🎯 Reclutadores o atacantes: NetBird y la sofisticada trampa dirigida a los CFOs
Tu dosis semanal de ciberseguridad – Edición 02 de junio 2025
¡Bienvenidos a nuestra edición semanal! Aquí encontrarás las noticias y tendencias más relevantes del mundo de la ciberseguridad, cuidadosamente seleccionadas y sintetizadas para mantenerte informado y preparado en un entorno de amenazas digitales en constante evolución.
📩 Hoy Recibes:
🗞️ Las noticias más importantes de la semana: malware en contenedores Docker, ataques desde AWS contra servidores expuestos, permisos persistentes en OneDrive, vulnerabilidad crítica en WordPress, APT41 abusando de Google Calendar y acceso remoto a CFOs usando NetBird.
✍️ Análisis y Opinión: 🐉 DragonForce y el nuevo rostro del ransomware: cuando el proveedor se convierte en el vector.
1. 🐳 Nuevo malware Zerobot se propaga infectando contenedores Docker para minar criptomonedas
Investigadores descubrieron una campaña activa de malware autoproclamado “Zerobot Downloader” que se propaga automáticamente explotando APIs Docker mal configuradas. El código malicioso descarga un componente adicional capaz de desplegar XMRig (malware minero de criptomonedas) y otro binario para minar la criptomoneda Dero, utilizando recursos en la nube sin autorización. Esto importa porque las malas configuraciones en entornos de contenedores siguen siendo una de las mayores debilidades en la infraestructura de nube, especialmente en entornos DevOps expuestos.
Aunque el ataque ha sido detectado principalmente en sistemas públicos mal asegurados, las empresas en México y América Latina cada vez adoptan más arquitecturas basadas en contenedores. Esto representa una oportunidad crítica para anticiparse a estas técnicas y reforzar sus controles antes de que amenazas similares se dirijan a la región.
📌 Importante:
El malware escanea Internet en busca de APIs Docker expuestas sin autenticación para desplegar contenedores maliciosos.
La campaña involucra un minero de Dero y utiliza binarios ofuscados para dificultar su detección y análisis.
No utiliza exploits de día cero, pero aprovecha configuraciones incorrectas comúnmente encontradas en entornos Docker.
🔒 ¿Cómo protegerse?
Asegurar que las APIs Docker no estén expuestas directamente a Internet; utilizar túneles VPN o redes privadas para su administración.
Implementar autenticación fuerte y limitar el acceso a la API Docker mediante firewalls y roles definidos.
Monitorear continuamente el comportamiento de los contenedores para detectar actividad anómala, como uso excesivo de CPU o procesos desconocidos.
🔗 Fuente: The Hacker News
2. 🚨 Actividad maliciosa desde AWS apunta a ColdFusion, Struts y Elasticsearch
Una investigación reciente identificó al menos 251 direcciones IP alojadas en infraestructura de Amazon Web Services (AWS) utilizadas para escanear y explotar activamente vulnerabilidades conocidas en servidores que ejecutan tecnologías como Adobe ColdFusion, Apache Struts y Elasticsearch. El objetivo principal de los atacantes parece ser el reconocimiento de sistemas vulnerables para facilitar accesos posteriores o ejecutar cargas maliciosas. Esto es relevante para organizaciones en México y América Latina que utilicen estos servicios, ya que pueden ser objeto de ataques similares, incluso sin saberlo, si estos sistemas están expuestos a internet.
Los intentos provienen de múltiples rangos de AWS, lo que sugiere una posible automatización distribuida desde cuentas comprometidas o maliciosamente creadas, reflejando tácticas que pueden ser replicadas fácilmente en cualquier región.
📌 Importante:
Campaña activa de exploración y explotación de vulnerabilidades en ColdFusion, Struts y Elasticsearch.
Uso coordinado de más de 250 IPs de AWS para ejecutar los ataques, lo que dificulta el bloqueo tradicional por IP.
Riesgo significativo para servidores desactualizados o mal configurados expuestos a internet.
🔒 ¿Cómo protegerse?
Verificar y aplicar los parches de seguridad más recientes para ColdFusion, Apache Struts y Elasticsearch, particularmente si están expuestos públicamente.
Implementar reglas WAF (firewall de aplicaciones web) para detectar y bloquear patrones de ataque comunes contra estas tecnologías.
Monitorear tráfico entrante desde direcciones IP sospechosas, especialmente de infraestructura en la nube, y aplicar segmentación de red para reducir la exposición directa de sistemas críticos (te compartimos la fuente para que obtengas el listado de IP´s directo).
