[{"_1":2,"_3":-5,"_4":-5},"loaderData",{"_5":6,"_7":8},"actionData","errors","root",{"_3360":17,"_3361":3362,"_3363":3364,"_3365":3366,"_3367":3368,"_3369":3370,"_3371":17,"_3372":3373},"es:routes/$",{"_9":10,"_11":12,"_13":14,"_15":-5,"_16":17,"_18":19,"_20":21,"_22":23,"_24":25},"page",{"_215":2935,"_217":2936,"_34":2937,"_220":2938,"_222":2939,"_54":25,"_226":2940,"_228":225,"_229":2941,"_231":2942,"_56":2943,"_1145":2944,"_234":234,"_235":2945,"_58":59,"_237":2946,"_288":17,"_239":240,"_241":2947,"_60":2948},"builderApiKey","3eb6f92aedf74f109c7b4b0897ec39a8","pageContextData",[31],"priceData","usingGraphite",false,"relatedResources",{"_26":27,"_18":28,"_29":30},"recommendedEntries",[],"metadataTags",[],"contentEntryId","866f5e547e02448b8dcd697e95e8267d","dataSource","Builder",[],"additionalResources",[],{"_32":33,"_34":35,"_36":37},"model","adversary-tactics","data",[38,39,40,41,42,43,44,45,46,47,48,49,50,51,52],"identifier","adversary tactics",{"_34":2835,"_54":2836,"_56":2837,"_58":59,"_60":2838},{"_34":2746,"_54":2747,"_56":2748,"_58":59,"_60":2749},{"_34":2529,"_54":2530,"_56":2531,"_58":59,"_60":2532},{"_34":2283,"_54":2284,"_56":2285,"_58":59,"_60":2286},{"_34":2199,"_54":2200,"_56":2201,"_58":59,"_60":2202},{"_34":2035,"_54":2036,"_56":2037,"_58":59,"_60":2038},{"_34":1826,"_54":1827,"_56":1828,"_58":59,"_60":1829},{"_34":1610,"_54":1611,"_56":1612,"_58":59,"_60":1613},{"_34":1446,"_54":1447,"_56":1448,"_58":59,"_60":1449},{"_34":1261,"_54":1262,"_56":1263,"_58":59,"_60":1264},{"_34":1017,"_54":1018,"_56":1019,"_58":59,"_60":1020},{"_34":829,"_54":830,"_56":831,"_58":59,"_60":832},{"_34":610,"_54":611,"_56":612,"_58":59,"_60":613},{"_34":433,"_54":434,"_56":435,"_58":59,"_60":436},{"_34":53,"_54":55,"_56":57,"_58":59,"_60":61},{"_63":64,"_65":66,"_67":68,"_69":70,"_71":72,"_73":74,"_75":76,"_77":78,"_79":80,"_81":-5,"_82":83,"_56":84,"_85":86,"_87":88,"_89":90,"_91":92,"_93":94,"_95":96,"_60":97},"id","9b8a90a89a0c4194904f72f1f8bd64a8","name","Threat View from the Lens of Huntress Adversary Tactics: May 2025","resolvedLocale","es","verifiedLocales",[62],"es-US","altText","Profile of the Huntress Logo","breadcrumbs",[424,425,426],"continueReading",{"_98":99},"contributors",[202,203,204,205,206],"ctaSection",{"_190":191,"_192":193,"_194":195,"_187":196},"indexOverride",{},"introSection",{"_126":189,"_98":99},"jsonLd",{},"keyTakeaways",{"_126":188,"_98":17},"lastUpdatedDate","metadata",{"_183":184,"_185":186,"_187":84},"Vista de amenazas desde la perspectiva de Huntress Adversary Tactics: mayo de 2025","newsletterContent",{"_110":111},"publishedDate","Thu May 01 2025 00:00:00 GMT-0400 (Eastern Daylight Time)","sidebarCta",{"_100":101,"_102":103,"_104":105,"_106":107,"_98":99,"_108":109},"slug","may-2025","socialShare",{"_98":99},"thumbnail","https://images.huntress.com/asset/file/19d9b4ce53fe4166a8f6b56303d0f27f",[62],"showSection",true,"buttonTarget","","buttonText","Solicita una demo","buttonUrl","/es/demo","heading","Mira a Huntress en acción","text","

Nuestra plataforma combina un conjunto de potentes herramientas de detección y respuesta administradas para endpoints e identidades de Microsoft 365, security awareness training respaldado por la ciencia, y la experiencia de nuestro centro de operaciones de seguridad (SOC) 24/7.

","topics",[112,113,114,115,116],{"_117":170,"_119":171,"_121":172,"_122":173},{"_117":158,"_119":159,"_121":101,"_122":160},{"_117":145,"_119":146,"_121":147,"_122":148},{"_117":132,"_119":133,"_121":134,"_122":135},{"_117":118,"_119":120,"_121":101,"_122":123},"icon","https://images.huntress.com/asset/file/ad3d26af88544df49132b5a574213ac5","sections",[124,125],"topicDescription","topicTitle","Aspectos destacados",{"_126":130,"_106":131,"_129":101},{"_126":127,"_106":128,"_129":101},"content","

El equipo de Adversary Tactics lideró los esfuerzos de colaboración entre Huntress y el informe anual Verizon DBIR. Huntress está en una posición única para tener información sobre las amenazas que realmente afectan a las pequeñas empresas, como ninguna otra compañía en la industria actualmente. Verizon estaba ansioso por colaborar y pudo incorporar nuestros hallazgos en su informe, y esperan tener más colaboración en el futuro.

\n\n

$\"\"$

","Verizon DBIR","takeawayContent","\n \n \n \n \n \n \n

$\"\"$

Tradecraft Tuesday de mayo de 2025 trató sobre los infostealers, una amenaza que actualmente afecta al mundo entero. Lo que alguna vez se consideró una molestia menor ahora se ha convertido en una amenaza de pleno derecho, que facilita el robo de credenciales y los ataques basados en identidad, y sienta las bases para futuros ataques.

Además de la visión general de las distintas familias de infostealers, este episodio también incluyó tácticas relevantes reveladas por informes de nuestro SOC, para deleite de la audiencia.

","Tradecraft Tuesday","https://images.huntress.com/asset/file/469b0ef77d6e4a458b3053f54b924284",[136,137,138],"

Queremos destacar algunas capacidades nuevas e impresionantes que nuestros compañeros de Product Research y Product lanzaron para complicarles la vida a los atacantes. Nos entusiasma usar estos datos mientras seguimos dando a nuestros clientes las herramientas para defenderse de los actores de amenazas.

","Actualizaciones relevantes del producto",{"_126":143,"_106":144,"_129":101},{"_126":141,"_106":142,"_129":101},{"_126":139,"_106":140,"_129":101},"

Lanzamos nuestra capacidad de las aplicaciones fraudulentas para ITDR. La mayoría de los entornos de Microsoft 365 permiten, de forma predeterminada, que cualquier usuario instale cualquier aplicación en el inquilino. Los atacantes conocen muy bien esto y lo aprovechan con aplicaciones OAuth maliciosas o comprometidas, lo que facilita el robo de credenciales. Con las aplicaciones fraudulentas, estamos cambiando las reglas del juego. Ya no te enterarás de las aplicaciones maliciosas después de que ocurra el daño: puedes detectarlas y bloquearlas desde el principio. ¡Otro gran logro para frenar a los atacantes!

","ITDR","

Detecciones nuevas y mejoradas de SIEM

Recientemente, agregamos 46 detecciones completamente nuevas y ajustamos 17 detecciones existentes para Managed SIEM. Al refinar continuamente nuestra lógica de detección y buscar amenazas de forma proactiva, ayudamos a nuestros socios y clientes a beneficiarse de una mejora constante de la postura de seguridad.

","SIEM","

Detección de phishing AiTM

Huntress agregó recientemente nuevas detecciones a nuestro producto EDR para ayudar a identificar cuándo los usuarios llegan a sitios de phishing diseñados para robar credenciales de Microsoft 365, no solo contraseñas, sino tokens de autenticación completos.

Estos se llaman ataques de adversario en el medio (AiTM). A diferencia del phishing tradicional, las campañas AiTM interceptan el tráfico de autenticación en tiempo real, robando cookies de sesión o tokens de OAuth para evadir la MFA y obtener acceso inmediato a los entornos de Microsoft 365. Huntress EDR ahora puede detectar cuándo un usuario visita sitios de phishing AiTM, pero hay un problema: el EDR por sí solo no puede decirnos si el ataque tuvo éxito.

Aquí es donde entra Huntress ITDR (Detección y respuesta de amenazas de identidad). Al combinar EDR e ITDR, Huntress obtiene la visibilidad a nivel de identidad necesaria para confirmar si se comprometió un token de autenticación de una sesión de comunicación; si es así, actuamos por completo en tu nombre: revocamos sesiones activas, restablecemos contraseñas y detenemos las intrusiones antes de que los atacantes escalen el acceso.

Puntos clave: Si quieres que Huntress no solo detecte estos intentos de phishing sofisticados, sino que también los contenga y remedie por completo, considera implementar ITDR hoy mismo.

Detección de movimiento lateral

Otro gran avance en camino para nuestro producto EDR es la detección de movimiento lateral. Esto nos permitirá detectar rápidamente a los atacantes cuando empiezan a moverse de una máquina a otra dentro del entorno de una víctima. Esto es un diferenciador enorme y ya lo hemos usado para arruinar los planes de actores de ransomware. Las siguientes dos imágenes muestran movimiento lateral sin obstáculos, mientras que la segunda imagen muestra la alerta de movimiento lateral en el momento en que ocurre:

\n\n \n \n \n \n \n \n

$\"\"$

Si los actores de amenazas siguen moviéndose dentro del entorno, es probable que todavía estén en una etapa temprana de reconocimiento y exfiltración, antes de que ocurran acciones más dañinas. Cada vez que podemos adelantarnos a los actores de amenazas, tenemos la oportunidad de detener el ataque antes de que se produzca el daño.

Seguimiento de procesos generados a partir de sesiones de inicio de sesión maliciosas

Desde mediados de mayo, contamos con una nueva capacidad de detección que nos permite alertar sobre procesos creados por el mismo usuario que inició sesión desde el nombre de una estación de trabajo maliciosa conocida. Esto brinda aún más visibilidad sobre lo que están haciendo los actores de amenazas en una máquina, lo que significa que podemos bloquear su actividad con mayor rapidez. Como se puede ver en la siguiente figura, esta es una alerta de actividad de reconocimiento realizada como parte de un evento previo a un ataque de ransomware:

\n\n\n

$\"\"$

Adelantarse a los actores de ransomware siempre es el objetivo. Cuanto antes podamos alertar, menor será el daño potencial que puedan causar los actores de amenazas.

","EDR","https://images.huntress.com/asset/file/3f67ff681f8e4b85b725378953a10bd2",[149,150,151],"

Para quienes no están familiarizados, “Rapid Responses” surgen cuando hay una vulnerabilidad, o amenaza que los atacantes están aprovechando para potenciar sus ataques a gran escala. Cuando nos enteramos de una posible vulnerabilidad, el equipo de Adversary Tactics colabora con otros equipos de Huntress y se pone a trabajar para averiguar el impacto potencial, y qué información nueva y/o novedosa podemos publicar al respecto. En última instancia, también identificamos a los clientes potencialmente afectados y les notificamos, además de publicar un blog con todos los detalles jugosos para seguir educando a la comunidad. Aquí hay algunos ejemplos de Rapid Responses que hemos completado en el último mes:

","Rapid Responses",{"_126":156,"_106":157,"_129":101},{"_126":154,"_106":155,"_129":101},{"_126":152,"_106":153,"_129":101},"

TL;DR: A principios de mayo, vimos evidencia de explotación de una falla en Samsung MagicINFO 9 Server.

Los detalles: Vimos explotación limitada de la falla; más de 75 máquinas distintas tenían MagicINFO instalado en nuestra base de clientes, pero solo vimos tres incidentes distintos relacionados con la falla. Debido a que esta vulnerabilidad afecta a la última versión de Samsung MagicINFO 9 Server, instamos a los usuarios a asegurarse de que sus servidores no estuvieran expuestos a internet, ya que no existía un parche al momento de la publicación. Después de la publicación de la Respuesta rápida inicial, Samsung lanzó una actualización de software que corregía la vulnerabilidad (CVE-2025-4632).

La conclusión: Verificamos de forma independiente que la última versión de Samsung MagicINFO 9 Server era vulnerable a una prueba de concepto disponible públicamente, a pesar de reportes generalizados que indicaban lo contrario.

$\"\"$

Agradecimientos: Queremos agradecer a nuestros socios del equipo de Hunt and Response , Jai Minton y Craig Sweeney, por encargarse de la mayor parte del trabajo de la investigación inicial de la vulnerabilidad de MagicINFO, recrear el exploit y escribir la publicación original del blog. Es un esfuerzo de equipo, y juntos, ¡ganamos!

","MagicINFO (6 de mayo de 2025)","

TL;DR: A mediados de abril, vimos evidencia de explotación de una falla en Gladinet CentreStack y Triofox (CVE-2025-30406).

$\"\"$
$\"\"$
$\"\"$ Los detalles: En total, vimos a siete clientes distintos afectados por la explotación de esta vulnerabilidad (con alrededor de 120 endpoints que ejecutaban el software Gladinet CentreStack en toda nuestra base de socios). Se enviaron notificaciones por correo electrónico a los socios para informarles que debían tomar las medidas de parche o mitigación necesarias.

\n\n\n\n

La conclusión: No solo aclaramos que CVE-2025-30406 también existe en Gladinet Triofox además de CentreStack (un hecho que no se había reportado ampliamente), sino que también preparamos un script de PowerShell para que los clientes pudieran verificar si eran vulnerables.

","Gladinet CentreStack (12 de abr. de 2025)","

TL;DR: A principios de abril, vimos evidencia de explotación de CrushFTP CVE-2025-31161.

Los detalles: Si bien vimos solo un pequeño número de clientes realmente afectados a causa de esta vulnerabilidad de software, hubo más de 100 máquinas potencialmente vulnerables en nuestra base de clientes. En todos los incidentes observados, los atacantes aprovecharon la vulnerabilidad para instalar RMM como MeshAgent y SimpleHelp.

La conclusión: Estábamos más que preparados para este tipo de amenaza, y el SOC recibió alertas sobre las actividades relacionadas con estos ataques mucho antes de que los medios de comunicación lo reportaran.

","CrushFTP (4 de abr. de 2025)","https://images.huntress.com/asset/file/a62e93bb305341489b4d21359e5b62fb",[161,162,163],"Amenazas alrededor del mundo",{"_126":168,"_106":169,"_129":101},{"_126":166,"_106":167,"_129":101},{"_126":164,"_106":165,"_129":101},"

Grupos de ransomware hackeados

Resumen: A fines de abril o principios de mayo de 2025, los paneles de afiliados en la dark web de LockBit fueron vulnerados y desfigurados por un actor de amenazas desconocido. La desfiguración reemplazó los paneles con un mensaje burlón: \"Don't do crime CRIME IS BAD xoxo from Prague,\" acompañado de un enlace a un volcado de base de datos MySQL titulado paneldb_dump.zip. La base de datos, analizada por BleepingComputer, contenía 20 tablas que exponían detalles operativos críticos:

btc_addresses Tabla: incluía 59.975 direcciones únicas de Bitcoin, probablemente usadas para pagos de rescate y lavado de dinero. Esto expuso la infraestructura financiera de LockBit, lo que podría ayudar a las autoridades a rastrear transacciones.
builds Tabla: enumeraba los builds de ransomware individuales creados por afiliados, incluyendo claves públicas de cifrado (pero no claves privadas) y, en algunos casos, nombres de empresas objetivo, revelando detalles específicos de ataques.
builds_configurations Tabla: detallaba configuraciones de build, como instrucciones para omitir ciertos servidores ESXi o cifrar archivos específicos, dando una visión de la personalización táctica de LockBit.
chats Tabla: contenía 4.442 mensajes de negociación entre operadores de LockBit y víctimas, entre el 19 de diciembre de 2024 y el 29 de abril de 2025. Estos registros revelaron tácticas agresivas de extorsión, con exigencias que iban desde unos pocos miles hasta $100.000. Esto resulta extraño, ya que se creía que LockBit operaba un esquema mucho más rentable. Esto implica que LockBit podría estar más alineado con alianzas gubernamentales o estatales.
users Tabla: expuso credenciales de 75 administradores y afiliados, con contraseñas en texto plano como Weekendlover69 y Lockbitproud231, lo que evidencia malas prácticas de seguridad.

El mensaje de desfiguración coincidió con uno usado en una vulneración reciente del sitio del grupo de ransomware Everest, lo que sugiere una posible conexión, aunque la identidad del atacante sigue sin estar clara.

En resumen: El hackeo de LockBit en 2025 fue un golpe crítico, que expuso detalles operativos y debilitó la reputación del grupo. Si bien da a las autoridades y a las víctimas herramientas valiosas, la historia de resiliencia de LockBit sugiere que podría intentar otro regreso, potencialmente con LockBit 4.0. Las organizaciones deben priorizar prácticas sólidas de ciberseguridad, como aplicar parches a vulnerabilidades, asegurar credenciales y mantener copias de seguridad fuera de línea para mitigar riesgos de LockBit y otras infecciones de ransomware.

$\"\"$

El colapso de Hellcat

Resumen: Hellcat surgió a fines de 2024, ganando rápidamente notoriedad por atacar organizaciones de alto perfil, incluyendo agencias gubernamentales, instituciones educativas, sectores de energía e infraestructura crítica. Operando bajo un modelo RaaS, Hellcat daba a sus afiliados herramientas e infraestructura de ransomware a cambio de una parte de las ganancias. El grupo era conocido por sus tácticas sofisticadas, manipulación psicológica y búsqueda agresiva de atención mediática.

El 11 de mayo de 2025, publicaciones en X reportaron que Hellcat había cesado operaciones. El sitio en la darknet del grupo mostraba un \"mensaje de despedida críptico\", sin filtraciones ni archivos activos restantes, lo que indicaba un cierre. Una publicación en X de @ido_cohen2 señaló que Hellcat había atacado a más de 15 empresas en todo el mundo antes de cerrar. Otra publicación de @ValeryMarchive sugirió una posible razón para la disolución: una filtración de \"LB\" (potencialmente vinculada al grupo de ransomware LockBit) reveló que afiliados de Hellcat se habían unido a LockBit en enero de 2025, realizando cinco ataques bajo la marca LockBit sin asegurar ningún pago de rescate. Este fracaso financiero y la exposición podrían haber motivado el cierre de Hellcat. Una tercera publicación de @RFr0sty1 el 13 de mayo de 2025 clasificó el cierre como un \"nuevo evento\" en inteligencia de ciberamenazas, reforzando la narrativa del cese de Hellcat.

$\"\"$

En resumen: El ascenso rápido y la disolución abrupta de Hellcat en mayo de 2025 reflejan la naturaleza volátil del panorama del ransomware, especialmente en 2025. Surgiendo a mediados de 2024, el grupo aprovechó TTPs avanzadas, tácticas psicológicas y un modelo RaaS para apuntar a organizaciones de alto valor, causando disrupciones significativas. Su cierre, impulsado potencialmente por dificultades financieras, presión de las autoridades o la migración de afiliados hacia LockBit, marca el fin de un capítulo notable en el cibercrimen. Sin embargo, las tácticas del grupo y el ecosistema más amplio de RaaS siguen representando desafíos, lo que subraya la necesidad de defensas proactivas de ciberseguridad. Queda por ver qué legado dejará el grupo en el futuro.

DragonForce

DragonForce ha estado en las noticias recientemente después de que el grupo de ransomware reclamara responsabilidad por una serie de ataques a minoristas del Reino Unido como Co-op, Harrods y Marks and Spencer. Hemos observado incidentes de ransomware DragonForce durante el último año, donde los archivos de clientes fueron cifrados con la extensión .dragonforce_encrypted:

2 de dic. de 2024: el ransomware desplegado por el actor de amenazas activó alertas canary que indicaban que los archivos habían sido cifrados
22 de feb. de 2025: los actores de amenazas pudieron acceder a los endpoints vía RDP poco después de conectarse vía PSExec; los actores de amenazas también robaron credenciales del navegador (ver figura a continuación) e instalaron un controlador en modo kernel que provocó que otros servicios de seguridad en el endpoint de la víctima (SentinelOne y Webroot) fallaran

\n\n

Actualmente existen advertencias de que ataques similares podrían desplazarse hacia minoristas en EE. UU. y otros lugares.

\n\n\n\n

$\"\"$

\n\n

Como destacamos en el Informe de ciberamenazas 2025, más grupos de ransomware como Hunters International están pasando a ataques que priorizan el robo de datos y la extorsión, en lugar del cifrado de datos. Parte de la razón de este cambio por parte de los actores de amenazas es evadir las protecciones de EDR. El SOC ha observado esta tendencia en el mundo real, por lo que es importante que las empresas elaboren un plan de respuesta a incidentes que incorpore extorsión además de ransomware.

","El panorama del ransomware y sus implosiones","

TL;DR: Coinbase, el principal exchange de criptomonedas de EE. UU., reveló un ciberataque de amenazas internas que comenzó con un intento de extorsión el 11 de mayo de 2025. Los cibercriminales sobornaron a agentes de soporte al cliente en el extranjero, principalmente en India, para robar datos personales de menos del 1% de los usuarios que realizan transacciones mensuales en Coinbase (aproximadamente 97.000 cuentas, dada la base de usuarios declarada de Coinbase de 9,7 millones). Los datos comprometidos incluyeron nombres, direcciones, números de teléfono, identificaciones emitidas por el gobierno y números parciales de seguro social, pero no se accedió a credenciales de inicio de sesión, códigos de autenticación de dos factores, claves privadas ni fondos de los clientes. Según se informa, los atacantes usaron estos datos para estafas de ingeniería social, haciéndose pasar por Coinbase para engañar a los usuarios y hacer que transfirieran criptomonedas, y luego exigieron un rescate de $20 millones para encubrir la filtración.

$\"\"$

La conclusión: Coinbase se negó a pagar, y en cambio ofreció una controvertida recompensa inversa de $20 millones por información que llevara al arresto y condena de los presuntos extorsionistas. La empresa estima que los costos de remediación, incluyendo el reembolso a los clientes afectados, oscilarán entre $180 millones y $400 millones. Los usuarios afectados fueron notificados por correo electrónico el 15 de mayo, y desde la filtración Coinbase implementó medidas de seguridad mejoradas, incluyendo la reubicación de algunas operaciones de soporte a un nuevo centro en EE. UU. y un aumento del monitoreo de transacciones.

","Coinbase da vuelta la tortilla a los posibles extorsionistas","

TL;DR: Recientemente se observó a atacantes usando una técnica de evasión que desactiva SentinelOne para poder instalar el ransomware Babuk sin ser detectados. SentinelOne ahora tiene una solución alternativa para este tipo de ataque; sin embargo, los clientes que obtuvieron SentinelOne a través de CW quedaron sin solución durante un tiempo.

Los detalles: Los atacantes aprovecharon un problema en el proceso de actualización del agente de SentinelOne. Al instalar el agente, el instalador elimina procesos de Windows y sobrescribe los archivos existentes con la nueva versión. Se observó a atacantes desplegando archivos de instalación legítimos de SentinelOne, dejando que el instalador terminara los procesos en ejecución existentes, y luego forzando al instalador de Windows a detenerse antes de completar la instalación, desactivando así SentinelOne de manera efectiva.

La conclusión: Si bien SentinelOne era vulnerable a este tipo de ataque, es muy probable que Huntress no lo sea. Verificamos con el equipo de ingeniería de Huntress que, en cuanto a la forma en que se instalan los agentes, la posibilidad de este tipo de ataque es casi nula. Los puntos principales, expuestos por Rob Noeth, ingeniero de software principal del agente EDR de Huntress, son:

\n\n

No tenemos un enlace de descarga para [nuestros instaladores] en ningún lado, pero está en nuestra CDN
No permitimos las reversiones de versión
El despliegue de actualizaciones de nuestro rio (agente) es bastante rápido, y no dejamos versiones [antiguas] por ahí
También tenemos protección contra manipulaciones habilitada en los agentes actuales

Advertencia: Es teóricamente posible que algunos de nuestros instaladores estén disponibles en VirusTotal, así que no podemos descartarlo por completo. Sin embargo, dado que no permitimos las reversiones de versión, este tipo de ataque no debería tener éxito tan fácilmente.

","Análisis del ataque de traer tu propio instalador","https://images.huntress.com/asset/file/405cbf20f7bf4106be8fcba535b5cfb6",[174,175,176],"

Uno de los flujos de trabajo que tiene Adversary Tactics es documentar las amenazas interesantes que surgen del SOC a través de informes. Aquí hay algunos ejemplos de tendencias interesantes que hemos visto en las últimas semanas.

","Amenazas vistas en el SOC",{"_126":181,"_106":182,"_129":101},{"_126":179,"_106":180,"_129":101},{"_126":177,"_106":178,"_129":101},"

$\"\"$

Al revisar los informes de incidentes pasados desde enero de 2025 hasta el 15 de mayo de 2025, podemos trazar un panorama de las variantes de ransomware más comunes que hemos visto entre nuestros clientes. De los 606 informes que realmente estaban relacionados con ransomware, las variantes más comunes fueron las variantes de ransomware desconocido (no mostradas en el gráfico anterior), que representan el 58,4% de la cantidad de informes emitidos este año. Si bien algunos informes de ransomware desconocido pueden simplemente no haber sido categorizados, un muestreo de estos informes confirmó que algunos eran, de hecho, muestras desconocidas, a veces incluso mal escritas. Esto parece confirmar uno de nuestros hallazgos anteriores del Reporte de Amenazas de Huntress 2024 que mostró que hay nuevos actores en el espacio del ransomware que intentan iniciarse en entornos percibidos como “fruta al alcance de la mano”.

Centrándonos en las variantes de ransomware conocidas, la familia de ransomware más prolífica fue Medusa, que representó el 26,6% de la cantidad de informes de este año. El malware Dridex, que no es ransomware, pero que finalmente derivó en ransomware, ocupó el segundo lugar con un 22,6%, seguido de Akira con un 14,7%, y RansomHub con un 12,7%. También tuvimos un informe que incluía un ransomware llamado Bl00dy, que se sabe que es usado por un grupo de amenazas llamado Storm-1305 por Microsoft. También hemos visto incidentes que involucran a DragonForce (6,7%), que ha sido usado por un grupo de amenazas llamado Scattered Spider en los recientes ataques a minoristas del Reino Unido. Hablaremos un poco más de esto más adelante en este boletín.

Dada la discordia y la disrupción entre los actores de ransomware este año (y que se analiza en una sección próxima), será interesante ver qué sucederá con el ransomware entre nuestros clientes. Será interesante ver qué actores de amenazas se apresuran a llenar el vacío que dejan la caída de otros.

","Ransomware detectado en nuestros clientes","

Los actores de amenazas usan una variedad de herramientas para la exfiltración de datos en sus ataques. Recientemente, hemos observado que los actores de amenazas abusan de herramientas legítimas de almacenamiento de respaldo, como MegaSYNC, RClone y BackBlaze. El 2 de mayo, por ejemplo, el SOC respondió a un incidente en el que el actor de amenazas, tras iniciar sesión mediante RDP, intentó usar la plataforma legítima de almacenamiento en la cloud BackBlaze (junto con WinRAR) para apuntar a varios tipos de archivos y exfiltrarlos.

$\"\"$

En resumen: Los actores de amenazas y los administradores usan técnicas similares. Huntress Managed EDR busca actividad sospechosa, incluidos procesos que se generan a partir de programas legítimos de los que abusan los actores de amenazas.

","Uso de MegaSYNC, RClone y BackBlaze por parte de los actores de amenazas","

Estamos viendo a actores de amenazas llevar a cabo el robo de credenciales volcando el Registro de Windows con Certutil (como se ve en el incidente de mayo más abajo). Certutil es una herramienta legítima de línea de comandos de administración para ver y gestionar certificados, entre otras cosas, pero los atacantes suelen abusar de ella.

\n\n

$\"\"$

\n","Robo de credenciales a través de Certutil","assetType","Adversary Tactics","description","Huntress Adversary Tactics de mayo de 2025 abarca amenazas como el robo de credenciales mediante Certutil, tendencias de ransomware en los entornos de los clientes y respuestas rápidas a CVE críticos en CrushFTP y Gladinet CentreStack.","title","

Bienvenido a la edición inaugural del boletín Huntress Adversary Tactics, creado para darte información sobre amenazas no solo detectadas por Huntress, sino también en el mundo exterior. Como esta es nuestra primera edición, la frecuencia puede variar a medida que recibimos aportes de varias partes interesadas. Este boletín inicial también será más extenso que los siguientes, ya que definimos algunos términos y flujos de trabajo que pueden no ser familiares para algunos. En el futuro, esperamos mantenerlo breve, claro y significativo.

La esperanza es que esto finalmente nos una a todos en nuestra misión de arruinarles los planes a los atacantes que insisten en apuntar a la población más vulnerable del ciberespacio técnico: nuestros clientes, socios y los clientes de estos. Recibimos con gusto tus ideas sobre lo que te gustaría ver en el futuro.

