malicioso y puntos de acceso iniciales que a menudo se utilizan antes del despliegue de ransomware.
• La regla de evasión de Krueger EDR:  detecta intentos de manipular las políticas de control de aplicaciones de los puntos finales, incluido el abuso observado del Control de aplicaciones de Windows Defender (WDAC), para eludir las defensas de los puntos finales. Activa la contención automática de la red cuando se detectan señales críticas.
• La regla de detección temprana del ransomware Play: se centra en los primeros pasos de preparación que se observan en los ataques de tipo Play, incluidos los intentos de suprimir las soluciones EDR, la manipulación del cortafuegos y los vectores de escalada de privilegios.
• La regla de indicador de ransomware: sirve como señal de alerta temprana ante comportamientos similares al ransomware, incluidos los ataques sin archivos lanzados desde un dispositivo remoto. Está diseñada para reducir el tiempo de permanencia, limitar el movimiento lateral y ganar tiempo para la contención y la remediación.

ESTRATEGIA DE PROTECCIÓN AVANZADA (XDR + SOC)

Las acciones clave para cerrar la brecha entre detección y contención son:

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

3. IA Generativa: El Analista que nunca duerme

La novedad este año es la integración de modelos de lenguaje (LLM) dentro del SOC.

Simplificación de la Complejidad: Un log de firewall puede tener 1,000 líneas de código críptico. La IA generativa lo sintetiza en una oración: "Un atacante intentó usar una vulnerabilidad de Log4j, pero fue bloqueado por la regla de IPS #502".

Aceleración de Respuesta: Reduce el MTTR (Tiempo Medio de Respuesta) de horas a minutos, permitiendo que tu equipo tome decisiones informadas sin ser expertos en cada lenguaje de programación.

Análisis de la Amenaza

Este incidente representa una brecha en la cadena de suministro del canal oficial de distribución de software de CPUID. Los atacantes modificaron los enlaces de descarga en cpuid.com para redirigir a los usuarios a una infraestructura controlada por ellos que alojaba archivos ejecutables maliciosos disfrazados de instaladores legítimos.

La importancia de la vulnerabilidad

Compromiso de una API secundaria que controla la redirección de descargas, no el proceso de firma de código.  Distribución de instaladores maliciosos a través de enlaces presentados en el sitio web oficial de CPUID.

Exposición y Riesgo Organizacional

Este tipo de incidentes refuerza una realidad incómoda:

• CPU-Z y HWMonitor son utilizados por millones de personas, incluidos profesionales de TI y entornos empresariales, lo que aumenta el radio de explosión potencial.
• Los investigadores observaron una ejecución en múltiples etapas, operaciones en memoria y técnicas anti-análisis, lo que indica un nivel de sofisticación superior al promedio.
• Sistemas que descargaron CPU-Z, HWMonitor o herramientas CPUID relacionadas desde cpuid.com durante el período de vulnerabilidad.
• Puntos finales que carecen de detección basada en el comportamiento capaz de identificar cargadores en memoria
• Entornos empresariales donde se permiten estas utilidades sin controles de aplicación adicionales ni listas de permitidos.

Estrategias de Mitigación

Las acciones inmediatas son claras:

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Análisis de la Amenaza

Zombie ZIP es una técnica de evasión recientemente descubierta que utiliza archivos ZIP malformados deliberadamente para ocultar malware a los antivirus (AV) y a las herramientas de detección y respuesta de endpoints (EDR). Los atacantes alteran el campo del método de compresión ZIP para indicar falsamente que los archivos no están comprimidos ("STORED"), aunque los datos sigan comprimidos con DEFLATE. Dado que muchos motores de seguridad confían en estos metadatos, analizan el contenido como bytes sin procesar y no detectan el malware incrustado.

Aunque estos archivos suelen parecer dañados y normalmente no se abren con herramientas estándar como WinRAR o 7-Zip, un cargador personalizado puede descomprimir y ejecutar correctamente la carga útil oculta en el sistema de la víctima.

