🛑 CitrixBleed 2, IA expuesta y el nuevo Zero Trust: la semana en ciberseguridad al rojo vivo
Tu dosis semanal de ciberseguridad – Edición 30 de junio 2025
¡Bienvenidos a nuestra edición semanal! Aquí encontrarás las noticias y tendencias más relevantes del mundo de la ciberseguridad, cuidadosamente seleccionadas y sintetizadas para mantenerte informado y preparado en un entorno de amenazas digitales en constante evolución.
📩 Hoy Recibes:
🗞️ Las noticias más relevantes: explotación activa de CitrixBleed 2, ciberespionaje en energía con backdoors invisibles, abuso de Direct Send en Microsoft 365, servidores de IA expuestos vulnerable a RCE y ataques silenciosos a servidores Exchange on-premise.
✍️ Análisis y Opinión: 🛡️ Zero Trust (y WhatsApp): la lección detrás de dos decisiones que redefinen la confianza digital
1.🛡️ Nuevo CitrixBleed 2 ya está siendo explotado activamente
Una nueva vulnerabilidad crítica en productos Citrix —identificada como “CitrixBleed 2”— está siendo explotada en ataques en curso, según investigadores de Mandiant. La falla, clasificada como CVE-2024-3512, afecta a appliances Citrix NetScaler ADC y Gateway y permite ejecución remota de código sin autenticación previa. La explotación activa confirma que al menos un grupo APT respaldado por un Estado está detrás de los ataques.
📌 Importante:
CVE-2024-3512 permite ejecución remota de código sin autenticarse, con explotación activa confirmada desde abril de 2024.
Citrix lanzó parches el 7 de junio; sistemas sin actualizar están en riesgo inmediato.
Mandiant observó su uso por grupos avanzados en ataques selectivos, posiblemente como parte de campañas persistentes.
🔒 ¿Cómo protegerse?
Aplicar inmediatamente los parches oficiales de Citrix para NetScaler ADC y Gateway, especialmente las versiones afectadas.
Verificar logs y monitorear actividad inusual en dispositivos expuestos públicamente; considerar aislamiento del tráfico externo temporalmente si es viable.
Implementar reglas de detección específicas en herramientas EDR/IDS que busquen intentos de explotación de CVE-2024-3512.
🔗 Fuente: Dark Reading
2. ⚡ Ciberespionaje en energía: nueva campaña OneClik usa backdoors invisibles
Una nueva campaña de malware dirigida al sector energético, denominada OneClik, está siendo utilizada por un posible grupo APT vinculado a China para lograr persistencia y control en redes de empresas a través de backdoors desarrollados en Golang. Esta operación explota la tecnología ClickOnce de Microsoft —diseñada para facilitar la instalación de software legítimo— para desplegar cargas maliciosas sin levantar sospechas, utilizando técnicas avanzadas de evasión como cifrado en memoria, uso de servicios en la nube (AWS) y manipulación de procesos legítimos de Windows.
Aunque hasta el momento los ataques se han observado en entornos energéticos en Medio Oriente, las técnicas utilizadas son replicables y representan una amenaza directa para organizaciones energéticas y de infraestructura crítica en México y América Latina, donde abundan configuraciones similares y alta dependencia de plataformas Microsoft.
📌 Importante:
Se abusa de Microsoft ClickOnce y AppDomainManager en .NET para instalar discretamente el malware sin privilegios elevados.
El backdoor “RunnerBeacon”, programado en Golang, permite control remoto, movimiento lateral y evasión de análisis mediante técnicas anti-debugging.
La infraestructura C2 del atacante opera a través de servicios legítimos de AWS (CloudFront, Lambda, API Gateway), lo que hace casi invisible la comunicación maliciosa.
🔒 ¿Cómo protegerse?
Bloquear la ejecución de instalaciones ClickOnce no firmadas en entornos corporativos mediante políticas de grupo o controles de seguridad en endpoints.
Implementar monitoreo de comportamiento en procesos de Windows como dfsvc.exe y reforzar la detección de actividad sospechosa en entornos .NET y tráfico TLS hacia dominios de AWS.
Establecer segmentación de redes críticas y restricciones diferenciadas para la salida a servicios cloud, validando el uso de dominios específicos de AWS con inspección profunda de tráfico.