🔗 Fuente: GreyNoise Blog
3. 🗂️ Acceso indebido a OneDrive desde apps de terceros
Investigadores descubrieron que cientos de aplicaciones web de terceros mantenían acceso completo a archivos almacenados en cuentas OneDrive, incluso después de que los usuarios eliminaran estas apps. Este comportamiento es posible porque Microsoft permite a las apps conservar sus permisos OAuth indefinidamente, a menos que el token sea revocado explícitamente. La explotación no proviene de un actor malicioso identificado, sino de una falla de diseño en el modelo de consentimiento y autorización, lo que permite un acceso persistente y silencioso a datos sensibles.
📌 Importante:
Vulnerabilidad relacionada con permisos OAuth persistentes en Microsoft OneDrive.
Afecta a cualquier usuario que haya autorizado apps web a acceder a sus archivos.
Impacto: acceso continuo a archivos, incluso después de desinstalar o dejar de usar una app.
🔒 ¿Cómo protegerse?
Revocar manualmente los permisos de aplicaciones no necesarias desde el panel de gestión de cuentas de Microsoft: portal.office.com > Seguridad y privacidad > Aplicaciones con acceso a su cuenta.
Implementar políticas de gobierno de datos que limiten la autorización de apps externas dentro del entorno Microsoft 365.
Supervisar regularmente el acceso externo a recursos de OneDrive mediante auditorías y uso de herramientas de Cloud Security Posture Management (CSPM).
🔗 Fuente: Dark Reading
4. ⚠️ Vulnerabilidad crítica en plugin WordPress Wishlist expone más de 100 mil sitios
Una vulnerabilidad crítica (CVSS 10.0) en el plugin Wishlist Member, utilizado para gestionar contenido exclusivo en WordPress, está poniendo en riesgo a más de 100,000 sitios web. La falla permite a atacantes no autenticados crear cuentas administrativas remotas, lo que puede derivar en el control total del sitio afectado. Este incidente subraya la importancia de vigilar extensiones ampliamente adoptadas en plataformas abiertas. En América Latina, donde WordPress es popular entre PYMEs, medios digitales y organizaciones educativas, el uso extendido de este plugin representa una amenaza directa si no se actualiza con urgencia.
📌 Importante:
Vulnerabilidad crítica identificada como CVE-2024-36630 (CVSS 10.0), afecta al plugin Wishlist Member.
Permite la creación remota de usuarios con privilegios de administrador sin requerir autenticación.
La empresa detrás del plugin ya ha lanzado parches; sin embargo, miles de sitios siguen expuestos por falta de actualización.
🔒 ¿Cómo protegerse?
Actualizar inmediatamente el plugin Wishlist Member a la versión más reciente (v3.23.1.4 o superior).
Revisar la lista de usuarios en el portal WordPress para detectar accesos no autorizados con privilegios elevados.
Implementar autenticación multifactor para usuarios con perfil administrador como medida adicional de control.
🔗 Fuente: The Hacker News
5. 🗓️ APT41 usa Google Calendar para ataques contra gobiernos
El grupo de ciberespionaje chino APT41 ha sido vinculado a una nueva campaña en la que utiliza invitaciones maliciosas de Google Calendar como vector de ataque inicial. Estas invitaciones contienen enlaces que redirigen a sitios de phishing o instalan malware, todo sin levantar sospechas al aprovechar una plataforma legítima y de amplio uso. Esta técnica permite al atacante evitar controles tradicionales de seguridad y representa una evolución sofisticada en el abuso de servicios en la nube.
Aunque el objetivo principal han sido gobiernos de Asia, esta técnica es fácilmente replicable y representa un riesgo directo para organizaciones en México y América Latina, donde el uso corporativo de servicios de Google es común tanto en sector público como privado.
📌 Importante:
Grupo APT41 (también conocido como Winnti) vinculado a campañas de espionaje cibernético patrocinadas por el Estado chino.
Técnica: uso de invitaciones de Google Calendar para entregar enlaces maliciosos (sin requerir clics adicionales por parte del usuario).
Afecta a entidades gubernamentales y posiblemente otros sectores que usan herramientas de productividad en la nube.
🔒 ¿Cómo protegerse?
Restringir la opción automática de agregar invitaciones a Google Calendar desde fuentes externas no verificadas en la configuración de la cuenta.
Implementar filtros de seguridad para bloquear conexiones a dominios relacionados con malware o phishing, incluso si provienen de enlaces incluidos en invitaciones de calendario.
