Ciberseguridad preventiva para empresas

lunes, 8 de septiembre de 2025

Ejecución de código arbitrario en productos de TP-Link

📅 Fecha: 08/09/2025
🔒 Importancia: 4 – Alta

Recursos Afectados

AX10 V1/V1.2/V2/V2.6/V3/V3.6: versiones de firmware anteriores a la 1.2.1.
AX1500 V1/V1.20/V1.26/V1.60/V1.80/V2.60/V3.6: versiones de firmware anteriores a la 1.3.11.

Descripción

TP-Link ha publicado una vulnerabilidad de severidad alta que podría permitir a un atacante ejecutar código arbitrario de forma remota a través del binario CWMP en los dispositivos de las series AX10 y AX1500.

Este fallo afecta principalmente a routers domésticos y de pequeñas oficinas, lo que lo convierte en un riesgo real para millones de usuarios a nivel global.

Detalle Técnico

El problema radica en la función CWMP (CPE WAN Management Protocol), que normalmente está deshabilitada por defecto. Sin embargo, si se encuentra activa, un atacante con acceso válido podría realizar un ataque Man-in-the-Middle (MITM), interceptar comunicaciones legítimas y, finalmente, inyectar código malicioso que se ejecute directamente en el router.

Aunque el riesgo práctico está limitado porque requiere que el atacante ya se encuentre dentro de la red y que se cumplan varias condiciones específicas, si el CWMP está habilitado el impacto puede ser grave:

Compromiso total del dispositivo (control remoto).
Posible espionaje de tráfico de red.
Puerta de entrada a otros dispositivos conectados a la red.

Solución

TP-Link ha publicado actualizaciones críticas de firmware que deben aplicarse de inmediato:

Archer AX10 V3.6: actualizar a firmware 1.2.1 o superior.
Archer AX1500 V3.6: actualizar a firmware 1.3.12 o superior.

Además, se recomienda:

Verificar que CWMP se encuentre deshabilitado si no es estrictamente necesario.
Mantener el firmware actualizado.
Monitorear conexiones inusuales en la red local.

Conclusión

Este caso es un recordatorio claro de que incluso los routers de uso doméstico o empresarial básico son objetivos de ataques avanzados. Un fallo aparentemente limitado, bajo las condiciones correctas, puede convertirse en un vector de acceso crítico para cibercriminales.

La ciberseguridad preventiva –como actualizaciones regulares, monitoreo activo y segmentación de red– sigue siendo la clave para reducir riesgos en entornos tanto personales como corporativos.

✍️ Ciberseguridad Digital
Protegemos tu información en España, Suramérica y el mundo entero.
📧 info@ciberseguridaddigital.com
🌍 www.ciberseguridaddigital.com

miércoles, 3 de septiembre de 2025

Caso PromptLock: el primer ransomware impulsado por IA

📌 Resumen ejecutivo para directivos

El ransomware PromptLock marca un antes y un después en el cibercrimen: es el primero en aprovechar inteligencia artificial generativa para crear ataques en tiempo real. A diferencia de otros virus, PromptLock no contiene un código fijo, sino que genera dinámicamente scripts maliciosos cada vez que se ejecuta, lo que lo convierte en un enemigo mucho más difícil de detectar.

Esto significa que en el futuro los delincuentes podrán crear ransomware más sofisticado, adaptable y multiplataforma (funciona en Windows, Linux y macOS) sin necesidad de tener grandes conocimientos técnicos. Para las empresas, el riesgo es claro: los ataques serán más frecuentes, más avanzados y más difíciles de detener con defensas tradicionales.

La lección de este hallazgo es que debemos reforzar la seguridad proactiva: copias de seguridad aisladas, monitoreo en tiempo real, detección basada en comportamiento y capacitación continua a equipos internos.

🔍 Análisis técnico detallado

Identificación: PromptLock fue descubierto por ESET el 25 de agosto de 2025 en muestras subidas a VirusTotal desde EE. UU.

Lenguaje: Golang.
Motor de IA: se conecta a través de proxy al modelo gpt-oss:20b vía API de Ollama.
Generación dinámica: crea scripts en Lua que pueden buscar archivos, extraer información y cifrar datos.
Multiplataforma: funciona en Windows, Linux y macOS sin necesidad de grandes cambios.
Algoritmo de cifrado: utiliza SPECK 128 bits, poco común en ransomware, lo que dificulta la respuesta inmediata.

Estrategias de evasión:

Cada ejecución puede producir un script distinto, lo que reduce la eficacia de soluciones basadas en firmas.
Implementa cifrado AES-256-GCM con envoltura RSA para ocultar el tráfico, complicando el análisis forense.

Estado actual:

Aún es un prototipo (proof of concept), pero ya posee capacidad de cifrado real.
Podría evolucionar hacia funciones de exfiltración de datos y destrucción en fases posteriores.
Existe el riesgo de que su código filtrado sea utilizado por grupos criminales.