","

Bienvenido a la edición inaugural del boletín Huntress Adversary Tactics, diseñado para darte información sobre amenazas detectadas no solo por Huntress, sino también en el mundo exterior. Como esta es nuestra primera edición, la frecuencia puede variar a medida que recibamos aportes de distintas partes interesadas. Este boletín inicial también será más extenso que los siguientes, ya que definimos algunos términos y flujos de trabajo que pueden no ser familiares para algunos. En el futuro, esperamos mantenerlo breve, directo y significativo.

La esperanza es que esto finalmente nos una a todos en nuestra misión de frustrar a los atacantes que insisten en apuntar a la población más vulnerable del ciberespacio técnico: nuestros clientes, socios y los clientes de ellos. Agradecemos tus comentarios sobre lo que te gustaría ver en el futuro.

","cta",{"_197":198,"_199":200,"_108":201},"image","https://images.huntress.com/asset/file/20e067bb0c2e4e3b8a1588c7b4a9f616","summary","

Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.

","Detecta, responde, protege","href","/es/start-trial","hrefType","url","Prueba Huntress gratis",{"_207":388},{"_207":350},{"_207":315},{"_207":276},{"_207":208},"contributor",{"_209":210,"_54":211,"_32":212,"_213":214},"@type","@builder.io/core:Reference","7fb779bf8ddf42fda6c8463ccdf60a68","people","value",{"_215":216,"_217":218,"_34":219,"_220":221,"_222":223,"_54":211,"_224":225,"_226":227,"_228":225,"_229":230,"_231":232,"_56":233,"_234":234,"_235":236,"_237":238,"_239":240,"_241":242,"_58":59,"_60":243},"createdBy","0dThli925XPdcsMI4MRs7L7KCv22","createdDate",1744385801818,{"_63":244,"_245":246,"_247":248,"_249":250,"_251":252,"_253":254,"_255":256,"_257":258,"_259":260,"_82":261,"_56":233,"_262":263,"_264":265,"_91":266,"_60":267},"firstPublished",1744404673182,"folders",[],"lastUpdateSource","Write API","lastUpdated",1794330940714,"lastUpdatedBy","meta",{},"modelId","d50b5ec346a64579b280b4104dca236e","Lindsey O'Donnell-Welch","published","query",[],"rev","mnoocedqqt9","testRatio",1,"variations",{},[62],"Huntress Default Headshot Image","bioDetail","

Con más de una década de experiencia traduciendo temas complejos de seguridad en historias convincentes, Lindsey aporta un ojo editorial agudo y una pasión por la claridad al equipo de Huntress. ¿Su misión? Desglosar el intrincado mundo de la ciberseguridad para hacerlo accesible para todos. Es una de las muchas razones por las que le encanta ser parte de Huntress, donde educar al público sobre las amenazas ocupa un lugar central.

Antes de unirse a Huntress, Lindsey se forjó una reputación en el periodismo, cubriendo la intersección entre la tecnología y los negocios. Ha escrito para publicaciones líderes de ciberseguridad como Threatpost y Decipher, ofreciendo cobertura confiable sobre temas que van desde la brecha en la cadena de suministro de SolarWinds hasta las reglas de divulgación de ciberseguridad de la SEC.

¿El consejo de seguridad favorito de Lindsey? \"Activa MFA y usa un administrador de contraseñas: tu yo del futuro te lo agradecerá\".

Cuando no está escribiendo sobre amenazas cibernéticas, lo más probable es que la encuentres en la cancha de tenis o explorando nuevos senderos con su perrita, que tiene una energía infinita.

","bioDetailShort","Con más de 10 años de experiencia, Lindsey hace que el intrincado mundo de la ciberseguridad sea más accesible, traduciendo temas complejos de seguridad en historias convincentes.","companyName","Huntress","firstName","Lindsey ","groups",[269,270],"jobTitle","Principal Technical Community Engagement Writer","lastName","O'Donnell-Welch","linkedInUrl","https://www.linkedin.com/in/lindsey-o-donnell-welch-abb72b4a/",{"_185":268,"_187":233},"profileImage","https://images.huntress.com/asset/file/037877a541484d86ac239373c502608a","profileImageAltText","Lindsey O'Donnell-Welch Huntress","lindsey-odonnell-welch",[62],"Lee las publicaciones de Lindsey O'Donnell-Welch en el Blog de Huntress.",{"_271":274},{"_271":272},"group",{"_209":210,"_54":273,"_32":253},"94f0a1d881ef4adf9cb8bc81412d8c85",{"_209":210,"_54":275,"_32":253},"00d1d80145b14a6b87c45567b169a8f4",{"_209":210,"_54":277,"_32":212,"_213":278},"6697eab7ecd63dccbf273c8b",{"_215":279,"_217":280,"_34":281,"_220":280,"_222":282,"_54":277,"_224":225,"_226":283,"_228":225,"_229":284,"_231":232,"_56":285,"_234":234,"_235":286,"_237":287,"_288":17,"_239":240,"_241":289,"_58":59,"_60":290},"wAnY6pD8qneav3wmIkWFzKSZXNM2",1742719345389,{"_245":291,"_247":292,"_251":293,"_253":294,"_255":295,"_257":296,"_82":297,"_56":285,"_298":299,"_262":300,"_264":301,"_91":302,"_60":303,"_304":305},[],1794331686304,{},"Greg Linares",[],"tdt7t68d0y","stageModifiedSincePublish",{},[62],"

También conocido como Laughing Mantis. Es el hacker más joven en haber sido arrestado en Arizona, algo que puedes escuchar en Darknet Diaries.

","También conocido como Laughing Mantis. Es el hacker más joven en haber sido arrestado en Arizona.","Greg",[310,311],"Former Principal Threat Intelligence Analyst","Linares",{"_185":306,"_307":17,"_308":17,"_187":309},"portraitImage","https://images.huntress.com/asset/file/23adc6976e58484583e45bc5ebcf9d20","https://images.huntress.com/asset/file/37c8efc8c38f4adbb63f169c7592f7b2","Foto de perfil de Greg Linares","greg-linares",[62],"xTwitterUrl","https://x.com/Laughing_Mantis","Lee las publicaciones de Greg Linares, Principal Threat Intelligence Analyst, en el Blog de Huntress.","noFollow","noIndex","Greg Linares | Huntress",{"_271":313},{"_271":312},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":314,"_32":253},"babc0d8823f34ab894a4431d5b302dc7",{"_209":210,"_54":316,"_32":212,"_213":317},"66032c1a34a761fda5e296f5",{"_215":279,"_217":318,"_34":319,"_220":318,"_222":320,"_54":316,"_224":225,"_226":321,"_228":225,"_229":322,"_231":232,"_56":323,"_234":234,"_235":324,"_237":325,"_239":240,"_241":326,"_58":59,"_60":327},1742719371916,{"_245":328,"_247":329,"_249":250,"_251":330,"_253":331,"_255":332,"_257":333,"_259":334,"_82":335,"_56":323,"_298":336,"_262":337,"_264":338,"_91":339,"_60":340,"_304":341},[],1794332049343,{},"Harlan Carvey",[],"ua053qvxmka",{},[62],"

Anda por donde se encuentran el análisis forense digital, la respuesta a incidentes y la inteligencia de amenazas.

“Estaba en la maestría en 1994 y me encontré con algo interesante. La aplicación \"finger\" se describía como una 'vulnerabilidad de seguridad'. No tenía idea de por qué, así que le pregunté a la administradora de sistemas sénior sobre el plan de estudios. Me miró, sonrió y se fue sin decir una palabra.” Así nació la afición de Harlan por indagar en preguntas de seguridad que dejan pensando.

Harlan es Analista Sénior de Inteligencia de Amenazas, Adversary Tactics aquí en Huntress, ubicado en la intersección entre el análisis forense digital y la respuesta a incidentes, la caza de amenazas y la inteligencia de amenazas.

Aprovecha sus más de 20 años de experiencia en DFIR (análisis forense digital y respuesta a incidentes) para enfocarse en la inteligencia de amenazas, que básicamente consiste en descubrir cómo buscan los actores de amenazas entrar a los endpoints y encontrar formas de detectarlos antes en el ciclo de ataque. Antes de Huntress, Harlan dirigía el SOC interno de EY. \t

Pero no se lo guarda todo para él. Harlan es un consumado orador público, escritor, investigador innovador y analista. Como autor publicado (¡además de las entradas de blog a continuación!), Harlan ha publicado 9 libros, incluyendo el primero de su tipo que ofrece un análisis del registro de Windows.

Cuando no está trabajando, a Harlan le gusta programar en Perl, leer, escribir y trabajar en la granja.

‍

¿Cuál es tu consejo favorito de ciberseguridad, Harlan?
“Hacer bien lo básico, empezando por un inventario de un activo de ciberseguridad y la reducción de la superficie de ataque.”

‍

","Con más de 20 años de experiencia en informática forense digital y respuesta a incidentes, Harlan es un reconocido orador público, escritor, investigador innovador y analista.","Harlan",[344,345,346],"Principal Threat Intelligence Analyst","Carvey","https://www.linkedin.com/in/harlan-carvey-86a8694b/",{"_185":342,"_307":17,"_308":17,"_187":343},"https://images.huntress.com/asset/file/110b52ecaef146ec9ea537d88a5ab596","https://images.huntress.com/asset/file/fa69b31eae1e4264b7c12bcfa5e0f9a5","Foto de perfil de Harlan Carvey","harlan-carvey",[62],"https://x.com/keydet89","Lee las publicaciones de blog de Harlan Carvey, Analista principal de inteligencia de amenazas, en el Blog de Huntress.","Harlan Carvey - Principal Threat Intelligence Analyst | Huntress",{"_271":349},{"_271":348},{"_271":347},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":351,"_32":212,"_213":352},"66048bf51de5bd420f2f2608",{"_215":353,"_217":354,"_34":355,"_220":354,"_222":356,"_54":351,"_224":225,"_226":357,"_228":225,"_229":358,"_231":232,"_56":359,"_234":234,"_235":360,"_237":361,"_239":240,"_241":362,"_58":59,"_60":363},"0XU3rreLLCPzgsmuIQDqjlW9xhs2",1742719359732,{"_245":364,"_247":365,"_249":250,"_251":366,"_253":367,"_368":369,"_255":370,"_257":371,"_259":372,"_82":373,"_56":359,"_298":374,"_262":375,"_264":376,"_91":377,"_60":378,"_304":379},[],1794331535766,{},"John Hammond",[],"3ypk7352ypm",{},[62],"

Capturando banderas, frustrando amenazas y haciendo que la ciberseguridad sea accesible, un endpoint a la vez.

John Hammond es un investigador de ciberseguridad, educador y creador de contenido. Como parte del equipo de Tácticas Adversarias en Huntress, John pasa sus días investigando las técnicas de los hackers y contando las historias detrás de las amenazas actuales. Anteriormente, como instructor en la Cyber Training Academy del Departamento de Defensa, enseñó el curso Cyber Threat Emulation, educando tanto a civiles como a militares sobre la mentalidad adversaria y los ataques del mundo real. John es una figura reconocida en YouTube, mostrando demostraciones en vivo de malware, vulnerabilidades, exploits y educación más amplia en ciberseguridad.

Con una serie de certificaciones—incluyendo LFCS, PCAP, CompTIA Security+, CEH, eJPT, eCPPT, OSCP, OSCE (clásico y 3), OSWP, OSEP, OSED y OSWE—John aporta un gran dominio técnico al equipo. Se siente honrado de haber recibido el premio RITA en el Wild West Hacking Fest de Black Hills Information Security, y atribuye al ambiente de apoyo y orientado a una misión en Huntress el haberle permitido realizar un trabajo significativo.

El impacto de John se extiende globalmente como educador e influencer líder; recientemente fue reconocido por el servicio francés Favikon como el creador de contenido de ciberseguridad #1 en su lista de los 200 mejores creadores del mundo, destacando su enorme influencia y dedicación a la comunidad.

John también es una voz activa en la comunidad, compartiendo su experiencia a través de estos eventos virtuales a pedido de Huntress:

Antes de unirse a Huntress, John se desempeñó como instructor y desarrollador de currículo en el Cyber Crime Center y la Cyber Training Academy del Departamento de Defensa, y luego como Operador Cibernético de Red Team en la Agencia de Reducción de Amenazas de Defensa.

Su mejor consejo de ciberseguridad es simple: “Usa un administrador de contraseñas—¡en serio!!”

Fuera del trabajo, John disfruta pasar tiempo con su familia y tomar el descanso que necesita para mantenerse alerta. También comparte su vida con dos perros, Bam Bam y Pebbles—nombrados, por supuesto, en honor a los queridos personajes de Los Picapiedra.

Sigue a John en sus redes sociales:

‍

","Investigador de seguridad, educador y personalidad de YouTube, John pasa sus días investigando las tácticas de los hackers y contando las historias detrás de las amenazas actuales, mostrando demostraciones en vivo de malware, vulnerabilidades, exploits y educación más amplia en ciberseguridad.","John",[382,383,384],"instagramUrl","https://www.instagram.com/_johnhammond/","Senior Principal Security Researcher","Hammond","https://www.linkedin.com/in/johnhammond010/",{"_185":380,"_307":17,"_308":17,"_187":381},"https://images.huntress.com/asset/file/7743d3ad18734d4697f9e4aa467e670b","https://images.huntress.com/asset/file/0ebcc8e098b842e3b6c5d44ae153b485","John Hammond, Huntress","john-hammond",[62],"https://twitter.com/_johnhammond","Lee las publicaciones de John Hammond en el Blog de Huntress.","John Hammond - Investigador principal de seguridad | Huntress",{"_271":387},{"_271":386},{"_271":385},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":389,"_32":212,"_213":390},"66048bf7c9e8c5c4746884a7",{"_215":353,"_217":391,"_34":392,"_220":391,"_222":393,"_54":389,"_224":225,"_226":394,"_228":225,"_229":395,"_231":232,"_56":396,"_234":234,"_235":397,"_237":398,"_288":17,"_239":240,"_241":399,"_58":59,"_60":400},1742719352103,{"_245":401,"_247":402,"_249":250,"_251":403,"_253":404,"_255":405,"_257":406,"_259":407,"_82":408,"_56":396,"_298":409,"_262":410,"_264":411,"_91":412,"_413":414,"_60":415},[],1794331674733,{},"Jamie Levy",[],"tioh5doj1d",{},[62],"

Jamie también es investigadora, desarrolladora y miembro de la junta directiva de la Volatility Foundation. Ha trabajado más de 15 años en la industria de la informática forense, realizando investigaciones y creando soluciones de software. Jamie también es coautora de The Art of Memory Forensics, el primer libro en su tipo que abarca diversos aspectos de cómo investigar artefactos de RAM.

‍

","Jamie también es investigadora, desarrolladora y miembro de la junta directiva de la Volatility Foundation. Ha trabajado más de 15 años en la industria de la informática forense, realizando investigaciones y creando soluciones de software.","Jamie",[418,419,420],"Senior Director, Adversary Tactics","Levy","https://www.linkedin.com/in/jlevy77/",{"_185":416,"_307":17,"_308":17,"_187":417},"https://images.huntress.com/asset/file/a50ef9a9091b4b1b953f24c04cee8b3a","https://images.huntress.com/asset/file/f466d74a8f3b4603b6f5a9662a0612c0","Foto de perfil de Jamie Levy","jamie-levy","specialties","initial access",[62],"Lee las publicaciones de Jamie Levy en el Blog de Huntress.","Jamie Levy | Huntress",{"_271":423},{"_271":422},{"_271":421},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_429":431,"_427":432},{"_429":430,"_427":184},{"_427":428},"levelText","Mayo de 2025","levelLinkUrl","/es/threat-library/adversary-tactics","/es/threat-library","Biblioteca de inteligencia sobre amenazas",{"_63":64,"_65":437,"_67":438,"_69":439,"_71":440,"_73":441,"_79":442,"_82":443,"_56":444,"_85":445,"_87":446,"_447":17,"_89":448,"_91":449,"_93":450,"_95":96,"_60":451},"7c3f1f67bfeb42abbfb97050a64d8717","Threat View from the Lens of Huntress Adversary Tactics: June 2025",[62],[606,607,608],{"_98":99},[515,516,517,518,519],{"_190":514,"_192":193,"_98":17,"_194":195,"_187":196},{},{"_126":101,"_98":99},{"_185":513,"_187":444},"Vista de amenazas desde la perspectiva de Huntress Adversary Tactics: junio de 2025",{"_110":453},"Sun Jun 01 2025 00:00:00 GMT-0400 (Eastern Daylight Time)","showAdditionalResources",{"_102":103,"_104":105,"_106":107,"_98":99,"_108":452},"june-2025",{"_98":99},[62],"

Nuestra plataforma combina un conjunto de potentes herramientas de detección y respuesta gestionadas para endpoints e identidades de Microsoft 365, security awareness training respaldado por la ciencia, y la experiencia de nuestro centro de operaciones de seguridad (SOC) 24/7.

",[454,455,456,457,458,459],{"_117":170,"_119":501,"_121":502,"_122":503},{"_117":170,"_119":495,"_121":496,"_122":497},{"_117":170,"_119":489,"_121":101,"_122":160},{"_117":170,"_119":483,"_121":484,"_122":485},{"_117":170,"_119":466,"_121":467,"_122":135},{"_117":170,"_119":460,"_121":101,"_122":123},[461,462],{"_126":465,"_106":131,"_129":101},{"_126":463,"_106":464,"_129":101},"

John Hammond se unió al podcast Research Saturday Cyberwire Daily para hablar sobre la vulnerabilidad crítica de Gladinet CentreStack y Triofox (CVE-2025-30406), basada en nuestra Rapid Response de abril. Aquí hay un extracto del podcast:

\"Creo que surgieron algunas conversaciones interesantes a partir de esto, porque esta deserialización de ViewState está... establecida en el ecosistema de seguridad de la información y tecnología de la información... así que nos quedamos un poco pensando, [preguntándonos] '¿por qué seguimos atascados con esto, y hay otras aplicaciones o software que tengan esta misma falla?' Entonces vimos algunos artículos y publicaciones de Microsoft, vimos a otros proveedores, como ConnectWise, haciendo cambios en su aplicación ScreenConnect, y otras cosas para tratar de mitigar esto, para que este hueco evidente y potencialmente abierto no sea una superficie de ataque a futuro. Y me alegra ver y escuchar que la industria... tiene la determinación de decir 'bueno, sí, adelantémonos a esto para que no se haga más daño.'\"

","Medios externos destacados","

El Tradecraft Tuesday de junio se centró en la IA. Chris Henderson y Truman Kain hablaron sobre los distintos casos de uso de la IA, y cómo tanto los defensores como los actores de amenazas pueden usarla.

$\"\"$

",[468,469,470,471,472],"

También queremos destacar algunas funciones nuevas e increíbles que nuestros partners de Product Research y Product lanzaron para complicarle las cosas a los atacantes. Estamos ansiosos por empezar a usar estos datos para ampliar nuestra comprensión de los actores de amenazas que enfrentan nuestros clientes.

",{"_126":481,"_106":482,"_129":101},{"_126":479,"_106":480,"_129":101},{"_126":477,"_106":478,"_129":101},{"_126":475,"_106":476,"_129":101},{"_126":473,"_106":474,"_129":101},"

Asignaciones basadas en comportamiento

Huntress presentó las Asignaciones basadas en comportamiento, que combinan Huntress Managed EDR, Huntress Managed SAT y Huntress Managed ITDR para ayudar a los clientes a identificar y mitigar los riesgos humanos en una organización. Esta función permite a las empresas dar capacitación dirigida, en tiempo real y personalizada para usuarios individuales (o en toda la organización) después de que ocurrió un incidente, todo desde la plataforma de Huntress. Esto puede ayudar a abordar los comportamientos riesgosos que ocurrieron y reducir las probabilidades de que vuelvan a pasar. Conoce más sobre las Asignaciones basadas en comportamiento aquí.

","Más noticias de producto","

Threat Simulator de Huntress Managed SAT

Huntress Managed SAT presentó este mes un nuevo Threat Simulator, que permite a los usuarios interactuar con amenazas de forma atractiva, casi como un juego, mientras adquieren experiencia práctica con tácticas reales de actores de amenazas.

Como se mencionó en una publicación reciente del blog de James O’Leary sobre el anuncio, tras un mes de early access, más de 24.000 estudiantes completaron la primera simulación de amenazas opcional, que trataba sobre OSINT. A los usuarios les tomó un promedio de 1,51 intentos completar la simulación (ya que se puede \"perder\"), lo que indica que estaban lo suficientemente interesados como para intentarlo de nuevo. Para obtener más información y ver una demostración, mira nuestro webinar bajo demanda: \"Rompiendo barreras en SAT: presentamos Huntress Threat Simulator\".

$\"\"$

","Managed SAT","

Agregamos soporte para Cloudflare, y Wiz alerts como fuentes de registro HEC, además de una retención extendida para los datos de SIEM: 90 días en almacenamiento activo, y 7 AÑOS de almacenamiento en frío de datos.

Puedes ver más detalles sobre estas actualizaciones en el Product Lab de este mes, donde escucharás sobre las próximas funciones directamente de Kyle Hanslovan, CEO y Co-Founder de Huntress, y Chris Bisnett, CTO y Co-Founder de Huntress. Si no estás viendo Product Lab, deberías hacerlo.

$\"\"$

Además, en las últimas dos semanas, nuestro equipo de Detections Engineering agregó 7 detecciones nuevas y ajustó 1 detección existente. Estas incluyen nuevas detecciones de alta prioridad para la herramienta Evil-WinRM y técnicas de robo de credenciales como LSADump.

","Managed SIEM","

Hay una nueva función recién lanzada en ITDR: la desactivación y reactivación de identidades para identidades sincronizadas con Active Directory (AD), también conocidas como identidades híbridas.

Esta actualización cierra una brecha importante en nuestras capacidades de contención y remediación, y lleva la paridad de protección a más del 47 % de identidades que usan sincronización con AD en sus configuraciones de Microsoft 365. Anteriormente, estos entornos no podían beneficiarse por completo de la contención de identidad iniciada por Huntress. Esto es un gran avance para los clientes con AD on-prem que usan Microsoft Entra Connect, donde desactivar una identidad en la cloud no era suficiente, y era una de nuestras funciones más solicitadas. ¡Excelente trabajo del equipo de ITDR por construir y lanzar esto! 🎉

$\"\"$

También presentamos recientemente Detección dirigida al modelo de phishing como servicio (PhaaS): una nueva detección de alta prioridad para Managed ITDR identifica autenticaciones exitosas originadas en Flowerstorm, un kit de modelo de phishing como servicio observado recientemente. Detectar el compromiso de cuentas provenientes de estas plataformas de phishing avanzadas es fundamental para proteger las cuentas frente a la toma de control.

","Managed ITDR","

macOS: detecciones de XProtect

Este mes, anunciamos novedades interesantes para nuestros usuarios de macOS: en Huntress Managed EDR, ampliamos nuestra cobertura de detección y respuesta ante amenazas para usuarios de macOS que usan tanto el antivirus XProtect de Apple como la integración con Microsoft Defender for Endpoints para macOS. Nuestro SOC ahora monitoreará las alertas de estas fuentes y tomará medidas para neutralizar a los atacantes.

Al mismo tiempo, extender Microsoft Defender a macOS permite que los clientes obtengan más valor de sus licencias de Defender con nuestro EDR, lo que brinda más protección a las Mac.

$\"\"$ \nHuntress Managed Security Platform con alertas de XProtect investigadas

El equipo de Ingeniería de Detecciones agregó 10 detecciones nuevas y 22 detecciones existentes durante las últimas dos semanas. Las incorporaciones recientes a Huntress EDR hacen avanzar de forma significativa nuestra capacidad de detener ataques sofisticados, con un fuerte enfoque en interrumpir las cadenas de ataque de ransomware y exponer actividades sigilosas posteriores a la explotación. Estas nuevas capacidades le dan a nuestro SOC el poder de ofrecer alertas de alta fidelidad.

Esto incluye:

Detecciones aceleradas: neutralizando rápidamente amenazas activas, enfrentando al ransomware y la explotación de vulnerabilidades: Huntress ahora identifica de forma más eficaz cepas específicas de ransomware como Qilin y detecta cuando el ransomware sobrescribe archivos con una extensión maliciosa. También agregamos una detección crítica para la explotación de una vulnerabilidad descubierta recientemente que permite la ejecución arbitraria de código (CVE-2025-33053).
Exponiendo herramientas de atacantes y la explotación posterior: nuestra plataforma ahora es mejor para desenmascarar las tácticas de los atacantes, como el uso de SharpSuccessor, una herramienta que explota una vulnerabilidad conocida para su ejecución. También mejoramos las detecciones del abuso malicioso de LOLBIN (Living off the Land Binary), donde se usan herramientas legítimas del sistema para ejecutar DLL maliciosas.

Detecciones de caza: descubriendo de forma proactiva ataques sigilosos y novedosos, detectando el abuso de herramientas legítimas: Huntress ahora busca de forma proactiva el abuso de herramientas legítimas como SimpleHelp para detectar actividad sospechosa de acceso remoto y el uso de WinRAR para archivar datos potencialmente sensibles desde recursos compartidos en un servidor.

","Managed EDR",[486],"

Nuestras Rapid Responses se activan cuando vemos que los atacantes aprovechan vulnerabilidades o amenazas para escalar sus ataques. Trabajamos con distintos equipos de seguridad especializados en toda Huntress para determinar el posible impacto y qué información nueva y/o novedosa podemos compartir externamente. También notificamos a los clientes potencialmente afectados y publicamos un blog con todos los detalles jugosos para ayudar a que el ecosistema de seguridad en general se mantenga alerta. Aquí hay un ejemplo de una Rapid Response en la que trabajamos el último mes:

","Respuestas rápidas",{"_126":487,"_106":488,"_129":101},"

En junio, Alden Schmidt, Stuart Ashenbrenner y Jonathan Semon publicaron un análisis de amenazas sobre su investigación de una sofisticada intrusión de Corea del Norte (RPDC) en un entorno de cliente macOS en una fundación de criptomoneda. Debido a que esta intrusión estuvo (afortunadamente) aislada a un solo cliente, no calificó necesariamente como una Respuesta Rápida típica. Pero dada la complejidad del incidente y con la esperanza de mantener a otros a salvo de esta amenaza, creamos lo que llamamos una Respuesta Rápida Lite.

Alden, Stuart y Jon compartieron varios aspectos únicos de esta intrusión en macOS:

La fase de acceso inicial involucró a un empleado de una empresa de criptomoneda que fue engañado para unirse a una reunión de Zoom con varios deepfakes que simulaban ser altos directivos de su empresa
Encontramos ocho nuevas piezas de malware para macOS, incluido un keylogger y un infostealer
El payload malicioso se implementó mediante inyección de procesos. Esta es una técnica conocida en Windows, pero históricamente no ha sido común en macOS debido a restricciones de seguridad más inherentes
La intrusión se atribuye a un APT group de la RPDC (registrado como TA444 o BlueNoroff), un actor patrocinado por el Estado conocido por atacar a empresas de criptomoneda

$\"\"$

Hemos visto que macOS se ha convertido en un objetivo más grande para los actores de amenazas en los últimos años, especialmente atacantes sofisticados y patrocinados por el Estado. Examina con cuidado las invitaciones a reuniones que te animan a cambiar de plataforma o cargar extensiones de fuentes no oficiales, porque esto podría ser un posible ciberataque de un atacante de alto nivel con capacidades avanzadas.

","Sintiéndose Blue(Noroff): dentro de una intrusión sofisticada de Web3 de Corea del Norte",[490,491],{"_126":494,"_106":165,"_129":101},{"_126":492,"_106":493,"_129":101},"

Una vulnerabilidad de recorrido de directorios en SimpleHelp RMM, registrada como CVE-2024-57727, ha sido el punto de acceso inicial de múltiples grupos de ransomware en los últimos meses. En particular, el grupo de ransomware DragonForce usó la falla dentro de los MSP para atacar a sus clientes y convertir una sola brecha en múltiples compromisos. Además, el grupo Play ransomware usó esta falla para atacar instalaciones de salud en todo el mundo. Esta vulnerabilidad resalta la tendencia actual de los atacantes de priorizar ataques de \"golpear una vez, afectar a muchos\", dirigidos a cadenas de suministro, proveedores de alimentos, soporte de TI y proveedores de seguridad, y en última instancia, a sus clientes posteriores.

$\"\"$

El aumento en la explotación de RMM, así como otros ataques a componentes compartidos, está vinculado a grupos de ransomware que buscan maximizar sus ganancias, y a sus afiliados que intentan evadir la detección rápidamente antes de exfiltrar datos y pedir rescate a las víctimas.

","Vulnerabilidades destacadas","

El grupo de ransomware Qilin ha sido uno de los grupos de ransomware más activos en los últimos meses, usando nuevas técnicas para lograr más intentos exitosos de acceso inicial. El cambio más notable es su cambio hacia el uso de fallas más recientes de Fortinet para el acceso inicial. Se les ha visto explotando activamente tanto CVE-2024-21762 como CVE-2024-55591 en varios entornos de víctimas. Estos ataques afectan tanto a FortiOS como a los sistemas VPN de Fortinet, y fueron los principales sospechosos de un ataque coordinado contra decenas de víctimas el mes pasado. Qilin también ha automatizado por completo su sistema de ataque, creando esencialmente su propio kit de herramientas de escaneo de vulnerabilidades o utilizando kits de herramientas existentes e integrándolos con sus servicios de ransomware como servicio (RaaS).

