Entradas de blog etiquetadas con ' #cyberattack ' Rss

iOS bajo ataque: vulnerabilidades activas que no requieren clic

En ciberseguridad, hay un punto de inflexión claro: cuando una vulnerabilidad deja de ser teórica y comienza a ser explotada activamente, el nivel de riesgo cambia por completo. Eso es precisamente lo que está ocurriendo hoy con recientes fallas en dispositivos iOS, identificadas por Apple. Lo que hace especialmente preocupante este escenario no es solo la complejidad técnica de las vulnerabilidades, sino la forma en que están siendo aprovechadas:

Ataques que no requieren interacción directa del usuario, capaces de ejecutarse simplemente al navegar por un sitio comprometido. Este tipo de amenazas marca una evolución importante en el panorama actual, donde los dispositivos móviles tradicionalmente percibidos como más seguros se están convirtiendo en un nuevo vector crítico de entrada para atacantes, tanto en entornos personales como corporativos.

¿Qué está pasando realmente?

Se han identificado múltiples vulnerabilidades críticas principalmente en el motor web (WebKit) y el Kernel que están siendo utilizadas a través de un exploit kit conocido como Coruna.

¿Lo preocupante?

No necesitas hacer clic en nada sospechoso asta con visitar un sitio comprometido para que el ataque se ejecute provocando que las siguientes acciones se realicen:

• Ejecutar código remoto.
• Escalar privilegios hasta nivel sistema.
• Instalar Malware de forma persistente.

De espionaje avanzado a ciberataque común

Lo que antes era exclusivo de actores de alto nivel (APT o espionaje) ahora está migrando hacia el cibercrimen tradicional, Coruna no es un simple exploit:

• Encadena múltiples vulnerabilidades.
• Automatiza la infección.
• Reduce la necesidad de interacción con el usuario.

🛡️ ¿Cómo responder ante este escenario?

El punto débil: dispositivos legacy, El mayor riesgo no está en los equipos más nuevos, sino en aquellos que ya no reciben actualizaciones frecuentes, permanecen en versiones antiguas de IOS y siguen conectados a entornos corporativos. Estos casos abren una brecha crítica dentro de las organizaciones.

Más alla de la actualización: Si bien es claro que actualizar el dispositivo hasta su version mas reciente de firmware es clave, no es suficiente.

Detectar comportamientos: Con la implementacion de un XDR permita correlacionar patrones sospechosos, incluso firmas conocidas, permitiendo de esta manera la centralización de información.

🔍 ¿Qué está pasando exactamente?

La vulnerabilidad CVE-2026-24858 permite a un atacante eludir la autenticación en múltiples productos de Fortinet, incluyendo:

• FortiGate / FortiOS 
• FortiManager
• FortiAnalyzer
• FortiProxy

El vector de ataque se basa en el uso indebido de FortiCloud SSO. Si esta función está habilitada, un atacante con una cuenta válida de FortiCloud podría autenticarse en dispositivos de otras organizaciones.

👉 Aunque esta opción no viene activada por defecto, puede habilitarse automáticamente durante el registro del dispositivo si no se desactiva manualmente.

¿Por qué esta amenaza es tan crítica? 

Porque rompe uno de los principios más importantes de la seguridad: el control de acceso.

Los atacantes están utilizando FortiCloud SSO como una puerta trasera legítima, lo que les permite:

• Acceder como administradores sin credenciales internas
• Evadir mecanismos tradicionales de autenticación
• Mantener acceso persistente sin ser detectados fácilmente

¿Qué hacen los atacantes una vez dentro?

Los incidentes analizados muestran un patrón claro de ataque:

• Creación de cuentas de administrador locales (persistencia).
• Extracción de archivos de configuración completos.
• Obtención de credenciales (incluso si están cifradas de forma reversible).
• Movimiento lateral hacia sistemas internos.
• Escalada rápida dentro de la red corporativa.

En muchos casos, esto permite pasar de un firewall comprometido a una intrusión completa en la red interna en cuestión de tiempo.

Impacto real para las organizaciones

Si esta vulnerabilidad es explotada, el atacante puede obtener:

🔓 Control total del dispositivo perimetral

🔓 Modificación de reglas de seguridad y firewall

🔓 Acceso a credenciales críticas (LDAP / Active Directory)

🔓 Acceso a sistemas internos y datos sensibles

Lo que empieza en el perímetro puede terminar en una brecha total de la organización.

