El arte de la guerra digital: cuando tus propias herramientas te apuñalan
En el ajedrez de la ciberseguridad, los atacantes ya no necesitan inventar armas nuevas. Han descubierto algo más peligroso: usar tus propias defensas como ariete. Esta semana, Globel México desmenuza cómo un controlador firmado por Microsoft, un antivirus de confianza y hasta un simple lector de documentos se convierten en caballos de Troya. Bienvenidos a la era donde el enemigo vive dentro de la muralla.
Imagina esto: llegas un lunes a la oficina, enciendo tu estación de trabajo y, en lugar del escritorio habitual, te encuentras con que todos tus archivos ahora llevan el nombre de tu empresa como extensión. No es una broma pesada del departamento de TI. Es GodDamn, la nueva pesadilla del ransomware que está demostrando que la confianza en las herramientas firmadas puede ser el talón de Aquiles más costoso.
El ataque comenzó días antes, casi con la sutileza de un carterista en el metro. Los operadores de Hyadina —sí, el mismo grupo detrás de las líneas Monster y Beast— usaron AnyDesk para obtener acceso remoto a un equipo desatendido. No forzaron nada: la puerta estaba entreabierta. Durante casi una semana, se movieron con la paciencia de un gato, utilizando PsExec para saltar de equipo en equipo, robando credenciales con Mimikatz y otras herramientas de NirSoft. Luego, cuando nadie lo esperaba, PoisonX entró en escena: un controlador malicioso, pero legítimamente firmado por Microsoft, que desactivó las protecciones de punto final. En cuestión de minutos, la red entera estaba en manos del ransomware, con cada archivo marcado por el nombre de la víctima. El mensaje es claro: la firma digital ya no es sinónimo de seguridad.
No es un caso aislado. Mientras los equipos de TI intentaban contener el daño, otra explosión silenciosa sacudió el ecosistema Windows: CVE-2026-50656, una vulnerabilidad de escalada de privilegios en Microsoft Defender. Bautizada como RoguePlanet, permite que un atacante pase de ser un usuario estándar a tener control total del sistema, todo con un exploit de prueba de concepto circulando antes de que Microsoft lanzara el parche. El investigador Nightmare Eclipse expuso el bug, y aunque la actualización llegó (motor antimalware 1.1.26060.3008), el daño potencial ya estaba en la calle. Si tienes Defender desactivado por usar otro antivirus, estás a salvo. Si no, el problema no es si te atacan, sino cuándo.
La ironía no escapa a nadie: el mismo software diseñado para protegerte ahora puede ser la puerta de entrada de los atacantes. Como dice un viejo adagio en los pasillos de Globel México: “Confiar está bien, pero verificar —y actualizar— es mejor”.
Pero el ingenio malicioso no se detiene en Windows. En el frente Linux, la vulnerabilidad CVE-2026-14544 (CVSS 9.8) encendió todas las alarmas. Se trata de un desbordamiento de entero en el software de impresión HP (HPLIP) que permite ejecución remota de código con solo enviar un trabajo de impresión malicioso. Para colmo, la falla es un parche incompleto de una vulnerabilidad anterior (CVE-2026-8631), lo que significa que los equipos de seguridad están jugando al gato y al ratón con un problema que se niega a morir. Afecta a RHEL 8, 9 y 10, y no hay parche inmediato. La recomendación: controles compensatorios y rezar porque nadie envíe un trabajo de impresión con malas intenciones.
Mientras tanto, en el mundo del desarrollo de inteligencia artificial, dos vulnerabilidades encadenadas en Langflow —CVE-2026-55255 (IDOR) y CVE-2026-33017 (inyección de código/RCE)— están siendo explotadas activamente. Los atacantes inyectan un prompt de “fuga de API keys” en los flujos de trabajo de IA, convirtiendo lo que debía ser una herramienta de productividad en un conducto para robar secretos entre inquilinos. La CISA ya agregó la primera a su catálogo de vulnerabilidades explotadas conocidas. La solución está en Langflow 1.9.1, pero si no actualizaste, tus claves podrían estar en manos equivocadas.