La distribución web y en la nube conlleva riesgos similares. Los usuarios pueden descargar archivos ZIP maliciosos desde sitios web de apariencia legítima, herramientas de colaboración o plataformas de almacenamiento en la nube que, tras escanearlos, los consideran erróneamente seguros.

Los puntos finales también son vulnerables si las herramientas antivirus o EDR locales dependen del análisis estricto de archivos ZIP y no logran descomprimir archivos mal formados. En esos casos, el comportamiento del usuario o la detección genérica del comportamiento pueden ser la única medida de seguridad una vez que se ejecuta la carga útil. Esto puede provocar una intrusión inicial, movimiento lateral, robo de datos o la implementación de Ransomware.

La importancia de la vulnerabilidad

Algunos investigadores argumentan que no se trata de una vulnerabilidad en el sentido tradicional, ya que estos archivos generalmente requieren un cargador personalizado para funcionar y no pueden abrirse con utilidades estándar. Aun así, independientemente de su clasificación, la técnica sirve como una forma eficaz de ocultar las cargas útiles de segunda etapa a las herramientas antivirus/EDR y a las pasarelas que no validan completamente la estructura ZIP.

Exposición y Riesgo Organizacional

Este tipo de incidentes refuerza una realidad incómoda:

• Los archivos adjuntos ZIP gozan de amplia confianza, lo que significa que un archivo ZIP infectado puede pasar desapercibido en los servidores de correo electrónico.
• Puede llegar a los usuarios incluso si contiene binarios o scripts maliciosos conocidos.

Estrategias de Mitigación

Las acciones inmediatas son claras:

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Análisis de la Amenaza

Qilin y Warlock utilizan técnicas BYOVD para obtener control a nivel de kernel de los sistemas Windows y deshabilitar las herramientas de seguridad antes de lanzar ataques de ransomware. Qilin implementa un archivo malicioso msimg32.dll a través de un proceso de confianza para ejecutar un "asesino de EDR" en memoria, reduciendo el registro y ocultando la actividad. Esta carga útil abusa de controladores vulnerables como rwdrv.sys (un ThrottleStop.sys renombrado ) y hlpdrv.sys para acceder a la memoria del sistema y deshabilitar más de 300 productos EDR deteniendo sus procesos, descargando controladores y eliminando los ganchos de monitoreo y la visibilidad de Event Tracing for Windows (ETW).

Qilin suele obtener acceso mediante credenciales robadas y dedica aproximadamente seis días a moverse lateralmente y preparar su ataque antes de desplegar el ransomware. Warlock, por el contrario, explota servidores Microsoft SharePoint sin parchear para obtener acceso inicial y utiliza el controlador vulnerable NSecKrnl.sys —que reemplaza al anterior googleApiUtil64.sys— para deshabilitar las herramientas de seguridad a nivel del kernel. Warlock también depende en gran medida de herramientas administrativas y de código abierto comunes, como TightVNC, PsExec, RDP Patcher, Velociraptor, Visual Studio Code con Cloudflare Tunnel y Yuze, y Rclone, para mantener el acceso, moverse lateralmente y extraer datos antes del cifrado.

La importancia de la vulnerabilidad

Estas campañas demuestran que los operadores de ransomware modernos ya no se centran únicamente en el cifrado, sino que atacan deliberadamente la capa del kernel para cegar primero a los defensores. La capacidad de deshabilitar cientos de controladores EDR de distintos proveedores socava la suposición de que las protecciones de los endpoints permanecerán activas durante un ataque. Qilin es uno de los grupos de ransomware más activos en la actualidad, mientras que el conjunto de herramientas en constante evolución de Warlock sugiere que la elusión de EDR basada en BYOVD se está convirtiendo en una técnica estándar. En consecuencia, la integridad de los controladores y del kernel son ahora preocupaciones de seguridad primordiales, no medidas de refuerzo opcionales.

Exposición y Riesgo Organizacional

Este tipo de incidentes refuerza una realidad incómoda:

• El acceso a nivel de kernel también permite manipular los registros y el comportamiento del sistema, lo que dificulta la detección, la investigación y la recuperación.
• En entornos regulados o de misión crítica, esto puede provocar interrupciones prolongadas, incumplimiento de normativas y un daño significativo a la reputación.

