⚠️ Cuando lo “legítimo” se vuelve peligroso: malware en Google Drive y exploits activos en plataformas enterprise
Tu dosis semanal de ciberseguridad – Edición 15 de diciembre 2025
👋 ¡Bienvenidos a nuestra edición semanal! Aquí encontrarás las noticias y tendencias más relevantes del mundo de la ciberseguridad, cuidadosamente seleccionadas y sintetizadas para mantenerte informado y preparado en un entorno de amenazas digitales en constante evolución.
📩 Hoy Recibes:
🗞️ Las noticias más relevantes en ciberseguridad: RCE crítica en Ivanti Endpoint Manager; “SOAPwn” en .NET SOAP vía WSDL malicioso; ConsentFix secuestra cuentas Microsoft por permisos en Azure AD; backdoor NANOREMOTE usa Google Drive como C2; kits de phishing con IA eluden MFA.
✍️ Análisis y Opinión: Redefinir la defensa en la era de los ataques impulsados por IA
⚡ TL;DR – Ciberseguridad en 2 minutos, aquí tienes el resumen…
🚨 Las plataformas enterprise también caen: Ivanti, .NET SOAP y Azure AD presentan vulnerabilidades críticas que permiten ejecución remota de código y secuestro de cuentas. Tener herramientas “corporativas” ya no es garantía.
🔐 La identidad es el nuevo perímetro: ataques como ConsentFix demuestran que permisos mal configurados en Azure pueden abrir la puerta a todo el entorno.
☁️ El malware se camufla en servicios legítimos: NANOREMOTE usa Google Drive como C2, mezclándose con tráfico normal y evadiendo detección tradicional.
🎣 El phishing subió de nivel: kits impulsados por IA logran evadir MFA, aumentando el riesgo incluso en organizaciones maduras.
🧠 Mensaje clave: seguir defendiendo con firmas e indicadores estáticos ya no alcanza.
La seguridad moderna debe centrarse en comportamientos, TTPs e identidad.
🧭 Análisis y Opinión: … en la era de ataques impulsados por IA, no gana quien ve más alertas 👀, sino quien entiende los patrones del adversario y responde más rápido ⚡.
☕️ Noticias de la semana
1. 🚨 Vulnerabilidad Crítica en Ivanti Endpoint Manager
Ivanti ha alertado sobre una grave vulnerabilidad en su software Endpoint Manager que permite la ejecución remota de código. Esta brecha de seguridad, identificada como CVE-2025-10573, podría ser explotada por atacantes para tomar el control de sistemas afectados.
📌 Importante:
Actor Involucrado: Ivanti ha notificado a sus usuarios sobre esta vulnerabilidad.
Vulnerabilidad: Ejecución remota de código en Endpoint Manager (CVE-2025-10573).
Impacto: Afectación a la integridad y control de dispositivos en entornos corporativos.
🔒 ¿Cómo protegerse?
Actualización Inmediata: Ivanti ha lanzado un parche para esta vulnerabilidad. Es crucial aplicarlo de inmediato para proteger los sistemas.
Monitoreo de Actividades: Implementar una supervisión continua de actividades inusuales en el Endpoint Manager que puedan indicar intento de explotación.
Control de Acceso Estricto: Asegurar que solo personal autorizado tenga acceso a los sistemas de gestión, limitando el potencial de explotación a usuarios no verificados.
🔗 Fuente: Bleeping Computer
2. 🚨 Vulnerabilidad en .NET SOAP permite ejecución remota
Recientemente, se descubrió una grave vulnerabilidad en la tecnología .NET SOAP que permite realizar escrituras de archivos y ejecutar código de manera remota a través de un WSDL malicioso. Esta falla ha sido apodada “SOAPwn” y presenta un riesgo significativo para aplicaciones que dependen de servicios web basados en SOAP.
📌 Importante:
Actores: No se ha especificado un actor responsable hasta el momento.
Vulnerabilidad: Exploit mediante un WSDL manipulada que afecta servicios SOAP en .NET.
Impacto: Riesgo elevado de ejecución remota de código y pérdida de integridad de sistemas.
🔒 ¿Cómo protegerse?
Parcheo Inmediato: Aplicar las actualizaciones proporcionadas por Microsoft tan pronto estén disponibles para mitigar la vulnerabilidad SOAPwn en entornos .NET.
Revisar y Controlar Accesos: Limite el acceso a servicios SOAP solo a entidades de confianza y revise las configuraciones de seguridad de dichas interfaces.
Monitoreo Proactivo: Implementar soluciones de monitoreo para detectar actividades inusuales en las comunicaciones SOAP y reaccionar rápidamente ante intentos de explotación.