🔗 Fuente: Security Affairs
3. 📧 Microsoft 365 explotado para enviar phishing desde correos legítimos
Investigadores de ciberseguridad han detectado una campaña de phishing que abusa de la función “Direct Send” en Microsoft 365 para enviar correos maliciosos que aparentan provenir de direcciones legítimas. Al aprovechar esta funcionalidad, los atacantes omiten autenticaciones estándar como SPF, DKIM y DMARC, logrando que los mensajes superen filtros antispam y lleguen directo a las bandejas de entrada. Esta técnica representa una amenaza concreta para empresas que confían en Microsoft 365, incluyendo muchas en México y América Latina, donde esta plataforma es ampliamente utilizada y los controles de seguridad sobre funciones por defecto suelen estar subestimados.
📌 Importante:
La función “Direct Send” permite a dispositivos internos (como escáneres o servidores) enviar correos vía Microsoft 365 sin autenticación completa.
Al no requerir verificación SPF/DKIM/DMARC, los correos manipulados parecen legítimos y difíciles de filtrar.
La campaña está activa y los mensajes apuntan a robo de credenciales a través de enlaces a sitios falsificados.
🔒 ¿Cómo protegerse?
Restringir la configuración de "Direct Send" solo a direcciones IP y dominios autorizados, y supervisar su uso desde paneles de administración.
Aplicar políticas de filtrado avanzado que analicen contenido y comportamientos sospechosos, incluso si el correo pasa autenticaciones básicas.
Habilitar alertas para detección de accesos inusuales derivados de campañas de phishing exitosas, sobre todo desde usuarios con roles administrativos.
🔗 Fuente: SecurityWeek
4. 🤖 Servidores de IA expuestos permiten abuso y ejecución remota de código
Una investigación reciente reveló que cientos de servidores que ejecutan Model Completion Protocol (MCP), utilizados para facilitar el despliegue de modelos de inteligencia artificial, están expuestos públicamente sin autenticación. Esta configuración permite a atacantes interactuar directamente con los modelos, realizar ingeniería de prompts, abusar de los recursos computacionales y, en algunos casos, ejecutar código remoto (RCE).
Este tipo de exposición puede replicarse fácilmente en entornos empresariales en México y Latinoamérica, donde el uso de modelos locales o privados de IA aún carece de controles de acceso robustos o prácticas seguras por defecto.
📌 Importante:
Más de 600 servidores MCP se encuentran accesibles sin autenticación, muchos de ellos con capacidad para ejecución de código.
La exposición incluye modelos populares como LLaMA 3, Gemma y Mistral, utilizados en aplicaciones generativas y predictivas.
Investigadores demostraron que es posible abusar de estos modelos para realizar ataques de denegación de servicio, exfiltración de datos o ejecución de scripts maliciosos.
🔒 ¿Cómo protegerse?
Restringir inmediatamente el acceso a interfaces MCP mediante autenticación robusta y segmentación de red.
Configurar firewalls para evitar la exposición directa de estos servidores a internet sin necesidad.
Auditar y monitorear el uso de servidores de IA, incluyendo revisiones periódicas de configuración y tráfico inusual asociado.
🔗 Fuente: Dark Reading
5. 🎯 Ataque dirigido a servidores Microsoft Exchange con keyloggers
Cibercriminales han comprometido más de 70 servidores Microsoft Exchange expuestos públicamente para robar credenciales mediante la instalación de keyloggers. El grupo detrás de esta campaña, no identificado hasta el momento, explota servidores con configuraciones débiles o sin parches actualizados, insertando líneas maliciosas en las páginas de inicio de sesión de Outlook Web Access (OWA) para capturar las teclas pulsadas por los usuarios. Este tipo de ataque es silencioso, exitoso y difícil de detectar, lo que aumenta el riesgo para organizaciones con infraestructura de correo local.
Este incidente destaca la relevancia de proteger entornos on-premise en América Latina, donde muchas organizaciones aún dependen de servidores Exchange internos y podrían estar expuestas a ataques similares si no están actualizados o correctamente configurados.
📌 Importante:
Se han comprometido al menos 70 servidores Exchange que exponen servicios de OWA a internet.
Los atacantes insertan código JavaScript malicioso en archivos de autenticación para capturar credenciales desde la interfaz web.
No es una vulnerabilidad específica (no se han listado CVEs), sino una explotación de servidores mal configurados o desactualizados.
🔒 ¿Cómo protegerse?
Verifique que su servidor Exchange tenga los parches más recientes aplicados, especialmente los que protegen la interfaz de OWA.