Y si creías que los ataques fileless eran cosa del pasado, el grupo APT-C-20 (también conocido como Fancy Bear) te hará reconsiderar. En una campaña dirigida a ministerios de defensa, utilizan documentos de Office armados con macros maliciosas que sueltan una DLL y una imagen PNG. Pero la imagen no es inocente: mediante esteganografía LSB y una clave AES-256 derivada con PBKDF2, oculta un troyano C# que se carga de forma reflectiva en memoria. Sin archivos en disco, sin firmas tradicionales. El troyano establece persistencia mediante un secuestro de CLSID en el registro y se comunica con su centro de mando usando llamadas API legítimas a servicios de almacenamiento en la nube. ¿El resultado? Un documento que parece un simple reporte se convierte en un conducto persistente hacia sistemas clasificados.
Pero la sofisticación no es exclusiva de los estados-nación. El grupo de extorsión Helix —con conexiones a BlackFile y ShinyHunters— está aprovechando la ingeniería social moderna: vishing y phishing de código de dispositivo para robar tokens de sesión y eludir la autenticación multifactor (MFA). Una vez dentro, automatizan la exfiltración de datos de SharePoint utilizando consultas como “contentclass:STS_Site” y tráfico de python-requests. Dividen sus operaciones: conexiones residenciales para navegación manual y servidores dedicados para descargas masivas. El mensaje es escalofriante: MFA ya no es suficiente si los atacantes roban tus tokens.
En medio de este panorama, el ransomware Everest también emerge como una amenaza silenciosa pero devastadora. Con un payload .NET fuertemente ofuscado, utiliza el Windows Restart Manager y una rutina anti-Raccine para desactivar herramientas de seguridad, mientras borra copias de sombra, puntos de restauración y archivos de respaldo. Aplica un mecanismo de autoprotección basado en DACL que dificulta incluso matar el proceso. Aunque no se ha observado exfiltración de datos, el daño operativo es inmediato y la recuperación, un lujo que pocos pueden pagar.
La nueva gramática del ataque: activos que se vuelven armas
Lo que une todas estas historias no es solo la sofisticación técnica, sino un patrón inquietante: los atacantes ya no necesitan vulnerabilidades desconocidas. Basta con explotar la confianza que depositamos en herramientas cotidianas —un controlador firmado, un antivirus, un lector de documentos, un software de impresión— y convertirlas en vectores de ataque. Es como si el enemigo se disfrazara de tu propio guardaespaldas.
Desde Globel México, la lección es clara: la ciberseguridad ya no es un deporte de espectadores. Requiere una vigilancia constante, actualizaciones inmediatas, segmentación de redes y, sobre todo, una dosis saludable de escepticismo. Confiar en una firma digital o en un certificado no es suficiente. Hay que verificar el comportamiento, monitorear los accesos y, cuando sea necesario, asumir que lo conocido puede ser el disfraz perfecto del ataque.
El futuro no será más tranquilo. Lo que estamos viendo es solo el prólogo de una era donde la línea entre defensa y ataque se difumina hasta desaparecer. Pero, como en toda guerra, el conocimiento y la preparación son las mejores armas. Y aquí, en Globel México, seguiremos reportando desde la primera línea.
Preguntas frecuentes para navegar la tormenta
1. ¿Qué hace tan peligroso a GodDamn?
No es solo otro ransomware. GodDamn utiliza un controlador malicioso pero firmado por Microsoft (PoisonX) para desactivar defensas de punto final antes de encriptar. Entró a un entorno mediante AnyDesk desatendido, se movió lateralmente con PsExec y usó Mimikatz para robar credenciales. El resultado: una red completa encriptada con el nombre de la víctima como extensión. El ataque comenzó el 29 de mayo y se activó el 3 de junio, mostrando un tiempo de residencia de casi una semana.
