En pocas semanas, el grupo de amenazas ShinyHunters atacó al FBI y a la distribuidora de salud McKesson, Microsoft rompió su propio récord con 974 vulnerabilidades corregidas en un solo Patch Tuesday, surgió un nuevo RAT llamado ChainScript que utiliza blockchain para esconder su infraestructura, y Google reveló que ya existen agentes de inteligencia artificial capaces de ejecutar campañas completas de robo de credenciales en menos de seis horas, sin intervención humana.
En esta edición de BIT Seguro repasamos las amenazas, vulnerabilidades y tendencias que toda organización debería tener en el radar este mes.
974 fue el número de vulnerabilidades que Microsoft corrigió en un solo Patch Tuesday, un récord histórico que incluyó dos zero-days explotados activamente. La otra cifra no es un número, sino una tendencia: la IA ofensiva. Según Google, agentes de inteligencia artificial autónomos ya ejecutan campañas de robo de credenciales de principio a fin, recopilando más de 23.800 secretos, claves API, credenciales de la nube, en un solo servidor de comando y control
Uno de los hallazgos más llamativos del mes fue ChainScript, un troyano de acceso remoto (RAT) que se distribuye mediante señuelos tipo ClickFix, simulando instaladores de aplicaciones conocidas como Spotify, Zoom y Microsoft Teams.
Lo que lo diferencia de otras amenazas es su infraestructura de comando y control: en lugar de depender de una dirección fija, que los equipos de seguridad pueden bloquear con relativa facilidad, ChainScript consulta un smart contract alojado en la blockchain de Polygon para obtener la dirección del servidor activo en cada momento. Esto le permite a los atacantes rotar su infraestructura más rápido de lo que las listas de bloqueo y los antivirus logran actualizarse.
Entre sus capacidades destacan un shell interactivo (CMD/PowerShell), robo de billeteras de criptomonedas, captura de pantalla y mecanismos de persistencia.
¿Cómo protegerse?
ShinyHunters hackea al FBI y reclama 284 millones de registros de McKesson. El grupo explotó un zero-day en Oracle PeopleSoft para vulnerar el portal FBIJobs.gov, con una posible extracción de entre 2 y 3 TB de datos de agentes. Semanas antes, el mismo grupo había comprometido a McKesson mediante vishing y el SSO de Okta, exigiendo un rescate de 55 millones de dólares por 284 millones de registros de pacientes. La recomendación es reforzar la autenticación multifactor en los proveedores de identidad y auditar los accesos a plataformas SaaS.
Dos zero-days en Windows explotados activamente. Identificados como CVE-2026-85880 y CVE-2026-81963, permiten escalar privilegios hasta SYSTEM en cualquier equipo sin parchear, mediante un desbordamiento de búfer en ALPC y una resolución incorrecta de enlaces en Windows Update Stack. Ambos ya forman parte del catálogo KEV de CISA, por lo que aplicar las actualizaciones de inmediato es prioritario.
Citrix NetScaler, bajo ataque. Citrix confirmó fallas de ejecución remota de código explotadas activamente contra dispositivos NetScaler expuestos en el perímetro de red. Quienes operan esta plataforma deben aplicar el parche de emergencia y revisar sus logs de acceso en busca de actividad sospechosa.
VMware vCenter, blanco de ransomware. Grupos de ransomware están explotando una vulnerabilidad crítica en vCenter Server para obtener ejecución remota de código y cifrar entornos virtualizados completos. Se recomienda actualizar vCenter y restringir el acceso de gestión a redes internas.
Mientras los titulares se centraban en ataques de alto perfil, un cambio técnico pasó casi desapercibido: Microsoft deshabilitará SMTP AUTH con autenticación básica en Exchange Online a finales de diciembre de 2026. La razón es que, durante años, los atacantes han abusado de este protocolo heredado para ejecutar ataques de fuerza bruta, password spraying y secuestro de cuentas, enviando phishing masivo desde buzones legítimos sin que las víctimas lo detecten.
A esto se suman dos hallazgos recientes. CVE-2025-68624 es un fallo de diseño en N-able Mail Assure que permite a un usuario autenticado en el relay SMTP enviar correos suplantando el dominio de otro cliente, sorteando las validaciones SPF y DMARC. Y CVE-2026-33604 reveló una técnica de contrabando (smuggling) de SMTP en Dovecot que permite inyectar comandos dentro del cuerpo del mensaje, eludiendo las protecciones de salida.
¿Por qué debería importarle?
Tres controles que reducen significativamente este riesgo
1. Audite qué aplicaciones y dispositivos de su organización aún usan SMTP AUTH con autenticación básica.
2. Migre todas las conexiones SMTP a OAuth 2.0 o a un método de envío autenticado moderno antes de que Microsoft elimine el soporte.
3. Proteja su dominio configurando DMARC con política reject, validando SPF y DKIM, y monitoreando los logs de autenticación SMTP.
ShinyHunters demuestra que el ser humano sigue siendo el objetivo principal
1. Realice un inventario de sus proveedores críticos. Identifique qué terceros tienen acceso a sus sistemas o almacenan datos de su organización y clasifíquelos por nivel de riesgo.
2. Exija evidencia de seguridad. Solicite certificaciones, resultados de pruebas de penetración y políticas de respuesta a incidentes antes de renovar contratos con proveedores.
3. Limite el acceso de terceros. Aplique el principio de menor privilegio a cada integración externa y monitoree la actividad de las cuentas de servicio de sus proveedores.
Solicite una evaluación especializada escribiendo a expertos@grupobusiness.it.