🔗 Fuente: The Hacker News
3. 🚨 Nuevo ataque ConsentFix compromete cuentas de Microsoft a través de Azure CLI
Recientemente se ha identificado una nueva técnica de ataque denominada “ConsentFix”, que permite a los atacantes secuestrar cuentas de Microsoft utilizando Azure CLI. Este ataque está diseñado para aprovechar configuraciones inadecuadas en el manejo de permisos dentro de las aplicaciones que utilizan Azure Active Directory. La implicación más grave es que, una vez comprometida una cuenta, los atacantes pueden obtener acceso no autorizado a datos y servicios críticos.
📌 Importante:
Actores involucrados: No se especifican grupos de cibercriminales conocidos en este momento.
Vulnerabilidad explotada: Configuraciones inadecuadas en permisos de aplicaciones de Azure Active Directory.
Impacto: Compromiso de cuentas de Microsoft, acceso a datos y servicios sensibles.
🔒 ¿Cómo protegerse?
Revise y ajuste inmediatamente los permisos otorgados a las aplicaciones que utilizan Azure Active Directory, asegurándose de no conceder más permisos de los necesarios.
Implemente controles de acceso más estrictos y revise regularmente las configuraciones de seguridad en Azure CLI.
Establezca un monitoreo continuo de las actividades en Azure para detectar y responder rápidamente a accesos no autorizados.
🔗 Fuente: BleepingComputer
4. 🕵️♂️ Descubrimiento de malware NANOREMOTE utilizando Google Drive para C2
Investigadores de Elastic Security Labs han identificado un nuevo malware tipo backdoor para Windows llamado NANOREMOTE, que utiliza la API de Google Drive como canal de comando y control (C2). Este backdoor comparte código con el implante FINALDRAFT y está vinculado al grupo de amenazas REF7707. El malware intercambia datos con el sistema comprometido a través de Google Drive, lo que dificulta su detección y facilita el robo de información.
📌 Importante:
Actores involucrados: Grupo de amenazas REF7707.
Técnicas utilizadas: Uso de Google Drive API para C2 y ejecución de shellcode a través de un cargador disfrazado como ejecutable de Bitdefender.
Impacto o daño: Permite el control total de sistemas Windows afectados, incluyendo robo de datos y transferencia de archivos.
🔒 ¿Cómo protegerse?
Monitorea el tráfico a Google Drive en busca de patrones anómalos y utiliza herramientas de detección de intrusiones para identificar comportamientos inusuales asociados con el uso de la API.
Implementa restricciones de ejecución estrictas en los sistemas para bloquear ejecutables con firmas inválidas o desconocidas, lo cual puede ayudar a prevenir la carga del malware.
Desarrolla políticas de listas blancas para el uso de aplicaciones en el entorno de red, asegurando que solo las aplicaciones aprobadas puedan comunicarse externamente.
🔗 Fuente: SecurityAffairs
5. 🎣 Phishing avanzado con IA y técnicas de bypass de MFA
Recientemente se detectó la utilización de kits de phishing de última generación que emplean inteligencia artificial y técnicas para eludir la autenticación multifactor (MFA) con el fin de robar credenciales de usuarios a gran escala. Los atacantes, aún no identificados con precisión, aprovechan estas herramientas para orquestar ataques más sofisticados y efectivos. Este avance en las capacidades de phishing que integra IA y técnicas de bypass de MFA es un motivo de preocupación para las organizaciones, ya que representa un incremento considerable en la complejidad y eficacia de tales amenazas.
📌 Importante:
Los actores detrás de estos ataques aún no están completamente identificados.
Se emplea inteligencia artificial para hacer los ataques más personalizados y efectivos.
La evasión de autenticación multifactor (MFA) es un componente central, incrementando el riesgo de intrusiones exitosas.
🔒 ¿Cómo protegerse?
Implementar soluciones que detecten y bloqueen intentos de phishing con capacidades avanzadas de IA.
Revisar y fortalecer la configuración de MFA, considerando soluciones que incluyan medidas contra el bypass de MFA.
Monitorear y auditar regularmente los accesos y actividades inusuales que puedan indicar intentos exitosos de intrusión.
🔗 Fuente: The Hacker News
✍️ Análisis y Opinión - Redefinir la defensa en la era de los ataques impulsados por IA
Durante años, la ciberseguridad empresarial operó bajo una lógica relativamente estable: los atacantes innovaban y los defensores respondían.
Nuevas vulnerabilidades, nuevas firmas, nuevos controles. El reciente reporte de Trend Micro sugiere que ese equilibrio se rompió. No por un ataque puntual ni por un malware “espectacular”, sino por algo más profundo: la adopción sistemática de inteligencia artificial por parte de los atacantes.
