Resumen semanal CiberInteligencia
Semana del 27 Abril del 2026
TLP:WHITE
NIVEL ANALÍTICO: EJECUTIVO
INTELIGENCIA DE AMENAZA #01
Vidar se eleva a la cima del caótico mercado de infostealers
Clasificación Operacional
Tipo: Ciberseguridad
Actor de amenazas: Vidar
Fuente: Dark Reading
Inteligencia Resumida
Vidar, un infostealer de alta capacidad, ha escalado posiciones hasta liderar el mercado de malware orientado al robo de información.
Su ascenso se produce tras la eliminación por parte de las fuerzas de seguridad de los grupos Lumma y Rhadamanthys el año anterior, cuyo desmantelamiento dejó un vacío operativo significativo en el ecosistema de amenazas.
Vidar ha aprovechado ese espacio para consolidarse como uno de los principales actores en la oferta de herramientas de robo de información en el mercado de malware.
INTELIGENCIA DE AMENAZA #02
Nueva Operación RaaS Vect 2.0 Dirigida a Sistemas Windows, Linux y ESXi
Clasificación Operacional
Tipo: Ciberseguridad
Actor de amenazas: Vect 2.0
Sector: Manufactura, Educación, Salud, Tecnología
País Afectado: Brasil, Estados Unidos, India, Sudáfrica, Egipto, España, Colombia, Italia, Namibia
Fuente: Cyber Security News
Inteligencia Resumida
El grupo ransomware Vect 2.0, surgido en diciembre de 2025, opera como una plataforma Ransomware-as-a-Service que afecta a sistemas Windows, Linux y VMware ESXi mediante ejecutables específicos para cada plataforma.
Emplea un modelo triple de exfiltración, cifrado y extorsión, publicando datos robados en caso de impago, y cobra rescates en Monero a través de servicios ocultos en TOR.
Sus vectores de acceso inicial incluyen credenciales comprometidas, RDP/VPN expuestos y correos de phishing, con movimiento lateral mediante SMB y WinRM, y evasión mediante arranque en modo seguro.
Hasta febrero de 2026 se contabilizan 20 víctimas en sectores críticos. La infraestructura C2 se gestiona mediante el protocolo TOX y la herramienta propietaria Vect Secure Chat.
INTELIGENCIA DE AMENAZA #03
OilRib oculta configuración C2 en imagen de Google Drive usando esteganografía LSB
Clasificación Operacional
Tipo: Ciberseguridad
Actor de amenazas: OilRig
Fuente: Cyber Security News
Inteligencia Resumida
El grupo iraní patrocinado por el Estado OilRig (APT34/Helix Kitten) ha utilizado esteganografía LSB para incrustar datos cifrados de configuración C2 dentro de un archivo PNG alojado en Google Drive.
La cadena de ataque combina phishing mediante un archivo Excel dañino, ejecución de macros, compilación en tiempo de ejecución de código C#, descarga de un loader desde GitHub y recuperación de la configuración C2 desde la imagen esteganográfica, que incluye token de bot de Telegram y direcciones de módulos para persistencia, exfiltración y ejecución.
Los módulos se cargan en memoria para evitar rastros en disco y se mantiene la persistencia mediante tareas programadas de Windows.
La utilización de plataformas de confianza como Google Drive y GitHub dificulta la detección por herramientas tradicionales.
INTELIGENCIA DE AMENAZA #04
APT chinos descubiertos: grupos de hackers y técnicas de ataque dirigidas
Clasificación Operacional
Tipo: Ciberseguridad
Fuente: Hackmag
Inteligencia Resumida
El informe analiza varios grupos de APT vinculados a China, describiendo sus metodologías de intrusión, infraestructura de comando y control, y campañas de spear-phishing dirigidas a sectores estratégicos.
Se detallan técnicas de movimiento lateral, uso de herramientas de acceso remoto (RAT) y explotación de vulnerabilidades de día cero.
Se identifican patrones de reutilización de malware y tácticas de evasión que facilitan la persistencia en entornos comprometidos, así como la colaboración entre distintos grupos y la evolución de sus capacidades ofensivas.
El informe subraya la necesidad de fortalecer la detección basada en indicadores de compromiso (IOC) y la inteligencia de amenazas para hacer frente a estas campañas.
INTELIGENCIA DE AMENAZA #05
El ransomware industrial ya no busca secuestrar datos sino detener fábricas
Clasificación Operacional
Tipo: Ciberseguridad
Sector: Industrial
Fuente: CyberSecurity News
Inteligencia Resumida
Los ataques de ransomware dirigidos a entornos OT están evolucionando de la extorsión de datos a la interrupción directa de procesos físicos, poniendo en riesgo la continuidad operativa de fábricas y sectores críticos como energía, agua y transporte.
Los analistas advierten que la falta de visibilidad en OT, la segmentación insuficiente entre redes IT y OT, y la explotación de vulnerabilidades conocidas facilitan estas intrusiones.
Las recomendaciones incluyen: monitorización continua basada en comportamientos, segmentación estricta, gestión activa de vulnerabilidades, planes de respuesta específicos y formación constante del personal.
Estas medidas buscan reducir el tiempo de inactividad y mitigar el impacto económico y físico de los incidentes en infraestructuras críticas.
