Investigación de Seguridad

El ataque a la cadena de suministro del escáner de vulnerabilidades Trivy por el grupo de amenazas TeamPCP se ha intensificado drásticamente. Los atacantes comprometieron las GitHub Actions aquasecurity/trivy-action y aquasecurity/setup-trivy, secuestrando 75 etiquetas para robar secretos de CI/CD. Un ataque posterior desplegó CanisterWorm, un gusano autopropagable que utiliza canisters ICP (contratos inteligentes a prueba de manipulaciones) que se ha propagado a 47 paquetes npm, haciéndolo extremadamente difícil de contener.

Un nuevo info-stealer llamado VoidStealer utiliza una técnica novedosa para evadir el cifrado vinculado a aplicaciones (ABE) de Chrome y extraer la clave maestra del navegador. Esto permite descifrar todas las contraseñas almacenadas, cookies y datos sensibles. El enfoque basado en depurador representa una evolución en las técnicas de robo de credenciales que evade las últimas protecciones de Chrome.

Oracle emitió un parche de emergencia fuera de ciclo para una vulnerabilidad crítica de ejecución remota de código sin autenticación en Identity Manager y Web Services Manager. La falla no requiere autenticación y es explotable de forma remota. Las organizaciones que ejecutan Oracle Identity Manager deben parchear de inmediato — esta es una publicación de emergencia fuera del ciclo trimestral regular.

Una vulnerabilidad crítica en Langflow (CVSS 9.3), la popular herramienta de pipelines de IA, fue explotada activamente en apenas 20 horas desde su divulgación pública. La falla combina la falta de autenticación con inyección de código para lograr ejecución remota de código a través del endpoint POST /api/v1. Explotación activa confirmada — parchear o desconectar inmediatamente.

CISA ordenó a las agencias federales parchear una vulnerabilidad de severidad máxima en Cisco Secure Firewall Management Center (FMC) antes del 22 de marzo. Esta ha sido añadida al catálogo KEV, lo que indica explotación confirmada. Las organizaciones que ejecutan Cisco FMC deben verificar el parcheo de inmediato.

CISA añadió cinco vulnerabilidades activamente explotadas al catálogo de Vulnerabilidades Explotadas Conocidas: CVE-2025-31277 (Apple, CVSS 8.8) y fallos en Craft CMS y Laravel Livewire. Las agencias federales deben parchear antes del 3 de abril de 2026. Se ha confirmado que están bajo explotación activa.

Sansec reveló "PolyShell", una falla crítica en la API REST de Magento que permite a atacantes no autenticados subir ejecutables arbitrarios disfrazados de imágenes, logrando ejecución de código y toma de control de cuentas. Miles de sitios Magento ya están bajo ataque en una campaña de defacement en curso dirigida a plataformas de comercio electrónico y marcas globales desde el 27 de febrero.

Una vulnerabilidad crítica en Quest KACE (CVE-2025-32975) está siendo potencialmente explotada en ataques dirigidos al sector educativo. Quest KACE se utiliza ampliamente para la gestión de sistemas y seguridad de endpoints en escuelas y universidades.

La empresa de administración de beneficios Navia reveló una filtración que afecta a 2,7 millones de personas. Entre finales de diciembre de 2025 y mediados de enero de 2026, los hackers extrajeron información personal y datos de planes de salud. Esta es una de las mayores filtraciones relacionadas con el sector salud reportadas en el primer trimestre de 2026.

El FBI y CISA emitieron una alerta conjunta advirtiendo que actores de amenazas vinculados a la inteligencia rusa están realizando campañas de phishing contra usuarios de Signal y WhatsApp. Los objetivos incluyen funcionarios actuales y anteriores del gobierno de EE.UU., personal militar, figuras políticas y periodistas. Miles de cuentas ya han sido comprometidas. Los atacantes obtienen acceso completo a mensajes y contactos, y utilizan las cuentas comprometidas para realizar más phishing desde identidades de confianza.

Las alertas de Microsoft Azure Monitor están siendo utilizadas como arma para enviar correos electrónicos de phishing de callback con apariencia legítima, suplantando al equipo de seguridad de Microsoft. Los correos advierten sobre "cargos no autorizados" y aprovechan la confianza en la infraestructura de Azure para evadir los filtros de seguridad de correo electrónico.