Estrategias de Mitigación

Las acciones inmediatas son claras:

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Análisis de la Amenaza

Con datos recopilados por StepSecurity, se publicaron dos versiones comprometidas de Axios la 1.14.1 y la 0.30.4 utilizando las credenciales robadas del responsable del mantenimiento. Esto permitió a los atacantes eludir el sistema de integración y entrega continua (CI/CD) de GitHub Actions de Axios. El único propósito de esta dependencia inyectada era ejecutar un script posterior a la instalación que funciona como un troyano de acceso remoto (RAT) multiplataforma. Una vez instalado, ataca sistemas macOS, Windows y Linux durante el proceso normal de instalación de paquetes.

No solo es la vulnerabilidad es el contexto de la misma

Tras infiltrarse en el sistema, el programa malicioso de acceso remoto (RAT) se conecta a un servidor de comando y control (C2) activo, que descarga una carga útil de segunda fase específica para la plataforma. Una vez ejecutado, el malware se autoelimina y reemplaza el paquete infectado con una versión limpia para evitar la detección forense.

Este nivel de autolimpieza demuestra una mayor sofisticación en comparación con los ataques más comunes a la cadena de suministro, ya que reduce significativamente los indicadores visibles de compromiso y dificulta la detección y la investigación.

Exposición y Riesgo Organizacional

Este tipo de incidentes refuerza una realidad incómoda:

• Información confidencial expuesta.
• Ataque directo a endpoints.
• Ataque a entornos de producción.

Estrategias de Mitigación

Las acciones inmediatas son claras:

Barracuda CloudGen Firewall

Barracuda CloudGen Firewall Mantenga su comunicación segura y libre de manipulaciones. Los datos se almacenan en un repositorio dedicado fuera de su entorno operativo, garantizando conservación a largo plazo sin riesgos de corrupción o eliminación accidental. Ofrece un conjunto completo de tecnologías de firewall de última generación para garantizar la protección de la red en tiempo real contra amenazas avanzadas.

Compra ahora * Suscripción Anual

Análisis de la Amenaza

Se ha identificado una vulnerabilidad crítica de tipo inyección SQL en FortiClient EMS, registrada como CVE-2026-21643 con un nivel de severidad de 9.1 (CVSS). Su explotación permite a un atacante:

No solo es la vulnerabilidad es el contexto de la misma

Una explotación activa antes de su confirmación, miles de servidores expuestos en internet y exposición de sistemas centrales de gestión de seguridad, esto implica que los atacantes no estan explorando, si no por el contrario tienen en objetivo claro organizaciones vulnerables. Comprometer un EMS no es un ataque simple.

Exposición y Riesgo Organizacional

Este tipo de incidentes refuerza una realidad incómoda:

• Las plataformas de gestión centralizada son objetivos prioritarios.
• Las vulnerabilidades críticas se explotan en cuestión de días (o antes)
• La visibilidad y detección temprana son clave

Estrategias de Mitigación

Las acciones inmediatas son claras:

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Nuestro servicio XDR Endpoint Security forma parte de la suite XDR, recopila telemetría de seguridad de sus puntos finales para identificar e investigar millones de amenazas potenciales que pueden evadir las soluciones tradicionales.

Compra ahora * Suscripción anual

Análisis de la Amenaza

RoadK1ll no es un malware convencional; es un implante ligero diseñado operativamente como un relé de tráfico. En lugar de proporcionar una consola interactiva ruidosa que podría ser detectada fácilmente, establece una conexión WebSocket saliente con un servidor de comando y control (C2) controlado por el atacante.