También se vio a Qilin atacando directamente a los MSP, con ataques de phishing que comenzaron en abril y continuaron hasta junio, con el único propósito de obtener acceso masivo a clientes posteriores. A diferencia de ataques anteriores que usaban kits de herramientas de Attacker-in-the-Middle (AiTM) como Evilginx, estos ataques actuales abusan de dominios falsificados de proveedores de ScreenConnect, a menudo usando el TLD .ms. Las víctimas eran redirigidas a una página proxy que enviaba las credenciales del usuario a servicios legítimos de ScreenConnect para validarlas.

Qilin es uno de los operadores de ransomware más peligrosos y prolíficos que hemos visto en los últimos meses debido a estas TTPs recientes.

",[498],"

Nuestro equipo de Hunting & Tactical Response se creó como una función independiente dentro de nuestro SOC para profundizar en las intrusiones y para responder las preguntas de los partners que quedan fuera del alcance de las operaciones del SOC 24x7. Cumple el \"punto óptimo\" entre una oferta estándar de MDR y una respuesta a incidentes más intensiva y formal. Los hallazgos de nuestro Tactical Response también nos dan muchas pistas sobre cómo se desarrollan las intrusiones.

","Tactical Response",{"_126":499,"_106":500,"_129":101},"

Tactical Response se centra en los aspectos desconocidos sobre el acceso inicial, el análisis de causa raíz y las líneas de tiempo de la actividad del adversario, incluidas las máquinas que no tienen instalado el agente de Huntress.

Como se ve a continuación, el equipo de Tactical Response descubrió varios vectores de acceso inicial durante el último año. En los casos investigados por el equipo de Tactical Response (que no abarcan la totalidad de los hallazgos de Huntress), la mayoría de los vectores de acceso inicial (63,8 %) fueron dispositivos VPN comprometidos, incluidos inicios de sesión maliciosos con credenciales robadas o obtenidas por fuerza bruta. El protocolo de escritorio remoto (RDP) expuesto fue otro vector de acceso inicial popular, en segundo lugar con un 17,1 %. El tercer lugar es para el perímetro externo expuesto, presente en el 5,8 % de todos los vectores de acceso inicial.

Puedes obtener un desglose detallado de los vectores de acceso inicial en este blog de Anton Ovrutsky y nuestro equipo de Tactical Response.

$\"\"$

","Descubriendo vectores de acceso inicial",[504,505,506],"

Adversary Tactics documenta, analiza y comparte con la comunidad información sobre amenazas interesantes que detecta nuestro SOC. Aquí tienes algunos ejemplos de tendencias destacadas que vimos en las últimas semanas.

","Amenazas vistas en nuestro SOC",{"_126":511,"_106":512,"_129":101},{"_126":509,"_106":510,"_129":101},{"_126":507,"_106":508,"_129":101},"

En junio, varias empresas se vieron comprometidas después de que actores de amenazas explotaran una vulnerabilidad conocida de Veeam (CVE-2024-40711) para ejecutar comandos maliciosos de forma remota. La vulnerabilidad de ejecución remota de código no autenticada se dio a conocer públicamente por primera vez y se corrigió en septiembre de 2024. En octubre de 2024, la falla se agregó al catálogo de vulnerabilidades explotadas conocidas (KEV) de la Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA), lo que indica que los actores de amenazas la están explotando. Investigadores informaron previamente que los grupos de ransomware Akira y Fog han atacado esta falla.

$\"\"$

Estos incidentes resaltan la importancia de que las empresas se mantengan al día con los parches. Esta vulnerabilidad ya tiene una clasificación de severidad crítica en la escala CVSS 3.0 (9,8 de 10). El gobierno de EE. UU. y los investigadores de seguridad advierten que los actores de ransomware están atacando esta falla, lo que señala la mayor importancia de corregir esta vulnerabilidad. Los parches para esta falla han estado disponibles durante nueve meses, pero los actores de amenazas logran explotar vulnerabilidades que existen desde hace años, incluso cuando hay parches fácilmente disponibles.

","Explotación de la falla conocida de Veeam (CVE-2024-40711)","

En junio, Huntress detectó a un actor de amenazas que intentaba deshabilitar una aplicación de seguridad de MFA, como se ve en el siguiente comando:

cmd.exe /Q /c reg delete “HKLM\\Software\\Duo Security” 1> \\Windows\\Temp\\gGutd1 2>&1

El objetivo de eliminar la clave del Registro mediante el comando anterior es deshabilitar Duo Security. Un análisis más detallado de los endpoints de las víctimas reportadas mostró que Duo Security no estaba instalado en esos endpoints, aunque sí estaba instalado en otros endpoints dentro de la infraestructura de la víctima.

Es probable que el actor de amenazas se haya topado con un endpoint con Duo Security o haya obtenido información de una fuente externa, como un agente de acceso inicial, que indicaba que Duo Security ya estaba instalado en este entorno. De cualquier forma, el actor de amenazas decidió usar un “enfoque de escopeta”, priorizando la velocidad sobre el sigilo, al intentar eliminar esta clave del Registro sin verificar primero si Duo estaba instalado en el endpoint.

","Los actores de amenazas atacan la MFA","

Nuestro SOC recientemente descubrió un ataque de LockBit de cinco minutos y 40 segundos.

En junio, los sistemas de alerta temprana de ransomware de un consultorio dental se activaron por LockBit. Después de asignar la tarea y revisar los registros, descubrimos que el actor de amenazas accedió a una herramienta de monitoreo y gestión remota (RMM) de TeamViewer para implementar el ransomware. La nota de rescate aS7Egd7xh.README.txt se creó a las 7:08 UTC, solo alrededor de cinco minutos después de que ocurriera el primer acceso inicial a las 7:02 UTC.

$\"\"$

Si bien el tiempo promedio hasta el rescate es de 16,88 horas, según el Informe de ciberamenazas 2025 de Huntress, una ruta de ataque de 10 minutos es alarmante. Esto deja claro por qué es absolutamente esencial detectar a los atacantes lo antes posible en la ruta de ataque de ransomware.

","Un ataque de LockBit que avanzó rápido","Los analistas del Huntress SOC analizan las amenazas de junio de 2025, incluyendo un ataque veloz de LockBit, ataques dirigidos a MFA, la explotación de Veeam CVE-2024-40711 y una intrusión de Web3 vinculada a Corea del Norte.",{"_197":198,"_199":200,"_108":201},{"_207":588},{"_207":570},{"_207":552},{"_207":536},{"_207":520},{"_209":210,"_54":211,"_32":212,"_213":521},{"_215":216,"_217":218,"_34":522,"_220":221,"_222":523,"_54":211,"_224":225,"_226":227,"_228":225,"_229":524,"_231":232,"_56":233,"_234":234,"_235":525,"_237":526,"_239":240,"_241":527,"_58":59,"_60":528},{"_63":244,"_245":246,"_247":248,"_249":250,"_251":252,"_253":529,"_255":256,"_257":258,"_259":260,"_82":530,"_56":233,"_262":263,"_264":265,"_91":266,"_60":531},[],{},[],"hbi4lrgyx0o",{},[62],[532,533],{"_185":268,"_187":233},[62],{"_271":535},{"_271":534},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":277,"_32":212,"_213":537},{"_215":279,"_217":280,"_34":538,"_220":280,"_222":539,"_54":277,"_224":225,"_226":283,"_228":225,"_229":540,"_231":232,"_56":285,"_234":234,"_235":541,"_237":542,"_288":17,"_239":240,"_241":543,"_58":59,"_60":544},{"_245":291,"_247":292,"_251":293,"_253":545,"_255":295,"_257":296,"_82":546,"_56":285,"_298":299,"_262":300,"_264":301,"_91":302,"_60":547,"_304":305},[],{},[],"ena6v19hm1p",{},[62],[548,549],{"_185":306,"_307":17,"_308":17,"_187":309},[62],{"_271":551},{"_271":550},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":316,"_32":212,"_213":553},{"_215":279,"_217":318,"_34":554,"_220":318,"_222":555,"_54":316,"_224":225,"_226":321,"_228":225,"_229":556,"_231":232,"_56":323,"_234":234,"_235":557,"_237":558,"_239":240,"_241":559,"_58":59,"_60":560},{"_245":328,"_247":329,"_249":250,"_251":330,"_253":561,"_255":332,"_257":333,"_259":334,"_82":562,"_56":323,"_298":336,"_262":337,"_264":338,"_91":339,"_60":563,"_304":341},[],{},[],"wq3bhemqlq",{},[62],[564,565,566],{"_185":342,"_307":17,"_308":17,"_187":343},[62],{"_271":569},{"_271":568},{"_271":567},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":351,"_32":212,"_213":571},{"_215":353,"_217":354,"_34":572,"_220":354,"_222":573,"_54":351,"_224":225,"_226":357,"_228":225,"_229":574,"_231":232,"_56":359,"_234":234,"_235":575,"_237":576,"_239":240,"_241":577,"_58":59,"_60":578},{"_245":364,"_247":365,"_249":250,"_251":366,"_253":579,"_368":369,"_255":370,"_257":371,"_259":372,"_82":580,"_56":359,"_298":374,"_262":375,"_264":376,"_91":377,"_60":581,"_304":379},[],{},[],"0vcrzj6oewkl",{},[62],[582,583,584],{"_185":380,"_307":17,"_308":17,"_187":381},[62],{"_271":587},{"_271":586},{"_271":585},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":389,"_32":212,"_213":589},{"_215":353,"_217":391,"_34":590,"_220":391,"_222":591,"_54":389,"_224":225,"_226":394,"_228":225,"_229":592,"_231":232,"_56":396,"_234":234,"_235":593,"_237":594,"_288":17,"_239":240,"_241":595,"_58":59,"_60":596},{"_245":401,"_247":402,"_249":250,"_251":403,"_253":597,"_255":405,"_257":406,"_259":407,"_82":598,"_56":396,"_298":409,"_262":410,"_264":411,"_91":412,"_413":414,"_60":599},[],{},[],"qks2wdmhyz",{},[62],[600,601,602],{"_185":416,"_307":17,"_308":17,"_187":417},[62],{"_271":605},{"_271":604},{"_271":603},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_429":431,"_427":432},{"_429":430,"_427":184},{"_427":609},"Junio de 2025",{"_63":64,"_65":614,"_67":615,"_69":616,"_71":617,"_73":618,"_79":619,"_82":620,"_56":621,"_85":622,"_87":623,"_89":624,"_91":625,"_93":626,"_95":96,"_60":627},"ae492ff52f894d479cc4f58a71277c5e","Threat View from the Lens of Huntress Adversary Tactics: July 2025",[62],[824,825,826],{"_98":99},[704,705,706,707,708,709],{"_190":702,"_192":193,"_194":703,"_187":196},{},{"_126":101,"_98":17},{"_185":701,"_187":621},"Panorama de amenazas desde la perspectiva de Huntress Adversary Tactics: julio de 2025",{"_110":629},"Thu Jul 31 2025 00:00:00 GMT-0400 (Eastern Daylight Time)",{"_100":101,"_102":103,"_104":105,"_106":107,"_98":99,"_108":628},"july-2025",{"_98":99},[62],"

Nuestra plataforma combina un conjunto de herramientas potentes de detección y respuesta administradas para endpoints e identidades de Microsoft 365, security awareness training respaldado por la ciencia, y la experiencia de nuestro el centro de operaciones de seguridad (SOC) disponible 24/7.

",[630,631,632,633,634,635],{"_117":681,"_119":682,"_121":683,"_122":684},{"_117":675,"_119":676,"_121":677,"_122":497},{"_117":665,"_119":666,"_121":637,"_122":160},{"_117":170,"_119":654,"_121":655,"_122":485},{"_117":170,"_119":642,"_121":643,"_122":644},{"_117":170,"_119":636,"_121":637,"_122":123},[638,639],"

",{"_126":641,"_106":131,"_129":101},{"_126":640,"_106":464,"_129":101},"

Greg Linares participó en el reconocido podcast Darknet Diaries, donde habló de todo, desde haber sido el hacker más joven en ser arrestado en Arizona hasta anécdotas increíbles de su época en eEye. Puedes escuchar el podcast aquí.

$\"\"$

","

El Tradecraft Tuesday de este mes fue muy divertido: se centró en el hacking en Hollywood. Greg Linares, Matt Kiely y John Hyland hablaron sobre las escenas de hacking más precisas, y las peores, en películas y series populares.

$\"\"$

¿Todavía no te has registrado en nuestra serie Tradecraft Tuesday? Regístrate aquí para ver nuestro episodio de agosto, \"A Journey to the Center of the Dark Web.\"

",[645,646,647,648],"

Aunque no es un producto directo del equipo de Adversary Tactics, queremos destacar algunas funciones nuevas e increíbles que nuestros compañeros de Product Research y Product lanzaron para fastidiar a los atacantes. No podemos esperar a usar estos datos para ampliar nuestro conocimiento de los actores de amenazas que enfrentan nuestros clientes.

","Actualizaciones de producto relevantes",{"_126":652,"_106":653,"_129":101},{"_126":651,"_106":482,"_129":101},{"_126":650,"_106":478,"_129":101},{"_126":649,"_106":476,"_129":101},"

Simulación de spearphishing ya disponible de forma general

Con base en nuestra nueva función de Threat Simulator, lanzamos al público una nueva Simulación de Spearphishing, como extensión del Managed Learning de agosto. La primera simulación sobre OSINT tuvo muy buena recepción, y esta nueva simulación de spearphishing no es la excepción. El 93% de los primeros participantes dijo haber aprendido algo nuevo sobre los hackers gracias a la simulación.

Otras actualizaciones

El equipo de SAT también lanzó Together Mode Learning , una nueva función que permite a los administradores reunir a los usuarios en persona (o mediante una sesión virtual con pantalla compartida) para completar juntos las sesiones de security awareness training. Los administradores también pueden marcar a todos como completados en el portal.

El equipo presentó una nueva función en los modelos de usuario que permite asociar más de un correo electrónico a un solo usuario.

Por último, está en marcha el despliegue gradual del soporte de SCIM para los usuarios. Los partners y clientes actuales que estén interesados en unirse a la versión beta pueden comunicarse con su gerente de cuenta de Huntress.

","

Guardar y programar búsquedas

Los clientes de SIEM ahora pueden guardar consultas y programarlas para que se ejecuten de forma recurrente. Los resultados se envían automáticamente por correo electrónico, lo que facilita monitorear datos clave sin esfuerzo manual adicional.

Nuevo soporte y lógica de detección agregados

SIEM agregó soporte para Cisco ASA (Adaptive Security Appliance) y Cisco Firepower Threat Defense como fuentes de registros. Esto permitirá mayor visibilidad y un análisis más simplificado de los eventos de seguridad de red.

Además, la lógica de detección de FortiGate se mejoró para admitir registros que no tienen formato CEF, lo que permite mayor compatibilidad y un análisis más preciso.

Detección exitosa de fuerza bruta

Se está ajustando una nueva detección de fuerza bruta de VPN que ya detectó \"algo malo\" durante las pruebas, con un ataque de fuerza bruta identificado por nuestro SOC.

","

Windows

Victoria contra Akira: Akira es una amenaza importante en el panorama del ransomware, y recientemente Huntress Managed EDR logró una gran victoria al evitar con éxito que Akira cifrara un endpoint. La protección automatizada integrada en el Agent se defendió de múltiples intentos hasta que un analista pudo aislar el endpoint. El SOC también pudo extraer artefactos del ransomware, que ahora podemos usar para refinar mejor nuestros esfuerzos de detección de comportamiento.

Extra: si el cliente hubiera tenido SIEM instalado, habríamos recibido la alerta 10 minutos antes, lo que demuestra cómo SIEM ayuda a neutralizar amenazas más temprano en la cadena de ataque para darle ventaja frente a los atacantes.

macOS

Soporte ampliado de foothold para macOS: el soporte de foothold para macOS se amplió para cubrir la tecnología de persistencia más reciente y los mecanismos más antiguos usados por el malware de Mac, evitando que se evada la detección de Huntress.

","

El mes pasado, el equipo de ingeniería de detección implementó 85 nuevas reglas de detección. Estas incorporaciones están diseñadas estratégicamente para identificar metodologías de ataque emergentes que podrían afectar las operaciones de una organización. El enfoque incluyó visibilidad clave sobre:

Herramientas de hackeo y acceso inicial: detección de diversas herramientas de hackeo y su ejecución, actividad sospechosa de PowerShell relacionada con el acceso inicial mediante ClickFix, instalaciones de RMM no autorizadas y ejecución de scripts maliciosos desde puntos de entrada comunes, como archivos comprimidos en carpetas temporales.
Escalada de privilegios y evasión de defensas: detección de intentos de escalada de privilegios, abuso de permisos de servicios para ocultar actividad, manipulación de registros de eventos o uso de comandos codificados para evadir defensas, tanto en sistemas Windows como Linux.
Actividad de ransomware y malware: identificación de patrones asociados con familias de ransomware conocidas, ejecución típica de payloads de malware y procesos sospechosos que indican infecciones activas.
Exfiltración de datos y comando y control: detección de transferencias de datos no autorizadas hacia plataformas sospechosas y conexiones de red que podrían indicar canales de comunicación de un atacante.
SharePoint CVE-2025-49706 + CVE-2025-49704: detecta la explotación en el entorno real de servidores SharePoint, que coloca un webshell para exportar claves de máquina.

Además, 157 reglas de detección existentes pasaron por una revisión y un ajuste minuciosos. Las mejoras clave incluyeron:

Refinamiento de detecciones de acceso inicial: mayor precisión para identificar la ejecución sospechosa de PowerShell desde el registro, actividad de descarga de PowerShell codificada y diversas formas de ejecución sospechosa originadas en acciones comunes de los usuarios.
Fortalecimiento del monitoreo de Active Directory y autenticación: mejoras en las detecciones de puertas traseras de usuarios de Active Directory, autenticaciones sospechosas de VPN (especialmente con cuentas genéricas) y patrones de inicio de sesión inusuales que podrían indicar credenciales comprometidas.
Mejora en la detección de evasión de defensas y persistencia: mayor capacidad para identificar la creación de servicios maliciosos, modificaciones a servicios del sistema y el uso de herramientas legítimas de forma sospechosa para establecer persistencia o evadir defensas.
Mejora en los conocimientos sobre movimiento lateral y reconocimiento: ajuste de reglas para detectar mejor el reconocimiento interno de la red (por ejemplo, comandos de descubrimiento de dominio, enumeración de usuarios), intentos de movimiento lateral y el uso de herramientas de acceso remoto en ubicaciones inusuales.

","Nuevas reglas de detección",[656,657],"

Para quienes no estén familiarizados, las “Respuestas Rápidas” se activan cuando hay una vulnerabilidad o amenaza que los atacantes aprovechan para escalar aún más sus ataques a gran escala. Cuando nos enteramos de una posible vulnerabilidad, el equipo de Adversary Tactics trabaja en toda Huntress para determinar el impacto potencial, actualizar a nuestros clientes y publicar un blog para la comunidad de seguridad con todos los detalles necesarios de la actividad de amenaza.

Aquí tienes algunos ejemplos de Respuestas Rápidas que hemos manejado en el último mes:

",{"_126":662,"_106":663,"_660":99,"_129":664},{"_126":658,"_106":659,"_660":99,"_129":661},"

Vimos explotación activa de la ejecución remota de código de Wing FTP Server (CVE-2025-47812) en el entorno de un cliente el 1 de julio, un día después de la divulgación pública.

CVE-2025-47812 es una falla de inyección de byte nulo y Lua que puede derivar en ejecución remota de código a nivel root/SYSTEM si se explota. La vulnerabilidad fue divulgada públicamente por primera vez el 30 de junio por Julien Ahrens, en versiones anteriores a la 7.4.4 de Wing FTP Server, su software de protocolo de transferencia de archivos para Windows, Linux y macOS. Las organizaciones que usan Wing FTP Server deben actualizar a la versión corregida, la 7.4.4, lo antes posible.

$\"\"$ Explotación de ejecución remota de código de WingFTP (CVE-2025-47812) observada en el árbol de procesos

","Ejecución remota de código en Wing FTP Server (CVE-2025-47812) explotada en el mundo real","showTakeaway","

Aunque solo hemos visto actividad de explotación de CVE-2025-47812 en un cliente, sugerimos actualizar a la versión 7.4.4 lo antes posible para minimizar las exposiciones vulnerables.

","

Descubrimos intrusiones activas de ransomware Akira que explotan dispositivos SonicWall, lo que permite a los adversarios evadir la autenticación multifactor (MFA) y obtener acceso no autorizado a redes internas. Con tácticas similares a las de grupos de ransomware sofisticados como Akira, estos actores de amenazas pasan rápidamente a los controladores de dominio, donde establecen persistencia creando cuentas de usuario fraudulentas como backupSQL con contraseñas débiles como Password123$, y luego las elevan a Administradores de dominio mediante comandos como “net user” y “net group”. Esta cadena de compromiso normalmente resulta en la implementación de ransomware Akira y exfiltración de datos, con indicadores de compromiso observados desde direcciones IPv4 maliciosas como 142.252.99[.]59, 45.86.208[.]240, 77.247.126[.]239, 193.239.236[.]149, 104.238.205[.]105, 104.238.220[.]216, 193.163.194[.]7, y 194.33.45[.]155, que a menudo provienen de inicios de sesión SSL VPN.

$\"\"$ Visualización de la cronología de los ataques

","Explotación activa de las VPN de SonicWall","

En la última actualización de su aviso del 6 de agosto, SonicWall dijo que tiene alta confianza en que esta reciente actividad de amenazas no está relacionada con una falla zero-day, sino que se correlaciona con actividad relacionada con el CVE-2024-40766, una falla de control de acceso inadecuado publicada por primera vez en agosto de 2024 que puede provocar un \"acceso no autorizado a recursos\". SonicWall dijo que muchos de los incidentes parecen estar relacionados con migraciones de firewalls de sexta generación a séptima generación, en las que las contraseñas de usuarios locales se trasladaron durante las migraciones y no se restablecieron después.

SonicWall insta a los clientes (que hayan importado configuraciones de Gen 6 a firewalls más nuevos) a:

Actualizar el firmware a la versión 7.3.0
Restablecer todas las contraseñas de cuentas de usuario local para cuentas con acceso SSL VPN

Huntress recomienda que las organizaciones afectadas roten las credenciales—tanto las contraseñas de cuentas de usuario local como las de cuentas LDAP usadas para la integración con Active Directory—por precaución. Recomendamos que las organizaciones se mantengan alertas mientras seguimos investigando esta actividad de amenazas.

","https://cdn.builder.io/api/v1/image/assets%2F56539a05dc944fe088e47bb383845dd1%2F7bb5ee55aaee4f01a9a759625948a56d",[667,668],{"_126":672,"_106":673,"_660":99,"_129":674},{"_126":669,"_106":670,"_660":99,"_129":671},"

En el último mes, varias operaciones de ciberseguridad de alto perfil han apuntado a reconocidos actores de amenazas, logrando victorias clave para las autoridades. El 8 de julio, el Departamento de Justicia de EE. UU. arrestó a Xu Zewei, un ciudadano chino de 33 años vinculado al Ministerio de Seguridad del Estado, por orquestar la campaña HAFNIUM que explotó vulnerabilidades en más de 60,000 servidores de Microsoft Exchange en todo el mundo. Esta campaña fue el precursor del robo de investigaciones sobre COVID-19 de varias universidades de EE. UU. Zewei enfrenta cargos de fraude electrónico y daño informático, con una pena de hasta 20 años de prisión.

A mediados de julio, la Agencia Nacional contra el Crimen del Reino Unido arrestó a cuatro jóvenes sospechosos, de entre 17 y 20 años, vinculados a operaciones de ransomware y robo de datos contra grandes minoristas, incluidos M&S, Co-op y Harrods. Se les acusa bajo la Ley de Uso Indebido de Computadoras y por extorsión. Este arresto incluyó a presuntos miembros de el grupo Scattered Spider (UNC3944), y ha detenido momentáneamente sus campañas de phishing y ransomware contra sectores de Norteamérica. Este grupo usó tácticas como el push bombing y el malware Raccoon Stealer, y varias operaciones imitadoras siguen causando problemas.

Y finalmente, hacia fines de julio, la Operación Checkmate, un esfuerzo conjunto entre agencias de EE. UU., Europol y otros socios internacionales, incautó los sitios de extorsión .onion de el grupo de ransomware BlackSuit. Esto interrumpió sus plataformas de filtración de datos y negociación, aunque los actores anunciaron que podrían reaparecer bajo la marca Chaos. Las autoridades indicaron que esto formó parte de una operación de desmantelamiento en varias fases, con arrestos adicionales y desmantelamientos programados para los próximos meses.

","Desmantelamientos de cibercrimen","

Estos operativos destacan el creciente impulso de la aplicación de la ley cibernética internacional, e instan a los profesionales de ciberseguridad a mantenerse alerta frente a estas amenazas. El atractivo del cibercrimen crece, especialmente entre los más jóvenes que enfrentan dificultades económicas, son susceptibles al reclutamiento en redes sociales y se sienten tentados por las recompensas de alto riesgo y alta ganancia. Esto ha hecho que las agencias de aplicación de la ley cambien de enfoque y ataquen a los grupos más rápido, así como a los mercados intermedios donde ocurren estos pagos e intercambios de datos. Estamos viendo impactos positivos de estas operaciones, en particular en las comunidades de infostealers y filtración de datos, que son especialmente volátiles.

","

El relativamente nuevo grupo de ransomware D4rk4rmy se atribuyó la responsabilidad de ataques de alto perfil contra el Casino de Monte-Carlo y Big Rock Resort, llamando la atención sobre tácticas de ataque agresivas, como una posible exfiltración de datos y cifrado contra los sectores de entretenimiento y hospitalidad. La legitimidad de este grupo está en duda, sin embargo, muchas de sus víctimas parecen haber sido comprometidas por instalaciones de malware de tipo infostealer antes de sus afirmaciones. Se cree queel grupo de ransomware D4rk4rmy compra estos registros de infostealer disponibles antes de hacer estas afirmaciones, y que quizás exagera el nivel real de sus compromisos. Sin importar su legitimidad, esta táctica resalta el cambio común de muchos grupos de ransomware que utilizan estos recursos para atacar a sus víctimas.

Hackers vinculados a China, incluido el actor de amenazas conocido como Storm-2603, intensificaron la explotación de servidores de Microsoft SharePoint como vector de acceso inicial a través de una cadena de vulnerabilidades zero-day llamada ToolShell, que incluye CVE-2025-49706 (una falla de suplantación por autenticación incorrecta) y CVE-2025-49704 (una vulnerabilidad de deserialización insegura). Esta explotación otorga acceso a nivel SYSTEM en los sistemas afectados y la posterior implementación de las variantes de ransomware Warlock (también conocido como X2anylock) y LockBit Black. El ransomware se implementa mediante un framework de comando y control (C2) personalizado llamado AK47 que utiliza puertas traseras controladas por DNS, acceso remoto persistente, movimiento lateral entre endpoints y entrega de payload en varias etapas.

Un recordatorio duro del impacto devastador del ransomware es el colapso de Einhaus-Gruppe, una importante empresa de reparación de teléfonos y seguros. Fue atacada por el grupo Royal y pagó cerca de $230,000 en rescate. Tras realizar el pago, Einhaus-Gruppe se vio obligada a reducir su plantilla de 170 empleados a solo ocho, pese a medidas drásticas como vender propiedades y liquidar inversiones, lo que pone de relieve la ruina financiera y operativa de estos ataques, incluso cuando se pagan las exigencias del rescate.

Mientras tanto, el ransomware multiplataforma Anubis está surgiendo como una amenaza doble. El ransomware infecta tanto dispositivos Android como Windows para cifrar archivos mientras roba credenciales. A menudo se distribuye mediante phishing o aplicaciones maliciosas, lo que representa riesgos importantes tanto para usuarios individuales como para empresas. Esta variante de ransomware ha introducido una nueva función de wiper que borra los sistemas de forma remota si no se paga el rescate. Esto se incorporará en otras familias de ransomware en el futuro y resalta la necesidad de contar con sistemas de respaldo sólidos y pasos de aislamiento posteriores a un incidente.

\n","Casos de ransomware","

Los grupos de ransomware, el ransomware como servicio (RaaS) y los grupos de ransomware patrocinados por estados-nación están cambiando de táctica colectivamente más rápido que nunca. Se mueven entre industrias, cambian de objetivos, desarrollan malware multiplataforma, crean nuevas plataformas de C2 y usan zero-days sofisticados y kits de herramientas avanzados para mantenerse persistentes en cada oportunidad y maximizar el impacto. El costo de ser víctima de ransomware a veces es suficiente para cerrar un negocio, y sin la protección, orientación y procedimientos adecuados, cualquier organización puede verse afectada.

