Esta semana el patrón muestra una convergencia entre compromiso de identidad, explotación de servicios expuestos, abuso de infraestructura cloud y uso creciente de IA en las operaciones ofensivas. El ransomware mantiene una presión sostenida y diversificada, mientras que las vulnerabilidades explotadas activamente reducen el margen disponible para una gestión basada únicamente en criticidad CVSS.
En paralelo, los ataques sobre herramientas de desarrollo, RMM, CI/CD y proveedores de autenticación amplían el riesgo hacia la cadena de suministro. Para los CISOs, la señal principal es clara: la gestión de exposición, identidad y terceros debe operar de forma integrada y con capacidad de priorización dinámica.
Noticias y Casos de Estudio
TrustSink demuestra un nuevo riesgo sobre la autenticación de Microsoft Entra: Una técnica denominada TrustSink abusa de proveedores externos de autenticación en Microsoft Entra para insertar una solicitud maliciosa de credenciales dentro de un flujo legítimo de inicio de sesión. El ataque requiere privilegios elevados previamente comprometidos, pero puede convertir la infraestructura de autenticación en un mecanismo persistente de captura de credenciales.
Credenciales de desarrolladores, nuevo objetivo para ampliar ataques a la cadena de suministro: Los atacantes están desplazando su foco desde el código fuente hacia las credenciales y accesos utilizados por desarrolladores, buscando ampliar el radio de una intrusión mediante repositorios, pipelines y servicios asociados.
Cloudflare prepara certificados TLS resistentes a la computación cuántica: Cloudflare anunció planes para incorporar certificados TLS preparados para escenarios de criptografía resistente a la computación cuántica, anticipando la transición tecnológica que afectará a la infraestructura de confianza digital.
Herramientas de IA dejan expuestas 13.000 imágenes internas en GitHub: Agentes de programación basados en IA provocaron la exposición de aproximadamente 13.000 imágenes internas, incluyendo información asociada a facturación, en GitHub. El caso evidencia que el uso de agentes autónomos introduce nuevos caminos para la salida accidental de información.
Ciberataques e Incidentes
Botnet Carbonato compromete hosts Docker y despliega un agente de IA: La botnet Carbonato compromete sistemas Docker para desplegar un agente denominado Hermes, controlado mediante Telegram. El caso combina infraestructura cloud/containerizada, automatización y capacidades de IA dentro de una misma operación ofensiva.
Storm-3068 compromete Azure DevOps para alcanzar credenciales de Kubernetes: Storm-3068 utilizó cuentas comprometidas para acceder a pipelines de Azure DevOps y buscar credenciales relacionadas con Kubernetes, demostrando cómo una cuenta puede convertirse en puente hacia infraestructura cloud crítica.
Ataques contra herramientas RMM permiten persistencia y robo de credenciales: Investigadores identificaron abuso de herramientas de administración remota como MSP360 y ScreenConnect para mantener acceso persistente y extraer credenciales.
Brecha en infraestructura de JFrog Artifactory plantea riesgo para paquetes: Una instancia de JFrog Artifactory utilizada por OpenInfra Europe sufrió una brecha que pudo comprometer paquetes, introduciendo nuevamente el riesgo de contaminación de componentes dentro de cadenas de suministro de software.
Vulnerabilidades
Citrix NetScaler – vulnerabilidades críticas explotadas activamente: CISA incorporó dos vulnerabilidades críticas de Citrix NetScaler al catálogo KEV después de confirmar explotación activa a nivel global. Una de ellas permite ejecución remota de comandos sin autenticación y ambas afectan infraestructura frecuentemente expuesta a Internet.
PaperCut utilizado como puerta de entrada hacia controladores de dominio: Atacantes están utilizando una cadena de explotación RCE asociada a PaperCut para obtener tokens y avanzar hacia controladores de dominio.
Vulnerabilidades de cPanel y WHM permiten alcanzar privilegios root: Múltiples vulnerabilidades en cPanel y WHM permiten escenarios que incluyen ejecución de código con privilegios elevados y secuestro de sesiones administrativas.