Audite la configuración y exposición pública de servicios de Exchange; limite acceso externo si no es estrictamente necesario.
Implemente monitoreo de integridad en archivos web críticos para detectar modificaciones no autorizadas en tiempo real.
🔗 Fuente: The Hacker News
✍️ Análisis y Opinión - 🛡️ Zero Trust (y WhatsApp): la lección detrás de dos decisiones que redefinen la confianza digital
En estos días, dos decisiones tomadas en el corazón de la ciberseguridad estadounidense merecen ser observadas de cerca desde América Latina. Por un lado, el Pentágono replantea el concepto de Zero Trust; por otro, la Cámara de Representantes prohíbe el uso de WhatsApp en los dispositivos oficiales de su personal, citando riesgos de seguridad. Aunque surgen de contextos distintos —la defensa militar y la gestión parlamentaria— ambas envían un mensaje común: la confianza, en entornos digitales, no es estática. Se construye, se cuestiona y se renueva de forma constante.
🔍 Zero Trust: de dogma a práctica viva
La reinterpretación de Zero Trust por parte del Pentágono es reveladora. En lugar de tratarlo como una meta final, plantea integrarlo como un proceso cotidiano, flexible y contextual. Cada acceso y cada interacción deben validarse sin atajos ni confianzas automáticas, asumiendo que los entornos de riesgo evolucionan minuto a minuto.
Este cambio interpela directamente a las organizaciones de nuestra región. Importar modelos rígidos, sin adaptarlos a la realidad local, puede generar una falsa sensación de seguridad. Vale la pena preguntarse:
¿Nuestros controles reflejan el ritmo real de la operación?
¿Existen privilegios que nadie revisa desde hace años?
¿Estamos dispuestos a cuestionar los supuestos más cómodos?
El aprendizaje es claro: la confianza no auditada termina siendo una vulnerabilidad.
📱 WhatsApp: comodidad vs. control
La prohibición de WhatsApp en el Congreso estadounidense exhibe otra arista de la confianza digital. Esta plataforma, tan integrada a la vida profesional en América Latina, puede resultar incompatible con los niveles de confidencialidad y gobernanza que requiere una organización pública de alto nivel.
No se trata de demonizar el uso de WhatsApp, sino de reconocer que la seguridad de las comunicaciones no puede quedar librada a la costumbre. Conviene reflexionar:
¿Qué conversaciones ameritan realmente cifrado robusto y control total?
¿Confiamos demasiado en aplicaciones de consumo sin evaluar sus límites?
¿Estamos midiendo el riesgo asociado a la mensajería instantánea en procesos críticos?
La tecnología que utilizamos para hablar también determina qué tan fácil resulta ser escuchados sin permiso.
🧭 Una confianza activa y consciente
Lo que une a estas dos decisiones —la redefinición de Zero Trust y la restricción de WhatsApp— es el mismo principio:
👉 la seguridad es dinámica y requiere cuestionamientos permanentes.
En vez de aspirar a blindajes definitivos, las organizaciones necesitan sistemas resilientes, preparados para adaptarse y aprender. En América Latina, hemos visto demasiadas iniciativas tecnológicas implementadas sin gobernanza real, que terminan generando filtraciones, brechas regulatorias o parálisis operativas.
Por ello, no se trata de replicar modelos importados, sino de construir políticas vivas, revisadas con honestidad y ajustadas al contexto.
🤝 El arte de la duda estratégica
Para los equipos de TI, para los líderes de seguridad y para las mesas directivas, la mayor lección es esta:
la confianza digital no es un recurso infinito. Se desgasta, se transforma, y exige vigilancia constante.
La verdadera protección surge de la capacidad de plantear preguntas incómodas, de repensar privilegios heredados, de conversar con los usuarios sobre hábitos de comunicación y acceso. En última instancia, la ciberseguridad más efectiva no se basa en tecnologías impenetrables, sino en una cultura organizacional que practique la duda crítica como disciplina.
Ese ejercicio permanente de humildad y curiosidad, tan sencillo y tan difícil a la vez, es el blindaje más poderoso en un entorno donde las amenazas cambian todos los días.
Gracias por leer nuestro resumen semanal. Recuerda, estamos aquí para ayudarte a navegar el complejo mundo de la ciberseguridad. No dudes en responder a este correo con tus preguntas o inquietudes.
¡Hasta la próxima semana! 🎯
Te invitamos a compartir esta publicación, visitar nuestro sitio web y conectar en redes sociales.