Panorama de amenazas desde la perspectiva de Huntress Adversary Tactics: septiembre de 2026

Los analistas del Huntress SOC investigaron dos ataques de phishing que usaron páginas browser-in-the-browser para suplantar a Adobe Reader. En un caso, una prueba CAPTCHA falsa llevaba a una página que mostraba documentos borrosos y un aviso para instalar una “actualización”. En otro, un mensaje malicioso enviado a través de una plataforma de comunicaciones legítima usó la misma plantilla. En lugar de Adobe Reader, las víctimas descargaban clientes de ScreenConnect fraudulentos. Cada ataque instalaba dos clientes, lo que creaba una persistencia redundante basada en servicios, antes de usar HideCursor o HideUL para ocultar la actividad en pantalla. Huntress detuvo ambos ataques antes de que avanzaran más, pero las campañas muestran cómo elementos de marca familiares y de navegador con apariencia legítima pueden convertir un clic de phishing en acceso remoto persistente. La analista del Huntress SOC Sarah Reddish describió el ataque en esta publicación de blog.

Una campaña de phishing con un señuelo de Adobe

Huntress observó una campaña de phishing que abusó de Microsoft Power BI para que su señuelo pareciera legítimo y así evadir los controles que confían en el servicio. Las víctimas recibían un correo con un enlace a una página pública de Power BI que mostraba un botón falso de “Descargar referencia”. Al hacer clic se abría un sitio controlado por el atacante que identificaba el navegador y el equipo antes de activar una descarga fraudulenta de ScreenConnect. El cliente inicial instalaba un segundo cliente de acceso remoto, lo que les daba a los atacantes acceso redundante. En un incidente, los atacantes también usaron un script de PowerShell, una tarea programada configurada para ejecutarse cada dos minutos, y HideUL_x64.exe para evadir las defensas. El SOC detuvo la actividad antes de que pudiera avanzar.

Un esquema de la campaña de phishing

Huntress investigó un incidente de ransomware en septiembre que involucró a Settra, una variante de ransomware más reciente reportada públicamente por primera vez en junio. El agente de Huntress se instaló mientras la intrusión ya estaba en curso, pero la telemetría igual mostró el manual de acciones posteriores al compromiso del atacante. El actor instaló MeshAgent para acceso remoto y usó una técnica de Bring Your Own Vulnerable Driver, probablemente para interferir con las herramientas de seguridad. Luego lanzó el ransomware desde la carpeta Documentos del usuario comprometido, cifró archivos con la extensión .locked_wip, creó notas de rescate RESTORE_FILES.txt, borró numerosos registros de eventos de Windows y deshabilitó las opciones de recuperación de Windows. Un nombre de registro de Defender con un error ortográfico dejó intacta una valiosa fuente de evidencia. Consulta nuestro análisis de Settra para más información.

Señales que indican el uso de BYOVD y del RMM MeshAgent por parte del atacante

Investigadores de Huntress encontraron un RAT modular oculto dentro de un instalador manipulado de la billetera cripto Exodus. Las víctimas abrían PDF falsos o archivos ZIP de actualización de software que ejecutaban JavaScript, mostraban un documento señuelo legítimo e instalaban la billetera de forma silenciosa. El paquete era casi indistinguible de la aplicación real: solo se modificaron tres de 1.973 archivos, y no tenía detecciones en VirusTotal. Esos cambios evitaban que apareciera una ventana y cargaban un payload residente en memoria con VNC oculto, un proxy SOCKS, robo de credenciales del navegador, gestión de archivos y comandos remotos. Una tarea programada cada hora relanzaba la aplicación invisible, mientras que el tráfico de comando y control usaba Azure Table Storage en lugar de un dominio propiedad del atacante. Conoce más sobre el ataque en esta publicación de blog de Jonathan Semon y Jose Oregon.