","https://cdn.builder.io/api/v1/image/assets%2F56539a05dc944fe088e47bb383845dd1%2F8c2d2d16d1be4321aed626b2d918c566",[678],"

Nuestro equipo de Hunting & Tactical Response se creó como una función separada dentro de nuestro SOC para profundizar en las intrusiones y responder las preguntas de los partners que quedan fuera del alcance de las operaciones del SOC 24x7. Cubre el punto intermedio entre una oferta estándar de MDR y una Respuesta a Incidentes más intensiva y formal. Nuestros hallazgos de Tactical Response también nos dan muchas pistas sobre cómo se desarrollan las intrusiones.

",{"_126":679,"_106":680,"_129":101},"

Un proyecto reciente del equipo de Tactical Response ha sido rastrear incidentes de ransomware exitosos. Los datos rastreados por el equipo nos dan información valiosa sobre los tipos de grupos de ransomware que atacan a nuestra base de clientes, así como los vectores que usan para el acceso inicial.

Como se ve en el gráfico a continuación, la mayoría de los incidentes de ransomware rastreados por Tactical Response están vinculados a Akira (52,8%). Detrás de Akira están Qilin (en el 11,1% de los incidentes rastreados), LockBit (8,3%) y Crux (8,3%). Vale la pena señalar que estos hallazgos se desarrollan a partir de incidentes de ransomware rastreados específicamente por Tactical Response, y no de todos los incidentes de ransomware que pasan por el SOC.

$\"\"$ Desglose de los grupos de ransomware rastreados por Tactical Response

Los datos del equipo de Tactical Response también nos muestran los principales vectores de acceso inicial usados por los grupos de ransomware. Aunque no se pudo determinar el acceso inicial en la mayoría de los casos (y otros casos todavía están bajo investigación), los grupos de amenazas entraron mediante VPN en el 27,8% de los incidentes. También atacaron RDP en el 11,1% de los incidentes y RMM en el 2,8% de los casos.

$\"\"$ Desglose de los vectores de acceso inicial para los grupos de ransomware

","Hallazgos sobre ransomware","https://cdn.builder.io/api/v1/image/assets%2F56539a05dc944fe088e47bb383845dd1%2Fadb27e94b1cf49ab923de9503a34ec9d",[685,686,687,688],"

Adversary Tactics documenta, analiza e informa a la comunidad en general sobre amenazas interesantes que surgen de nuestro SOC. Aquí tienes algunos ejemplos de tendencias destacadas que hemos visto en las últimas semanas.

","Amenazas detectadas en el SOC",{"_126":698,"_106":699,"_660":99,"_129":700},{"_126":695,"_106":696,"_660":99,"_129":697},{"_126":692,"_106":693,"_660":99,"_129":694},{"_126":689,"_106":690,"_660":99,"_129":691},"

Hemos notado un aumento reciente en ataques de phishing que usan sitios web falsos de reservas de hotel (un reconocimiento para Austin Worline, Security Operations Analyst, por señalar esta tendencia).

El ejemplo de phishing a continuación usa una prueba CAPTCHA falsa, una técnica que engaña a los usuarios para que resuelvan un desafío de prueba CAPTCHA mediante ingeniería social para instalar malware. Esto fue lo que pasó:

Un usuario abrió un correo electrónico con un enlace malicioso a una página web falsa de reservas de hotel y un desafío de prueba CAPTCHA falso. Luego, el usuario ejecutó sin saberlo un payload de prueba CAPTCHA malicioso, que lanzó un payload sospechoso para persistencia.

$\"\"$ Página web que indica al objetivo resolver un desafío de prueba CAPTCHA falso como parte de un ataque de phishing

En otro incidente, un usuario:

Recibió un correo de phishing en su cuenta de Outlook con una URL acortada sospechosa
Dirigió la actividad del usuario a otra página (\"https[:]//2f-regdocuments-approval3d[.]com/ssa/red[.]php\"), lo que activó un instalador MSI malicioso
Instaló instancias no autorizadas de herramientas RMM, incluyendo Atera y Splashtop RMM

","Hoteles en la mira de esquemas de phishing con prueba CAPTCHA falsa","

Hemos visto un aumento en los ataques de phishing por correo electrónico dirigidos a nuestros partners en la industria hotelera. Las empresas de este sector deben estar atentas a las señales de estos ataques de phishing y usar Managed Security Awareness Training (SAT) para elevar el nivel de conciencia de los empleados frente a las amenazas de phishing.

","

Recientemente, encontramos actores de amenazas exfiltrando datos con s5cmd, una herramienta de código abierto. Según GitHub, esta es “una herramienta de línea de comandos de alto rendimiento diseñada para interactuar con almacenamiento de objetos compatible con S3 y sistemas de archivos locales.”

Vimos s5cmd utilizada en un ataque de ransomware Qilin en la siguiente línea de comandos (el patrón \"*.doc\" corresponde a la extensión de archivo DOC):

s5cmd --credentials-file credentials cp --include \"*.pdf\" --include \"*.png\" --include \"*.jpg\" --include \"*.jpeg\" --include \"*.xls\" --include \"*.xlsx\" --include \"*.tif\" --include \"*.zip\" --include \"*.doc\" --include \"*.docx\" \"[Folder]\" s3://[Resource]

El actor de amenazas accedió a la infraestructura mediante el protocolo de escritorio remoto (RDP), usó s5cmd.exe para la exfiltración de datos y, finalmente, usó PSExec para enviar el ejecutable del ransomware y lanzarlo en otros endpoints.

","Exfiltración de datos con herramientas de código abierto","

Nuestros expertos en seguridad observan muchos tipos de herramientas y técnicas de exfiltración de datos: el uso de s5cmd muestra cómo los actores de amenazas están usando herramientas de código abierto.

","

Vimos incidentes separados en junio y julio con un patrón de actividad de amenazas similar: actores de amenazas comprometiendo instancias de Atera Remote Monitoring and Management (RMM) de MSPs y luego atacando a los clientes posteriores, instalando túneles de Cloudflare y, en algunos casos, desplegando ransomware Akira.

$\"\"$ Árbol de procesos que muestra cómo el actor de amenazas comprometió una instancia de Atera RMM de un MSP

Compartimos los detalles en una serie de blog de dos partes sobre un ataque inicial a mediados de junio, y varios incidentes posteriores con tácticas, técnicas y procedimientos (TTPs) similares - como las mismas etiquetas de cuenta del token de autenticación del túnel de Cloudflare, los nombres de las estaciones de trabajo del actor de amenazas e indicadores de compromiso (IOCs) idénticos.

","Los ataques a RMM de MSP persisten","

Los actores de amenazas están atacando activamente a los MSP y a sus clientes. Las empresas pueden defenderse del abuso de RMM auditando, rastreando y monitoreando tanto las herramientas de acceso remoto autorizadas como las maliciosas. Los MSP también deben prestar atención a los RMM heredados que siguen activos en los entornos de sus clientes.

","

Estamos viendo una nueva variante emergente de ransomware llamada Crux. Hasta ahora, hemos detectado Crux en dos incidentes desde julio de 2025. Todavía no hay generación de informes pública sobre el ransomware Crux, pero según una nota de rescate en un incidente que detectamos, Crux afirma ser parte de BlackByte, un grupo de ransomware con múltiples variantes de malware que datan de 2021.

$\"\"$ Extracto de la nota de rescate del ransomware Crux

Hemos visto la siguiente actividad de amenazas asociada con los incidentes de ransomware Crux:

El uso de RClone (generalmente usado por atacantes para exfiltración de datos)
Intentos de instalar controladores y volcar remotamente el contenido del Registro de Windows
Intentos de deshabilitar Windows Recovery, lo que dificulta la restauración del sistema para las víctimas

$\"\"$ Árbol de procesos que muestra al actor de amenazas deshabilitando Windows Recovery

","Ransomware Crux","

Crux es una variante de ransomware emergente que no se había reportado antes. Los actores de amenazas detrás de Crux afirman ser parte del grupo de ransomware BlackByte. Nuestro SOC está monitoreando de cerca los entornos de nuestros clientes y partners para comprender mejor el alcance de la actividad de amenaza del ransomware Crux, mientras lo bloquea en una etapa temprana de la ruta de ataque.

","Huntress Adversary Tactics cubre las amenazas de julio de 2025, incluyendo el ransomware Crux, la explotación activa de VPN de SonicWall y el RCE de Wing FTP Server observado en la vida real.",{"_197":198,"_199":200,"_108":201},"

Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y una experiencia humana inigualable.
Comienza hoy tu prueba gratuita.

",{"_207":806},{"_207":788},{"_207":770},{"_207":754},{"_207":738},{"_207":710},{"_209":210,"_54":711,"_32":212,"_213":712},"662a8eb64d55ba142210c843",{"_215":713,"_217":714,"_34":715,"_220":714,"_222":716,"_54":711,"_224":225,"_226":717,"_228":225,"_229":718,"_231":232,"_56":719,"_234":234,"_235":720,"_237":721,"_288":17,"_239":240,"_241":722,"_58":59,"_60":723},"XBN8lOXr7QMH6JvQimte3OCtO6c2",1742719348297,{"_249":250,"_253":724,"_255":725,"_259":726,"_82":727,"_56":719,"_262":728,"_264":729,"_91":730,"_60":731},[],1794331023124,{},"Alden Schmidt",[],"40kai8hbnth",{},[62],[734,735],"Former Senior Detection Engineer","https://www.linkedin.com/in/aldenschmidt/",{"_185":732,"_307":17,"_308":17,"_187":733},"https://images.huntress.com/asset/file/b864e24300dc465ba8ec3b06d5ee8718","Foto de perfil de Alden Schmidt","alden-schmidt",[62],"Lee publicaciones de Alden Schmidt en el Blog de Huntress.","Alden Schmidt | Huntress",{"_271":737},{"_271":736},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":211,"_32":212,"_213":739},{"_215":216,"_217":218,"_34":740,"_220":221,"_222":741,"_54":211,"_224":225,"_226":227,"_228":225,"_229":742,"_231":232,"_56":233,"_234":234,"_235":743,"_237":744,"_239":240,"_241":745,"_58":59,"_60":746},{"_63":244,"_245":246,"_247":248,"_249":250,"_251":252,"_253":747,"_255":256,"_257":258,"_259":260,"_82":748,"_56":233,"_262":263,"_264":265,"_91":266,"_60":749},[],{},[],"d7zzmd6d73k",{},[62],[750,751],{"_185":268,"_187":233},[62],{"_271":753},{"_271":752},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":277,"_32":212,"_213":755},{"_215":279,"_217":280,"_34":756,"_220":280,"_222":757,"_54":277,"_224":225,"_226":283,"_228":225,"_229":758,"_231":232,"_56":285,"_234":234,"_235":759,"_237":760,"_288":17,"_239":240,"_241":761,"_58":59,"_60":762},{"_245":291,"_247":292,"_251":293,"_253":763,"_255":295,"_257":296,"_82":764,"_56":285,"_298":299,"_262":300,"_264":301,"_91":302,"_60":765,"_304":305},[],{},[],"sh19v89ofmn",{},[62],[766,767],{"_185":306,"_307":17,"_308":17,"_187":309},[62],{"_271":769},{"_271":768},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":316,"_32":212,"_213":771},{"_215":279,"_217":318,"_34":772,"_220":318,"_222":773,"_54":316,"_224":225,"_226":321,"_228":225,"_229":774,"_231":232,"_56":323,"_234":234,"_235":775,"_237":776,"_239":240,"_241":777,"_58":59,"_60":778},{"_245":328,"_247":329,"_249":250,"_251":330,"_253":779,"_255":332,"_257":333,"_259":334,"_82":780,"_56":323,"_298":336,"_262":337,"_264":338,"_91":339,"_60":781,"_304":341},[],{},[],"87qxkkzqdio",{},[62],[782,783,784],{"_185":342,"_307":17,"_308":17,"_187":343},[62],{"_271":787},{"_271":786},{"_271":785},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":351,"_32":212,"_213":789},{"_215":353,"_217":354,"_34":790,"_220":354,"_222":791,"_54":351,"_224":225,"_226":357,"_228":225,"_229":792,"_231":232,"_56":359,"_234":234,"_235":793,"_237":794,"_239":240,"_241":795,"_58":59,"_60":796},{"_245":364,"_247":365,"_249":250,"_251":366,"_253":797,"_368":369,"_255":370,"_257":371,"_259":372,"_82":798,"_56":359,"_298":374,"_262":375,"_264":376,"_91":377,"_60":799,"_304":379},[],{},[],"swzj96xln9d",{},[62],[800,801,802],{"_185":380,"_307":17,"_308":17,"_187":381},[62],{"_271":805},{"_271":804},{"_271":803},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":389,"_32":212,"_213":807},{"_215":353,"_217":391,"_34":808,"_220":391,"_222":809,"_54":389,"_224":225,"_226":394,"_228":225,"_229":810,"_231":232,"_56":396,"_234":234,"_235":811,"_237":812,"_288":17,"_239":240,"_241":813,"_58":59,"_60":814},{"_245":401,"_247":402,"_249":250,"_251":403,"_253":815,"_255":405,"_257":406,"_259":407,"_82":816,"_56":396,"_298":409,"_262":410,"_264":411,"_91":412,"_413":414,"_60":817},[],{},[],"gcj91oabu6u",{},[62],[818,819,820],{"_185":416,"_307":17,"_308":17,"_187":417},[62],{"_271":823},{"_271":822},{"_271":821},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_429":431,"_427":432},{"_429":430,"_427":828},{"_427":827},"Julio de 2025","Tácticas de los actores de amenazas",{"_63":64,"_65":833,"_67":834,"_69":835,"_71":836,"_73":837,"_79":838,"_82":839,"_56":840,"_85":841,"_87":842,"_89":843,"_91":844,"_93":845,"_95":96,"_60":846},"2af828dad33e415caad3221dcc2d8d2e","Threat View from the Lens of Huntress Adversary Tactics: August 2025",[62],[1013,1014,1015],{"_98":99},[905,906,907,908,909,910],{"_190":904,"_192":193,"_194":703,"_187":196},{},{"_126":101,"_98":17},{"_185":903,"_187":840},"Vista de amenazas desde la perspectiva de Huntress Adversary Tactics: agosto de 2025",{"_110":847},"Wed Aug 27 2025 00:00:00 GMT-0400 (Eastern Daylight Time)",{"_100":101,"_102":103,"_104":105,"_106":107,"_98":99,"_108":628},"august-2025",{"_98":99},[62],[848,849,850,851,852,853],{"_117":889,"_119":890,"_121":683,"_122":684},{"_117":883,"_119":884,"_121":885,"_122":497},{"_117":158,"_119":877,"_121":637,"_122":160},{"_117":145,"_119":872,"_121":873,"_122":485},{"_117":132,"_119":859,"_121":860,"_122":644},{"_117":118,"_119":854,"_121":101,"_122":123},[855,856],{"_126":858,"_106":131,"_660":17,"_129":101},{"_126":857,"_106":464,"_660":17,"_129":101},"

En Black Hat USA 2025, varios miembros del equipo de seguridad de Huntress subieron al escenario para compartir sus conocimientos y experiencia.

Eso incluyó una sesión patrocinada por John Hammond (“Lesser-Known Linux Persistence Mechanisms”). Los asistentes a Black Hat también escucharon a Ben Folland, Robert Knapp, Jonathan Johnson, y más en ¡varias sesiones de teatro en el stand y demos!

$\"\"$

Greg Linares y Yarden Shafir dieron una charla en Sikkerhetsfestivalen sobre The Patch That Wasn't: A Decade of Failure. La charla destacó cómo una falla en las verificaciones de firma de código de Microsoft seguía permitiendo que código malicioso se ejecutara a nivel del kernel.

Dado que hemos visto a algunos atacantes traer sus propios drivers vulnerables, esta es una charla oportuna que esperamos traiga cambios concretos por parte de Microsoft.

$\"\"$

","

$\"\"$

Nuestro episodio de Tradecraft Tuesday de agosto se centró en la dark web donde John Hammond y Dave Kleinatland de Huntress exploraron foros clandestinos populares, mercados y sitios de filtración de datos de ransomware.

",[861,862,863,864,865],"

Aunque no es un producto directo del equipo de Adversary Tactics, nos gustaría destacar algunas nuevas capacidades geniales que nuestros socios en Product Research y Product han lanzado para complicarle la vida a los atacantes. No podemos esperar para comenzar a usar estos datos y ampliar nuestra comprensión de los actores de amenazas que enfrentan nuestros clientes.

",{"_126":871,"_106":482,"_129":101},{"_126":870,"_106":480,"_129":101},{"_126":869,"_106":478,"_129":101},{"_126":868,"_106":476,"_129":101},{"_126":866,"_106":867,"_129":101},"

Las mejoras a la Huntress Platform optimizan la experiencia general para los partners y fortalecen las bases del producto.

Actualizamos los reportes de incidente para darles a los partners y clientes visibilidad sobre el historial completo del reporte de incidente. Si el Huntress SOC actualiza los informes, el más reciente siempre aparece arriba, seguido de los informes anteriores. Un registro de errores y opciones de reintento más sólidos de cara al cliente para las integraciones con PSA reducen la carga de soporte y facilitan la depuración, lo que agiliza la resolución de problemas.

","Plataforma","

Huntress Security Awareness Training (SAT) continúa evolucionando para preparar mejor a los usuarios contra ataques sofisticados de ingeniería social.

Presentamos un nuevo escenario de phishing FileFix para exponer a los alumnos a tácticas de vanguardia, junto con el correspondiente Phishing Defense Coaching. También lanzamos un nuevo episodio de smishing para abordar las amenazas emergentes basadas en dispositivos móviles.

Managed SAT habilitó Learner Aliases para usar los ID inmutables de los alumnos en lugar de su dirección de correo electrónico como ID principal. Esto permite un mejor soporte para los cambios de dirección de correo electrónico y garantiza que los alumnos de SAT puedan presentar de forma adecuada un informe de phishing desde un alias asociado a su cuenta.

","

Huntress SIEM sigue demostrando su eficacia en la detección temprana de amenazas, lo que permite a los clientes identificar y mitigar a los criminales de ransomware y otras amenazas de forma mucho más rápida.

Las mejoras recientes a nuestro pipeline de procesamiento de registros han mejorado la estabilidad, el rendimiento y la observabilidad, lo que garantiza una recopilación de datos confiable y refuerza nuestra capacidad de proteger a los clientes de amenazas en evolución al ofrecer información oportuna y precisa sobre la postura de seguridad.

Para fortalecer aún más estas protecciones, estamos ampliando la cantidad de fuentes de registro compatibles dentro de nuestro SIEM. Al ampliar nuestras integraciones, permitimos que los equipos de seguridad centralicen aún más datos en sus entornos, lo que les brinda mayor visibilidad, correlación más rápida de eventos y mayor flexibilidad para cumplir con las necesidades tanto de seguridad como de cumplimiento normativo.

","

El equipo de producto sigue enfocándose en inversiones arquitectónicas a largo plazo para abordar el flujo de datos, lo que subraya un compromiso con una protección de identidad sólida y escalable, fundamental para prevenir el movimiento lateral y la escalada de privilegios por parte de los atacantes.

","

La Beta abierta de EDR para Linux comenzó el 19 de agosto, lo que marca una expansión significativa de las capacidades de protección de endpoints de Huntress a un sistema operativo crítico. 🎉 Esta nueva funcionalidad cuenta con el respaldo de los mismos flujos de trabajo del SOC que Windows y macOS, y ofrece visibilidad y control fundamentales sobre los entornos Linux, un objetivo común de los atacantes. Pruébalo gratis hoy y descubre qué puntos de apoyo sospechosos y GTFOBins están usando los hackers en tu entorno.

El lanzamiento general de Tamper Protection para macOS mejora la resiliencia y la capacidad de gestión general de las implementaciones de EDR, y aborda directamente el desafío de los atacantes que intentan desinstalar agentes para crear puntos ciegos. Tamper Protection para macOS protege la app de Huntress, la extensión del sistema de Huntress y otros archivos importantes de Huntress contra eliminación, movimiento o cambio de nombre (cualquiera de estas acciones podría interrumpir el servicio).

También facilitamos ver configuraciones conflictivas del firewall de Windows que podrían provocar que el firewall se habilite o deshabilite accidentalmente, y simplificamos la gestión de exclusiones de antivirus al introducir una función de eliminación masiva.

",[874],"

Para quienes no estén familiarizados, las “Rapid Responses” surgen cuando hay una vulnerabilidad o amenaza que los atacantes aprovechan para escalar sus ataques a mayor escala. Cuando nos enteramos de una posible vulnerabilidad, el equipo de Adversary Tactics trabaja en toda Huntress para determinar el impacto potencial, actualizar a nuestros clientes y publicar un blog para la comunidad de seguridad con todos los detalles necesarios de la actividad de amenaza. Aquí hay un ejemplo de una Rapid Response que manejamos el mes pasado:

",{"_126":875,"_106":663,"_660":99,"_129":876},"

En un incidente ocurrido entre finales de julio y mediados de agosto, encontramos múltiples intrusiones activas de ransomware Akira que explotaban dispositivos SonicWall. SonicWall dijo con alta confianza que la actividad de amenaza no está conectada con una falla de tipo zero-day. Creen que está relacionada con CVE-2024-40766, una falla de control de acceso inadecuado, publicada por primera vez en agosto de 2024, que puede provocar \"acceso no autorizado a recursos\".

Nuestra publicación de blog de Rapid Response sobre esta actividad de amenaza compartió los IoC, los tipos de TTPs que observamos, y evidencia de los actores de amenazas que apuntaban a firewalls SonicWall con SSL VPN habilitada antes de desplegar el ransomware Akira. En algunos incidentes, los actores de amenazas obtuvieron acceso administrativo de inmediato aprovechando una cuenta de LDAP o de servicio con privilegios excesivos usada por el propio dispositivo SonicWall (por ejemplo, sonicwall, LDAPAdmin).

Mientras tanto, en una serie de actualizaciones, SonicWall dijo que muchos de los incidentes parecen estar relacionados con migraciones de firewalls de la Gen 6 a la Gen 7, donde las contraseñas de usuarios locales se transfirieron durante las migraciones y no se restablecieron después. SonicWall recomendó a los usuarios restablecer todas las contraseñas de cuentas de usuario local para cualquier cuenta con acceso SSL VPN (especialmente si se transfirieron durante la migración de Gen 6 a Gen 7). En la actualización más reciente sobre las cuentas LDAP usadas en los incidentes, SonicWall dijo:

\"La recomendación sobre la contraseña de cuenta de usuario local no aplica a usuarios LDAP/RADIUS generados automáticamente o duplicados localmente. SonicOS no almacena las contraseñas de estos usuarios. Solo si se ha establecido una contraseña para un usuario en la interfaz de administración del firewall, se considera un usuario local\".

Seguimos publicando actualizaciones durante todo agosto, incluido el uso por parte de los actores de Akira de dos controladores legítimos de Windows—rwdrv.sys y hlpdrv.sys—en ataques BYOVD , con el objetivo final de evadir o desactivar herramientas de seguridad.

","

Continuamos rastreando esta amenaza y trabajando con otras empresas para mantenernos al tanto de toda la información relevante. Jamie Levy, del equipo de Adversary Tactics, también se unió al podcast The CyberCall de Right of Boom, junto con el VP de ThreatOps de SonicWall, para hablar sobre esta serie de incidentes y responder preguntas sobre el aumento de explotaciones.

$\"\"$ Jamie Levy de Huntress se une a The CyberCall para hablar sobre la reciente explotación de VPN de SonicWall

",[878,879],{"_126":882,"_106":670,"_660":17,"_129":101},{"_126":880,"_106":881,"_660":17,"_129":101},"

Informes recientes apuntan a un mayor uso de herramientas “EDR killer” por parte de grupos de ransomware. Herramientas como “EDRKillShifter” de RansomHub no son nuevas: se han usado durante los últimos años para deshabilitar EDR, generalmente mediante ataques Bring Your Own Vulnerable Driver (BYOVD). Varios grupos de ransomware han estado usando una nueva herramienta EDR killer para atacar a proveedores como Sophos, Microsoft Defender, Kaspersky, Symantec, Trend Micro y SentinelOne.

Esta última herramienta usa un binario ofuscado que se autodecodifica en tiempo de ejecución. Busca un controlador firmado digitalmente (con un certificado robado o vencido) antes de cargar el controlador malicioso en el kernel. Esto permite a los atacantes eludir el EDR al obtener los privilegios de kernel necesarios para deshabilitar los productos de seguridad.

En Huntress, hemos estado rastreando estas estrategias de los atacantes desde hace tiempo. Contamos con funciones integradas como protección contra manipulación para ayudar a mitigar herramientas EDR killer anteriores usadas por atacantes. Además, al detectar al atacante en las primeras etapas del ataque, antes de que pueda usar una de estas herramientas EDR killer, Huntress resuelve este problema de raíz.

$\"\"$

","Herramientas “EDR killer”: lo que estamos viendo","

Interpol llevó a cabo una operación masiva de desmantelamiento en África que abarcó más de 15 países y condujo al arresto de más de 1.200 criminales. La Operación Serengeti 2.0, una continuación de una operación que comenzó inicialmente en septiembre de 2024, resalta la tendencia de las autoridades de desmantelar la infraestructura y los componentes financieros que alimentan el cibercrimen. La operación se ejecutó conjuntamente con autoridades del Reino Unido para arrestar a operadores de ransomware que trabajaban con estos criminales en África, así como a ciudadanos chinos.

Se destaca que este ataque impacta directamente a los grupos Bl00dy y RansomHub que parecen lavar partes de su criptomoneda a través de elementos y personal ubicados en Ghana y Seychelles, respectivamente.

$\"\"$ Un diagrama de flujo de distribución de los servicios de lavado del grupo de ransomware Bl00dy en Ghana

La impresionante lista de desmantelamiento de esta campaña incluye 25 centros de minería de criptomoneda, que se usaban para validar fraudulentamente transacciones en la blockchain. Las autoridades retiraron 45 estaciones de energía ilegales, que alimentaban estos centros de minería.

$\"\"$ Una estación de energía ilegal en Angola que alimentaba centros fraudulentos de minería de criptomoneda

Además, Serengeti 2.0 interrumpió múltiples estafas por correo electrónico. Se recuperaron con éxito más de $97 millones para 11.432 víctimas de fraude de herencia por correo electrónico.

","https://images.huntress.com/asset/file/3975d45a6b0c42dc8f97bb494f726f8b",[886],"

Nuestro equipo de Hunting & Tactical Response se desarrolló como una función independiente dentro de nuestro SOC para profundizar en las intrusiones y responder preguntas de los partners fuera del alcance de las operaciones del SOC de 24x7. Cumple con el punto ideal entre una oferta estándar de MDR y una respuesta a incidentes más intensiva y formal. Los hallazgos de nuestro Tactical Response también nos dan muchas pistas sobre cómo se desarrollan las intrusiones.

",{"_126":887,"_106":888,"_660":17,"_129":101},"

Anton Ovrutsky publicó un video explicativo de un incidente que desglosa cómo un actor de amenazas usó una instancia de RDP expuesta para implementar ransomware. Mira el video aquí.

$\"\"$ El último video explicativo de incidentes del SOC de Tactical Response

","Recorrido de un incidente del SOC","https://cdn.builder.io/api/v1/image/assets%2F56539a05dc944fe088e47bb383845dd1%2F840047b3f71e4cdfb3c133607bf1c679",[891,892,893],{"_126":900,"_106":901,"_660":99,"_129":902},{"_126":897,"_106":898,"_660":99,"_129":899},{"_126":894,"_106":895,"_660":99,"_129":896},"\n

En una serie de ataques independientes durante el último mes, hemos visto a actores de amenazas afiliados al ransomware Akira tomar medidas para borrar los registros de eventos de Windows, lo que limita significativamente los datos disponibles para detecciones, auditorías, investigaciones y más. Esto incluye incidentes en los que vimos a Akira vinculado a los recientes ataques a VPN de SonicWall.

Los incidentes usaron un comando con el argumento -dellog, que activa el siguiente comando de PowerShell para borrar los registros de eventos:

powershell.exe -ep bypass -Command \"Get-WinEvent -ListLog * | where { $_.RecordCount } | ForEach-Object -Process{ [System.Diagnostics.Eventing.Reader.EventLogSession]::GlobalSession.ClearLog($_.LogName) }\"

","Akira borra los registros de eventos de Windows","

Los actores de ransomware siguen usando tácticas que evaden la detección y retrasan las investigaciones. Aunque borrar los registros de eventos de Windows no es una técnica novedosa ni única, es importante que los defensores entiendan cómo se usa en incidentes recientes relacionados con Akira.

","

Recientemente comenzamos a ver una variante más reciente de ransomware llamada KawaLocker (también conocida como KAWA4096). Según el análisis de SpiderLabs de TrustWave equipo, que descubrió inicialmente la amenaza, KawaLocker debutó por primera vez en junio de 2025.

Vimos por primera vez el ransomware Kawalocker el 8 de agosto. Durante el incidente, el actor de amenazas:

Accedió al endpoint de la víctima a través del protocolo de escritorio remoto (RDP) usando una cuenta comprometida
Implementó HRSword e instaló los controladores de kernel sysdiag.sys y hrwfpdr.sys, que buscaban deshabilitar las herramientas de seguridad
Implementó el ransomware KawaLocker mediante el siguiente comando: e.exe -d=\"E:\\\\\"

$\"\"$ Nota de rescate de KawaLocker observada en incidentes

","Ransomware Kawalocker","

En los últimos meses, hemos visto varias variantes emergentes de ransomware, como Cephalus y Crux. Cuando detectamos variantes más nuevas en la ruta de ataque, detallamos los comandos específicos y los indicadores de compromiso (IoC) para ayudar a la comunidad de seguridad a rastrear mejor estas amenazas. Puedes leer el desglose completo del ataque que incluyó al ransomware KawaLocker aquí.

