Globel México: Análisis de Amenazas - 28 de Julio de 2025

En un mundo donde la tecnología avanza a pasos agigantados, los riesgos de ciberseguridad también evolucionan, obligándonos a mantenernos alerta. En Globel México, hemos estado monitoreando de cerca las últimas amenazas, y hoy te presentamos un resumen de lo más relevante. La inteligencia artificial (IA) se ha convertido en un arma de doble filo, potenciando tanto las defensas como los ataques. Prepárense para un viaje por el laberinto digital.

Espionaje Aéreo Ruso: La Amenaza CargoTalon

La industria aeroespacial rusa está bajo ataque. El grupo de amenaza CargoTalon, vinculado al grupo UNG0901, ha desplegado correos electrónicos de spear-phishing. Su objetivo es robar información sensible de entidades como la Voronezh Aircraft Production Association. Utilizando malware como EAGLET, oculto en archivos de facturas falsas, estos ataques silenciosamente sustraen datos críticos, enviándolos a un servidor C2.

Vulnerabilidades Críticas en el Marco Niagara

El Marco Niagara de Tridium es el foco de atención, debido a un cúmulo de fallas de alta severidad, incluyendo las CVE-2025-3936 hasta CVE-2025-3945. Estas vulnerabilidades podrían permitir a atacantes acceder de forma remota y ejecutar código malicioso en sistemas mal configurados, amenazando infraestructuras críticas. Es crucial la actualización y correcta configuración para evitar consecuencias desastrosas.

Scattered Spider: La Ingeniería Social como Arma

El grupo Scattered Spider está convirtiendo la ingeniería social en una herramienta devastadora. Se hacen pasar por empleados para restablecer contraseñas de Active Directory, escalando rápidamente sus privilegios y tomando el control de los hipervisores VMware ESXi. En cuestión de horas, pueden desplegar ransomware, paralizando entornos virtuales en sectores como el comercio minorista y el transporte. Un recordatorio de que la seguridad también depende de la conciencia humana.

Malware Destacado: Un Panorama Completo

El Ataque de los Falsos Romances: Malware a la Vista

Una campaña que aprovecha la confianza de los hablantes de alemán. Se han identificado correos electrónicos falsos de citas que contienen un archivo ISO de 300MB. Dentro de él, un ejecutable llamado "lovely_photos.exe" requiere una contraseña para acceder a más archivos maliciosos. El malware utiliza secuencias de comandos por lotes y scripts de AutoIT para evitar la detección de antivirus.

Ataque a la Industria Aeroespacial Rusa: Operación CargoTalon

Una campaña de ciberespionaje de UNG0901, ha puesto en la mira a la industria aeroespacial y de defensa rusa. La Voronezh Aircraft Production Association (VASO) es el blanco principal. Se han utilizado correos electrónicos de spear-phishing, usando un archivo ZIP con un archivo DLL disfrazado, desencadenando la infección por el implante EAGLET. Este implante genera un identificador único para rastrear a las víctimas, recopila datos del sistema, crea un directorio oculto y se comunica con un servidor C2 utilizando peticiones HTTP enmascaradas.

Vulnerabilidades en el Punto de Mira: Dónde se Encuentran las Fallas

El Marco Niagara de Tridium Bajo la Lupa

El Marco Niagara de Tridium, enfrenta una docena de vulnerabilidades de seguridad. Estas permiten a los atacantes en la misma red comprometer los sistemas que se encuentren mal configurados, sobre todo si la encriptación se encuentra deshabilitada. Exploitar estas fallas podría llevar a la ejecución remota de código a nivel de raíz, permitiendo a los atacantes interceptar información sensible e instalar backdoors de acceso persistente.

Post SMTP Plugin: Un Fallo que Desestabiliza

El plugin Post SMTP para WordPress también tiene una vulnerabilidad, identificada como CVE-2025-24000, que pone en riesgo a más de 200,000 sitios web. La falla se debe a un mecanismo de control de acceso roto en la API REST del plugin. Aunque se lanzó una solución en junio, muchos sitios aún ejecutan versiones vulnerables.

El Foco en la Amenaza: Análisis en Profundidad

Scattered Spider: Atacando VMware ESXi

El grupo Scattered Spider se enfoca en los hipervisores VMware ESXi, en sectores clave como el comercio minorista y el transporte, utilizando tácticas de ingeniería social. Inician sus ataques haciéndose pasar por empleados para resetear contraseñas de Active Directory. Luego, escalan sus privilegios para controlar el VMware vCenter Server Appliance y, finalmente, despliegan ransomware. Un claro ejemplo de cómo la preparación es fundamental.