No se trata de escenarios futuristas. Hoy ya vemos actores que usan IA para automatizar reconocimiento, personalizar ataques, ajustar tácticas en tiempo real y escalar operaciones con una eficiencia que deja atrás muchos enfoques defensivos tradicionales. El resultado no es solo un aumento en el volumen de ataques, sino un cambio claro en su naturaleza.
📌 Lo que está cambiando (y por qué importa)
El reporte destaca un punto clave: la IA no solo hace a los ataques más sofisticados, sino mucho más rápidos y adaptables. Campañas que antes tomaban semanas de preparación ahora pueden modificarse en horas o incluso minutos. Correos de phishing que antes eran genéricos hoy se ajustan al rol, al idioma y al contexto de la víctima. Infraestructura que antes permanecía activa días ahora rota de forma casi efímera.
Para empresas en México y América Latina donde los equipos suelen ser reducidos, los entornos híbridos y la presión por operar constante este cambio es crítico. Cuando el ataque se ejecuta y se ajusta más rápido que los ciclos internos de respuesta, la ventaja siempre es del adversario.
Ya lo hemos visto anteriormente con los intentos de ataques por ejemplo a Bitso y su equipo de RH o bien, con el informe de Anthropic del primer ataque identificado que tiene un gran porcentaje de automatización (puedes consultar ediciones anteriores del newsletter donde hemos hablado de ambos casos).
🧠 El problema no es la IA, es el modelo mental
Trend Micro es claro en algo que conviene subrayar: la IA no es el problema en sí. El verdadero riesgo está en seguir defendiendo con modelos pensados para ataques manuales y predecibles. Muchas organizaciones aún confían en listas de indicadores, firmas estáticas y controles aislados, esperando que eso detenga adversarios que operan como sistemas dinámicos.
Aquí aparece una verdad incómoda: no estamos fallando por falta de tecnología, sino por exceso de confianza en enfoques que ya no reflejan la realidad. Perseguir indicadores individuales cuando el atacante cambia constantemente es una estrategia costosa y, cada vez más, ineficiente.
🔍 Del “qué pasó” al “cómo se comporta”
Uno de los cambios más relevantes que plantea el reporte es pasar de una defensa centrada en eventos a una defensa centrada en comportamientos, tácticas y técnicas. Ya no importa tanto si un dominio o un hash fue visto antes; importa si el patrón de acceso, movimiento lateral, uso de identidades o secuencia de acciones se comporta como un ataque, aunque nunca se haya visto igual.
Esto tiene implicaciones muy prácticas:
Priorizar detección basada en TTPs, no solo en IOC’s.
Observar cómo se mueven las identidades y los accesos, no solo si “autenticaron correctamente”.
Entender que el perímetro real hoy es la identidad, los flujos de trabajo y los procesos de negocio, no únicamente la red.
Para muchas organizaciones, este cambio no implica comprar “la siguiente herramienta”, sino replantear qué se monitorea, por qué y con qué objetivo.
🤖 La defensa también debe aprender
Así como los atacantes aprenden y se adaptan, la defensa no puede seguir siendo estática. El uso de IA del lado defensivo tiene sentido cuando se aplica con criterio: reducir ruido, correlacionar señales y acelerar decisiones, sin perder supervisión humana.
Las organizaciones más maduras no son las que generan más alertas, sino las que detectan antes, contienen mejor y reducen el impacto. Métricas como tiempo de detección, tiempo de respuesta y capacidad de aislar daños son hoy más relevantes que el número de eventos bloqueados.
🎯 Reflexión en nuestro entorno regional…
En el contexto empresarial mexicano, donde muchas compañías operan con recursos limitados y arquitecturas heredadas, el mensaje es claro: la ciberseguridad no puede seguir siendo reactiva ni ceremonial. Tampoco se trata de temerle a la IA, sino de aceptar que el adversario ya cambió.
Redefinir la defensa es, ante todo, un cambio de mentalidad. Significa dejar de preguntar únicamente “¿qué herramienta nos falta?” y empezar a cuestionar “¿qué supuestos seguimos dando por válidos?”.
En la era de los ataques impulsados por inteligencia artificial, la ventaja no la tiene quien ve más, sino quien entiende mejor lo que está viendo. Y esa comprensión, hoy más que nunca, es una decisión estratégica del negocio.
Gracias por leer nuestro resumen semanal. Recuerda, estamos aquí para ayudarte a navegar el complejo mundo de la ciberseguridad. No dudes en responder a este correo con tus preguntas o inquietudes.
¡Hasta la próxima semana! 🎯
Te invitamos a compartir esta publicación, visitar nuestro sitio web y conectar en redes sociales.