","

El 13 de agosto, nuestro SOC respondió a un ataque de ransomware que involucraba carga lateral de bibliotecas de enlace dinámico (DLL) a través de un binario legítimo de SentinelOne. La carga lateral de DLL es una técnica de evasión de detección que consiste en ejecutar código malicioso a través de ejecutables firmados. Debido a que involucra ejecutables confiables, ayuda a los actores de amenazas a evadir las soluciones de seguridad. En el incidente, vimos que el actor de amenazas cargó SentinelAgentCore.dll desde SentinelBrowserNativeHost.exe. La DLL luego cargó data.bin, que contenía el código real del ransomware. El atacante usó el protocolo de escritorio remoto (RDP) como vector de acceso inicial. También ejecutó una serie de comandos para crear exclusiones de Microsoft Defender para varias rutas de archivos (C:\\Windows\\System32\\svchost.exe y C:\\Windows\\Temp) y extensiones de archivo (.dat, .sss, .cache, y .tmp), en un intento de evitar la detección. La nota de rescate vinculó el ataque con una variante de ransomware llamada Cephalus, que detallamos recientemente en una publicación del blog.

$\"\"$ Nota de rescate de Cephalus observada en ataques

","Ransomware Cephalus: sideloading de DLL mediante binario legítimo de SentinelOne","

Hemos visto rutas similares de sideloading de DLL (específicamente combinando SentinelAgentCore.dll y SentinelBrowserNativeHost.exe) en otros incidentes. Entender a fondo la ruta de ataque del ransomware Cephalus es clave para una detección y respuesta rápidas antes de que cifren tus archivos.

","Huntress Adversary Tactics cubre las amenazas de agosto de 2025, incluyendo el ransomware Cephalus y Kawalocker, exploits activos de VPN de SonicWall, y herramientas para eliminar EDR rastreadas por el SOC.",{"_197":198,"_199":200,"_108":201},{"_207":995},{"_207":977},{"_207":959},{"_207":943},{"_207":927},{"_207":911},{"_209":210,"_54":711,"_32":212,"_213":912},{"_215":713,"_217":714,"_34":913,"_220":714,"_222":914,"_54":711,"_224":225,"_226":717,"_228":225,"_229":915,"_231":232,"_56":719,"_234":234,"_235":916,"_237":917,"_288":17,"_239":240,"_241":918,"_58":59,"_60":919},{"_249":250,"_253":920,"_255":725,"_259":726,"_82":921,"_56":719,"_262":728,"_264":729,"_91":730,"_60":922},[],{},[],"6ctc890r15",{},[62],[923,924],{"_185":732,"_307":17,"_308":17,"_187":733},[62],{"_271":926},{"_271":925},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":211,"_32":212,"_213":928},{"_215":216,"_217":218,"_34":929,"_220":221,"_222":930,"_54":211,"_224":225,"_226":227,"_228":225,"_229":931,"_231":232,"_56":233,"_234":234,"_235":932,"_237":933,"_239":240,"_241":934,"_58":59,"_60":935},{"_63":244,"_245":246,"_247":248,"_249":250,"_251":252,"_253":936,"_255":256,"_257":258,"_259":260,"_82":937,"_56":233,"_262":263,"_264":265,"_91":266,"_60":938},[],{},[],"opt7litvq5r",{},[62],[939,940],{"_185":268,"_187":233},[62],{"_271":942},{"_271":941},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":277,"_32":212,"_213":944},{"_215":279,"_217":280,"_34":945,"_220":280,"_222":946,"_54":277,"_224":225,"_226":283,"_228":225,"_229":947,"_231":232,"_56":285,"_234":234,"_235":948,"_237":949,"_288":17,"_239":240,"_241":950,"_58":59,"_60":951},{"_245":291,"_247":292,"_251":293,"_253":952,"_255":295,"_257":296,"_82":953,"_56":285,"_298":299,"_262":300,"_264":301,"_91":302,"_60":954,"_304":305},[],{},[],"fsh48sr2js",{},[62],[955,956],{"_185":306,"_307":17,"_308":17,"_187":309},[62],{"_271":958},{"_271":957},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":316,"_32":212,"_213":960},{"_215":279,"_217":318,"_34":961,"_220":318,"_222":962,"_54":316,"_224":225,"_226":321,"_228":225,"_229":963,"_231":232,"_56":323,"_234":234,"_235":964,"_237":965,"_239":240,"_241":966,"_58":59,"_60":967},{"_245":328,"_247":329,"_249":250,"_251":330,"_253":968,"_255":332,"_257":333,"_259":334,"_82":969,"_56":323,"_298":336,"_262":337,"_264":338,"_91":339,"_60":970,"_304":341},[],{},[],"tkwuhnjwtt",{},[62],[971,972,973],{"_185":342,"_307":17,"_308":17,"_187":343},[62],{"_271":976},{"_271":975},{"_271":974},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":351,"_32":212,"_213":978},{"_215":353,"_217":354,"_34":979,"_220":354,"_222":980,"_54":351,"_224":225,"_226":357,"_228":225,"_229":981,"_231":232,"_56":359,"_234":234,"_235":982,"_237":983,"_239":240,"_241":984,"_58":59,"_60":985},{"_245":364,"_247":365,"_249":250,"_251":366,"_253":986,"_368":369,"_255":370,"_257":371,"_259":372,"_82":987,"_56":359,"_298":374,"_262":375,"_264":376,"_91":377,"_60":988,"_304":379},[],{},[],"w8fnyh6oz98",{},[62],[989,990,991],{"_185":380,"_307":17,"_308":17,"_187":381},[62],{"_271":994},{"_271":993},{"_271":992},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":389,"_32":212,"_213":996},{"_215":353,"_217":391,"_34":997,"_220":391,"_222":998,"_54":389,"_224":225,"_226":394,"_228":225,"_229":999,"_231":232,"_56":396,"_234":234,"_235":1000,"_237":1001,"_288":17,"_239":240,"_241":1002,"_58":59,"_60":1003},{"_245":401,"_247":402,"_249":250,"_251":403,"_253":1004,"_255":405,"_257":406,"_259":407,"_82":1005,"_56":396,"_298":409,"_262":410,"_264":411,"_91":412,"_413":414,"_60":1006},[],{},[],"toa3mqwt5v",{},[62],[1007,1008,1009],{"_185":416,"_307":17,"_308":17,"_187":417},[62],{"_271":1012},{"_271":1011},{"_271":1010},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_429":431,"_427":432},{"_429":430,"_427":828},{"_427":1016},"Agosto de 2025",{"_63":64,"_65":1021,"_67":1022,"_69":1023,"_71":1024,"_73":1025,"_79":1026,"_82":1027,"_56":1028,"_85":1029,"_87":1030,"_89":1031,"_91":1032,"_93":1033,"_95":96,"_60":1034},"d354cd4a2b904ce1b5f0d6222a8c4ce1","Threat View from the Lens of Huntress Adversary Tactics: September 2025",[62],[1257,1258,1259],{"_98":99},[1102,1103,1104,1105,1106,1107],{"_190":1100,"_192":193,"_194":195,"_187":196},{},{"_126":101,"_98":17},{"_185":1099,"_187":1028},"Vista de amenazas desde la perspectiva de Huntress Adversary Tactics: septiembre de 2025",{"_110":1036},"Mon Sep 01 2025 00:00:00 GMT-0400 (Eastern Daylight Time)",{"_100":101,"_102":103,"_104":105,"_106":107,"_98":99,"_108":1035},"september-2025",{"_98":99},[62],"

Nuestra plataforma combina un conjunto de potentes herramientas de detección y respuesta administradas para endpoints e identidades de Microsoft 365, security awareness training respaldado por la ciencia, y la experiencia de el centro de operaciones de seguridad (SOC) de Huntress disponible 24/7.

",[1037,1038,1039,1040,1041,1042],{"_117":1085,"_119":1086,"_121":683,"_122":173},{"_117":883,"_119":1077,"_121":1078,"_122":497},{"_117":158,"_119":1066,"_121":637,"_122":160},{"_117":145,"_119":1061,"_121":1062,"_122":148},{"_117":132,"_119":1048,"_121":1049,"_122":135},{"_117":118,"_119":1043,"_121":101,"_122":123},[1044,1045],{"_126":1047,"_106":131,"_129":101},{"_126":1046,"_106":464,"_660":17,"_129":101},"

John Hammond apareció en un segmento de ABC News Nightline este mes (comenzando alrededor del minuto 2:52 en el video enlazado) para hablar de los aspectos de ingeniería social detrás de las “estafas de abuelos”. El segmento cubrió cómo funcionan estas estafas y su impacto en las víctimas.

$\"\"$

","

$\"\"$

En el episodio de Tradecraft Tuesday de este mes–The Craftiest Trends, Scams, and Tradecraft of 2025 (So Far)– John Hammond y Greg Linares analizaron los principales tipos de Tradecraft engañoso que los actores de amenazas usan para atacar a las empresas, desde ClickFix hasta deepfakes.

No te pierdas nuestro Tradecraft Tuesday el próximo mes. Nuestro próximo episodio, \"The Dangers You Don’t See: Threats Hiding in Your Network\", abordará las principales amenazas que nuestro SOC ha visto en el terreno este año hasta ahora. Asegura tu lugar ahora

",[1050,1051,1052,1053,1054],"

Aunque no es un producto directo del equipo de Adversary Tactics, queremos destacar algunas funciones nuevas e impresionantes que nuestros compañeros de Product Research y Product lanzaron para complicarles las cosas a los atacantes. No podemos esperar para empezar a usar estos datos y ampliar nuestra comprensión de los actores de amenazas que enfrentan nuestros clientes.

",{"_126":1060,"_106":482,"_660":17,"_129":101},{"_126":1059,"_106":480,"_660":17,"_129":101},{"_126":1058,"_106":478,"_660":17,"_129":101},{"_126":1057,"_106":476,"_660":17,"_129":101},{"_126":1055,"_106":1056,"_129":101},"

Las mejoras en la Huntress Platform refuerzan la experiencia general para los socios y clientes, y fortalecen la base del producto. El mes tuvo varios nuevos lanzamientos del Portal, incluyendo el lanzamiento de documentación de API nueva y mejorada.

","Huntress Platform","

Huntress Security Awareness Training (SAT) sigue evolucionando para preparar mejor a los usuarios contra ataques de ingeniería social sofisticados.

Huntress publicó un nuevo informe de investigación: Mind the (Security) Gap: SAT in 2025. El informe encuestó a 500 administradores y usuarios de soluciones de SAT en todo el mercado para analizar si las organizaciones realmente obtienen los resultados que necesitan con su creciente inversión en SAT. El resultado: las percepciones no equivalen a la realidad.

","

Huntress SIEM sigue demostrando su valor en la detección temprana de amenazas, ayudando a los clientes a detectar y detener a los operadores de ransomware y otros adversarios mucho más rápido.

Este mes, el equipo agregó y amplió capacidades con soporte TCP para la recolección de syslog, lo que permite que una gama más amplia de fuentes envíen datos directamente al SIEM. Aún mejor, nuestras 10 nuevas detecciones de fuerza bruta ya están activas, brindando nuevos conocimientos a nuestro SOC y fortaleciendo nuestra capacidad de respuesta rápida.

Y para quienes usan SentinelOne, nos complace compartir que nuestra integración con SentinelOne ya está activa y disponible de forma general, facilitando aún más extender la protección y visibilidad en todo tu entorno.

","

Managed ITDR ahora detecta inicios de sesión desde centros de datos maliciosos conocidos bajo su capacidad de Acceso No Deseado. Aunque estamos familiarizados con la detección de ubicaciones anómalas y VPNs con Acceso No Deseado, notamos que los actores de amenazas están usando cada vez más infraestructura de centros de datos para evadir ambos: ¡ahora tenemos la mira puesta en este tradecraft en evolución! Anteriormente, los inicios de sesión desde centros de datos se consideraban ubicaciones. Esta nueva función nos permite categorizar estos inicios de sesión de manera más específica como centros de datos, y no como ubicaciones. Hasta ahora, el 70% de las señales que hemos obtenido de nuestros detectores de inicio de sesión maliciosos en centros de datos no tienen una señal de Acceso No Deseado correspondiente (por ejemplo, secuestro de sesión, robo de credenciales). ¡Esto demuestra cuánto más estamos detectando con los inicios de sesión maliciosos en centros de datos!

Este mes, Erin Meyers y Dave Kleinatland también analizaron los mitos más comunes sobre Microsoft 365 y la seguridad de identidad, en una entrada de blog que puedes leer aquí.

","

Nuestro agente de Windows logró varias victorias contra Akira este mes. Nuestra capacidad de detección de ransomware en el agente mostró la capacidad de detectar el ransomware Akira 8 minutos y 33 segundos antes de lo que era posible anteriormente. Además, detuvimos a Akira con éxito durante varios incidentes, incluido un ataque en el que los bloqueamos durante la fase de enumeración, y otro en el que los identificamos en la etapa más temprana de su ruta de ataque.

La Protección contra manipulaciones de macOS ya está activa en el 90% de los endpoints elegibles. Además, este mes vimos el lanzamiento del Agente de macOS 0.14.84, que introduce telemetría basada en archivos en macOS. Esto significa que nuestros equipos de Investigación de Productos e ingeniería de detección pueden crear reglas de detección basadas en la creación de archivos en endpoints de macOS. Esto nos ayudará a detectar actividad maliciosa antes y entender mejor otros tipos de tácticas.

Por último, el equipo de EDR encontró nuestro primer incidente de Linux hace unas semanas durante la etapa de beta abierta 🎊 El equipo detectó actividad de reconocimiento en un endpoint de Linux (específicamente cuando un usuario ejecutó un getcap recursivo contra el directorio raíz). Resultó que el comportamiento provino de un probador en un socio. ¡Esta es una gran victoria para nuestro agente de Linux!

$\"\"$ Reporte de incidente para una detección de EDR en Linux

",[1063],"

Para quienes no estén familiarizados, las \"Rapid Responses\" se activan cuando hay una vulnerabilidad o amenaza que los atacantes aprovechan para escalar sus ataques a gran escala. Cuando nos enteramos de una posible vulnerabilidad, el equipo de Adversary Tactics trabaja en todo Huntress para determinar el posible impacto, actualizar a nuestros clientes y publicar un blog para la comunidad de seguridad con todos los detalles necesarios sobre la actividad de amenaza. Aquí hay un ejemplo de una Rapid Response que manejamos el último mes:

",{"_126":1064,"_106":1065,"_660":17,"_129":101},"

Durante el verano, iniciamos una Respuesta Rápida después de que un actor de amenazas instaló un Huntress Agent en su máquina operativa, lo que nos dio visibilidad sobre sus operaciones. En septiembre, publicamos una entrada de blog sobre nuestros hallazgos de ese incidente.

\n\n

$\"\"$

Si bien muchas personas vieron el valor de publicar información que daba una visibilidad detallada de cómo opera un atacante a diario, curiosamente, la entrada del blog también generó cierta controversia, incluyendo preguntas sobre la telemetría que recopilan los productos EDR y cómo usamos los datos en las investigaciones. Esto nos dio la oportunidad de interactuar con la comunidad para separar los hechos de los malentendidos, a través de:

Una entrevista en video entre John Hammond y Tib3rius
Una entrada de blog de seguimiento que explicó qué es Managed EDR, cómo Huntress realiza investigaciones y el valor de este tipo de investigaciones para las empresas

","Blog de instalación del Agent por actor de amenazas",[1067,1068,1069,1070],{"_126":1076,"_106":670,"_660":17,"_129":101},{"_126":1075,"_106":165,"_660":17,"_129":101},{"_126":1073,"_106":1074,"_660":17,"_129":101},{"_126":1071,"_106":1072,"_660":17,"_129":101},"

Recientemente se publicó una nueva prueba de concepto (PoC) para una técnica de evasión de defensas llamada EDR-Freeze. Según nuestras pruebas, el Huntress Agent no se ve afectado por EDR-Freeze.

La técnica involucra un componente dentro del marco de Windows Error Reporting (WER) llamado WerFaultSecure, que se ejecuta con privilegios de proceso ligero protegido (PPL) y recopila volcados de memoria de procesos del sistema con fines de diagnóstico. La PoC usa WerFaultSecure para activar una API llamada MiniDumpWriteDump, que crea una instantánea de la memoria y el estado de un proceso. Cuando MiniDumpWriteDump toma esa instantánea, suspende temporalmente los procesos objetivo antes de reanudarlos después. Sin embargo, esta PoC suspende al propio MiniDumpWriteDump, lo que puede mantener los procesos vinculados al EDR o antivirus en ese estado “congelado” de forma indefinida.

Es importante señalar aquí que esta táctica permite la evasión de defensas, pero no es una técnica de acceso inicial. Los atacantes primero deben tener acceso al equipo objetivo, obtener la capacidad de ejecutar código localmente y conseguir privilegios elevados suficientes para manipular procesos protegidos. Si ese objetivo tiene EDR instalado, las detecciones están implementadas y se ajustan constantemente para identificar estos distintos puntos a lo largo de la cadena de ataque.

Para las empresas, EDR-Freeze subraya la importancia de las defensas en capas, las medidas de parcheo priorizadas y la restricción o el bloqueo de herramientas que no son operativamente necesarias en el entorno.

","EDR-Freeze","

SonicWall reveló un ataque a su plataforma MySonicWall.com, que expuso archivos de configuración de firewall de clientes. En un aviso de seguridad, SonicWall indicó que los actores de amenazas accedieron a archivos de preferencias de firewall respaldados en la cloud para menos del 5% de su base instalada de firewalls. Las credenciales en los archivos estaban cifradas, pero los archivos también incluían información que podría facilitar a los atacantes la explotación del firewall. La actividad se originó a partir de una serie de ataques de fuerza bruta dirigidos a acceder a los archivos almacenados en el respaldo.

SonicWall recomendó que los clientes inicien sesión en sus cuentas de MySonicWall.com y verifiquen si existen respaldos en la cloud para sus firewalls registrados. Si los campos contienen datos de respaldo, los clientes deben verificar si los números de serie afectados aparecen en su cuenta. Si es así, deben seguir las pautas específicas de contención y remediación descritas en el aviso de amenaza.

$\"\"$ Guía de SonicWall sobre cómo verificar los firewalls con archivos de preferencias respaldados en MySonicWall.com

Huntress ha estado en contacto con SonicWall desde nuestra última Respuesta rápida, que involucró una ola de dispositivos SonicWall siendo explotados activamente. Estamos siguiendo de cerca este último incidente de seguridad y lo que significa para nuestros propios clientes que usan productos SonicWall.

","SonicWall expuso archivos de configuración de firewall de clientes","

DragonForce, un grupo de ransomware reciente pero virulento formado por exmiembros de RansomHub, propuso formar un “cártel de ransomware” con LockBit y Qilin en la dark web. Poco después, LockBit pareció aceptar la oferta, lo que permitió a los grupos coordinarse y compartir recursos.

Durante 2025, la competencia de ransomware como servicio (RaaS) ha sido extremadamente volátil. El ascenso y la caída de los grupos ha sido dramático. Los pagos de los grupos han subido aún más para reflejar esto, con LockBit ofreciendo el más alto, un 90%, su nivel máximo.

Con la reciente unificación de DragonForce, LockBit y Qilin, creemos que esto podría generar más esfuerzos coordinados y estrategias de ataque unificadas. Por ejemplo, LockBit, que se cree que tiene una red muy confiable de corredores de acceso inicial, podría compartir ese acceso privilegiado para ayudar a Qilin y DragonForce a obtener acceso a un conjunto más amplio de objetivos. Más importante aún, LockBit ha demostrado que su infraestructura es extremadamente robusta y sigue operando incluso después de intervenciones policiales. Con el último lanzamiento, esta será la quinta reestructuración importante de LockBit. Al ofrecer a los otros grupos acceso a su infraestructura, lavado de dinero y sistemas financieros, podría ayudarlos a ser más resistentes a las intervenciones de las fuerzas del orden.

De manera similar a los cárteles ilícitos en México, el panorama actual del ransomware ha estado enfrentándose entre sí a un ritmo cada vez mayor este año. Grupos como BlackLock han sido atacados por otros grupos, incluido DragonForce. Las conversaciones en la dark web indican que grupos más pequeños también podrían estar buscando unir fuerzas, lo que hace que el panorama sea extremadamente dinámico e impredecible.

","

El 15 de septiembre, el Departamento de Justicia de EE. UU. anunció la captura de Thalha Jubair, un ciudadano del Reino Unido asociado con el grupo de hackers Scattered Spider. Jubair fue atrapado debido a sus malas decisiones de seguridad operacional al manejar pagos de rescate en bitcoin de las víctimas.

Según los informes, accedió a una billetera de criptomoneda que recibió fondos de ransomware para comprar juegos de Steam y pedir comida a través de servicios de entrega. $\"\"$

Además, un video reciente mostró a Jubair siendo supuestamente asaltado por individuos disfrazados de policías, quienes allanaron su residencia unos meses antes de su arresto. Durante ese video, Jubair mencionó a otro cómplice que también está siendo investigado actualmente. Está acusado de un cargo de conspiración para cometer fraude informático, dos cargos de fraude informático, conspiración para cometer fraude electrónico, dos cargos de fraude electrónico y conspiración para lavado de dinero. Si es declarado culpable, enfrenta una pena máxima de 95 años de prisión, una de las penas más altas en la historia del cibercrimen.

Desde su arresto, Scattered Spider se ha mantenido relativamente en silencio, lo que sugiere que el grupo está haciendo control de daños y anticipando más arrestos.

",[1079,1080],"

Nuestro equipo de Hunting & Tactical Response se creó como una función independiente dentro de nuestro SOC para profundizar en las intrusiones y responder preguntas de los partners que están fuera del alcance de las operaciones del SOC 24x7. Ocupa el punto intermedio entre una oferta de MDR estándar y una respuesta a incidentes más intensiva y formal. Nuestros hallazgos de Tactical Response también nos dan muchas pistas sobre cómo se desarrollan las intrusiones.

",{"_126":1083,"_106":1084,"_660":17,"_129":101},{"_126":1081,"_106":1082,"_660":17,"_129":101},"

SANS publicó las nominaciones para sus premios Difference Makers Awards, y nuestro SOC dominó la lista! Dray Agha, Jai Minton, y Anton Ovrutsky están nominados en la categoría Practitioner of the Year - DFIR/Threat Intelligence Forensicators, mientras que Anna Pham está nominada en la categoría Practitioner of the Year - Cyber Defender. Huntress está nominada como Cybersecurity Company of the Year (Empresa de ciberseguridad del año). ¡Felicidades a todos nuestros nominados! Asegúrate de votar antes del 8 de octubre!

$\"\"$ Huntress dominó los premios SANS Difference Makers Awards de este año

","Premios SANS Difference Makers","

El equipo de Hunting & Tactical Response ha trabajado incansablemente tras bambalinas este año en búsquedas de amenazas exhaustivas sobre telemetría relacionada con procesos, en estrecha colaboración con los analistas de Triage and Analysis. Aquí tienes algunos ejemplos de logros importantes de la primera mitad del año:

Exponer a actores de amenazas que explotaban fallas en productos de CrushFTP, Gladinet y Ajax Pro, y abusaban de CAPTCHAs falsos
Proteger a los partners contra estafadores de soporte técnico
Identificar y nombrar varias familias de malware, incluyendo el loader Octowave

","Muchos logros en el primer semestre de 2025","https://cdn.builder.io/api/v1/image/assets%2F56539a05dc944fe088e47bb383845dd1%2F44e1a35cdf8d4eebb45ad379a7625812",[1087,1088,1089],{"_126":1096,"_106":1097,"_660":99,"_129":1098},{"_126":1093,"_106":1094,"_660":99,"_129":1095},{"_126":1090,"_106":1091,"_660":99,"_129":1092},"

A principios de este mes, nuestro SOC encontró una técnica de ingeniería social con un giro particular: un commit malicioso en un repositorio de GitHub que simulaba ofrecer el cliente GitHub Desktop, pero que en realidad instalaba un troyano. Este troyano luego ejecutaba el malware infostealer Lumma Stealer.

En el ataque, el actor de amenazas usó un anuncio de Microsoft Bing para dirigir a los usuarios a un commit malicioso. Un commit registra todos los cambios hechos a un proyecto; en este caso, los atacantes crearon un commit en un repositorio legítimo de GitHub. Este enlace del commit se incrustó luego en el anuncio, haciéndolo parecer inofensivo. Aunque GitHub advierte que el commit no pertenece a ninguna marca del repositorio, los usuarios desprevenidos podrían no notarlo o entender lo que significa. Visitarían el enlace al commit malicioso y lo descargarían desde github-desktop[.]com, como hizo la víctima en este incidente.

$\"\"$ Advertencia de GitHub de que el commit no pertenece a la rama del repositorio

","Repositorio malicioso de GitHub distribuye un troyano","

Aunque esta es la primera vez que nuestro SOC se encuentra con esto, otros proveedores han reportado ver la misma técnica. Los actores de amenazas se aprovechan de la confianza de las víctimas en el reconocimiento de marca de GitHub, sin importar la advertencia que reciban previamente. La concientización de los usuarios sobre este vector de ataque es clave aquí.

","

Un incidente en una empresa de construcción el 31 de agosto reveló cómo los actores de amenazas intentan continuamente ampliar el impacto de sus ataques de ransomware. El incidente, vinculado a un afiliado de Play ransomware, usó una herramienta personalizada llamada GoGo.exe (renombrada de ps_bulk.exe). En este incidente, vimos a los actores de amenazas usar la herramienta con un enfoque similar a PSExec para propagar múltiples ejecutables con nombres aleatorios a otros endpoints de la red. Al ejecutarse, la herramienta se usa para consultar Active Directory y encontrar todos los equipos en el dominio corporativo antes de usar credenciales de administrador para implementar cargas maliciosas.

Esto es lo demás que ocurrió durante este ataque:

El actor de amenazas accedió al endpoint mediante protocolo de escritorio remoto (RDP)
El atacante usó varias herramientas nativas, como mmc.exe, y borró los registros de eventos de Windows
Los archivos se cifraron con la extensión .play
El actor de amenazas intentó desinstalar el agente de Huntress mediante C:\\Program Files\\Huntress\\Uninstall.exe

$\"\"$ Actores de amenazas intentando desinstalar el agente de Huntress

","Afiliado de Play ransomware ataca varios endpoints con una herramienta personalizada","

El uso de GoGo.exe muestra cómo los actores de amenazas intentan acelerar sus ataques e intensificar su impacto. En este caso, el actor de amenazas usó una herramienta personalizada para propagarse rápidamente por la red.

","

A principios de este mes, publicamos un aviso de amenaza sobre Obscura, una nueva variante de ransomware que nuestro SOC vio por primera vez el 29 de agosto. No tuvimos visibilidad del vector de acceso inicial, pero el ejecutable del ransomware se lanzó desde el recurso compartido NETLOGON , lo que le permitió replicarse en los controladores de dominio. Esto les dio a los actores de amenazas un punto de apoyo sigiloso dentro de la organización afectada. Una vez lanzado, Obscura también:

Eliminó las copias de seguridad instantáneas para complicar la remediación
Detectó y terminó 120 procesos distintos para apuntar a aplicaciones de seguridad y bases de datos que podrían dificultar el proceso de cifrado
Cifró archivos con la extensión \".obscura\" y dejó la nota de rescate (README_Obscura.txt)

$\"\"$ Nota de rescate codificada en Base64 siendo decodificada

","Nueva variante de ransomware: Obscura","

Vimos Obscura en un incidente, pero el sitio onion del ransomware afirma tener varias víctimas, incluyendo organizaciones de construcción, bienes raíces y fabricación de maquinaria. Esto indica que los ataques son oportunistas, no dirigidos. Las organizaciones deben monitorear de cerca sus controladores de dominio. Además, hay que estar atento a archivos nuevos o archivos existentes que sean modificados, incluyendo alteraciones en los objetos de política de grupo (GPO).