Cómo una billetera cripto que no se puede abrir termina instalando un RAT modular para robar credenciales del navegador

Investigadores de Huntress descubrieron Knight Office, una consola de operador detrás de una campaña de phishing adversary-in-the-middle dirigida a cuentas de Microsoft 365. Un señuelo estilo DocuSign usaba redirecciones de Monday y un sitio de Joomla comprometido para ocultar la página final de phishing. Después de que la víctima completaba la MFA, el kit capturaba un token de autenticación válido y lo reproducía desde la infraestructura del atacante, evadiendo los controles basados en contraseñas. El actor luego registraba un dispositivo no autorizado de Microsoft Entra y vinculaba una credencial de clave de Windows Hello for Business a la cuenta. Eso creaba un acceso duradero sin contraseña capaz de sobrevivir a la revocación de sesión. Huntress vinculó al menos nueve ataques de repetición de token al kit y encontró cientos de señuelos relacionados reportados a través de su telemetría.

El correo señuelo detrás del ataque AiTM

El Patch Tuesday de septiembre de Microsoft fue el más grande hasta ahora, y abordó 974 vulnerabilidades en Windows, Office, SQL Server, Exchange, SharePoint, Azure y herramientas para desarrolladores. Dos vulnerabilidades de escalamiento de privilegios en Windows ya estaban siendo explotadas activamente, mientras que la publicación también incluyó 20 fallas potencialmente capaces de propagarse como gusano. La escala por sí sola hace que este ciclo de actualizaciones sea notable, pero la explotación activa eleva los riesgos.

Cisco emitió parches de emergencia para CVE-2026-76460, un error de omisión de autenticación de severidad máxima en Identity Services Engine (motor de servicios de identidad) e ISE Passive Identity Connector (conector de identidad pasiva de ISE). La falla permite que un atacante remoto no autenticado envíe solicitudes manipuladas a un endpoint de API vulnerable, evada la interfaz de administración web y obtenga ejecución de comandos con privilegios de root.

Brevo reveló un ataque a la cadena de suministro en el que los atacantes usaron una clave de API de Cloudflare comprometida para implementar un Worker en el borde de la CDN. Durante aproximadamente cinco horas, el Worker reescribió scripts alojados en Brevo incrustados en sitios web. A los visitantes se les mostraba una página falsa de verificación de Cloudflare que distribuía el malware ClickFix, mientras que los administradores de WordPress con sesión iniciada enfrentaban un intento de instalación de una puerta trasera.

En agosto, Huntress ayudó a sus clientes cuando N-able reveló fallas de N-central explotadas activamente. Luego, en septiembre, llegó una nueva serie de descubrimientos. El 5 de septiembre, Huntress reprodujo una cadena de explotación distinta que afectaba entornos completamente parcheados, que involucraba CVE-2026-86206 y CVE-2026-86207, y que podía eludir los controles de acceso y crear cuentas administrativas no autorizadas. El equipo compartió sus hallazgos con N-able, que lanzó el Hotfix 3. Al día siguiente, N-able reveló CVE-2026-86218, un RCE de preautenticación explotado activamente con calificación 10.0, y lanzó el Hotfix 4, que reemplaza las correcciones anteriores. Huntress también trabajó con Cloudflare para desactivar túneles del adversario y publicó orientación de caza de amenazas para anomalías de API y cambios sospechosos en cuentas .invalid en entornos de N-central en todo el mundo.

Huntress investigó tres incidentes en los que la ingeniería social llevó a las víctimas a instalar clientes de ScreenConnect fraudulentos. En endpoints no relacionados, esos clientes generaron repetidamente wscript.exe para ejecutar cuatro archivos VBScript en etapas, y luego crearon persistencia WindowsServiceHost en AppData. Los clientes de ScreenConnect modificados hacían más que dar acceso remoto: vigilaban nuevas conexiones de Host, transferían los mismos scripts a través de la función de transferencia de archivos virtual de ScreenConnect y los ejecutaban en los sistemas conectados. Eso le dio a la campaña una ruta de propagación potencialmente similar a un gusano. La campaña también usó Quick Assist y UltraViewer. ConnectWise lanzó la versión 26.6.5 para corregir una falla de autorización en las transferencias de archivos de sesiones de Client Support and Access.