Movimiento Lateral y Acceso Profundo

Una vez que RoadK1ll establece el enlace, el atacante puede redirigir tráfico TCP arbitrario a través del host comprometido. Esto abre una puerta trasera hacia servicios críticos internos que normalmente no están expuestos:

Exposición y Riesgo Organizacional

La implementación exitosa de RoadK1ll permite a los atacantes eludir los controles de segmentación y mantener acceso persistente sin explotar repetidamente nuevos sistemas. Esto incrementa significativamente las probabilidades de:

• Filtración masiva de datos y robo de credenciales privilegiadas.
• Interrupción de operaciones críticas de negocio.
• Ataques posteriores de ransomware a gran escala.

Estrategias de Mitigación

Basado en las directrices de seguridad de la industria, se recomienda encarecidamente:

Barracuda CloudGen Firewall

Barracuda CloudGen Firewall Mantenga su comunicación segura y libre de manipulaciones. Los datos se almacenan en un repositorio dedicado fuera de su entorno operativo, garantizando conservación a largo plazo sin riesgos de corrupción o eliminación accidental. Ofrece un conjunto completo de tecnologías de firewall de última generación para garantizar la proteccion de la red en tiempo real contra amenazas avanzadas.

Hoy en día, proteger una empresa ya no es tan simple como instalar un antivirus y un firewall. La realidad es mucho más compleja.

Las organizaciones operan en entornos híbridos: nube, dispositivos remotos, aplicaciones SaaS y redes distribuidas. Este crecimiento ha eliminado el perímetro tradicional, haciendo que la seguridad sea más difícil de controlar y gestionar.

Al mismo tiempo, los atacantes han evolucionado. Ya no necesitan grandes conocimientos técnicos para lanzar un ataque sofisticado. Modelos como el ransomware como servicio permiten que prácticamente cualquiera pueda convertirse en un atacante, automatizando procesos y reduciendo las barreras de entrada.

Pero el verdadero problema no es solo el atacante.

El caos dentro de las empresas

Muchas organizaciones cuentan con múltiples herramientas de seguridad:

• Antivirus
• Soluciones de red
• Protección de correo
• Monitoreo en la nube

El problema es que estas herramientas no están conectadas entre sí.

• Falta de visibilidad completa
• Alertas aisladas difíciles de interpretar
• Respuestas lentas ante incidentes

A esto se suma otro desafío crítico: la sobrecarga operativa.

Los equipos de seguridad reciben decenas o incluso cientos de alertas diarias, muchas de ellas falsas alarmas. Esto genera fatiga, errores humanos y una respuesta reactiva en lugar de estratégica.

Un problema aún mayor: falta de talento

La escasez de profesionales en ciberseguridad es una realidad global. Se estima que millones de posiciones siguen sin cubrir, lo que deja a muchas empresas sin la capacidad necesaria para operar sus propias defensas de manera efectiva.

¿Qué está fallando?

No es que las herramientas no funcionen.

Es que no están diseñadas para trabajar juntas en un entorno moderno.

Los ataques actuales son:

• Multifacéticos
• Distribuidos
• Persistentes

Y requieren una visión integral.

El cambio necesario

La seguridad ya no puede depender de soluciones aisladas.

• Unifique la información
• Reduzca la complejidad
• Automatice la respuesta
• Permita actuar en tiempo real

Aquí es donde entra XDR (Extended Detection and Response).

¿Qué es XDR y por qué está cambiando todo?

XDR es una evolución de la seguridad tradicional que integra múltiples capas de protección en una sola plataforma inteligente.

• Centraliza la información de endpoints, red, correo y nube
• Correlaciona eventos automáticamente
• Detecta amenazas avanzadas en tiempo real
• Responde de forma automatizada o asistida

Esto permite pasar de una seguridad reactiva a una seguridad proactiva.

¿Por qué empezar con Endpoint Security?

Los dispositivos de los usuarios son la puerta de entrada más común para ataques como phishing, malware o accesos no autorizados.

Por eso, fortalecer esta capa es el primer paso hacia una estrategia XDR efectiva.

Nuestro enfoque

Comenzamos con Endpoint Security como base de un modelo XDR.

• Protección avanzada contra amenazas modernas
• Detección y respuesta en tiempo real
• Reducción de alertas innecesarias
• Mayor visibilidad

Esto reduce la carga operativa y mejora la seguridad.