","El boletín de septiembre de 2025 de Huntress Adversary Tactics cubre la nueva variante de ransomware Obscura, ataques de afiliados de Play ransomware y un troyano malicioso en GitHub, junto con operaciones globales contra el cibercrimen.",{"_197":198,"_199":200,"_108":1101},"Probar Huntress gratis",{"_207":1238},{"_207":1219},{"_207":1200},{"_207":1140},{"_207":1124},{"_207":1108},{"_209":210,"_54":711,"_32":212,"_213":1109},{"_215":713,"_217":714,"_34":1110,"_220":714,"_222":1111,"_54":711,"_224":225,"_226":717,"_228":225,"_229":1112,"_231":232,"_56":719,"_234":234,"_235":1113,"_237":1114,"_288":17,"_239":240,"_241":1115,"_58":59,"_60":1116},{"_249":250,"_253":1117,"_255":725,"_259":726,"_82":1118,"_56":719,"_262":728,"_264":729,"_91":730,"_60":1119},[],{},[],"jeusfr7iln",{},[62],[1120,1121],{"_185":732,"_307":17,"_308":17,"_187":733},[62],{"_271":1123},{"_271":1122},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":211,"_32":212,"_213":1125},{"_215":216,"_217":218,"_34":1126,"_220":221,"_222":1127,"_54":211,"_224":225,"_226":227,"_228":225,"_229":1128,"_231":232,"_56":233,"_234":234,"_235":1129,"_237":1130,"_239":240,"_241":1131,"_58":59,"_60":1132},{"_63":244,"_245":246,"_247":248,"_249":250,"_251":252,"_253":1133,"_255":256,"_257":258,"_259":260,"_82":1134,"_56":233,"_262":263,"_264":265,"_91":266,"_60":1135},[],{},[],"ltsp49tmar",{},[62],[1136,1137],{"_185":268,"_187":233},[62],{"_271":1139},{"_271":1138},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":277,"_32":212,"_213":1141},{"_215":279,"_217":280,"_34":1142,"_220":280,"_222":1143,"_54":277,"_226":283,"_228":225,"_229":1144,"_231":232,"_56":285,"_1145":1146,"_234":234,"_235":1147,"_237":1148,"_288":17,"_239":240,"_241":1149,"_58":59,"_60":1150},{"_245":291,"_247":292,"_251":293,"_253":1151,"_255":295,"_257":296,"_82":1152,"_56":285,"_298":299,"_262":300,"_264":301,"_91":302,"_60":1153,"_304":305},[],{},"priority",-31877.5,[],"mfx5epxpfya",{},[62],[1154,1155],{"_185":306,"_307":17,"_308":17,"_187":309},[62],{"_271":1182},{"_271":1156},{"_209":210,"_54":275,"_32":253,"_213":1157},{"_215":1158,"_217":1159,"_34":1160,"_220":1161,"_222":1162,"_54":275,"_226":1163,"_228":1158,"_229":1164,"_231":1165,"_56":1166,"_234":234,"_235":1167,"_237":1168,"_239":240,"_241":1169,"_58":1170,"_60":1171},"Kz459QsZDzNpORbTSiA9L6WRQc23",1735687100903,{"_56":1166},1735687106464,[],1735687106469,{"_1172":1173,"_1174":99,"_1175":17,"_1176":34,"_1177":101},"8749400659754b178d5088546f7b2f6f","Authors",[],"9uzhsxh5l37",{},"en",[],"breakpoints",{"_1178":1179,"_1180":1181},"hasAutosaves","hasErrors","kind","lastPreviewUrl","medium",1023,"small",478,{"_209":210,"_54":314,"_32":253,"_213":1183},{"_215":1158,"_217":1184,"_34":1185,"_220":1186,"_222":1187,"_54":314,"_226":1188,"_228":1158,"_229":1189,"_231":1165,"_56":1190,"_234":234,"_235":1191,"_237":1192,"_239":240,"_241":1193,"_58":1170,"_60":1194},1742334085525,{"_56":1190},1742334347569,[],1742334347573,{"_1172":1195,"_1174":99,"_1176":34,"_1177":101},"Speakers",[],"fa175auyo4a",{},[],{"_1178":1196,"_1180":1197,"_1198":1199},991,767,"xsmall",479,{"_209":210,"_54":316,"_32":212,"_213":1201},{"_215":279,"_217":318,"_34":1202,"_220":318,"_222":1203,"_54":316,"_224":225,"_226":1204,"_228":225,"_229":1205,"_231":232,"_56":323,"_234":234,"_235":1206,"_237":1207,"_239":240,"_241":1208,"_58":59,"_60":1209},{"_245":328,"_247":329,"_249":250,"_251":330,"_253":1210,"_255":332,"_257":333,"_259":334,"_82":1211,"_56":323,"_298":336,"_262":337,"_264":338,"_91":339,"_60":1212,"_304":341},[],1794039039239,{},[],"f2pwidzbuth",{},[62],[1213,1214,1215],{"_185":342,"_307":17,"_308":17,"_187":343},[62],{"_271":1218},{"_271":1217},{"_271":1216},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":351,"_32":212,"_213":1220},{"_215":353,"_217":354,"_34":1221,"_220":354,"_222":1222,"_54":351,"_224":225,"_226":1223,"_228":225,"_229":1224,"_231":232,"_56":359,"_234":234,"_235":1225,"_237":1226,"_239":240,"_241":1227,"_58":59,"_60":1228},{"_245":364,"_247":365,"_249":250,"_251":366,"_253":1229,"_368":369,"_255":370,"_257":371,"_259":372,"_82":1230,"_56":359,"_298":374,"_262":375,"_264":376,"_91":377,"_60":1231,"_304":379},[],1794039093141,{},[],"v0n9n9tu9gg",{},[62],[1232,1233,1234],{"_185":380,"_307":17,"_308":17,"_187":381},[62],{"_271":1237},{"_271":1236},{"_271":1235},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":389,"_32":212,"_213":1239},{"_215":353,"_217":391,"_34":1240,"_220":391,"_222":1241,"_54":389,"_224":225,"_226":1242,"_228":225,"_229":1243,"_231":232,"_56":396,"_234":234,"_235":1244,"_237":1245,"_288":17,"_239":240,"_241":1246,"_58":59,"_60":1247},{"_245":401,"_247":402,"_249":250,"_251":403,"_253":1248,"_255":405,"_257":406,"_259":407,"_82":1249,"_56":396,"_298":409,"_262":410,"_264":411,"_91":412,"_413":414,"_60":1250},[],1794039050210,{},[],"v2dzd65fchj",{},[62],[1251,1252,1253],{"_185":416,"_307":17,"_308":17,"_187":417},[62],{"_271":1256},{"_271":1255},{"_271":1254},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_429":431,"_427":432},{"_429":430,"_427":184},{"_427":1260},"Septiembre de 2025",{"_63":64,"_65":1265,"_67":1266,"_69":1267,"_71":1268,"_73":1269,"_79":1270,"_82":1271,"_56":1272,"_85":1273,"_87":1274,"_89":1275,"_91":1276,"_93":1277,"_95":96,"_60":1278},"3310d7bd7eb64f65b3ca8103bb2edc68","Threat View from the Lens of Huntress Adversary Tactics: October 2025",[62],[1442,1443,1444],{"_98":99},[1334,1335,1336,1337,1338,1339],{"_190":1333,"_192":193,"_194":195,"_187":196},{},{"_126":101,"_98":17},{"_185":1331,"_187":1332},"Vista de amenazas desde la perspectiva de Huntress Adversary Tactics: octubre de 2025",{"_110":1279},"Fri Oct 31 2025 00:00:00 GMT-0400 (Eastern Daylight Time)",{"_100":101,"_102":103,"_104":105,"_106":107,"_98":99,"_108":109},"october-2025",{"_98":99},[62],[1280,1281,1282,1283,1284,1285],{"_117":1317,"_119":1318,"_121":683,"_122":173},{"_117":883,"_119":1310,"_121":1078,"_122":497},{"_117":158,"_119":1308,"_121":1309,"_122":160},{"_117":145,"_119":1301,"_121":1062,"_122":148},{"_117":132,"_119":1292,"_121":1049,"_122":135},{"_117":118,"_119":1286,"_121":101,"_122":123},[1287,1288],{"_126":1290,"_106":1291,"_660":17,"_129":101},{"_126":1289,"_106":464,"_660":17,"_129":101},"

Este mes, Alden Schmidt y Stuart Ashenbrenner presentaron en Objective by the Sea, la conferencia líder de macOS. Hablaron sobre sus hallazgos sobre BlueNoroff tras una intrusión de Corea del Norte, basados en una investigación y un blog publicado a principios de este año. Puedes ver la charla durante este video en vivo del evento, a partir del minuto 4:21 aproximadamente.

$\"\"$

BSidesNYC también se llevó a cabo este mes. Varias personas de Huntress asistieron, incluyendo a Christina Parry, Adam Rice y John Hammond ¡quien dio la charla principal!

$\"\"$

\n\n","

$\"\"$

John Hammond estuvo acompañado por Chris Myers de CourseStack en el episodio de este mes de Tradecraft Tuesday, donde hablaron de todo lo relacionado con el Huntress CTF: desde cómo comenzó el evento hasta los aspectos destacados del evento CTF de este año hasta ahora. A mitad de camino (al 13 de octubre), el evento tenía 10.821 participantes registrados y 8.681 participantes activos: ¡la mejor asistencia que ha tenido el evento hasta ahora! Puedes ver el episodio completo aquí.

","Tradecraft Tuesday: Huntress Capture the Flag 2025, show de medio tiempo",[1293,1294,1295,1296],{"_126":1300,"_106":482,"_660":17,"_129":101},{"_126":1299,"_106":480,"_129":101},{"_126":1298,"_106":478,"_129":101},{"_126":1297,"_106":476,"_129":101},"

Hay un nuevo episodio de Managed SAT: Economics of Cybercrime, que explora cómo el cibercrimen funciona como un negocio sofisticado, organizado y rentable.

$\"\"$ Un vistazo entre bastidores al diseño de Economics of Cybercrime, del Product Lab de octubre

También presentamos los Threat Simulators from Managed SAT a principios de este año, y a partir de este mes, nuestra tercera simulación, Passwords, ya está en disponibilidad general. Los usuarios de Managed SAT ahora verán esta simulación en el área \"Simulations\" del portal de usuarios.

Además de contenido nuevo, también lanzamos el nuevo botón “Report Phishing” para Outlook, que permite a los usuarios de Outlook usar los botones del panel de tareas y la cinta de opciones para enviar un informe de correos de phishing a Huntress Managed SAT.

","

Huntress Managed SIEM ahora admite nuevas fuentes:

La recopilación de registros de NinjaOne NinjaRMM a través de HTTP Event Collector: los socios ahora pueden usar Huntress para ingerir registros de NinjaOne mediante webhooks directamente desde NinjaOne RMM, lo que brinda valor de cumplimiento y operativo. NinjaOne RMM no es inherentemente una fuente de detección o prevención de amenazas, pero seguimos evaluando sus registros en busca de oportunidades de detección.
Azure Event Hub de Microsoft, que es un servicio de puerta de enlace para enviar registros de aplicaciones y servicios de Azure a terceros. La integración es una conexión basada en API de Huntress a Azure, que permite la recopilación de registros de aplicaciones y servicios de Azure.

También estamos lanzando una nueva interfaz para las configuraciones del registro de eventos de Windows, que busca hacer las configuraciones más intuitivas para las empresas.

","

Durante los últimos meses, Managed ITDR ha realizado varios cambios de detección discretos para mejorar la precisión de detección en Acceso no deseado. Cambios específicos:

Se agregaron varios centros de datos a nuestra lista de “Alto abuso” para la utilización maliciosa de infraestructura de centros de datos
Se agregaron detecciones discretas para inicios de sesión desde dos AS sospechosos
Se corrigió un problema con falsos positivos del detector de robo de tokens de autenticación ocasionados por inicios de sesión de Cloud PC

También lanzamos un Informe de Evaluación de Seguridad de Identidades con marca compartida para socios dirigido a nuestra base de clientes. El Informe de Evaluación de Seguridad de Identidades de Huntress ofrece una visión clara del panorama de identidades dentro de un inquilino de Microsoft 365. Los informes se generan automáticamente una vez que se integra un inquilino y destacan dónde podrían estar ocultos los atacantes, muestran a los usuarios los riesgos que monitoreamos y cualquier incidente que el SOC haya investigado. Los socios ahora pueden personalizar el informe con sus colores y logo, y usar la función para oportunidades de venta cruzada de ITDR en su base de clientes.

","

Detección y reversión de manipulación del Firewall de Windows: ahora detectamos, revertimos y alertamos automáticamente sobre reglas del Firewall de Windows que se escriben contra nuestro Agent de EDR o Windows Defender. Esto ayuda a evitar que actores maliciosos dejen ciego a Huntress ante sus actividades sospechosas.

",[1302,1303],{"_126":1306,"_106":1307,"_660":17,"_129":101},{"_126":1304,"_106":1305,"_660":17,"_129":101},"

El 23 de octubre, Microsoft lanzó una actualización fuera de banda para un error de ejecución remota de código en Windows Server Update Services (WSUS). WSUS es un servicio centralizado de distribución de actualizaciones de Microsoft para administradores de TI.

Poco después, vimos a actores de amenazas apuntando a instancias de WSUS expuestas públicamente en los puertos predeterminados (8530/TCP y 8531/TCP) para explotar la vulnerabilidad de deserialización a través de AuthorizationCookie (CVE-2025-59287).

$\"\"$ Árbol de procesos para la actividad de explotación de CVE-2025-59287

Vimos actividad de explotación en cuatro clientes, pero esperamos que la explotación de CVE-2025-59287 sea limitada, porque WSUS no suele exponer los puertos 8530 y 8531. En nuestra base de socios, hemos observado alrededor de 25 endpoints susceptibles a esta falla. Las organizaciones deben aplicar los parches disponibles para WSUS y aislar el acceso de red a WSUS.

Enviamos notificaciones a nuestra base de clientes sobre nuestros descubrimientos y escribimos una publicación de blog para informar a la comunidad en general sobre lo que estábamos viendo.

","Explotación de la vulnerabilidad de ejecución remota de código en Windows Server Update Services","

Descubrimos la explotación activa de una falla de inclusión de archivos locales no autenticada en los productos Gladinet CentreStack y Triofox. La falla afectó a todas las versiones de CentreStack anteriores o iguales a 16.7.10368.56560. Al momento del descubrimiento, no existía un parche para la vulnerabilidad. La falla permite la divulgación no intencionada de archivos del sistema, lo que deja a los actores de amenazas obtener la clave de máquina del archivo Web.config para realizar una ejecución remota de código.

$\"\"$ Cronología de detección de la actividad de explotación observada

Vimos por primera vez la explotación de esta falla a fines de septiembre en tres entornos de clientes. Nos pusimos en contacto con Gladinet y trabajamos con ellos para desarrollar un plan de divulgación. Gladinet lanzó una solución para la falla el 12 de octubre como parte de la versión 16.10.10408.56683. Puedes conocer más información sobre CVE-2025-11371 en nuestra publicación de blog.

Un reconocimiento especial a Bryan Masters, James Maclachlan, Jai Minton y John Hammond por sus esfuerzos en descubrir, validar y divulgar esta vulnerabilidad.

","Explotación activa de la falla de inclusión de archivos locales en Gladinet CentreStack y Triofox (CVE-2025-11371)",[],"

En octubre, varias interrupciones en la manufactura atribuidas a Qilin y operadores de ransomware afines afectaron a proveedores automotrices japoneses y empresas procesadoras de bebidas, lo que provocó cierres de producción y una desaceleración en las cadenas productivas, como la de Volkswagen, en varios países. Este ataque fue notablemente distinto de los ataques anteriores que afectaron a empresas manufactureras a principios de este año y a fines del año pasado. En ambos casos, los atacantes no apuntaron ni accedieron a datos de clientes ni parecieron usar métodos de pivoteo hacia esas áreas. Pero este ataque más reciente parece estar específicamente orientado a la capa de proveedores y a alterar el ritmo de producción, generando un gran impacto con retrasos en componentes específicos de producción.

Debido a esta precisión, se sospecha que este ataque fue coordinado con personas familiarizadas con los procedimientos de manufactura y producción, así como con coordinadores de la cadena de suministro. Esta tendencia de ataque parece estar motivada por factores económicos. Para lograr el máximo impacto, este ataque también podría afectar los precios de las acciones o los entregables contractuales, lo que en última instancia influiría en cambios en la manufactura o en ganancias económicas para los vendedores en corto.

Además, el entorno de desarrollo BIG-IP de F5 fue reportado como comprometido durante casi 12 meses por el actor de amenazas UNC5221 (también conocido como APT27, Murky Panda y Silk Typhoon). Los investigadores creen que esta brecha permitió al grupo de amenazas no solo analizar y robar el código base, sino también el pipeline de entrega y las relaciones de confianza que forman la columna vertebral de las ofertas de servicio de F5. F5 respondió revisando cambios de código en todo el código base, además de aplicar parches de forma preventiva a vulnerabilidades de seguridad conocidas en todo su pipeline, herramientas y dispositivos.

Las personas que usan la arquitectura y los servicios de F5 deberían considerarse dentro del radio de impacto y revisar los incidentes de los últimos 11 meses para verificar si hay actividad de amenazas asociada, incluyendo:

Mapeo de puntos ciegos arquitectónicos
Preparación de futuro envenenamiento de código, procedimientos o relaciones de confianza
Desencadenar ataques no tradicionales, como latencia en el rendimiento, llamadas API redirigidas que generan deuda técnica u otros ataques complejos

",[1311,1312],{"_126":1315,"_106":1316,"_660":17,"_129":101},{"_126":1313,"_106":1314,"_660":17,"_129":101},"

Los gusanos USB siguen existiendo en 2025 (!), y varias cacerías de amenazas retrospectivas en octubre revelaron múltiples incidentes con gusanos que se originaron en dispositivos USB.

En uno de los incidentes, un gusano USB llevó a la implementación de malware de minería de criptomonedas en el endpoint infectado. Nuestra cacería de amenazas retrospectiva encontró que el 22 de octubre a las 6:02:40 UTC, una cuenta de usuario ejecutó un script VBS malicioso en la unidad D:\\ . Esta actividad se originó en una unidad flash USB SanDisk Cruzer Blade infectada que se conectó al endpoint aproximadamente 20 segundos antes de la ejecución del script VBS. El script luego llevó a que se prepararan y ejecutaran cargas adicionales desde el directorio C:\\Windows \\System32.

Aunque pueda parecer sorprendente que los gusanos USB sigan existiendo, estos incidentes siguen la línea de malware de años recientes como Raspberry Robin y SnakeDisk. Para reducir el riesgo de estas infecciones, las organizaciones pueden restringir el acceso a dispositivos externos como unidades USB, o al menos escanear estos dispositivos antes de conectarlos a las redes internas.

","Una caza de amenazas revela... ¿gusanos USB?","

Vimos un aumento de actores de amenazas que se autenticaban en dispositivos SonicWall SSLVPN en varios entornos de clientes en octubre, lo que parecía derivarse de un compromiso de credenciales (en lugar de fuerza bruta). La mayor parte de la actividad comenzó el 4 de octubre, con autenticaciones que continuaron durante la semana siguiente. En total, se vieron afectadas más de 100 cuentas SonicWall SSLVPN en 16 cuentas de clientes, y todas las autenticaciones se originaron desde 202.155.8[.]73.

El aumento de autenticaciones se dio después de que SonicWall emitiera una actualización de aviso de seguridad advirtiendo que un ataque a su plataforma MySonicWall le dio a una parte no autorizada acceso a archivos de respaldo de configuración de firewall de todos los clientes que hayan usado el servicio de respaldo en la cloud de SonicWall. No tenemos evidencia que vincule este aviso con el reciente aumento de compromisos que hemos visto (aunque podría ser difícil distinguir esa actividad desde nuestro punto de vista); sin embargo, cualquier dato de compromiso e indicador de compromiso es siempre de interés tanto para nuestra base de clientes como para la comunidad en general.

Un reconocimiento especial a Michael Tigges por todo su trabajo detrás de estos hallazgos.

","Compromisos de SonicWall SSLVPN","https://cdn.builder.io/api/v1/image/assets%2F56539a05dc944fe088e47bb383845dd1%2F1c61e2eba89f4ed284e7a2e4c8b2df6a",[1319,1320,1321],{"_126":1328,"_106":1329,"_660":99,"_129":1330},{"_126":1325,"_106":1326,"_660":99,"_129":1327},{"_126":1322,"_106":1323,"_660":99,"_129":1324},"

Hemos visto a actores de amenazas usando Chrome Remote Desktop en varios ataques recientemente. Esta es una herramienta legítima de software de escritorio remoto desarrollada por Google que se instala como medio de persistencia, al igual que otras herramientas RMM. Estos son algunos incidentes que nuestro SOC ha visto relacionados con Chrome Remote Desktop:

En un incidente del 13 de octubre, un actor de amenazas se autenticó mediante el protocolo de escritorio remoto (RDP) y luego implementó Chrome Remote Desktop, antes de intentar desinstalar el agente de CrowdStrike Falcon del endpoint e implementar el ransomware Akira
El 17 de octubre, un actor de amenazas se autenticó mediante RDP antes de descargar e instalar Chrome Remote Desktop para persistencia. Además, el actor de amenazas escaneó la red (usando netscan) y tomó medidas para realizar una enumeración

","Los actores de amenazas recurren a Chrome Remote Desktop","

Chrome Remote Desktop es solo el RMM más reciente que los actores de amenazas usan para mantener la persistencia, y hemos visto un aumento claro en el uso malicioso de esta herramienta en las últimas semanas.

","

El 11 de octubre, una organización instaló el agente de Huntress en un endpoint inicialmente, después de que sufriera un ataque del ransomware Qilin, lo que nos dio una visibilidad muy limitada de lo ocurrido. Aunque no contábamos con telemetría de EDR y SIEM para investigar el ataque, usamos otras fuentes de datos, entre ellas:

Alertas del antivirus de Microsoft Defender (MAV)
Registros del Program Compatibility Assistant (PCA)
Registros de eventos de Windows

Al revisar estas distintas fuentes de datos, Ben Folland y Harlan Carvey descubrieron que el actor de amenazas había instalado Total Software Deployment Service, además de una instancia fraudulenta de ScreenConnect, en el entorno de la víctima. Luego, el actor intentó implementar varios archivos maliciosos.

$\"\"$ Nota de rescate del ransomware Qilin

","Una mirada puntual a un ataque de ransomware Qilin","

Aunque no siempre contamos con los flujos de telemetría necesarios durante un incidente, confiar en múltiples fuentes de datos nos ayuda no solo a comprender mejor las actividades que el actor de amenazas intentó realizar en el endpoint, sino también a validar los hallazgos y dar una imagen más clara de lo que realmente ocurrió.

","

Los actores de amenazas han usado de forma constante herramientas de monitoreo y gestión remota (RMM) en sus cadenas de ataque este año. Pero recientemente surgió un giro interesante: los actores de amenazas usan PDQ o GoTo Resolve al principio y luego implementan herramientas RMM secundarias, como ScreenConnect o SimpleHelp. Implementar varias herramientas RMM ayuda a los actores de amenazas a mantener el acceso a largo plazo, especialmente si se bloquea la primera herramienta. A continuación, algunos ejemplos que hemos visto recientemente:

El 7 de octubre, un empleado de una empresa de bienes raíces recibió un correo de phishing por Outlook, lo que lo llevó a instalar Open Revised Contract (2).exe. Este archivo ejecutable era en realidad una instancia renombrada de GoTo Resolve firmada por GoTo Technologies USA, LLC, la cual luego se usó para instalar el RMM ScreenConnect
En octubre, un empleado de una concesionaria de autos ejecutó el OPENINVITATION.exe archivo, un instalador fraudulento de GoTo Resolve RMM. El actor de amenazas luego usó su acceso mediante GoTo Resolve para instalar un RMM SimpleHelp fraudulento (SimpleService.exe) en el endpoint. Pero no se detuvo ahí: luego instaló una instancia maliciosa de ScreenConnect, configurada con el dominio support[.]innerschapel[.]com

$\"\"$ Incidente con los RMM GoTo Resolve, SimpleHelp y ScreenConnect

","Combinar RMM maliciosos para mayor persistencia","

Mientras las empresas usan RMM para aumentar la eficiencia y reducir costos, los actores de amenazas comprometen herramientas RMM heredadas o instalan su propio RMM una vez que obtienen acceso al endpoint. Ahora vemos que suben el nivel al instalar múltiples RMM para lograr un acceso más persistente.

","Los analistas del Huntress SOC descubren tácticas de ransomware Qilin, abuso de Chrome Remote Desktop y explotación activa de CVE críticos, incluidas vulnerabilidades de SonicWall SSLVPN y Windows WSUS.","Panorama de amenazas desde la perspectiva de Huntress Adversary Tactics: octubre de 2025",{"_197":198,"_199":200,"_108":201},{"_207":1424},{"_207":1406},{"_207":1388},{"_207":1372},{"_207":1356},{"_207":1340},{"_209":210,"_54":711,"_32":212,"_213":1341},{"_215":713,"_217":714,"_34":1342,"_220":714,"_222":1343,"_54":711,"_224":225,"_226":717,"_228":225,"_229":1344,"_231":232,"_56":719,"_234":234,"_235":1345,"_237":1346,"_288":17,"_239":240,"_241":1347,"_58":59,"_60":1348},{"_249":250,"_253":1349,"_255":725,"_259":726,"_82":1350,"_56":719,"_262":728,"_264":729,"_91":730,"_60":1351},[],{},[],"8hfyq1p4hd",{},[62],[1352,1353],{"_185":732,"_307":17,"_308":17,"_187":733},[62],{"_271":1355},{"_271":1354},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":211,"_32":212,"_213":1357},{"_215":216,"_217":218,"_34":1358,"_220":221,"_222":1359,"_54":211,"_224":225,"_226":227,"_228":225,"_229":1360,"_231":232,"_56":233,"_234":234,"_235":1361,"_237":1362,"_239":240,"_241":1363,"_58":59,"_60":1364},{"_63":244,"_245":246,"_247":248,"_249":250,"_251":252,"_253":1365,"_255":256,"_257":258,"_259":260,"_82":1366,"_56":233,"_262":263,"_264":265,"_91":266,"_60":1367},[],{},[],"sjjok5064d",{},[62],[1368,1369],{"_185":268,"_187":233},[62],{"_271":1371},{"_271":1370},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":277,"_32":212,"_213":1373},{"_215":279,"_217":280,"_34":1374,"_220":280,"_222":1375,"_54":277,"_224":225,"_226":283,"_228":225,"_229":1376,"_231":232,"_56":285,"_234":234,"_235":1377,"_237":1378,"_288":17,"_239":240,"_241":1379,"_58":59,"_60":1380},{"_245":291,"_247":292,"_251":293,"_253":1381,"_255":295,"_257":296,"_82":1382,"_56":285,"_298":299,"_262":300,"_264":301,"_91":302,"_60":1383,"_304":305},[],{},[],"3roccexnim3",{},[62],[1384,1385],{"_185":306,"_307":17,"_308":17,"_187":309},[62],{"_271":1387},{"_271":1386},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":316,"_32":212,"_213":1389},{"_215":279,"_217":318,"_34":1390,"_220":318,"_222":1391,"_54":316,"_224":225,"_226":321,"_228":225,"_229":1392,"_231":232,"_56":323,"_234":234,"_235":1393,"_237":1394,"_239":240,"_241":1395,"_58":59,"_60":1396},{"_245":328,"_247":329,"_249":250,"_251":330,"_253":1397,"_255":332,"_257":333,"_259":334,"_82":1398,"_56":323,"_298":336,"_262":337,"_264":338,"_91":339,"_60":1399,"_304":341},[],{},[],"ahq7ev8wqfl",{},[62],[1400,1401,1402],{"_185":342,"_307":17,"_308":17,"_187":343},[62],{"_271":1405},{"_271":1404},{"_271":1403},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":351,"_32":212,"_213":1407},{"_215":353,"_217":354,"_34":1408,"_220":354,"_222":1409,"_54":351,"_224":225,"_226":357,"_228":225,"_229":1410,"_231":232,"_56":359,"_234":234,"_235":1411,"_237":1412,"_239":240,"_241":1413,"_58":59,"_60":1414},{"_245":364,"_247":365,"_249":250,"_251":366,"_253":1415,"_368":369,"_255":370,"_257":371,"_259":372,"_82":1416,"_56":359,"_298":374,"_262":375,"_264":376,"_91":377,"_60":1417,"_304":379},[],{},[],"msb0ytjejbs",{},[62],[1418,1419,1420],{"_185":380,"_307":17,"_308":17,"_187":381},[62],{"_271":1423},{"_271":1422},{"_271":1421},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":389,"_32":212,"_213":1425},{"_215":353,"_217":391,"_34":1426,"_220":391,"_222":1427,"_54":389,"_224":225,"_226":394,"_228":225,"_229":1428,"_231":232,"_56":396,"_234":234,"_235":1429,"_237":1430,"_288":17,"_239":240,"_241":1431,"_58":59,"_60":1432},{"_245":401,"_247":402,"_249":250,"_251":403,"_253":1433,"_255":405,"_257":406,"_259":407,"_82":1434,"_56":396,"_298":409,"_262":410,"_264":411,"_91":412,"_413":414,"_60":1435},[],{},[],"07213lcwfj0a",{},[62],[1436,1437,1438],{"_185":416,"_307":17,"_308":17,"_187":417},[62],{"_271":1441},{"_271":1440},{"_271":1439},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_429":431,"_427":432},{"_429":430,"_427":184},{"_427":1445},"Octubre de 2025",{"_63":64,"_65":1450,"_67":1451,"_69":1452,"_71":1453,"_73":1454,"_79":1455,"_82":1456,"_56":1457,"_85":1458,"_87":1459,"_89":1460,"_91":1461,"_93":1462,"_95":96,"_60":1463},"a4e9e565d7514511b94b6c4e87a12f9d","Threat View from the Lens of Huntress Adversary Tactics: November 2025",[62],[1606,1607,1608],{"_98":99},[1515,1516,1517,1518,1519],{"_190":1514,"_192":193,"_194":703,"_187":196},{},{"_126":101,"_98":17},{"_185":1513,"_187":1457},"Vista de amenazas desde la perspectiva de Huntress Adversary Tactics: noviembre de 2025",{"_110":1464},"Sun Nov 30 2025 00:00:00 GMT-0500 (Eastern Standard Time)",{"_100":101,"_102":103,"_104":105,"_106":107,"_98":99,"_108":628},"november-2025",{"_98":99},[62],[1465,1466,1467,1468,1469],{"_117":1503,"_119":1504,"_121":683,"_122":684},{"_117":883,"_119":1493,"_121":885,"_122":497},{"_117":158,"_119":1488,"_121":1489,"_122":160},{"_117":132,"_119":1476,"_121":1477,"_122":644},{"_117":118,"_119":1470,"_121":101,"_122":123},[1471,1472],{"_126":1474,"_106":1475,"_660":17,"_129":101},{"_126":1473,"_106":464,"_660":17,"_129":101},"

Greg Linares habló sobre su trayectoria y dio consejos para la próxima generación de hackers (incluido un reconocimiento al Huntress CTF). durante una entrevista reciente con TechInformed.