INTELIGENCIA DE AMENAZA #06
Pandilla de ransomware revela herramienta personalizada de robo de datos
Clasificación Operacional
Tipo: Ciberseguridad
Actor de amenazas: Trigona
Fuente: GBHackers Security
Inteligencia Resumida
Operadores de ransomware han introducido una herramienta de exfiltración de datos desarrollada internamente, lo que representa una evolución significativa en sus técnicas de ataque.
A diferencia de la mayoría de los grupos que emplean utilidades públicas como Rclone o MegaSync, los afiliados de Trigona utilizan ahora una solución propietaria que permite robar información sensible con mayor precisión y sigilo.
Trigona, activo desde finales de 2022, ha comenzado a desplegar este componente en sus campañas, incrementando la capacidad de extracción de datos antes de la fase de cifrado.
INTELIGENCIA DE AMENAZA #07
PhantomRPC: una nueva técnica de escalada de privilegios en Windows RPC
Clasificación Operacional
Tipo: Ciberseguridad
Fuente: Kaspersky Securelist
Inteligencia Resumida
Se describe una vulnerabilidad arquitectónica en el subsistema RPC de Windows que permite a procesos con privilegios de impersonación elevar sus derechos al nivel SYSTEM mediante la creación de un servidor RPC falso que imita interfaces de servicios como TermService, WDI o DHCP.
La técnica, denominada PhantomRPC, aprovecha llamadas RPC fallidas (RPC_S_SERVER_UNAVAILABLE) con alto nivel de impersonación, permitiendo que el servidor malicioso invoque RpcImpersonateClient y asuma la identidad del cliente privilegiado.
Se presentan cinco rutas de explotación, incluyendo escenarios sin interacción del usuario y basados en servicios de fondo, con una metodología de detección basada en ETW para identificar eventos de RPC fallidos.
Microsoft clasificó la vulnerabilidad como de severidad moderada y no emitió parche ni CVE.
INTELIGENCIA DE AMENAZA #08
Cuando los autores de malware estudian álgebra: la teoría de grupos dentro del DGA de Bedep
Clasificación Operacional
Tipo: Ciberseguridad
Actor de amenazas: Bedep
Fuente: Gen Digital
Inteligencia Resumida
El análisis revela que el malware Bedep incorpora datos de tipos de cambio y conceptos avanzados de teoría de grupos para generar dominios mediante un algoritmo de generación de nombres de dominio (DGA) altamente impredecible.
Esta metodología dificulta la detección y bloqueo de la infraestructura de comando y control, ya que los dominios resultantes no siguen patrones tradicionales y requieren recursos computacionales significativos para su predicción.
El estudio destaca la evolución de las técnicas de evasión en malware, combinando matemáticas abstractas con fuentes de datos externas para reforzar la resiliencia operativa frente a contramedidas de seguridad.
INTELIGENCIA DE AMENAZA #09
El phishing recupera el primer puesto como método de acceso inicial; los atacantes experimentan con herramientas de IA
Clasificación Operacional
Tipo: Ciberseguridad
Fuente: EHC Group Blog
Inteligencia Resumida
El phishing volvió a ser la técnica de acceso inicial más utilizada por los actores dañinos en el periodo analizado, superando a otros vectores como vulnerabilidades explotadas o credenciales comprometidas.
Se registra un aumento significativo en campañas que combinan correos fraudulentos con contenido generado por inteligencia artificial, lo que dificulta la detección basada en patrones tradicionales.
Los atacantes también están probando herramientas de IA para automatizar la personalización de mensajes y evadir filtros de seguridad, con una mayor sofisticación en la ingeniería social empleada.
Se observa una diversificación de objetivos, incluyendo tanto grandes corporaciones como pymes. El informe advierte sobre la necesidad de reforzar la capacitación de usuarios y actualizar las soluciones de filtrado de correo.
INTELIGENCIA DE AMENAZA #10
Cómo UNC6692 empleó ingeniería social para desplegar una suite de malware personalizada
Clasificación Operacional
Tipo: Ciberseguridad
Actor de amenazas: UNC669
Fuente: Google Cloud Blog
Inteligencia Resumida
Google Threat Intelligence Group detectó una campaña de intrusión multietapa del grupo UNC6692 que combina ingeniería social persistente, malware modular personalizado y pivoting interno para lograr una penetración profunda en la red.
El atacante se hace pasar por personal de helpdesk y envía invitaciones de Microsoft Teams que conducen a una página de phishing que entrega un binario AutoHotKey y un script desde un bucket S3 controlado, instalando la extensión maliciosa SNOWBELT con persistencia mediante accesos directos y tareas programadas.
A través de SNOWGLAZE se establece un túnel WebSocket que permite movimiento lateral mediante PsExec, escaneo de puertos, extracción de memoria LSASS y uso de Pass-The-Hash para comprometer controladores de dominio, exfiltrando hashes y bases de datos de Active Directory mediante LimeWire.
La operación muestra integración de técnicas de evasión, uso de servicios en la nube para C2 y una cadena de comandos automatizada que incluye ejecución de scripts Python, PowerShell y AutoHotKey.
Saint Intelligence
Inteligencia estratégica para proteger tu negocio en el panorama actual de ciberamenazas.
Inteligencia de Amenazas
Análisis continuo de actores, TTPs y campañas activas para anticipar riesgos antes de que impacten.
Vulnerabilidades Críticas
Seguimiento y priorización de CVEs con contexto operacional para una respuesta eficaz.
Informes Ejecutivos
Briefings semanales adaptados al nivel directivo para una toma de decisiones informada.