TeamViewer y OpenSSL concentran nuevos riesgos de infraestructura: Durante la semana se reportaron fallos graves en TeamViewer que requieren corrección prioritaria, mientras OpenSSL publicó correcciones para una vulnerabilidad de DTLS que podía provocar exposición de memoria.
Malware
Los infostealers siguen apuntando a credenciales cloud: Lumma, RedLine y Vidar aparecen vinculados a campañas destinadas a robar credenciales, cookies de sesión y otros datos que permiten acceder posteriormente a servicios cloud.
Malware utiliza actualizaciones legítimas como vehículo de infección: Se identificaron campañas que convierten mecanismos de actualización de software confiables en canales para distribuir malware orientado al robo de credenciales.
2CLoader incorpora técnicas anti-VM y distribuye infostealers: El nuevo 2CLoader emplea técnicas anti-virtualización y hooks de API para facilitar la distribución de Vidar y Remus, dificultando el análisis automatizado y la detección tradicional.
SectopRAT se oculta dentro de software legítimo: SectopRAT está siendo distribuido mediante software aparentemente legítimo y busca credenciales almacenadas en navegadores y wallets de criptomonedas.
Ransomware
Las noticias muestran una presión sostenida de ransomware durante toda la semana, aunque las cifras corresponden a ventanas de monitoreo diferentes y no deben sumarse como un total semanal. El 28 de septiembre, CronUp registró 104 nuevas víctimas publicadas durante las 72 horas previas; el 30 de septiembre reportó 82 víctimas en las 48 horas previas y el 2 de octubre identificó 52 nuevas víctimas durante otra ventana de 48 horas.
La distribución también muestra una elevada fragmentación del ecosistema: aparecen grupos como The Gentlemen, Lamashtu, M3rx, Brain Cipher, Storm, Inc Ransom, Qilin, Akira, Ransomhouse, Booba Team, Krybit y Lockbit5, entre otros. En las publicaciones aparecen organizaciones de salud, servicios profesionales, manufactura, educación, tecnología, energía y entidades públicas, lo que refuerza el carácter transversal del riesgo.
Desde una perspectiva estratégica, el principal cambio no es únicamente la cantidad de víctimas, sino la diversificación de operadores y sectores afectados. Para las organizaciones, esto refuerza la necesidad de gestionar ransomware como un riesgo de continuidad operacional: reducir superficies expuestas, controlar identidades privilegiadas, detectar movimiento lateral, proteger respaldos y mantener capacidades de respuesta que puedan activarse antes de que el cifrado o la exfiltración materialicen el impacto.
Las prioridades operativas de esta semana
El conjunto de señales de estos feeds apunta a cuatro prioridades operativas:
- Identidad: revisar privilegios administrativos, MFA, proveedores de autenticación externos, servicios principales y sesiones.
- Exposición externa: identificar inmediatamente activos NetScaler, cPanel, PaperCut y otras tecnologías vulnerables que estén expuestas a Internet.
- Cloud y Supply Chain: auditar secretos, pipelines CI/CD, repositorios de artefactos, RMM y accesos de terceros.
- Ransomware: validar detección de movimiento lateral, protección de respaldos y capacidad real de recuperación, no solo existencia de backups.
Conclusión
La semana deja una señal relevante para la gestión corporativa: la exposición tecnológica, la identidad y la cadena de suministro están cada vez más interconectadas. Vulnerabilidades explotadas, credenciales comprometidas, herramientas legítimas y agentes de IA pueden formar parte de una misma cadena de ataque. Por ello, la capacidad de anticipar exposición y priorizar riesgos concretos adquiere más valor que una estrategia basada únicamente en reaccionar ante alertas individuales.
¿Sabes qué activos de tu organización están actualmente expuestos y cuáles podrían convertirse en una ruta de ataque? En CronUp Ciberseguridad ayudamos a las organizaciones a identificar y priorizar estas oportunidades de ataque mediante nuestra plataforma Alerta Temprana de Riesgos Cibernéticos – ATRc®, evalúa dónde se encuentra hoy tu superficie de exposición.
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