","

En nuestro reciente episodio de Tradecraft Tuesday, Truman Kain, investigador principal de producto, y Lindsey O'Donnell-Welch, redactora de participación técnica comunitaria en Huntress, hablaron sobre las técnicas de tradecraft de phishing más turbias que vimos este año en Huntress.

$\"\"$

Puedes encontrar el episodio completo aquí.

","Tradecraft Tuesday: un repaso (y una mirada al futuro) de las tácticas de phishing",[1478,1479,1480,1481,1482],"

Si bien no es un producto directo del equipo de Adversary Tactics, queremos destacar algunas funciones nuevas e increíbles que nuestros compañeros de Product Research y Product lanzaron para complicarles las cosas a los atacantes. Estamos ansiosos por empezar a usar estos datos para ampliar nuestra comprensión de los actores de amenazas que enfrentan nuestros clientes.

",{"_126":1487,"_106":482,"_660":17,"_129":101},{"_126":1486,"_106":480,"_660":17,"_129":101},{"_126":1485,"_106":478,"_660":17,"_129":101},{"_126":1484,"_106":476,"_660":17,"_129":101},{"_126":1483,"_106":867,"_129":101},"

Los productos de Huntress ya están disponibles en Microsoft Marketplace. Ya sea que los usuarios busquen elevar la seguridad de los endpoints, aumentar la resiliencia de la identidad o simplemente simplificar la gestión de sus herramientas de seguridad, agregar Huntress a su entorno de Microsoft ahora es mucho más fácil. ¡Conoce más aquí!

Las API para escalaciones y respuestas de informes de incidentes ya están disponibles. Huntress lanzó varias API nuevas, incluido el primer conjunto de API de escritura. La primera es una API de escalaciones que permite listar escalaciones y obtener los detalles de una escalación específica, además de un endpoint de API que permite resolver las escalaciones más comunes. También hay un nuevo endpoint de API para informes de incidentes que permite aprobar o rechazar remediaciones, y resolver informes de incidentes.

Nuevos idiomas disponibles para los informes de resumen de amenazas. Los administradores de Huntress Platform ahora pueden establecer el idioma predeterminado para los informes de resumen de amenazas. Los informes se pueden configurar en inglés (el idioma predeterminado), neerlandés, francés y español.

¡Llegó el modo oscuro para todo el portal! Todas las páginas del portal ahora admiten el tema de modo oscuro. Usa el ícono de engranaje en la esquina superior derecha del portal para cambiar a tu tema preferido.

","

Huntress SAT ahora tiene dos nuevas opciones en la pestaña de informes estándar. Una te permite seguir el progreso del aprendizaje por episodio en lugar de por asignación. La otra brinda información sobre el phishing simulado en todos los alumnos y campañas. Estamos lanzando estas funciones a todos, pero seguimos buscando comentarios adicionales.

También tenemos una nueva capacidad, Vista de gerente general, que le da a alguien acceso a un informe en tiempo real que muestra los datos de asignaciones y phishing de todos los alumnos de una organización, sin darle acceso a ninguna herramienta administrativa. Es igual al informe de gerente en tiempo real, pero se amplía para incluir a todos los empleados.

Por último, lanzamos el botón \"Huntress SAT Report a Phish\" para Gmail. Ya está disponible en el marketplace para cualquier persona. ¡Esperamos tus comentarios!

","

Nuestro equipo de inteligencia de amenazas y el equipo de ingeniería de detección siempre se enfocan en cerrar las brechas que explotan los atacantes. Recientemente implementamos dos nuevas capacidades importantes, construidas a partir de la caza de amenazas en el mundo real, que ofrecen claridad y valor inmediato:

Los atacantes a menudo ocultan el robo exitoso de credenciales distribuyendo intentos de inicio de sesión fallidos entre varios usuarios, endpoints o servicios. Los SIEM tradicionales se saturan fácilmente con estos datos \"ruidosos\", generando miles de alertas mientras pasan por alto la única intrusión exitosa. Para combatir esto, diseñamos nuevas detecciones de correlación de fuerza bruta que rastrean y conectan la actividad entre usuarios, endpoints y varias fuentes de registros. Este potente motor identifica la verdadera ruta de intrusión que usan los atacantes, lo que nos permite exponer los ataques de credenciales exitosos en el momento en que ocurren. Al eliminar el ruido de los inicios de sesión y enfocarse en la cadena de ataque, nuestro SOC puede garantizar una respuesta rápida antes de que se produzca el daño.

Ingerir datos de flujo de red sin procesar crea un lago de datos masivo, lo que suele generar búsquedas lentas y costos de almacenamiento prohibitivos: un problema común de los SIEM. Nuestros ingenieros desarrollaron un método propio de agregación de tráfico de red y reglas de detección que filtra y condensa inteligentemente esta telemetría justo en el punto de ingesta. Solo almacenamos el puñado de señales que demuestran ser relevantes para la seguridad, convirtiendo un \"torrente\" de miles de registros sin procesar en detecciones claras y en tiempo real. Esto nos permite detectar movimientos de atacantes, reconocimiento y patrones de tráfico inusuales más rápido, mientras reducimos de forma significativa los costos de almacenamiento e ingesta para nuestros partners.

","

Hemos mejorado Huntress Managed ITDR al introducir un agente gratuito para los clientes de ITDR. Anteriormente, la función de deshabilitación de identidad para identidades sincronizadas con Active Directory no estaba disponible sin tener también una licencia de Managed EDR. Ahora, este agente ligero y sin costo habilita la deshabilitación de cuenta para identidades sincronizadas con AD, para que puedas contener rápidamente las amenazas de identidad. Los clientes de Managed ITDR pueden descargar este agente gratuito directamente desde el Huntress Portal.

Este mes anunciamos la adquisición de Inside Agent, una empresa con sede en Londres dedicada al endurecimiento de la seguridad de entornos de Microsoft 365 frente a amenazas externas e internas. Esta adquisición es fundamental para el desarrollo de nuestro nuevo producto de Gestión de la postura de seguridad de identidad (ISPM), cuyo lanzamiento está planeado para 2026. Para los usuarios actuales de Huntress Managed ITDR, ISPM funcionará como una capa proactiva que se suma a su detección y respuesta. En pocas palabras, tener menos brechas significa menos oportunidades para los atacantes. Conoce más aquí.

","

Configuración de exclusiones de Defender ahora se puede ajustar para agregar endpoints y organizaciones adicionales: al crear configuraciones de exclusión para el antivirus de Microsoft Defender en el Huntress Portal, ahora puedes agregar endpoints y organizaciones individuales a configuraciones de exclusión existentes, en lugar de tener que crear una nueva configuración de exclusión desde cero. Esto ahorra tiempo y aumenta la eficiencia cuando se incorpora un nuevo endpoint u organización.

",[1490],"

El gusano Shai-Hulud de NPM es un ataque cambiante a la cadena de suministro que explota las credenciales de los desarrolladores para comprometer cientos de paquetes en el registro de Node Package Manager (NPM), lo que afecta a grandes organizaciones como Postman y Zapier. Inicialmente, en septiembre de 2025, la primera versión operaba durante la fase posterior a la instalación, recolectando credenciales como PAT de GitHub, tokens de NPM y claves de API de la cloud, y luego las exfiltraba a endpoints controlados por el atacante o a repositorios públicos, propagándose al inyectar malware en otros paquetes mantenidos por las víctimas. Sin embargo, en la última semana de noviembre se lanzó una nueva variante, Shai-Hulud 2, que evolucionó para ejecutarse en la fase previa a la instalación y así lograr un impacto más amplio. Actualmente incorpora JavaScript ofuscado disfrazado de instaladores de Bun, soporte multiplataforma que incluye Windows, y persistencia mejorada mediante puertas traseras en GitHub Actions, específicamente runners autoalojados y flujos de trabajo que permiten la ejecución de código.

Las diferencias clave incluyen un cambio del robo puro a elementos destructivos, como borrar directorios de inicio en caso de falla, y una exfiltración más sofisticada mediante repositorios entre víctimas, lo que ha ampliado la escala de la campaña a más de 700 paquetes y 25,000 repositorios maliciosos y sigue en aumento.

Las nuevas adaptaciones del gusano muestran una sofisticación cada vez mayor, incluyendo cambios de temporización para evadir la detección, lo que parece ser ofuscación asistida por IA, agrupación de SDK multi-cloud para la escalada de privilegios, y ejecución consciente del entorno en pipelines de CI/CD. Los indicadores de compromiso (IoC) incluyen hashes de archivos específicos (por ejemplo, SHA1 de bun_environment.js: d60ec97eea19fffb4809bc35b91033b52490ca11), artefactos como cloud.json y discussion.yaml, repositorios inesperados de GitHub con temas de \"Sha1-Hulud\", y dominios como webhook.site. Hasta el 26 de noviembre de 2025, la actividad persiste y seguimos viendo la creación de nuevos repositorios, a pesar de las mitigaciones, que están pasando a repositorios privados que promocionan servicios de IA no relacionados, exponiendo secretos válidos de cientos de entidades y habilitando posibles amenazas posteriores como ransomware.

Los equipos de ciberseguridad deben priorizar la auditoría de dependencias, la rotación de credenciales, la integración de un período de enfriamiento para las dependencias de desarrollo, y herramientas como Semgrep para una defensa continua contra este riesgo cambiante del ecosistema de código abierto.

",{"_126":1491,"_106":1492,"_660":17,"_129":101},"

SLSH, antes conocido como Shiny Hunters, Scattered Spider y Lapsus$, continúa evolucionando sus tácticas hacia una amenaza más estructurada con el desarrollo del ransomware \"ShinySp1d3r\", que admite entornos Windows, Linux y ESXi para ataques a nivel de kernel, incorporando bots automatizados, lavado de criptomonedas mediante regalos de Telegram y operaciones psicológicas contra investigadores y víctimas.

Las diferencias clave incluyen un cambio de filtraciones oportunistas a doble extorsión (robo más cifrado) y una escala más amplia mediante brechas en la cadena de suministro. Las adaptaciones en las operaciones de SLSH reflejan una sofisticación creciente, monetización mediante pruebas beta de RaaS, y expansión de objetivos a través del acceso a cadenas de suministro de terceros. También han comenzado a reclutar o captar amenazas internas ofreciendo lavado de dinero a través del servicio de estrellas de Telegram, y ofreciendo recompensas directas a partir de $30.000 USD por acceso a tokens y sesiones de empleados de las corporaciones objetivo. Esta actividad llevó directamente al despido de un empleado de Crowdstrike a mediados de noviembre tras ser descubierto compartiendo capturas de pantalla corporativas con el grupo. El grupo sigue mostrando un comportamiento caótico, con amenazas contra investigadores, incluyendo el ofrecimiento de recompensas por informes falsos del FBI dirigidos a investigadores de seguridad que los investigan. Las recompensas de $1.000 se amplificaron recientemente al compartir grabaciones de mensajes de voz de estos informes con sus seguidores en su canal de Telegram, promoviendo tácticas colectivas para atacar a los investigadores.

En noviembre, el resto del panorama de ransomware estuvo extremadamente activo, con grupos como Qilin y Akira todavía dominando los titulares al acumular la mayor cantidad de víctimas. Los ataques aumentaron un 41 % solo en octubre, alcanzando 594 incidentes públicos. Los ataques a la cadena de suministro siguen siendo una preocupación. Esto quedó en evidencia con la operación \"Korean Leaks\" de Qilin, en la que vulneraron a proveedores de servicios administrados surcoreanos. En este incidente, cifraron archivos y robaron datos de 28 empresas dependientes. Akira también sigue siendo una amenaza, como se señala en el aviso actualizado del FBI y CISA que detalla sus TTPs. El aviso destaca tácticas como el abuso de credenciales de VPN en más de la mitad de sus brechas. A Akira se le atribuyen hasta la fecha casi $250 millones en pagos de rescate. Han seguido atacando a la empresa de salud Zoetis (exponiendo información personal de más de 500.000 personas) y a la constructora Fineline Architectural Millwork. Además, el grupo de ransomware Everest exigió $6 millones a la aerolínea española Iberia tras un ataque disruptivo que filtró archivos internos. El infame grupo LockBit pareció continuar su desarrollo con la última revisión 5.0, que apunta a Windows, Linux y entornos virtuales y hosts. Nuevos actores como Tengu, Genesis, Radiant, Kryptos y Sinobi están ganando popularidad de forma constante, y Sinobi por sí solo reivindica 69 víctimas desde julio.

","Ransomware",[1494,1495,1496],{"_126":1501,"_106":1502,"_660":17,"_129":101},{"_126":1499,"_106":1500,"_660":17,"_129":101},{"_126":1497,"_106":1498,"_660":17,"_129":101},"

Las cacerías retrospectivas de amenazas del equipo de Respuesta Táctica descubrieron varios incidentes interesantes relacionados con cargadores de malware. Aquí hay algunos ejemplos:

Un actor de amenazas intentó ejecutar el malware OysterLoader disfrazándolo como un instalador de Microsoft Teams, pero fracasó rotundamente. El 11 de noviembre, un empleado se encontró con un anuncio malicioso que lo llevó a descargar el binario (MSTeamsSetup.exe) desde la URL hxxps://teams-support-software[.]icu/. OysterLoader, un cargador de malware observado por primera vez en 2023, se ha usado comúnmente en campañas de malvertising. Finalmente, la ejecución no tuvo éxito.
En otro incidente ocurrido el 4 de noviembre, un usuario final ejecutó un proceso malicioso (ProCircuit.exe) que usó sideloading de DLL (biblioteca de vínculos dinámicos) para cargar e inyectar malware de robo de información en NexusH128.exe. El sideloading de DLL es una técnica de evasión de detección en la que los actores de amenazas aprovechan la forma en que Windows busca y carga archivos DLL para engañar a un programa y hacer que cargue un archivo DLL malicioso.

","Incidentes de cargadores de malware","

Ben Folland y Anna Pham, del equipo del SOC, publicaron recientemente una entrada de blog detallada sobre una campaña de ClickFix con varias TTPs únicas, entre ellas:

Tanto el señuelo estándar de ClickFix de “Verificación de robot” como una página más nueva (y más convincente) de “Actualización de Windows”, que siguen dependiendo de la técnica tradicional de ClickFix de convencer a la víctima de abrir manualmente el cuadro Ejecutar de Windows para pegar un comando malicioso.
Luego, el ataque usa esteganografía para ocultar las etapas finales del malware dentro de una imagen. Esto implica el despliegue de un cargador esteganográfico .NET, que extrae shellcode empaquetado con Donut oculto dentro de los datos de píxeles de imágenes PNG.
Después, el ataque distribuye malware de robo de información, incluidos LummaC2 y Rhadamanthys.

\n\n

$\"\"$ El señuelo de ClickFix de “verificación humana”

Hemos visto varias variantes de ClickFix durante el último año. Las organizaciones deben capacitar a los usuarios finales para que detecten estas tácticas de señuelo de ClickFix. En el blog de Ben y Anna, también ofrecieron varias estrategias de mitigación para las empresas, como deshabilitar el cuadro de Ejecutar mediante cambios en el registro o en la directiva de grupo.

","Nuevas técnicas de ClickFix descubiertas en ataques de infostealer","

Anna Pham, de nuestro equipo de Hunting and Response, documentó y escribió un análisis sobre Gootloader, un cargador de malware popular que los actores de amenazas usan para obtener acceso inicial. Después de un período de actividad reducida, Gootloader resurgió brevemente en marzo de 2025 antes de volver a quedar en silencio, solo para regresar recientemente con actividad renovada. Desde el 27 de octubre, Huntress ha detectado tres infecciones de Gootloader, incluidas dos que llevaron a intrusiones manuales con compromiso del controlador de dominio dentro de las 17 horas posteriores a la infección inicial. Aquí hay algunas perspectivas únicas de las tácticas y técnicas que hemos visto con el regreso de Gootloader:

Gootloader ahora aprovecha fuentes WOFF2 personalizadas con sustitución de glifos para ofuscar nombres de archivo. Esto transforma caracteres sin sentido en el código fuente en nombres de archivo que parecen legítimos al renderizarse en los navegadores.
Los usuarios se infectaron mientras buscaban “missouri cover utility easement roadway” en Bing y visitaban la primera página que aparecía en los resultados. Los actores de amenazas explotaron endpoints de comentarios de WordPress para entregar payloads ZIP cifrados con XOR, con claves únicas por archivo.
La infección opera a través de una asociación criminal bien establecida: Storm-0494 se encarga de las operaciones de Gootloader y del acceso inicial, y luego entrega los entornos comprometidos a Vanilla Tempest para la posexplotación y el despliegue de ransomware.

","Gootloader regresa, de nuevo","https://cdn.builder.io/api/v1/image/assets%2F56539a05dc944fe088e47bb383845dd1%2F0579e7542a4a40a984b6b99dcc6f1850",[1505,1506],{"_126":1510,"_106":1511,"_660":99,"_129":1512},{"_126":1507,"_106":1508,"_660":99,"_129":1509},"

Llegó la temporada de phishing navideño: los actores de amenazas están usando el Día de Acción de Gracias, el Black Friday y la Navidad como señuelos en sus ataques de phishing este año.

El 2 de noviembre, un usuario fue engañado para ejecutar un proceso malicioso (Thanksgiving-iv.exe) desde el directorio C:\\Users\\REDACTED\\Downloads\\ en el endpoint afectado. Una inspección más profunda reveló que este archivo es un instalador falso de GoTo Resolve RMM. Los artefactos del navegador Firefox de la víctima revelaron que este instalador se descargó desde la URL https[:]//pub-0e9274b4f4a74997bcafd5c5c778bf91[.]r2[.]dev/Thanksgiving-iv.exe. La RMM maliciosa luego desplegó un instalador falso de ScreenConnect en el directorio C:\\Program Files (x86)\\ScreenConnect Client (3bf4055180e70e5b), que estaba configurado para el dominio wilkensealsivc[.]shop.

Durante una caza de amenazas retrospectiva, nuestro equipo de respuesta táctica encontró un incidente el 5 de noviembre en el que un usuario ejecutó un archivo MSI malicioso ([REDACTED]_Christmas_Punchbowl_invite.msi) desde el directorio C:\\Users\\REDACTED\\Downloads\\ en el endpoint afectado. Esto resultó en el despliegue de una RMM ScreenConnect, configurada en el dominio vhagov[.]org para comando y control.

Agradecimiento especial a Austin Worline y Jai Minton por identificar los incidentes con los señuelos de Acción de Gracias y Navidad!

","¡Felices fiestas! Aquí tienes un RMM (malicioso)","

Los actores de amenazas están aprovechando las fiestas con señuelos de temporada. Como siempre, ten cuidado con el lenguaje urgente, las solicitudes inesperadas, las direcciones de correo electrónico de remitentes extrañas y los dominios sospechosos en los enlaces de los correos.

","

En noviembre, vimos a actores de amenazas explotando una vulnerabilidad de ejecución remota de código recién parchada en Windows Server Update Services (WSUS). Después de explotar la CVE-2025-59287, los actores de amenazas instalaron Velociraptor, una herramienta legítima de código abierto, usada para el comando y control (C2) del endpoint comprometido. Reconocimiento para Ben Folland, del equipo del SOC por su investigación del incidente!

Velociraptor es una herramienta de forense digital y respuesta a incidentes (DFIR) que permite a los equipos recolectar y analizar rápidamente artefactos de toda una red, dándoles una mejor comprensión de los incidentes de seguridad. Los actores de amenazas han estado abusando de Velociraptor para establecer comunicaciones con servidores de C2.

Después de que el actor de amenazas instaló Velociraptor, vimos varios comandos de PowerShell codificados en Base64, que eran procesos secundarios de Velociraptor.exe. Estos comandos lanzaron una serie de consultas de descubrimiento, ayudando al actor de amenazas a recopilar información sobre usuarios, servicios en ejecución, configuraciones y más.

$\"\"$ Señales de EDR que muestran al actor de amenazas instalando un paquete MSI, ejecutando Velociraptor y realizando comandos de descubrimiento

","Un aumento en el uso de la herramienta DFIR Velociraptor","

Este no es el primer incidente que involucra el uso indebido de Velociraptor; de hecho, rastreamos por primera vez a actores de amenazas abusando de esta herramienta desde noviembre de 2024. Sin embargo, en los últimos tres meses, ha habido un aumento significativo de incidentes relacionados con el uso de Velociraptor para obtener acceso remoto a endpoints comprometidos. Conoce más en nuestra publicación de blog sobre el incidente.

","Huntress Adversary Tactics examina las amenazas de noviembre de 2025, incluido el resurgimiento de Gootloader, nuevas técnicas de infostealer con ClickFix y un aumento en el despliegue de herramientas RMM maliciosas observado en todo el SOC.",{"_197":198,"_199":200,"_108":201},{"_207":1588},{"_207":1570},{"_207":1552},{"_207":1536},{"_207":1520},{"_209":210,"_54":211,"_32":212,"_213":1521},{"_215":216,"_217":218,"_34":1522,"_220":221,"_222":1523,"_54":211,"_224":225,"_226":227,"_228":225,"_229":1524,"_231":232,"_56":233,"_234":234,"_235":1525,"_237":1526,"_239":240,"_241":1527,"_58":59,"_60":1528},{"_63":244,"_245":246,"_247":248,"_249":250,"_251":252,"_253":1529,"_255":256,"_257":258,"_259":260,"_82":1530,"_56":233,"_262":263,"_264":265,"_91":266,"_60":1531},[],{},[],"1bjqtbd3eh1",{},[62],[1532,1533],{"_185":268,"_187":233},[62],{"_271":1535},{"_271":1534},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":277,"_32":212,"_213":1537},{"_215":279,"_217":280,"_34":1538,"_220":280,"_222":1539,"_54":277,"_224":225,"_226":283,"_228":225,"_229":1540,"_231":232,"_56":285,"_234":234,"_235":1541,"_237":1542,"_288":17,"_239":240,"_241":1543,"_58":59,"_60":1544},{"_245":291,"_247":292,"_251":293,"_253":1545,"_255":295,"_257":296,"_82":1546,"_56":285,"_298":299,"_262":300,"_264":301,"_91":302,"_60":1547,"_304":305},[],{},[],"fvumhswswml",{},[62],[1548,1549],{"_185":306,"_307":17,"_308":17,"_187":309},[62],{"_271":1551},{"_271":1550},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":316,"_32":212,"_213":1553},{"_215":279,"_217":318,"_34":1554,"_220":318,"_222":1555,"_54":316,"_224":225,"_226":321,"_228":225,"_229":1556,"_231":232,"_56":323,"_234":234,"_235":1557,"_237":1558,"_239":240,"_241":1559,"_58":59,"_60":1560},{"_245":328,"_247":329,"_249":250,"_251":330,"_253":1561,"_255":332,"_257":333,"_259":334,"_82":1562,"_56":323,"_298":336,"_262":337,"_264":338,"_91":339,"_60":1563,"_304":341},[],{},[],"xn6brm7s79",{},[62],[1564,1565,1566],{"_185":342,"_307":17,"_308":17,"_187":343},[62],{"_271":1569},{"_271":1568},{"_271":1567},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":351,"_32":212,"_213":1571},{"_215":353,"_217":354,"_34":1572,"_220":354,"_222":1573,"_54":351,"_224":225,"_226":357,"_228":225,"_229":1574,"_231":232,"_56":359,"_234":234,"_235":1575,"_237":1576,"_239":240,"_241":1577,"_58":59,"_60":1578},{"_245":364,"_247":365,"_249":250,"_251":366,"_253":1579,"_368":369,"_255":370,"_257":371,"_259":372,"_82":1580,"_56":359,"_298":374,"_262":375,"_264":376,"_91":377,"_60":1581,"_304":379},[],{},[],"6r7w7181dv",{},[62],[1582,1583,1584],{"_185":380,"_307":17,"_308":17,"_187":381},[62],{"_271":1587},{"_271":1586},{"_271":1585},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":389,"_32":212,"_213":1589},{"_215":353,"_217":391,"_34":1590,"_220":391,"_222":1591,"_54":389,"_224":225,"_226":394,"_228":225,"_229":1592,"_231":232,"_56":396,"_234":234,"_235":1593,"_237":1594,"_288":17,"_239":240,"_241":1595,"_58":59,"_60":1596},{"_245":401,"_247":402,"_249":250,"_251":403,"_253":1597,"_255":405,"_257":406,"_259":407,"_82":1598,"_56":396,"_298":409,"_262":410,"_264":411,"_91":412,"_413":414,"_60":1599},[],{},[],"pmt73bxfbe",{},[62],[1600,1601,1602],{"_185":416,"_307":17,"_308":17,"_187":417},[62],{"_271":1605},{"_271":1604},{"_271":1603},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_429":431,"_427":432},{"_429":430,"_427":828},{"_427":1609},"Noviembre de 2025",{"_63":64,"_65":1614,"_67":1615,"_69":1616,"_71":1617,"_73":1618,"_75":1619,"_79":1620,"_82":1621,"_56":1622,"_85":1623,"_87":1624,"_89":1625,"_91":1626,"_93":1627,"_95":96,"_60":1628},"071542bc0f0e4e2c9bd9e787cd7f0158","Threat View from the Lens of Huntress Adversary Tactics: March 2026",[62],[1822,1823,1824],{"_98":99},[1700,1701,1702,1703,1704,1705],{"_190":1699,"_192":193,"_194":195,"_187":196},{},{"_126":1698,"_106":101,"_98":99},{"_126":101,"_98":17},{"_185":1696,"_187":1697},"Vista de amenazas desde la óptica de Huntress Adversary Tactics: marzo de 2026",{"_110":1629},"Tue Mar 31 2026 00:00:00 GMT-0400 (Eastern Daylight Time)",{"_100":101,"_102":103,"_104":105,"_106":107,"_98":99,"_108":1035},"march-2026",{"_98":99},[62],[1630,1631,1632,1633,1634,1635],{"_117":1685,"_119":1686,"_121":1687,"_122":173},{"_117":883,"_119":1668,"_121":1078,"_122":497},{"_117":158,"_119":1661,"_121":637,"_122":160},{"_117":132,"_119":1651,"_121":1652,"_122":135},{"_117":145,"_119":1643,"_121":1644,"_122":148},{"_117":118,"_119":1636,"_121":101,"_122":123},[1637,1638],{"_126":1641,"_106":1642,"_660":17,"_129":101},{"_126":1639,"_106":1640,"_660":17,"_129":101},"

En el episodio estreno de _declassified, les quitamos la capucha al mito del hacker solitario y mostramos el cibercrimen tal como es: un negocio global. John Hammond y Jim Browning llevaron a los espectadores dentro de verdaderos centros de llamadas de la estafa—con RR. HH., capacitación, TI y control de calidad—que se hacían pasar por soporte técnico, bancos, operadoras y empresas de servicios públicos mientras ganaban millones. Con circuito cerrado de televisión y audio de llamadas en vivo, mostraron cómo los estafadores seguían embudos guionados y KPIs, y luego profundizaron en cómo la IA generativa ya estaba impulsando la estafa. ¡Lee el resumen aquí!

$\"\"$ John Hammond y Jim Browning hablan sobre centros de llamadas de la estafa

Mirando hacia adelante: el 20 de mayo, el investigador principal de producto de Huntress Truman Kain y un invitado especial analizarán cómo las obligaciones de seguridad pasadas por alto alimentan a los cibercriminales y te cuestan después. Regístrate aquí.

","El episodio más reciente de _declassified","

Durante el Tradecraft Tuesday de marzo de 2026, los investigadores de Huntress Greg Linares, Casey Smith y Truman Kain presentaron “Informe de ciberamenazas 2026: resumen del año,” donde analizaron los últimos hallazgos del Informe de ciberamenazas de Huntress 2026. El seminario web abarcó la evolución del tradecraft del ransomware, la ingeniería social estilo ClickFix y las crecientes amenazas basadas en identidad, como el phishing AiTM, BEC y el abuso de device code, y cerró con recomendaciones prácticas de detección y defensa adaptadas a los entornos que Huntress protege.

