La señal de esta mañana es preocupante, pero clara. Los ataques de identidad siguen siendo la vía de entrada más barata, la escalada a nivel de hardware es cada vez más viable, los grupos de ransomware continúan perfeccionando la evasión de defensas y, por fin, se está identificando a antiguos operadores. Los defensores deberían dedicar el día de hoy a reforzar MFA, controlar los controladores y contener rápidamente los incidentes, no a crear paneles de vanidad.
La noticia principal es una campaña de pulverización de contraseñas vinculada a Irán que afectó a más de 300 organizaciones israelíes con Microsoft 365, además de objetivos en Europa, EE. UU., el Reino Unido, Arabia Saudí y los EAU. Esto importa porque la pulverización de contraseñas sigue siendo vergonzosamente eficaz contra entornos en la nube que aún toleran contraseñas débiles, controles de acceso condicional poco estrictos o una aplicación irregular de MFA.
Al mismo tiempo, los investigadores detallaron GPUBreach, una técnica rowhammer para GPU capaz de corromper memoria GDDR6, manipular las tablas de páginas de la GPU y facilitar potencialmente el compromiso total del sistema mediante vulnerabilidades en controladores de NVIDIA. No es una simple curiosidad de laboratorio. Es una señal de advertencia para los equipos que apuestan fuertemente por infraestructuras de aceleradores compartidas para cargas de trabajo de IA.
Check Point vinculó tres oleadas de ataques de marzo con un operador relacionado con Irán que utilizaba pulverización de contraseñas desde Tor e infraestructura de VPN comerciales. Según los informes, la campaña se centró en organizaciones gubernamentales, municipales, tecnológicas, de transporte, energéticas y del sector privado, probablemente con el objetivo de robar datos de buzones de correo.
La lección es aburrida y brutal. La pulverización de contraseñas sigue funcionando porque demasiados entornos aún permiten protocolos heredados, geofencing débil, cuentas de servicio obsoletas y una aplicación incoherente de MFA. Si tu capa de identidad es permisiva, un atacante no necesita un exploit, solo paciencia.
Investigadores de la Universidad de Toronto demostraron que las alteraciones de bits en GDDR6 pueden corromper las tablas de páginas de la GPU y otorgar acceso arbitrario de lectura y escritura a la memoria de la GPU desde un kernel CUDA sin privilegios. A partir de ahí, vulnerabilidades recién descubiertas en controladores pueden permitir avanzar hacia un compromiso más amplio del host, incluso con IOMMU habilitado.
Esto debería preocupar a cualquier equipo que gestione flotas de GPU compartidas para entrenamiento de IA, inferencia o investigación multiinquilino. Las GPU de consumo sin ECC parecen especialmente expuestas. Los mecanismos de aislamiento de hardware en las pilas de IA aún no son lo bastante maduros como para confiar ciegamente en ellos.
La policía federal alemana identificó a dos ciudadanos rusos como líderes de GandCrab y REvil y los vinculó con al menos 130 casos de extorsión en Alemania. Identificar públicamente a los actores años después no reparará el daño, pero sí aumenta el coste de reutilizar abiertamente infraestructuras antiguas, marcas antiguas y viejas redes de confianza entre afiliados.
El valor estratégico reside en la presión, no en el cierre del caso. Los ecosistemas de ransomware sobreviven gracias a la creencia de que los operadores pueden desaparecer y convertirse en un mito. La atribución pública erosiona ese escudo, incluso cuando las detenciones tardan mucho más en llegar.
Cisco Talos y Trend Micro describieron técnicas de Qilin y Warlock que utilizan controladores vulnerables aportados por los propios atacantes, cargas útiles en memoria, supresión de ETW y finalización de procesos contra más de 300 controladores de EDR. En pocas palabras, estos grupos dedican su tiempo a silenciar tus sensores antes de ejecutar sus cargas útiles.
Esa es la verdadera lección operativa de esta mañana. Las intrusiones de ransomware maduras ya no son ataques rápidos y oportunistas. Son campañas silenciosas de preparación. Si solo evalúas tu preparación frente al ransomware cuando comienza el cifrado, estás midiendo el estado de fallo.
Primero, revisa la telemetría de inicio de sesión para detectar pulverizaciones de contraseñas lentas y discretas, desplazamientos imposibles e intentos fallidos repetidos en numerosas cuentas utilizando un conjunto reducido de contraseñas. Segundo, refuerza el acceso condicional y elimina la autenticación heredada si todavía existe. Tercero, valida las reglas de bloqueo de controladores y las protecciones contra la manipulación de EDR en los endpoints más importantes.
Por último, si gestionas infraestructura de IA respaldada por GPU, trata los hosts de aceleradores como sistemas críticos. Separa a los inquilinos, prioriza hardware compatible con ECC cuando sea posible, refuerza la higiene de actualización de controladores y deja de fingir que la capa de IA está mágicamente aislada del resto del entorno.
Convierte los titulares de hoy en acciones.
KENSAI ayuda a los equipos de seguridad a convertir los informes de amenazas en validaciones concretas, una clasificación más rápida y pruebas de que los controles siguen funcionando bajo presión.
Inicia tu análisis gratuito →