🛡️ ¿Cómo protegerte? (Acciones urgentes)

• 🔧 1. Actualiza inmediatamente: Aplica los parches de seguridad disponibles para CVE-2026-24858 en todos los dispositivos afectados.
• 🔒 2. Desactiva FortiCloud SSO (si no es crítico): Desactiva: “Permitir inicio de sesión administrativo mediante FortiCloud SSO”
• 🌐 3. Limita el acceso administrativo: Solo desde redes internas confiables o VPN seguras.
• 🔑 4. Cambia credenciales expuestas: Cuentas de servicio LDAP, Active Directory y cualquier credencial almacenada en configuraciones.
• 🧾 5. Audita tu entorno: Inicios de sesión sospechosos, nuevas cuentas de administrador y exportaciones de configuración no autorizadas. 👉 Restaura configuraciones seguras y elimina accesos no autorizados.
• 📊 6. Centraliza y conserva logs: Integra con SIEM o syslog, Mantén registros al menos 14 días (ideal: 60–90 días).

Cuidado con quién contratas (y qué descargas)

Imagina esto: tu equipo de Recursos Humanos o Reclutamiento recibe un correo electrónico. Parece un candidato ideal para esa vacante que llevas semanas intentando cubrir. El tono es profesional, adjunta su CV y portafolio en un archivo ZIP, e incluso menciona la posición específica. Parece legítimo, ¿verdad?

Pero detrás de ese perfil perfecto se esconde BlackSanta, una nueva y sofisticada campaña de malware que está atacando activamente los flujos de trabajo de RRHH. No es un simple virus; es un ataque diseñado para burlar tus defensas desde dentro, utilizando el engaño y la ingeniería social como puerta de entrada.

¿Cómo funciona BlackSanta? 

BlackSanta no actúa de forma improvisada. Su ataque es multifásico y meticulosamente planeado:

1. Engaño inicial: Los atacantes se hacen pasar por solicitantes de empleo o reclutadores, incluso referenciando puestos vacantes reales para ganar credibilidad. Los correos suelen contener archivos maliciosos como ZIPs, imágenes ISO o documentos presentados como currículos o portafolios.

2. Infiltración sigilosa

Al abrir estos archivos, BlackSanta no despliega su carga útil de inmediato. En su lugar, utiliza accesos directos, scripts o cargadores integrados que abusan de componentes de confianza de Windows (como "mshta.exe, wscript.exe" o "rundll32.exe") para mimetizarse con la actividad normal del sistema y pasar desapercibido por los escaneos iniciales.

3. Escalada de privilegios y supresión de defensas

Una vez ejecutado, el malware comprueba el entorno, identifica el software antivirus o EDR instalado y determina los privilegios del usuario. Si no tiene acceso de administrador, intenta escalarlo mediante técnicas como la suplantación de identidad por token, la elusión del UAC (User Account Control) o la explotación de servicios mal configurados.

Aquí llega su fase más crítica: la eliminación de EDR (Endpoint Detection and Response). BlackSanta utiliza una técnica avanzada conocida como "traiga su propio controlador vulnerable" (BYOVD) o controladores firmados manipulados para obtener acceso a nivel de kernel. Con este poder, finaliza procesos protegidos, deshabilita la monitorización y bloquea la telemetría, dejando tu sistema de seguridad ciego.

4. Persistencia y Cargas Útiles Adicionales

Con las defensas debilitadas, BlackSanta se asegura de permanecer en el sistema creando tareas programadas, claves de ejecución del registro o entradas de servicio que imitan componentes legítimos. El host comprometido se convierte entonces en un punto de partida para instalar payloads adicionales, como programas para robar credenciales, herramientas de acceso remoto (RATs) o marcos de movimiento lateral, permitiendo a los atacantes moverse por la red y exfiltrar datos con un riesgo mínimo de detección.

¿Por qué BlackSanta es Especialmente Peligroso? Esta campaña destaca por su enfoque deliberado en deshabilitar las soluciones EDR al inicio de la cadena de ataque. Este comportamiento, más común en ciberdelincuentes avanzados y con amplios recursos, aumenta significativamente el tiempo de permanencia del atacante en tu red y amplifica el impacto potencial, ya que los sistemas comprometidos pueden permanecer sin ser detectados durante largos períodos.

Recomendaciones Clave para Proteger tu Empresa:

• Restringir Ejecución: Limita la ejecución de archivos, imágenes ISO y scripts recibidos por correo electrónico, especialmente para los equipos de RRHH.
  
• Aislamiento Avanzado: Implementa sistemas avanzados de aislamiento de archivos adjuntos y bloquea tipos de archivos poco comunes utilizados en los señuelos de solicitudes de empleo.
  
• Salvaguardias Administrativas: Asegúrate de que las medidas de protección estén activas y controladas mediante sólidas salvaguardias administrativas.
  
• Monitoreo de Controladores: Mantente alerta a las cargas de controladores sospechosas o vulnerables y aplica listas de bloqueo siempre que sea posible.
  
• Formación Específica: Proporciona formación específica al personal de RRHH sobre phishing basado en currículos e ingeniería social.
  
• Búsqueda de Indicadores: Busca indicadores de terminación de EDR, servicios deshabilitados o escalada de privilegios anormal.
  
• Limitar Acceso de Administrador Local: Reduce la capacidad del malware de deshabilitar las herramientas de seguridad limitando el acceso de administrador local.