Estados Unidos ha confirmado oficialmente que el grupo de hackers Handala opera en nombre del gobierno iraní y ha incautado varios dominios utilizados en sus operaciones psicológicas cibernéticas.

Tres individuos han sido acusados de violar las leyes de control de exportaciones de EE.UU. al conspirar para desviar grandes cantidades de servidores de IA de alto rendimiento desde EE.UU. hacia China, destacando las tensiones en curso en torno a las transferencias de tecnología de IA.

El DoJ de EE.UU., junto con Canadá y Alemania, desarticuló la infraestructura C2 de las botnets AISURU, Kimwolf, JackSkid y Mossad. Estas botnets habían esclavizado más de 3 millones de dispositivos IoT (DVRs, cámaras, routers, televisores inteligentes) y lanzaron ataques DDoS récord que alcanzaron 31,4 Tbps. Los socios del sector privado incluyeron a Akamai, AWS, Cloudflare, Google y otros. El operador de Kimwolf está vinculado a un joven de 23 años en Ottawa; también se sospecha de un joven de 15 años en Alemania. Aún no se han anunciado arrestos.

La operación policial internacional "Operación Alice" cerró más de 373.000 sitios de la dark web. Esto representa uno de los mayores desmantelamientos coordinados de infraestructura ilícita en la dark web hasta la fecha.

Principales rondas de financiación en seguridad esta semana:

• Oasis Security — $120M para gestión de acceso agéntico
• Cape — $100M para seguridad celular / MVNO centrado en privacidad
• Eclypsium — $25M para seguridad de la cadena de suministro de dispositivos
• 1stProtect — $20M (stealth) para monitoreo de comportamiento de endpoints
• Allure Security — $17M para protección de marca online

1. Los ataques a la cadena de suministro se aceleran: El compromiso de Trivy + CanisterWorm representa un nuevo paradigma — gusanos autopropagables en ecosistemas de paquetes utilizando C2 basado en blockchain. Los pipelines de CI/CD son ahora una superficie de ataque primaria.

2. El tiempo hasta la explotación se reduce: CVE-2026-33017 de Langflow fue convertido en arma en 20 horas desde su divulgación. Los defensores tienen menos de un día para reaccionar ante divulgaciones críticas — el parcheo automatizado ya no es opcional.

3. La superficie de ataque de herramientas de IA se expande: Tanto Langflow (herramienta de pipelines de IA) como los cargos por contrabando de hardware de IA destacan que la infraestructura de IA es ahora un objetivo principal — tanto las herramientas como el hardware.

4. Ataques de estados-nación a apps de mensajería: La inteligencia rusa atacando masivamente Signal/WhatsApp señala un cambio de atacar el correo electrónico a atacar aplicaciones de mensajería cifrada, socavando el consejo de seguridad de "simplemente usa Signal".

5. La seguridad agéntica emerge: La ronda de $120M de Oasis Security para "gestión de acceso agéntico" y la tendencia más amplia hacia herramientas de seguridad impulsadas por IA refleja que la industria apuesta fuertemente por capacidades de defensa autónomas.

Oportunidades para KENSAI Esta Semana

• Magento PolyShell: Miles de sitios de comercio electrónico afectados → KENSAI puede detectar esto mediante escaneo DAST. Oportunidad de contenido para el mercado de e-commerce DACH.
• Ataques a la cadena de suministro: Trivy/CanisterWorm valida la propuesta de valor de escaneo SBOM/dependencias de KENSAI. NIS2 requiere gestión de riesgos en la cadena de suministro.
• Ventana de explotación de 20 horas: Argumento perfecto para la propuesta de escaneo continuo de KENSAI — "¿Puede su equipo de seguridad parchear en 20 horas?"
• Ronda de $120M de Oasis: Valida el apetito del mercado por herramientas de seguridad autónomas — el posicionamiento de pentesting autónomo de KENSAI está en tendencia.
• Parches críticos de Oracle/Cisco: Destacar en contenido de cumplimiento NIS2 — requisitos obligatorios de parcheo bajo la directiva.