⚠️ Riesgos principales para empresas

Mayor dificultad de detección: al no tener firma fija, los antivirus convencionales no son suficientes.
Ransomware adaptativo: los ataques podrán personalizarse en tiempo real según la víctima.
Exposición multiplataforma: servidores, PCs y entornos híbridos pueden ser atacados sin distinción.
Uso de IA accesible: actores con pocos conocimientos técnicos pueden reutilizar el modelo para fines maliciosos.

🛡️ Recomendaciones de mitigación

Adoptar soluciones de seguridad basadas en comportamiento y no solo en firmas.
Implementar copias de seguridad offline y cifradas con pruebas regulares de recuperación.
Actualizar sistemas y software de forma continua.
Limitar el acceso de usuarios y aplicar el principio de mínimo privilegio.
Monitorizar activamente el uso de modelos de IA en entornos corporativos.
Establecer protocolos de respuesta a incidentes claros frente a ransomware.

✅ Conclusión

PromptLock no es todavía una amenaza masiva, pero representa una advertencia clara del futuro del cibercrimen. La combinación entre inteligencia artificial y ransomware marcará un nuevo paradigma de ataques: más rápidos, más dinámicos y más difíciles de contener.

Las empresas deben prepararse desde ahora con medidas preventivas avanzadas y con auditorías de seguridad periódicas que evalúen su verdadera capacidad de respuesta.

Ciberseguridad Digital — protección, auditoría externa y soluciones de seguridad para empresas.
Ámbito: España, Suramérica y el mundo entero.
🌐 Web: www.ciberseguridaddigital.com
📧 Email: info@ciberseguridaddigital.com
📱 WhatsApp: +57 3222128861

¿Necesita una auditoría externa? Contáctenos o escríbanos por WhatsApp 3222128861.

jueves, 28 de agosto de 2025

🚨 Alerta: Nueva estafa en correos de Gmail aprovecha la IA de Google

📌 ¿Cómo funciona el fraude?

Los estafadores envían un correo aparentemente normal.
Dentro del mensaje insertan un código oculto en color blanco (invisible para el usuario).
Este código es interpretado por Gemini, la IA integrada en Gmail.
Gmail genera un aviso automático falso:

“Tu contraseña de Google ha sido comprometida, llama a este número de soporte”.
El número pertenece a los delincuentes, que manipulan al usuario para robar datos o dinero.

⚠️ ¿Por qué es peligrosa?

Parece un aviso legítimo de Google → genera confianza.
El número puede ser de tarificación especial (pago por minuto).
Los delincuentes buscan robar:
- Contraseñas y credenciales de acceso
- Datos bancarios y personales
- Instalar malware en el dispositivo
Ya se detectó en Finlandia, pero puede expandirse a nivel global.

🛡️ Cómo protegerse

✅ No llames a números de teléfono que aparezcan en correos sospechosos.
✅ Verifica siempre en la web oficial de Google antes de actuar.
✅ Activa la verificación en dos pasos (2FA) en tu cuenta de Gmail.
✅ Nunca compartas datos personales o bancarios por teléfono.
✅ Mantén tu dispositivo y apps siempre actualizados.

👉 Esta estafa es un ejemplo de cómo los atacantes ya están engañando a las inteligencias artificiales para hacer más creíbles sus trampas.

🔐 Roban supuestas contraseñas de 15,8 millones de usuarios de PayPal

📌 Lo que pasó

En foros de la dark web apareció un archivo llamado “Global PayPal Credential Dump 2025”.
Se ofrecen 15,8 millones de credenciales (correos + contraseñas + enlaces directos a servicios de PayPal) por 750 dólares.
El vendedor asegura que los datos son recientes (mayo 2025).
PayPal lo niega y afirma que se trata de datos antiguos (incidente de 2022 con 35.000 cuentas comprometidas).
Expertos creen que no hubo hackeo directo a PayPal, sino recopilación de datos robados con malware infostealer en dispositivos de usuarios.

⚠️ Riesgo real

Aunque no está confirmado que sea una brecha nueva, las credenciales filtradas sí podrían ser válidas si los usuarios:

Repitieron contraseñas entre servicios.
No actualizaron sus claves desde filtraciones anteriores.

🛡️ Cómo proteger tu cuenta PayPal ahora mismo

Cambia tu contraseña ya → usa una combinación única, larga y compleja.
Activa autenticación multifactor (MFA) → segunda capa de seguridad (SMS o app).
Revisa movimientos recientes y reporta cualquier operación extraña.
No reutilices contraseñas en otros servicios.
Evita instalar programas pirata o abrir enlaces sospechosos, para no caer en malware infostealer.
Considera usar un gestor de contraseñas para mayor seguridad.

👉 Aunque PayPal dice que no hubo nueva brecha, mejor actuar como si los datos sí estuvieran comprometidos.