Huntress detectó que ScreenConnect.WindowsClient.exe generaba el proceso secundario wscript.exe

• Credenciales sin proteger: nuevo panel de archivos de credenciales e inclusión en la lista de aceptados: Le dimos a Credenciales sin proteger una renovación completa, con un nuevo panel, visibilidad total de los archivos marcados y la capacidad de incluir en la lista de aceptados los archivos que no quieres que se informen. ¿Qué hay de nuevo?
  • Página de archivos de credenciales. Un nuevo hogar para Credenciales sin proteger, disponible desde el panel de Process Insights en Managed EDR. Ve y administra en un solo lugar cada archivo que active un reporte de Credenciales sin proteger.
  • Ve antes de activar. Ahora puedes previsualizar qué archivos de credenciales generarían un reporte de incidente, sin activar los reportes.
  • Inclusión en la lista de aceptados. Excluye los archivos que ya revisaste y aceptaste, para que los reportes se concentren en lo que realmente necesita atención.

¿Habías desactivado esto antes? Échale otro vistazo.

• El nuevo panel de ITDR ya está disponible: ¡el panel rediseñado de Managed ITDR ya está disponible para todos los partners y clientes! Diseñado para ayudarte a investigar amenazas de identidad más rápido y obtener el contexto que necesitas en un solo lugar, el nuevo panel incorpora potentes capacidades de investigación directamente en tu flujo de trabajo de ITDR, incluyendo Rapid Identity Triage, Failed Login Characterization y Quick SIEM Search. A partir de ahora, el panel rediseñado será el panel predeterminado al acceder a Managed ITDR. Obtén más detalles sobre el panel de ITDR en nuestro nuevo blog.

• Managed ISPM ahora ofrece dos formas de implementar controles de seguridad: las Implementaciones administradas, la opción predeterminada recomendada, son cuando Huntress elige los controles y los implementa automáticamente por ti. Está diseñada para equipos que quieren el endurecimiento de la seguridad sin revisión manual. Novedad: las Implementaciones modificadas te permiten crear tu propio conjunto de controles a partir de toda la biblioteca de políticas de Huntress y definir tu propio cronograma de implementación. Los controles nuevos no se implementan hasta que los apruebes primero. Este método está diseñado para entornos de control de cambios y alto cumplimiento normativo, como CMMC o ISO 27001.
• Nuevos controles de seguridad en Managed ISPM: mientras seguimos ampliando la profundidad de los controles para endurecer la seguridad de los entornos de Microsoft 365, agregamos nuevos controles en Microsoft Exchange Online y Microsoft Defender for Office 365 para proteger contra Shadow Workflows.

• Nuevas fuentes de registros en Huntress SIEM: nos complace anunciar que ahora admitimos oficialmente potentes fuentes de registros nuevas, incluyendo IT Glue, Cato, Checkpoint, N-Able y Scout DNS. Al normalizar estos datos, estamos desbloqueando información más profunda y procesable sobre tu infraestructura de TI que nunca antes.

• Nuevo video de incorporación para el alumno: este nuevo video asignable le da al alumno un resumen completo de qué esperar de su nuevo programa de Security Awareness Training, desde episodios hasta escenarios de phishing, Phishing Defense Coaching, simuladores de amenazas y más.

El Tradecraft Tuesday de septiembre, "Borrowed Faces, Borrowed Certs", analizó a fondo una campaña posterior a DEFCON que suplantó a un ejecutivo de CoinDesk y usó un Google Doc como señuelo y herramienta de reconocimiento. Un Apps Script vinculado a un contenedor recopilaba la dirección IP, la ubicación, los detalles del navegador y las extensiones de monederos cripto de quien lo veía, y luego enviaba los datos a Telegram. A las víctimas se las dirigía hacia payloads de macOS o Windows mediante errores de descifrado, mensajes de ClickFix y descargas firmadas con certificados robados. La ruta de macOS entregaba un stealer similar a AMOS, mientras que la cadena de Windows recuperaba un RAT NetSupport, una autoridad certificadora fraudulenta y un implante para monederos cripto. Los investigadores también mostraron cómo recuperaron las etapas después de que el C2 quedó fuera de línea. Consulta el resumen completo aquí, ¡y no olvides inscribirte en nuestro Tradecraft Tuesday de octubre!

El episodio de Tradecraft Tuesday de septiembre se centró en una campaña de malware posterior a DEFCON