KENSAI Investigación de Seguridad

Vulnerabilidad crítica de deserialización en los sistemas de gestión del ciclo de vida del producto Windchill y FlexPLM que permite la ejecución remota de código sin autenticación. La gravedad no tiene precedentes — la policía federal alemana (BKA) envió agentes a empresas de todo el país durante el fin de semana, despertando a administradores de sistemas de noche para entregar el aviso en mano. PTC ha publicado IoCs que incluyen indicadores de webshell (GW.class, archivos dpr_*.jsp) y patrones sospechosos de user-agent. Aún no hay parche disponible; el fabricante recomienda aplicar reglas de denegación de rutas de servlet en Apache/IIS de inmediato y desconectar las instancias expuestas a internet.
CRÍTICOZERO-DAYRCEPLMMANUFACTURA
→ BleepingComputer

Una vulnerabilidad de lectura fuera de límites en Citrix NetScaler puede ser explotada remotamente sin autenticación para leer información sensible de la memoria. Múltiples firmas de seguridad advierten que la explotación es inminente dado el amplio despliegue de dispositivos NetScaler. Las organizaciones deben parchear de inmediato.
CRÍTICOPRE-AUTHNETSCALERRED
→ SecurityWeek

Google lanzó Chrome 146 con parches para ocho errores de seguridad de memoria que afectan a siete componentes diferentes. Las organizaciones deben impulsar las actualizaciones del navegador de inmediato en todas sus flotas.
ALTONAVEGADORMEMORY-SAFETY
→ SecurityWeek

El actor de amenazas TeamPCP — responsable de los recientes compromisos de Trivy y KICS — ha backdooreado el popular paquete Python LiteLLM en PyPI. El payload es un ataque en tres etapas:

Etapa 1: Recolector de credenciales que extrae claves SSH, credenciales cloud, secretos de K8s, billeteras de criptomonedas y archivos .env
Etapa 2: Kit de movimiento lateral en Kubernetes que despliega pods privilegiados en cada nodo
Etapa 3: Backdoor persistente via systemd (sysmon.service) que consulta un dominio C2 para obtener binarios adicionales

Las versiones maliciosas han sido eliminadas de PyPI. Cualquiera que haya instalado litellm 1.82.7 o 1.82.8 debe considerar su entorno totalmente comprometido.
CRÍTICOSUPPLY-CHAINPYPIK8SROBO-CREDENCIALES
→ The Hacker News

TeamPCP ha comprometido dos flujos de trabajo de GitHub Actions mantenidos por Checkmarx (checkmarx/ast-github-action y checkmarx/kics-github-action) utilizando credenciales CI robadas — probablemente obtenidas de la brecha anterior en la cadena de suministro de Trivy. Se trata del mismo actor de amenazas expandiendo su alcance a través de dependencias CI/CD interconectadas.
CRÍTICOSUPPLY-CHAINCI/CDGITHUB-ACTIONS
→ The Hacker News

Siete paquetes npm publicados por el usuario "mikilanjillo" están robando billeteras de criptomonedas y credenciales. Los paquetes incluyen nombres como react-performance-suite, react-state-optimizer-core, react-fast-utilsa y ai-fast-auto-trader — diseñados para parecer bibliotecas legítimas de utilidades React e IA.
ALTOSUPPLY-CHAINNPMROBO-CRYPTO
→ The Hacker News

Hackers robaron información personal, registros médicos y datos de seguros de salud de los sistemas internos de QualDerm. 3,1 millones de individuos afectados — una de las mayores filtraciones del sector salud este trimestre.
BRECHASALUD3.1M REGISTROS
→ SecurityWeek

La plataforma de bug bounty HackerOne está notificando a cientos de empleados que sus datos fueron robados tras el compromiso de Navia, un administrador de beneficios estadounidense utilizado por la empresa. Se trata de una filtración de datos de terceros/cadena de suministro — el atacante no vulneró directamente a HackerOne.
BRECHATERCEROSDATOS-RRHH
→ BleepingComputer

El ampliamente utilizado sistema de información estudiantil K-12 Infinite Campus advierte a sus clientes de una filtración de datos tras un intento de extorsión por parte del actor de amenazas ShinyHunters. Datos de estudiantes y escuelas en riesgo.
BRECHAEDUCACIÓNEXTORSIÓN
→ BleepingComputer

El grupo de extorsión Lapsus$ afirma haber vulnerado AstraZeneca, supuestamente comprometiendo repositorios de código internos, credenciales y datos de empleados. Bajo investigación.
BRECHAFARMACÉUTICAEXTORSIÓN
→ SecurityWeek

El Ministerio de Finanzas de los Países Bajos reveló una filtración que afecta a datos de empleados. Los detalles aún están emergiendo, pero esto se suma a un patrón de entidades gubernamentales europeas siendo atacadas.
BRECHAGOBIERNOUE
→ BleepingComputer

Hackers robaron IDs internos, nombres, direcciones de correo electrónico e IDs de socios comerciales de un sistema de gestión interna. El alcance del impacto aún está siendo evaluado.
BRECHAAUTOMOCIÓN
→ SecurityWeek

Un ciudadano ruso fue condenado a casi 7 años (81 meses) en una prisión federal de EE.UU. tras declararse culpable de actuar como intermediario de acceso inicial (IAB) para el grupo de ransomware Yanluowang. Las operaciones causaron aproximadamente 9 millones de dólares en daños. Una victoria para la cooperación internacional en la aplicación de la ley.
RANSOMWAREFUERZAS-DEL-ORDENCONDENA
→ BleepingComputer

