Globel México: Panorama de la Ciberseguridad - 29 de Julio de 2025

Un vistazo a las amenazas más recientes y las innovaciones en seguridad

¡Saludos, comunidad! En Globel México, nos mantenemos al frente del cambiante mundo de la ciberseguridad. En este resumen, desglosamos las noticias más relevantes y las tendencias que están marcando el paso en la protección digital. Prepárense para un viaje por las últimas amenazas, descubrimientos y soluciones que están transformando la forma en que defendemos nuestros activos digitales.

Amenazas Destacadas

La inteligencia artificial (IA) sigue siendo un campo de batalla, pero también una herramienta clave en la lucha contra el cibercrimen. Hoy, nos encontramos con ataques que demuestran la creciente sofisticación de los malos actores.

• El troyano bancario RedHook: Este malware, disfrazado, ataca a usuarios vietnamitas con sitios de phishing que imitan a instituciones de confianza. Se propaga a través de un archivo APK malicioso alojado en un servidor AWS S3 expuesto. Utiliza los servicios de accesibilidad para robar credenciales y detalles bancarios. Se cree que este ataque está ligado a actores de habla china, con más de 500 infecciones reportadas.
• Vulnerabilidad en Gemini CLI: Un fallo crítico en la interfaz de línea de comandos (CLI) de Google Gemini permite a los atacantes ejecutar comandos maliciosos de forma silenciosa. A través de la inyección de prompts y una validación deficiente, los atacantes pueden insertar instrucciones dañinas en código aparentemente inofensivo, con tácticas como el uso excesivo de espacios en blanco para evadir la detección.
• Campaña de Phishing a Desarrolladores Python: Una ingeniosa campaña de phishing ha puesto en la mira a los desarrolladores de Python, utilizando correos electrónicos falsos de PyPI para engañar a los mantenedores y robar sus credenciales en una página de inicio de sesión falsa. La página fraudulenta reenvía los datos al portal real de PyPI, explotando la confianza sin comprometer la plataforma en sí.

Malware en la Mira

• Ataques a Servidores IIS con Web Shells: Los hackers están explotando servidores IIS utilizando un sofisticado script de web shell llamado UpdateChecker.aspx, que permite el control remoto completo de los sistemas comprometidos. Este script, disfrazado de página ASPX legítima, utiliza técnicas de ofuscación para evadir la detección. Procesa comandos a través de solicitudes HTTP POST, requiriendo cargas cifradas estructuradas como objetos JSON. Los atacantes pueden obtener información del servidor, ejecutar comandos de Windows y manipular archivos.
• RedHook: El Troyano Bancario Acecha: Investigadores de ciberseguridad detectaron RedHook, un troyano bancario para Android que apunta a usuarios vietnamitas con sitios de phishing. El malware se distribuye a través de un archivo APK troyanizado alojado en un bucket de AWS S3. RedHook utiliza los servicios de accesibilidad de Android y la API MediaProjection para capturar pulsaciones de teclas, contactos, SMS e imágenes de pantalla, lo que le permite comunicarse con el servidor C2. Este troyano recopila información del dispositivo, registra credenciales y solicita a las víctimas que carguen documentos de identidad y datos bancarios, lo que indica más de 500 infecciones. Los artefactos en idioma chino sugieren que el malware proviene de actores de amenazas de habla china y que ha evolucionado de estafas cosméticas a troyanos bancarios sofisticados.
• Gunra Ransomware: La Amenaza se Extiende a Linux: El ransomware Gunra ha lanzado una variante para Linux que mejora significativamente sus capacidades de cifrado, lo que le permite ejecutar hasta 100 subprocesos de cifrado en paralelo. Este desarrollo marca un cambio estratégico hacia el objetivo multiplataforma, lo que amplía el alcance del grupo más allá de su enfoque original. La variante de Linux no deja una nota de rescate, priorizando un cifrado rápido y eficiente. Cambia el nombre de los archivos cifrados con una extensión .ENCRT y ofrece a los atacantes la opción de almacenar claves cifradas RSA por separado.

Vulnerabilidades Bajo la Lupa

• Vulnerabilidad en Gemini CLI: Se descubrió una vulnerabilidad crítica en la CLI de Google Gemini, que permite la ejecución silenciosa de comandos maliciosos mediante la inyección de instrucciones, una validación inadecuada y una experiencia de usuario engañosa. El ataque se aprovecha de la capacidad de Gemini CLI para ejecutar comandos de shell y utilizar archivos de contexto, lo que permite a los atacantes incrustar instrucciones dañinas dentro de código aparentemente benigno.
• CISA Agrega Bug de PaperCut NG/MF al Catálogo KEV: Una vulnerabilidad CSRF de alta severidad, rastreada como CVE-2023-2533, se ha añadido al catálogo KEV de la CISA debido a la explotación activa. Este fallo afecta al software de gestión de impresión PaperCut NG/MF, utilizado habitualmente por escuelas, empresas y oficinas gubernamentales. La explotación de esta vulnerabilidad podría permitir a los atacantes modificar la configuración de seguridad o ejecutar código arbitrario.

Estafas en Auge

• Campaña de Phishing a Desarrolladores Python: El equipo de PyPI emitió una advertencia de seguridad sobre una campaña de phishing dirigida a desarrolladores de Python, donde los mantenedores de proyectos son engañados para revelar sus credenciales a través de un dominio falsificado. El correo electrónico de phishing se hace pasar por PyPI y redirige a los usuarios a una página de inicio de sesión falsa, reenviando sus credenciales al portal real de PyPI para crear una falsa sensación de legitimidad.

En Globel México, nos mantenemos vigilantes y comprometidos con la protección de nuestros clientes y la comunidad. Recuerden, la ciberseguridad es un esfuerzo constante y colectivo. Manténganse informados, sean cautelosos y aprovechen las soluciones que tenemos para un futuro digital más seguro.