Monitorear patrones inusuales de tráfico saliente o accesos a servicios cloud desde ubicaciones o horarios atípicos, especialmente desde dispositivos con privilegios elevados.
🔗 Fuente: SecurityWeek
6. 🎯 Ataques dirigidos a CFOs con herramienta legítima de red privada
Una campaña maliciosa está suplantando a reclutadores para engañar a directores financieros (CFOs) y hacerlos instalar NetBird, una herramienta legítima de red privada basada en WireGuard, que los atacantes aprovechan para establecer acceso remoto persistente sin ser detectados. Esta táctica aprovecha la confianza en aplicaciones conocidas para evadir soluciones de seguridad tradicionales. La campaña afecta a organizaciones en al menos seis regiones globales y representa un riesgo alto para entidades en Latinoamérica, donde cada vez más empresas adoptan modelos de trabajo híbrido que dependen de herramientas similares.
Esta técnica subraya la tendencia a aprovechar software legítimo para operar bajo el radar de las defensas tradicionales, algo especialmente crítico para roles de alto privilegio como el financiero.
📌 Importante:
El ataque inicia con correos falsos de reclutadores que incluyen enlaces hacia archivos ZIP maliciosos.
Se utiliza NetBird, una herramienta de red privada basada en WireGuard, para establecer canales de acceso remoto cifrado.
Los objetivos son CFOs y ejecutivos de alto nivel, con impacto potencial en decisiones financieras y acceso a recursos confidenciales.
🔒 ¿Cómo protegerse?
Configurar políticas que restrinjan o monitoreen el uso de herramientas de redes privadas no autorizadas como NetBird en estaciones corporativas.
Fortalecer los controles sobre cuentas con privilegios elevados, incluyendo monitoreo de conexiones salientes inusuales y segmentación de red.
Validar y filtrar archivos adjuntos comprimidos provenientes de direcciones externas, incluso si contienen herramientas conocidas o sin firma maliciosa aparente.
🔗 Fuente: The Hacker News
✍️ Análisis y Opinión - 🐉 DragonForce y el nuevo rostro del ransomware: cuando el proveedor se convierte en el vector
La ciberseguridad empresarial enfrenta una amenaza cada vez más compleja: los ataques a la cadena de suministro digital. El reciente incidente protagonizado por el grupo de ransomware DragonForce, que explotó vulnerabilidades en SimpleHelp, una herramienta de monitoreo y gestión remota (RMM) ampliamente utilizada por Proveedores de Servicios Gestionados (MSP), es un claro ejemplo de cómo los atacantes están apuntando a los eslabones más confiables de la infraestructura tecnológica.
🔍 El ataque: de una herramienta legítima a un arma de doble filo
DragonForce aprovechó tres vulnerabilidades críticas en SimpleHelp (CVE-2024-57726, CVE-2024-57727 y CVE-2024-57728) para comprometer la infraestructura de un MSP no identificado. Estas fallas permitieron a los atacantes escalar privilegios, acceder a archivos sensibles y ejecutar código arbitrario, utilizando la propia herramienta de administración remota del MSP para desplegar ransomware en los sistemas de sus clientes. 
Este tipo de ataque no solo compromete a una organización, sino que extiende su alcance a múltiples clientes, amplificando el impacto y dificultando la contención.
💼 Implicaciones para las empresas y los MSP
El incidente subraya la necesidad de que las empresas y los MSP revisen y fortalezcan sus estrategias de seguridad: • Gestión de vulnerabilidades: Es crucial mantener actualizadas todas las herramientas, especialmente aquellas que tienen acceso privilegiado a múltiples sistemas. • Seguridad en la cadena de suministro: Evaluar y monitorear continuamente la seguridad de los proveedores y las herramientas de terceros es esencial para prevenir ataques indirectos. • Detección y respuesta: Implementar soluciones de detección y respuesta que puedan identificar comportamientos anómalos y contener amenazas antes de que se propaguen.
🧠 Reflexión final
El ataque de DragonForce es un recordatorio de que la confianza en las herramientas y proveedores debe ir acompañada de una vigilancia constante. En un entorno donde las amenazas evolucionan rápidamente, la colaboración entre empresas, proveedores y expertos en ciberseguridad es fundamental para construir una defensa sólida y resiliente.
Gracias por leer nuestro resumen semanal. Recuerda, estamos aquí para ayudarte a navegar el complejo mundo de la ciberseguridad. No dudes en responder a este correo con tus preguntas o inquietudes.
¡Hasta la próxima semana! 🎯
Te invitamos a compartir esta publicación, visitar nuestro sitio web y conectar en redes sociales.