🚨 FreeVPN.One: la extensión “segura” que espiaba a todos

📌 Más de 100.000 usuarios la desinstalaron tras descubrirse su funcionamiento como spyware.

🔍 Lo que pasó

FreeVPN.One se mostraba como una VPN segura en Chrome Web Store, incluso con insignias de verificación de Google.
Según Koi Security, ocultaba un script malicioso que:
- Capturaba pantallas de absolutamente todos los sitios visitados.
- Incluía mensajes privados, datos bancarios, médicos y fotos personales.
- Enviaba la información a servidores externos sin autorización.

⚠️ Cómo evolucionó el fraude

Antes de julio 2025 era un VPN básico.
Con actualizaciones progresivas pidió permisos excesivos (pestañas, historial, ejecución de scripts).
En su versión 3.1.4 integró cifrado AES-256-GCM y RSA, dificultando que los expertos detectaran el robo.
Usaba la API chrome.tabs.captureVisibleTab() para tomar capturas en segundo plano.

🛡️ Recomendaciones de seguridad

Eliminar inmediatamente la extensión FreeVPN.One.
Ejecutar un antivirus actualizado.
Cambiar todas las contraseñas usadas durante el tiempo que estuvo activa.
Desconfiar incluso de extensiones con insignias de seguridad: revisar siempre permisos y desarrolladores.

👉 En Ciberseguridad Digital (🌍 ciberseguridaddigital.com | 📧 info@ciberseguridaddigital.com) te enseñamos a auditar tus extensiones y proteger tu privacidad frente a ataques invisibles.

Alerta: extensión de Chrome espía a sus usuarios cada 11 segundos

Investigadores de Koi Security descubrieron que la extensión “FreeVPN .One” (más de 100.000 usuarios y verificada por Google) toma capturas de pantalla secretas mientras navegas.
Las imágenes se registran 11 segundos después de cargar cada página, incluso cuando la supuesta función de “detección de amenazas con IA” está desactivada.
Además, la extensión recopila ubicación, detalles del dispositivo y datos de navegación, enviándolos a servidores externos.
Desde abril 2025 empezó a incluir código malicioso, aunque inicialmente era inofensiva.
Lo más grave: aparece como “segura” en la Chrome Web Store, lo que cuestiona los filtros de Google.

🔒 Qué debes hacer

Elimínala de inmediato si la tienes instalada.
Revisa en Chrome → Menú > Extensiones > Administrar extensiones y busca FreeVPN .One.
Cambia tus contraseñas si la usaste, ya que pudo capturar datos sensibles.
Usa siempre VPN confiables (fuera de extensiones de navegador).
Desconfía de extensiones que piden permisos excesivos.

👉 En CiberseguridadDigital.com enseñamos a detectar extensiones maliciosas, verificar permisos antes de instalarlas y proteger tu navegador.
📧 Escríbenos: info@ciberseguridaddigital.com
🌍 Más en: www.ciberseguridaddigital.com

miércoles, 20 de agosto de 2025

Alerta: páginas falsas suplantan al Acueducto de Bogotá para cobrar facturas

La Empresa de Acueducto y Alcantarillado de Bogotá (EAAB) advirtió sobre un fraude digital: delincuentes crearon páginas web falsas que imitan la plataforma de pagos oficial.
Estas páginas se difunden mediante anuncios pagados en Google Ads, lo que hace que aparezcan en los primeros resultados de búsqueda y confundan a los usuarios.
El objetivo de los estafadores es robar dinero y datos sensibles de los ciudadanos al momento de pagar facturas falsas.

✅ Canales oficiales para pagar el Acueducto

La EAAB recordó que los únicos medios seguros son:

🌐 Página web oficial del Acueducto, botón “Paga Aquí”.
📱 APP EAAB ESP (PSE).
💳 Canales digitales de bancos y billeteras móviles (Punto Pay, Daviplata, Tpaga, Nequi).
🏦 Puntos de recaudo autorizados en Davivienda, Banco de Bogotá, AV Villas, Sudameris, Popular, Itaú y corresponsales de Scotiabank, Occidente y Davivienda.
🏢 Oficina EAAB (calle 24 #37-15) para pagos con tarjeta de crédito.
💻 Red Cade, Servibanca, Redeban y ATH.

🔒 Recomendación de seguridad digital

Evite ingresar a links de anuncios sospechosos en buscadores.
Acceda siempre escribiendo directamente la URL oficial en el navegador.
Verifique el candado de seguridad (HTTPS) antes de pagar.
Ante cualquier duda, consulte los canales de atención de la EAAB.

👉 En CiberseguridadDigital.com ayudamos a ciudadanos y empresas a identificar fraudes en línea, prevenir phishing y proteger transacciones electrónicas.
📧 Contáctanos: info@ciberseguridaddigital.com
🌍 Más en: www.ciberseguridaddigital.com