La nueva generación de ataques con software espía

Análisis de ataques avanzados de software espía

Ataques sofisticados de software espía.

Las herramientas de mensajería móvil cifradas permiten el intercambio seguro de datos para agencias gubernamentales y empresas privadas. Sin embargo, en lugar de intentar romper estas defensas digitales, los atacantes han encontrado una solución: ingeniería social dirigida combinada con spyware comercial.

Los ciberdelincuentes están utilizando códigos QR maliciosos, exploits de cero clic y suplantación de aplicaciones para acceder a plataformas de mensajería segura y robar datos protegidos.

La venganza del Exploit

Como señala la alerta CISA, los atacantes no intentan controlar aplicaciones seguras como Signal y WhatsApp. En cambio, quieren acompañar el viaje y escuchar conversaciones cruciales. Las investigaciones sugieren que los principales objetivos incluyen funcionarios actuales y anteriores del gobierno, militares y políticos, junto con individuos de alto valor en Estados Unidos, Europa y Medio Oriente.

El escuchar mensajes de rango militar o escuchar comunicaciones del servicio civil puede proporcionar datos valiosos para agencias de reconocimiento de estados o un pago sustancial para atacantes maliciosos.

Phishing mediante la implementación de códigos QR

Los atacantes crean campañas de phishing dirigidas que convencen a los usuarios para que hagan clic en enlaces maliciosos o escaneen códigos QR. Estos códigos comprometen cuentas de usuario y las vinculan a dispositivos propiedad de atacantes. ¿El resultado? Los atacantes pueden rastrear y monitorizar todas las conversaciones a través de aplicaciones de mensajería segura, y utilizar el acceso a los dispositivos para instalar malware, Ransomware o amenazas persistentes avanzadas (APTs).

Exploits con “Zero Clic”

El phishing y métodos de ataque similares dependen de la acción del usuario: las víctimas deben hacer clic en un enlace, escanear un código o enviar un mensaje. Los exploits de cero clic, por su parte, ocurren automáticamente una vez que se cumplen condiciones específicas. Consideremos el spyware LADNFALL, que aprovecha la vulnerabilidad zero-day en la biblioteca de procesamiento de imágenes de Android de Samsung.

Te describimos un poco como funciona; Los atacantes envían una imagen “Digital Negative” (DNG) malformada con un archivo ZIP incrustado a través de WhatsApp. Una vez recibida, la imagen se envía y procesa sin ninguna intervención de los usuarios, lo que lleva al despliegue de spyware de grado comercial en el dispositivo.

Suplantación de aplicación

Los atacantes también están utilizando aplicaciones para infectar dispositivos con spyware. El ejemplo más claro es ClayRat, que utiliza tanto Telegram, como sitios web aparentemente legítimos para ofrecer “actualizaciones” o parches de aplicaciones, que en realidad son payloads de spyware. Utilizando el gestor de SMS por defecto en Android OS, ClayRat obtiene acceso a SMS, registros de llamadas y notificaciones, y también puede ejecutar comandos remotos para tomar fotos, realizar llamadas, enviar mensajes SMS masivos y extraer datos. Una vez que los actores malintencionados acceden a aplicaciones seguras, utilizan software espía comercial para interceptar conversaciones. La amplia disponibilidad de este software espía es un reto. Empresa como WhatsApp de Meta, están presentando demandas contra los creadores de spyware, el mercado es simplemente demasiado grande para controlarlo.

Las nuevas amenazas NFC

El aumento de infecciones por software espía comercial también ha generado amenazas de “toque-y-robar” relacionadas con la comunicación de campo cercano (NFC). Primero, los atacantes infectan los dispositivos objetivo y recogen datos clave. Con esta información, despliegan malware que pasa desapercibido y permite la instalación de malware que apunta a sistemas operativos móviles y permisos de aplicaciones.

Desde la perspectiva del usuario, las compras NFC parecen normales: hacen el toque, pagan y siguen con su día. En realidad, el malware instalado ha secuestrado la transacción al permitir que el chip NFC instalado actúe como uno de los extremos de un relé. El otro extremo es un segundo dispositivo controlado por el atacante situado a kilómetros de distancia. Esto permite a los ciberdelincuentes eludir el beneficio defensivo central del NFC: la distancia.

Normalmente, las transacciones NFC se limitan a 10 cm o menos. Al convertir los dispositivos del usuario en un relé, los atacantes eliminan este control de seguridad sin activar acciones defensivas. Para los CIO y CISOs encargados de gestionar flotas de dispositivos móviles, esto crea un doble golpe: mensajes secuestrados acompañados de compras fraudulentas difíciles de rastrear y más difíciles de detener.

Gestión de los mensajes contradictorios

Para las redes corporativas, estos ataques de software espía representan una amenaza silenciosa pero persistente. Si los atacantes pueden acceder a aplicaciones de mensajería seguras o comprometer redes NFC, las empresas pueden ver cómo se roban datos IP o se mueven dinero de forma fraudulenta.