Una campaña de phishing en curso tiene como objetivo entornos corporativos francófonos utilizando archivos VBScript ofuscados disfrazados de currículos. El kit de herramientas multipropósito combina robo de credenciales, exfiltración de datos y minería de Monero. Utiliza Dropbox para el staging, sitios WordPress marroquíes para C2 y SMTP de mail.ru para la exfiltración.
ALTOPHISHINGCRYPTOMININGINFOSTEALER
→ The Hacker News

Una campaña de publicidad maliciosa a gran escala abusa de Google Ads para atacar a usuarios estadounidenses que buscan documentos fiscales. Distribuye instaladores fraudulentos de ConnectWise ScreenConnect que despliegan "HwAudKiller" — una herramienta que utiliza la técnica Bring Your Own Vulnerable Driver (BYOVD) con un controlador de Huawei para desactivar productos EDR/AV. Activa desde enero, es probable que se intensifique a medida que se acerca la fecha límite de impuestos en EE.UU.
ALTOMALVERTISINGBYOVDEDR-BYPASS
→ The Hacker News

La Comisión Federal de Comunicaciones ha actualizado su Lista de Productos Restringidos para incluir todos los routers de consumo fabricados en países extranjeros, prohibiendo la venta de nuevos modelos en Estados Unidos. Una escalada significativa en el enfoque estadounidense hacia la seguridad de la cadena de suministro de hardware.
POLÍTICASUPPLY-CHAINHARDWARE
→ BleepingComputer

Mozilla lanzó Firefox 149 con una VPN integrada que ofrece hasta 50GB de tráfico mensual sin costo. Un movimiento notable hacia la privacidad por defecto en los navegadores convencionales.
HERRAMIENTAPRIVACIDADNAVEGADOR
→ BleepingComputer

La conferencia RSA 2026 ha arrancado con una oleada de anuncios de proveedores. Temas clave emergentes: Guardian Agents (agentes de IA que supervisan a otros agentes de IA — Gartner publicó su primera Guía de Mercado), gobernanza de IA agéntica, y convergencia continua de identidad + seguridad en la nube.
INDUSTRIARSACAI-SECURITY
→ SecurityWeek

Gartner publicó su Guía de Mercado inaugural para Guardian Agents — agentes de IA que supervisan a otros agentes de IA para garantizar que sus acciones se alineen con los objetivos y límites establecidos. Esta nueva categoría es directamente relevante a medida que las plataformas de IA agéntica pasan de herramientas pasivas a actores autónomos con acceso real a sistemas.
MERCADOAI-GOVERNANCEGARTNER
→ The Hacker News

El equipo de investigación de amenazas de XM Cyber mapeó ocho vectores de ataque dentro de entornos AWS Bedrock. Cuando los agentes de IA pueden consultar Salesforce, activar funciones Lambda o extraer datos de bases de conocimiento de SharePoint, se convierten en nodos de infraestructura con permisos y rutas accesibles hacia activos críticos. La investigación destaca la superficie de ataque en expansión de la IA agéntica en entornos cloud.
ALTOCLOUDAI-SECURITYAWS
→ The Hacker News

Polonia reporta un aumento importante de ciberataques a lo largo de 2025, incluida una infiltración destructiva del sistema energético del país en diciembre, presuntamente originada en Rusia. El informe retrospectivo subraya las amenazas continuas patrocinadas por estados contra la infraestructura crítica europea.
STATE-SPONSOREDENERGÍAUE
→ SecurityWeek

Israel supuestamente secuestró la red nacional de cámaras de vigilancia callejera de Irán, originalmente construida para reprimir la disidencia, y la reconvirtió en una herramienta de targeting. El papel en el asesinato del líder supremo de Irán subraya cómo los sistemas de vigilancia se están convirtiendo en activos de guerra.
CIBERGUERRAVIGILANCIASTATE-SPONSORED
→ SecurityWeek

El FBI publicó una alerta que describe malware utilizado por hackers del gobierno iraní en un ataque a Stryker. Se encontró un archivo malicioso durante la investigación. Los detalles de las herramientas vinculadas a Irán ahora son públicos para fines de inteligencia de amenazas.
STATE-SPONSOREDIRÁNMALWARE
→ SecurityWeek

1. Los Ataques a la Cadena de Suministro Se Aceleran
El compromiso en cascada de TeamPCP (Trivy → KICS → LiteLLM → Checkmarx) muestra cómo una sola brecha CI/CD puede propagarse a través de herramientas de código abierto interconectadas. La campaña "Ghost" en npm se suma al patrón. Hay que esperar más.

2. Las Herramientas de IA Son la Nueva Superficie de Ataque
LiteLLM (proxy de IA), vectores de ataque en AWS Bedrock, gobernanza de Guardian Agent — tres historias separadas que apuntan a que la infraestructura de IA agéntica se está convirtiendo en un objetivo principal. Las organizaciones que despliegan agentes de IA necesitan supervisión de seguridad ahora.

3. BYOVD Se Está Generalizando
La campaña de publicidad maliciosa en temporada de impuestos que utiliza un controlador de Huawei para desactivar EDR demuestra que BYOVD (Bring Your Own Vulnerable Driver) ya no es una técnica exclusiva de APT — las campañas de malware comercial la están adoptando.

4. Gobiernos Europeos Bajo Presión Sostenida
La filtración del Ministerio de Finanzas de los Países Bajos, los ataques al sector energético polaco y la emergencia de PTC Windchill (que desencadenó la movilización de la BKA) pintan un panorama de infraestructura de la UE bajo amenaza persistente — reforzando la urgencia del cumplimiento NIS2.

5. El Riesgo de Terceros/Proveedores Sigue Siendo Subestimado
HackerOne fue vulnerado a través de un administrador de beneficios. AstraZeneca supuestamente vulnerada. Mazda a través de un sistema de gestión interno. El vector de ataque a través de proveedores y socios continúa siendo el eslabón más débil.