2. ¿Qué es el Everest ransomware y cómo opera?
Everest es un payload .NET fuertemente ofuscado que busca ralentizar a los defensores mientras destruye opciones de recuperación. Borra archivos de respaldo, copias de sombra y puntos de restauración, altera configuraciones de red y sistema, y usa el Windows Restart Manager para desactivar herramientas de seguridad. Su mecanismo de autoprotección DACL dificulta matar el proceso. No se ha observado exfiltración de datos, pero el daño operativo es inmediato.
3. ¿Cómo está operando APT-C-20 (Fancy Bear) en esta nueva campaña?
Utilizan documentos Office con macros maliciosas que sueltan un DLL y una imagen PNG. La imagen contiene un troyano C# oculto mediante esteganografía LSB y cifrado AES-256 con PBKDF2. Se cargan de forma reflectiva en memoria (fileless), y establecen persistencia mediante un secuestro de CLSID en el registro. La comunicación con el centro de mando se mezcla con tráfico legítimo de servicios en la nube. El objetivo principal: ministerios de defensa.
4. ¿Qué es CVE-2026-50656 y cómo protegerse?
Es una vulnerabilidad de escalada de privilegios en Microsoft Defender que permite a un atacante pasar de usuario estándar a control total del sistema (SYSTEM). Se publicó un exploit antes del parche oficial. La mitigación está disponible en el motor antimalware 1.1.26060.3008. Si tienes Defender desactivado porque usas otro antivirus, no estás afectado. Si no, actualiza inmediatamente.
5. ¿Qué implica CVE-2026-14544 para los equipos Linux?
Es una vulnerabilidad crítica (CVSS 9.8) en el software de impresión HP para Linux (HPLIP). Un desbordamiento de entero permite ejecución remota de código mediante un trabajo de impresión malicioso. Afecta a RHEL 8, 9 y 10. Es un parche incompleto de una vulnerabilidad anterior (CVE-2026-8631). No hay parche inmediato; se requieren controles compensatorios.
6. ¿Qué son las vulnerabilidades Langflow y cómo se explotan?
Son dos fallas encadenadas: CVE-2026-55255 (IDOR que expone flujos de otros usuarios) y CVE-2026-33017 (inyección de código/RCE). Los atacantes inyectan un prompt de “fuga de API keys” en flujos de trabajo de IA, robando secretos entre inquilinos. La CISA ya agregó la primera a su catálogo de vulnerabilidades explotadas. La solución está en Langflow 1.9.1.
7. ¿Quién es Hyadina y qué lo distingue?
Hyadina es el grupo criminal detrás de GodDamn, previamente vinculado a las líneas Monster y Beast. Su sello distintivo es el uso de un controlador firmado por Microsoft (PoisonX) para desactivar defensas. Obtienen acceso mediante AnyDesk, se mueven con PsExec y roban credenciales con Mimikatz. Su campaña reciente mostró un tiempo de residencia de días antes de encriptar.
8. ¿Cómo opera el grupo Helix y por qué es tan efectivo?
Helix utiliza ingeniería social (vishing, phishing de código de dispositivo) para robar tokens de sesión y eludir MFA. Luego automatizan la exfiltración de SharePoint con consultas específicas y tráfico de python-requests. Dividen su operación: conexiones residenciales para navegación manual y servidores dedicados para descargas masivas. El blindaje: monitoreo de sesiones y detección de inicios de sesión anómalos.
9. ¿Qué hace tan sigilosa a la campaña de APT-C-20?
Su enfoque fileless, el uso de esteganografía en imágenes, cifrado AES-256 con PBKDF2, carga reflectiva en memoria y comunicación C2 mezclada con tráfico legítimo de servicios en la nube. Todo esto minimiza las huellas forenses y dificulta la detección por herramientas tradicionales. La entrada es un simple documento Office que parece un reporte rutinario.
— Este análisis fue preparado por el equipo de inteligencia de amenazas de Globel México. Mantente informado, mantente seguro. —