Adoptando un enfoque de mensajería de confianza cero

Aunque la guía CISA sugiere el uso de servicios de mensajería cifrados, también advierte contra confiar implícitamente en estas aplicaciones. Para evitar posibles compromisos, los usuarios deben verificar la autenticidad de cualquier invitación de grupo, mantener la desconfianza ante cualquier mensaje de alerta de seguridad inesperado y reportar toda actividad sospechosa a través de los canales de soporte de la aplicación.

Alejándose de SMS

La guía también recomienda alejarse de los SMS, especialmente para la autenticación Multifactor. Como el SMS no está cifrado, los mensajes MFA pueden ser leídos por atacantes, quienes a su vez podrían usar códigos de un solo uso para acceder a dispositivos e instalar spyware.

Configurar un PIN de Telco

Como señala CISA, muchos proveedores de telecomunicaciones permiten a los administradores establecer PINs o códigos de acceso adicionales para las cuentas de telefonía móvil, y deben proporcionarse antes de que los usuarios puedan realizar acciones sensibles, como instalar nuevo software o portar un número de teléfono. ¿En conclusión? Las aplicaciones de mensajería cifrada solo son efectivas si las empresas saben exactamente quién está escuchando. Con el aumento de sofisticados ataques de spyware y NFC, las empresas deben priorizar operaciones de confianza cero que reduzcan la dependencia de SMS y requieran verificaciones adicionales para autorizar acciones críticas.

El fin de las infecciones en la web: Barracuda WAF elimina vulnerabilidades críticas de React y Next.js

Mitigación de amenazas críticas de React y ejecución remota de código (RCE) Next.js con Barracuda Application Protection.

Estatus de la Amenaza

• Dos vulnerabilidades recientes de RCE (Ejecución Remota de Código) permiten la explotación no autenticada en ciertas aplicaciones internas o dirigidas al cliente.
• Los clientes que ejecuten React Server Components (19.0.0–19.2.0 o versiones específicas de Next.js deben actualizarse inmediatamente y revisar las directrices de Barracuda Campus.
• Barracuda Application Protection proporciona una defensa proactiva mediante detección basada en firmas, análisis conductual e inteligencia de amenazas impulsada por IA, sin necesidad de intervención manual.
• BarracudaONE ofrece visibilidad centralizada y defensas en capas en la seguridad del correo electrónico, la red y las aplicaciones, garantizando resiliencia frente a amenazas en evolución.

Dos vulnerabilidades críticas de ejecución remota de código (RCE) recién reveladas (CVE-2025-55182 / CVE-2025-66478) suponen una amenaza seria para las aplicaciones basadas en React y Next.js. Estos fallos permiten a los atacantes ejecutar código arbitrario en sistemas vulnerables, lo que puede llevar a compromisos de aplicaciones, accesos no autorizados y posible pérdida de datos.

La Importancia de Identificarlas

La explotación no requiere autenticación, lo que ofrece a los atacantes una vía rápida para tomar el control de aplicaciones, robar datos sensibles o interrumpir servicios críticos. Con React y Next.js impulsando innumerables aplicaciones internas y orientadas al cliente, la superficie de ataque es considerable y el riesgo es inmediato. Las organizaciones sin protecciones sólidas se encuentran muy expuestas.

Recomendaciones para la Protección Correcta de las Aplicaciones

Como parte de Barracuda Application Protection, Barracuda Web Application Firewall (WAF) y Barracuda WAF-as-a-Service proporcionan protección automática contra ataques de ejecución remota de código como los que presentan estas vulnerabilidades.

Las actualizaciones de seguridad se publican regularmente para todos los clientes que ejecutan las versiones 12.1, 12.2 y GA, apoyadas por la inteligencia de amenazas basada en la nube de Barracuda, que ofrece defensa en tiempo real mediante actualizaciones de firmas y detección activa.

Aconsejamos a todos los clientes revisar su inventario de aplicaciones para identificar cualquier uso de React o Next.js con los componentes del servidor React, y actualizar a las últimas versiones de React (19.2.1) y Next.js (16.0.7, 15.5.7 y 15.4.8).

Para entornos que no usan las versiones vulnerables de React o Next.js, no es necesario hacer nada más en este momento.

Qué Podemos Ofrecerte con Barracuda WAF

• Puntos de Guardados Automáticos: Bloquea instantáneamente cargas útiles maliciosas diseñadas para explotar vulnerabilidades de React y Next.js.
• Defensas en Capas: Combina la detección basada en firmas, análisis conductual e inteligencia de amenazas impulsadas por IA para detener intentos de RCE.
• Actualizaciones Continuas: Actualizaciones de firmas en tiempo real a través de la red global de inteligencia de amenazas de Barracuda.