$\"\"$ Tradecraft Tuesday de marzo

Puedes ver el seminario web completo aquí - y aquí está el enlace al Informe de ciberamenazas de Huntress 2026 para que puedas seguirlo.

","Tradecraft Tuesday: una mirada al pasado (y al futuro) de las tácticas de phishing",[1645,1646],"

En Huntress, activamos “Respuestas rápidas” cuando hay una vulnerabilidad o amenaza que los atacantes usan para escalar la propagación de malware a gran escala. Cuando nos enteramos de una posible vulnerabilidad, el equipo de Adversary Tactics trabaja con toda la organización de Huntress para determinar el impacto potencial, actualizar a nuestros clientes y dar documentación a la comunidad de seguridad. Estos son dos incidentes que manejamos el último mes:

",{"_126":1649,"_106":1650,"_660":17,"_129":101},{"_126":1647,"_106":1648,"_660":17,"_129":101},"

En marzo, una investigación de Huntress reveló que actores de amenazas estaban abusando del PaaS de Railway.com para ejecutar una campaña a gran escala de phishing mediante código de dispositivo y repetición de tokens en Microsoft 365, dirigida a 344 organizaciones en cinco países. En la Rapid Response, los autores Dave Kleinatland, Jamie Levy, Rich Mozeleski y Erin Meyers analizaron la infraestructura de Railway/EvilTokens, documentaron cómo funcionan el phishing y el robo de tokens de autenticación, y describieron cómo Huntress bloqueó los rangos de IP de Railway para los inquilinos elegibles.

$\"\"$ Phishing mediante código en acción

Consulta el blog completo de la Rapid Response aquí, que incluye consultas de detección, IoC y recomendaciones de reforzamiento para que los equipos puedan buscar actividad y reforzar los controles de Microsoft 365.

","Actores de amenazas abusan de Railway.com PaaS como infraestructura de ataque de token de autenticación de Microsoft 365","

Un ataque sofisticado a la cadena de suministro afectó al paquete npm axios, que tiene más de 100 millones de descargas semanales. Los atacantes secuestraron la cuenta de un mantenedor para publicar versiones maliciosas (1.14.1 y 0.30.4) que contenían una dependencia oculta, plain-crypto-js. Esta dependencia ejecutó un script silencioso durante la instalación, desplegando un troyano de acceso remoto (RAT) multiplataforma para robar credenciales de sistemas Windows, macOS y Linux.

$\"\"$ Huntress EDR detectando la ejecución de esta cadena de ataque

Huntress detectó las primeras infecciones 89 segundos después de que el paquete malicioso se publicara. Nuestro equipo dio pasos de remediación críticos, incluyendo la rotación de todas las credenciales del entorno y la auditoría de los archivos de bloqueo, para ayudar a los equipos a recuperarse del compromiso. Consulta la entrada completa del blog sobre el ataque aquí.

","Compromiso de la cadena de suministro del paquete npm axios",[1653,1654,1655,1656],"

Aunque no es un producto directo del equipo de Adversary Tactics, queremos destacar algunas funciones nuevas e increíbles que nuestros socios en Product Research y Product lanzaron para complicarles las cosas a los atacantes. Estamos ansiosos por empezar a usar estos datos para ampliar nuestra comprensión de los actores de amenazas que enfrentan nuestros clientes.

Mira el Product Lab de este mes, donde el CEO de Huntress, Kyle Hanslovan, y el CTO, Chris Bisnett, se conectaron en vivo desde RSA para hablar sobre actualizaciones de producto, próximas funciones y el ambiente de la conferencia este año.

$\"\"$ Product Lab de marzo de 2026

",{"_126":1660,"_106":482,"_129":101},{"_126":1659,"_106":480,"_129":101},{"_126":1658,"_106":478,"_129":101},{"_126":1657,"_106":476,"_129":101},"

Los complementos de Report Phishing ahora cargan mensajes completos mediante API, enviando los correos de phishing reportados como archivos adjuntos de mensaje completo con todos los encabezados preservados e incluyendo al usuario como destinatario para darles a los administradores un contexto más completo para la investigación.

Una nueva simulación de amenaza de smishing pone a los usuarios al mando con Joey Broke, usando IA para crear ataques realistas de phishing por SMS y destacar lo barato y fácil que es para los atacantes lanzar campañas de smishing convincentes a gran escala.

$\"\"$ Ilustración del episodio de simulación de amenaza de smishing

","

Este mes en Managed SIEM, se lanzó la fuente de registros de AWS CloudTrail con un flujo de incorporación mejorado. La página Source Management -> Categories ahora contiene información de íconos con enlaces para cada tipo de fuente de registro, que llevan a la guía de configuración de soporte correspondiente. Finalmente, el agente de Huntress para Linux ahora admite la recolección de syslog para Managed SIEM.

","

Managed ITDR para Google Workspace ya está disponible: Nos emociona anunciar que lanzamos Managed ITDR para Google Workspace (GWS). Este es un momento enorme para Huntress. Los ataques de identidad no son solo un problema de Microsoft: los atacantes van a donde viven las identidades. Y ahora, los enfrentamos ahí. Con Managed ITDR para GWS, llevamos los mismos resultados por los que nuestros partners y clientes ya confían en nosotros (detección real, respuesta real, liderada por personas) a los entornos de Google Workspace. Lee más sobre Managed ITDR para GWS en nuestro nuevo blog, Huntress Managed ITDR para Google Workspace: defendiendo la nueva superficie de ataque de identidad.

BEC ahora es un problema de identidad en Google Workspace: En un nuevo blog, Erin Meyers y Jenko Hwong explican cómo el compromiso de correo empresarial en Google Workspace evolucionó de simples estafas de facturas a abuso de identidad en varias etapas, donde los atacantes roban credenciales o tokens, abusan de OAuth, ocultan alertas con reglas de bandeja de entrada y se mueven hacia otras apps de SaaS mediante restablecimientos de contraseña y correos de MFA. Esto demuestra que BEC ahora es un desafío de ITDR que exige una detección centrada en la identidad del comportamiento de autenticación, el consentimiento de OAuth, los cambios en la bandeja de entrada y la actividad entre aplicaciones de SaaS, y no solo el filtrado tradicional de contenido de correo.

","

Interrupción de ataques: El agente de Managed EDR ahora puede interferir con los atacantes mientras se mueven en tiempo real. Al terminar automáticamente procesos maliciosos, interrumpimos el plan del atacante, obligándolo a adaptarse sobre la marcha y dándoles a nuestros analistas del SOC minutos valiosos para responder y contener la amenaza. Mira cómo la Interrupción de ataques evitó un ransomware en este blog.

Exclusiones de Defender y Process Insight más estrictas: Ahora puedes aprobar en bloque y establecer que las exclusiones de Microsoft Defender duren indefinidamente, mientras que las nuevas exclusiones de Process Insight ya no se pueden crear de forma autogestionada: los partners trabajarán directamente con Huntress si surgen problemas de rendimiento, preservando la visibilidad crítica de EDR.

Detección de controladores vulnerables: Los controladores vulnerables (también conocidos como Bring Your Own Vulnerable Driver, BYOVD) son la base de la mayoría de los EDR Killers. Los atacantes usan controladores vulnerables para escalar sus privilegios en un sistema, con el objetivo final de deshabilitar productos de seguridad para llevar a cabo sus ataques sin obstáculos. Managed EDR detecta cuando se cargan controladores vulnerables en un sistema para que podamos actuar antes que los atacantes.

",[1662,1663],{"_126":1666,"_106":1667,"_660":17,"_129":101},{"_126":1664,"_106":1665,"_660":17,"_129":101},"

El grupo APT ruso TA446/Star Blizzard ahora está usando el *exploit kit* (kit que automatiza la búsqueda y explotación de vulnerabilidades) filtrado para iOS DarkSword en campañas de spear-phishing dirigidas, enviando correos con temática del Atlantic Council que llevan a los usuarios de iPhone a través de DarkSword para instalar GHOSTBLADE y herramientas relacionadas con fines de robo de datos y recolección de inteligencia. En paralelo, el el *exploit kit* (kit que automatiza la búsqueda y explotación de vulnerabilidades) Coruna—una evolución del framework Operation Triangulation de 2023—se está usando en ataques basados en la web contra iOS 13–17.2.1, activados con solo visitar sitios comprometidos. Apple respondió con alertas de \"software crítico\" en la pantalla de bloqueo que urgen a los usuarios de versiones más antiguas de iOS/iPadOS a actualizar de inmediato para reducir la exposición.

","Preocupaciones sobre exploit kit de iOS","

TeamPCP está llevando a cabo una ola delictiva del lado de los desarrolladores. Tras colarse en herramientas de seguridad como Trivy mediante etiquetas manipuladas de GitHub Actions y sabotear NPM y Docker Hub, colapsaron PyPI con versiones con puerta trasera de Telnyx. Esas dos “actualizaciones” (4.87.1, 4.87.2) descargaban en silencio un payload que robaba credenciales, oculto en un archivo WAV, y luego lo ejecutaban en memoria en Windows, macOS y Linux en cuanto importabas el paquete.

El resultado: acceso instantáneo y de alta confianza a CI/CD y laptops de desarrollo, perfecto para extraer secretos y pivotar hacia decenas de organizaciones a la vez, sin necesidad de un zero-day.

","La ola de ataques a la cadena de suministro de TeamPCP",[1669,1670,1671,1672],{"_126":1682,"_106":1683,"_660":99,"_129":1684},{"_126":1679,"_106":1680,"_660":99,"_129":1681},{"_126":1676,"_106":1677,"_660":99,"_129":1678},{"_126":1673,"_106":1674,"_660":99,"_129":1675},"

Las falsas llamadas de “soporte técnico” ya no buscan solo tarjetas de regalo: ahora usan paneles falsos de Outlook Antispam Control, DLL side-loading y más para implementar Havoc, un framework de comando y control (C2) de posexplotación de código abierto. Es ingeniería social al frente, compromiso de red por detrás, con el abuso de RMM como red de seguridad. Esta publicación del blog de Anna Pham, Michael Tigges (analista sénior de caza y respuesta) y Bryan Masters (analista sénior de caza y respuesta) analizó la campaña a fondo.

$\"\"$ Cadena de intrusión

","Soporte técnico en línea, caos en tu red","

Restringe el uso de RMM, busca DLL side-loading y usa security awareness training.

","

De Jai Minton (gerente de caza y respuesta) y Ryan Dowd (analista principal del centro de operaciones de seguridad (SOC)): una nueva publicación del blog analizó un incidente en el que instaladores falsos de OpenClaw en GitHub aprovecharon la búsqueda de Bing impulsada por IA para llegar directo a los equipos de las víctimas, instalando los infostealers Vidar / PureLogs, un nuevo Stealth Packer y GhostSocks para convertir endpoints en proxies residenciales destinados al fraude que evade MFA y a ataques posteriores en Windows y macOS.

","Instaladores falsos de OpenClaw, GhostSocks y búsqueda envenenada con IA","

A medida que surgen nuevas tecnologías, los actores de amenazas están apuntando a usuarios técnicos con privilegios administrativos. Es importante educar a estos empleados de alto riesgo para que identifiquen instaladores maliciosos y entiendan los riesgos relacionados con la tecnología.

","

Los atacantes ya no solo “entran a la fuerza”: instalan tus propias herramientas. Una publicación reciente del blog de Chad Hudson, analista sénior de caza y respuesta, examinó una campaña en la que grupos de poca habilidad encadenaron plataformas legítimas de RMM e implementación (SimpleHelp, HeartbeatRM, ScreenConnect, etc.) detrás de señuelos con temática de Seguro Social e invitaciones, forzaron descargas de MSI desde GitHub por fuerza bruta e incluso probaron a Huntress para ajustar sus tácticas.

","Abuso de RMM: cuando la \"ayuda remota\" se convierte en acceso inicial","

El abuso de RMM ha aumentado un 277% y ahora alimenta todo, desde infostealers hasta robos de credenciales. Como dijo Chad en su blog: “el abuso de RMM no es realmente un problema de herramientas; es un problema de confianza”.

","

Llegó la temporada de impuestos y los señuelos con temática fiscal ya están en marcha. Se descubrió una enorme campaña de malvertising que secuestraba búsquedas de W-2/W-9, instalaba instancias fraudulentas de ScreenConnect, apilaba múltiples RMM y luego abusaba de un controlador de audio de Huawei no documentado previamente para eliminar los procesos de Defender, Kaspersky y SentinelOne desde el modo kernel. Anna Pham, analista sénior de caza y respuesta, detalló el ataque en una publicación del blog.

$\"\"$ Página de entrega de ScreenConnect fraudulenta

","Formularios de impuestos, anuncios falsos, pánico real del kernel","

Trata con sospecha los anuncios de Google sobre formularios de impuestos, los relés de prueba de ScreenConnect y los RMM no aprobados. Busca en C:\\Windows\\SystemTemp\\ScreenConnect\\ binarios sin firmar o desconocidos.

","https://cdn.builder.io/api/v1/image/assets%2F56539a05dc944fe088e47bb383845dd1%2F4b19336886cb4ccda5d6bf6d825eae04",[1688,1689],"

Adversary Tactics documenta, analiza e informa a la comunidad en general sobre amenazas interesantes que surgen de nuestro SOC. Estos son algunos ejemplos de tendencias destacadas que hemos visto en las últimas semanas.

",{"_126":1693,"_106":1694,"_660":99,"_129":1695},{"_126":1690,"_106":1691,"_660":99,"_129":1692},"

Los analistas de Huntress rastrearon un incidente reciente de ransomware INC hasta algo que muchas organizaciones pasan por alto: visibilidad incompleta. Después de atacar a un cliente sin SIEM y con un despliegue de agentes limitado, el actor de amenazas mapeó un recurso compartido de red, usó PsExec para la escalada de privilegios, y luego programó un script de PowerShell que configuró en silencio Restic, renombrado como winupdate.exe, para exfiltrar datos. Desactivaron las herramientas de seguridad existentes, apagaron Defender y finalmente activaron el cifrado. La actividad correlacionada con un caso casi idéntico de febrero ayudó a exponer la infraestructura de respaldo compartida y las tácticas del atacante. Lee más en esta publicación del blog.

","Ransomware INC y visibilidad limitada","

Para los equipos de seguridad, este caso es un ejemplo contundente de cómo la cobertura incompleta de endpoints y SIEM crea puntos ciegos que permiten a los actores de ransomware ocultar y exfiltrar datos silenciosamente con herramientas de respaldo legítimas y LOLBins.

","

En marzo, Huntress destapó una intrusión vinculada a Irán (identificada como MuddyWater) dentro de una red israelí. Los atacantes obtuvieron acceso mediante RDP y usaron DLL side-loading, con lo que engañaron a un archivo legítimo (FMAPP.exe) para que cargara una DLL con código malicioso. Como giro inesperado, los analistas vieron a los hackers titubear con los comandos en tiempo real y tener dificultades con su servidor de comando y control (C2). Es una mirada detallada a tácticas de alto nivel combinadas con errores de ejecución torpes. Lee el análisis completo aquí.

$\"\"$ La línea de tiempo de las actividades desarrollada a partir de datos de detección

\n","Enfrentando un ataque de (Muddy)Water","

Los equipos de seguridad deben monitorear y correlacionar inicios de sesión RDP de apariencia rutinaria, el uso de SSH integrado y binarios firmados como FMAPP.exe para DLL side-loading, con el fin de detectar rápidamente intrusiones al estilo MuddyWater.

","Huntress Adversary Tactics de marzo de 2026 analiza los ataques de MuddyWater, el ransomware INC, el acceso inicial basado en RMM y el compromiso de la cadena de suministro de axios npm.","Vista de amenazas desde la perspectiva de Huntress Adversary Tactics: marzo de 2026","

Bienvenido al boletín Adversary Tactics, tu fuente de información sobre las amenazas emergentes que monitoreamos en Huntress y en todo el mundo. Trabajemos juntos para acabar con los hackers que atacan sin descanso a la comunidad más vulnerable: nuestros clientes, socios y los clientes de ellos. Mantente a salvo. Mantente alerta. Pero, antes que nada, ¡mantente informado!

",{"_197":198,"_199":200,"_108":201},{"_207":1804},{"_207":1786},{"_207":1768},{"_207":1752},{"_207":1722},{"_207":1706},{"_209":210,"_54":211,"_32":212,"_213":1707},{"_215":216,"_217":218,"_34":1708,"_220":221,"_222":1709,"_54":211,"_224":225,"_226":227,"_228":225,"_229":1710,"_231":232,"_56":233,"_234":234,"_235":1711,"_237":1712,"_239":240,"_241":1713,"_58":59,"_60":1714},{"_63":244,"_245":246,"_247":248,"_249":250,"_251":252,"_253":1715,"_255":256,"_257":258,"_259":260,"_82":1716,"_56":233,"_262":263,"_264":265,"_91":266,"_60":1717},[],{},[],"kjptv8vowe",{},[62],[1718,1719],{"_185":268,"_187":233},[62],{"_271":1721},{"_271":1720},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":1723,"_32":212,"_213":1724},"5c093b0116de4cea96de1ada07acdfd8",{"_215":1725,"_217":1726,"_34":1727,"_220":1728,"_222":1729,"_54":1723,"_224":225,"_226":1730,"_228":225,"_229":1731,"_231":232,"_56":1732,"_234":234,"_235":1733,"_237":1734,"_288":17,"_239":240,"_241":1735,"_58":59,"_60":1736},"rqPhimgdOfVCrDCbaxcCVZPJeJc2",1769027095568,{"_63":1732,"_245":1737,"_247":1738,"_249":250,"_251":1739,"_253":1740,"_255":1741,"_77":1742,"_257":1743,"_259":1744,"_82":1745,"_56":1732,"_262":1746,"_264":1732,"_91":1747,"_60":1748},1769027249922,[],1794331369637,{},"Casey Smith",[],"30xkcvo1dsd",{},[62],"

La trayectoria de Casey Smith en ciberseguridad comenzó a principios de la década de 2000 en Cisco Systems, donde contribuyó a la innovadora iniciativa SAFE (Secure Architecture for Empresarial) — lo que despertó una pasión de toda su carrera por poner a prueba los límites de los sistemas defensivos. Es cocreador de Atomic Red Team, un marco de pruebas de código abierto ampliamente adoptado, y ha ocupado roles importantes en Red Canary, Thinkst Canary y en el sector financiero.

En Huntress, Casey se enfoca en tácticas de adversarios con un interés particular en los ataques basados en identidad. Lo impulsa una filosofía simple pero poderosa: si no lo has probado, no funciona. Cuando no está venciendo a los adversarios con astucia, puedes encontrar a Casey explorando el aire libre de Colorado o sumergido en un buen libro de no ficción.

","Es cocreador de Atomic Red Team, un marco de pruebas de código abierto ampliamente adoptado, y tiene pasión por poner a prueba los límites de los sistemas de defensa.","Casey",[1750],"Former Staff Threat Intelligence Analyst",{},"Smith","https://www.linkedin.com/in/casey-s-3562223a6/",{"_185":1749,"_187":1732},"https://images.huntress.com/asset/file/a4a4838f93924f45a602b2b869e9eb0f","casey-smith",[62],"Lee blogs de ciberseguridad de Casey Smith en el Blog de Huntress.",{"_271":1751},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":277,"_32":212,"_213":1753},{"_215":279,"_217":280,"_34":1754,"_220":280,"_222":1755,"_54":277,"_224":225,"_226":283,"_228":225,"_229":1756,"_231":232,"_56":285,"_234":234,"_235":1757,"_237":1758,"_288":17,"_239":240,"_241":1759,"_58":59,"_60":1760},{"_245":291,"_247":292,"_251":293,"_253":1761,"_255":295,"_257":296,"_82":1762,"_56":285,"_298":299,"_262":300,"_264":301,"_91":302,"_60":1763,"_304":305},[],{},[],"arn5hm31q67",{},[62],[1764,1765],{"_185":306,"_307":17,"_308":17,"_187":309},[62],{"_271":1767},{"_271":1766},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":316,"_32":212,"_213":1769},{"_215":279,"_217":318,"_34":1770,"_220":318,"_222":1771,"_54":316,"_224":225,"_226":321,"_228":225,"_229":1772,"_231":232,"_56":323,"_234":234,"_235":1773,"_237":1774,"_239":240,"_241":1775,"_58":59,"_60":1776},{"_245":328,"_247":329,"_249":250,"_251":330,"_253":1777,"_255":332,"_257":333,"_259":334,"_82":1778,"_56":323,"_298":336,"_262":337,"_264":338,"_91":339,"_60":1779,"_304":341},[],{},[],"jn0ybdfr1k",{},[62],[1780,1781,1782],{"_185":342,"_307":17,"_308":17,"_187":343},[62],{"_271":1785},{"_271":1784},{"_271":1783},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":351,"_32":212,"_213":1787},{"_215":353,"_217":354,"_34":1788,"_220":354,"_222":1789,"_54":351,"_224":225,"_226":357,"_228":225,"_229":1790,"_231":232,"_56":359,"_234":234,"_235":1791,"_237":1792,"_239":240,"_241":1793,"_58":59,"_60":1794},{"_245":364,"_247":365,"_249":250,"_251":366,"_253":1795,"_368":369,"_255":370,"_257":371,"_259":372,"_82":1796,"_56":359,"_298":374,"_262":375,"_264":376,"_91":377,"_60":1797,"_304":379},[],{},[],"euuw64q3ytf",{},[62],[1798,1799,1800],{"_185":380,"_307":17,"_308":17,"_187":381},[62],{"_271":1803},{"_271":1802},{"_271":1801},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":389,"_32":212,"_213":1805},{"_215":353,"_217":391,"_34":1806,"_220":391,"_222":1807,"_54":389,"_224":225,"_226":394,"_228":225,"_229":1808,"_231":232,"_56":396,"_234":234,"_235":1809,"_237":1810,"_288":17,"_239":240,"_241":1811,"_58":59,"_60":1812},{"_245":401,"_247":402,"_249":250,"_251":403,"_253":1813,"_255":405,"_257":406,"_259":407,"_82":1814,"_56":396,"_298":409,"_262":410,"_264":411,"_91":412,"_413":414,"_60":1815},[],{},[],"9niuuak1pxl",{},[62],[1816,1817,1818],{"_185":416,"_307":17,"_308":17,"_187":417},[62],{"_271":1821},{"_271":1820},{"_271":1819},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_429":431,"_427":432},{"_429":430,"_427":184},{"_427":1825},"Marzo de 2026",{"_65":1830,"_67":1831,"_69":1832,"_71":1833,"_73":1834,"_79":1835,"_82":1836,"_56":1837,"_85":1838,"_87":1839,"_89":1840,"_91":1841,"_95":96,"_60":1842},"490f8422197445e995e9e91dbe16cf69","Threat View from the Lens of Huntress Adversary Tactics: April 2026",[62],[2031,2032,2033],{"_98":99},[1906,1907,1908,1909,1910,1911],{"_190":1905,"_192":193,"_194":195,"_187":196},{},{"_126":1904,"_98":17},{"_185":1903,"_187":1837},"Vista de amenazas desde la perspectiva de Huntress Adversary Tactics: abril de 2026",{"_110":1843},"Wed Apr 29 2026 00:00:00 GMT-0400 (Eastern Daylight Time)",{"_100":101,"_102":103,"_104":105,"_106":107,"_98":99,"_108":109},"april-2026",[62],[1844,1845,1846,1847,1848,1849],{"_117":170,"_119":1890,"_121":1891,"_122":173},{"_117":883,"_119":1880,"_121":1881,"_122":497},{"_117":158,"_119":1870,"_121":101,"_122":160},{"_117":145,"_119":1863,"_121":1864,"_122":148},{"_117":132,"_119":1853,"_121":1854,"_122":135},{"_117":170,"_119":1850,"_121":101,"_122":123},[1851],{"_126":1852,"_106":131,"_660":17,"_129":101},"

En el Tradecraft Tuesday de Huntress del 14 de abril, John Hammond y Logan MacLaren de Huntress se unieron a Ben Read de Wiz y Charlie Eriksen de Aikido Security para analizar el compromiso de la cadena de suministro de axios. Cubrieron las tácticas del ataque, el panorama de amenazas más amplio de npm y el riesgo creciente de los ataques a la cadena de suministro asistidos por LLM.

$\"\"$ Tradecraft Tuesday de abril

",[1855,1856,1857,1858],"

Aunque no es un producto directo del equipo de Adversary Tactics, queremos destacar algunas funciones nuevas e increíbles que nuestros compañeros de Product Research y Product lanzaron para complicarles la vida a los atacantes. Estamos ansiosos por empezar a usar estos datos para ampliar nuestra comprensión de los actores de amenazas que enfrentan nuestros clientes.

Mira el Product Lab de este mes, donde el CEO de Huntress, Kyle Hanslovan, y el Chief Product Officer, Prakash Ramamurthy, se conectaron para hablar sobre actualizaciones de producto, próximas funciones y revisiones de la hoja de ruta. Y para unirte a nuestro próximo episodio de Product Lab el 28 de mayo, regístrate aquí.

$\"\"$ Product Lab de abril de 2026

",{"_126":1862,"_106":482,"_660":17,"_129":101},{"_126":1861,"_106":480,"_660":17,"_129":101},{"_126":1860,"_106":478,"_660":17,"_129":101},{"_126":1859,"_106":476,"_660":17,"_129":101},"

Nuevo informe resumen de phishing (GA): un nuevo informe resumen de phishing ya está disponible de forma general con una revisión visual y de datos que concuerda mejor con otros informes de Huntress, y que da una visión más clara de las simulaciones de phishing y sus resultados.
Autoservicio de SCORM (Early Access): un nuevo flujo de autoservicio de SCORM, mucho más integrado, permite a los clientes generar contenido SCORM por sí mismos para usarlo en un LMS de terceros.
Nuevo contenido de capacitación: amenazas internas e intoxicación de IA: SAT lanzó un episodio de “amenazas internas” y uno de “intoxicación de IA” enfocado en los riesgos de la IA y su uso seguro, atendiendo la fuerte demanda de clientes que quieren capacitar a los usuarios sobre amenazas relacionadas con la IA, y ampliando nuestra biblioteca existente de contenido de capacitación sobre IA.

","

Integraciones y detecciones de Okta: Managed SIEM está ampliando el soporte de Okta con una nueva serie de detecciones diseñadas para revelar actividad sospechosa de identidad más rápido y con mejor contexto. Estas detecciones ayudan a los equipos a identificar patrones de autenticación riesgosos, un posible compromiso de cuenta y actividad que podría indicar que los atacantes intentan obtener o mantener acceso a través de sistemas de identidad.
Primera detección de LDAP / servicios de directorio: La nueva telemetría y detecciones de servicios de directorio produjeron su primera detección real basada en el Protocolo ligero de acceso a directorios (LDAP). Esto puede ayudar a detectar la enumeración sospechosa de cuentas en un controlador de dominio y exponer nuevas tareas de reconocimiento de atacantes antes indetectables.

","

Correlaciones de identidad EDR/ITDR: Nos emociona compartir que ahora ofrecemos correlaciones EDR/ITDR para los clientes de Huntress Managed EDR y Managed ITDR. Las correlaciones EDR/ITDR son una capacidad que solo Huntress puede ofrecer, porque requiere tanto un agente de endpoint como una plataforma de detección de identidad que operen sobre la misma base de clientes. Entonces, ¿cómo funciona? Cuando Huntress Managed EDR detecta un ataque en un endpoint con Windows, las correlaciones EDR/ITDR resuelven automáticamente el endpoint comprometido hacia las identidades de Microsoft 365 que iniciaron sesión en esa máquina, lo que permite que Managed ITDR las muestre de inmediato en el reporte de incidente de EDR y remedie las identidades afectadas. Esto es innovador porque permite una remediación de identidad casi instantánea basada en la detección de endpoint. ¡Conoce más aquí!
Exclusiones de licencias de estudiante de Google Workspace ITDR: para los partners del sector educativo, ITDR ahora puede excluir las cuentas de estudiantes de GWS de la facturación, al mismo tiempo que protege al personal y alinea los costos de licenciamiento con los usuarios que realmente necesitan cobertura.
Los registros de Google Workspace ya están disponibles en Huntress SIEM: los eventos de Google Workspace ITDR ahora fluyen hacia Huntress SIEM con mapeo de campos, conexión de ingesta, prefijos de claves exentas, cargas retroactivas y consultas iniciales. Esto fortalece la integración entre la telemetría de identidad y de registros en Microsoft 365 y Google Workspace.

","

Detecciones de controladores vulnerables: Managed EDR ahora aprovecha la Lista de bloqueo de controladores vulnerables de Microsoft (y listas personalizadas de solo auditoría) para alertar cuando Windows bloquea un controlador vulnerable conocido. Esto nos da visibilidad más temprana sobre un precursor común de la expansión de puntos de apoyo, el movimiento lateral, el ransomware y el robo de datos.
Victorias de Attack Disruption contra Akira: Attack Disruption detuvo incidentes activos de ransomware Akira antes de que se cifrara ningún archivo. Descubre más sobre cómo Huntress Managed EDR interrumpe a Akira y otros ataques a endpoints en esta publicación de blog.

",[1865,1866],"

En Huntress, activamos “respuestas rápidas” cuando hay una vulnerabilidad o amenaza que los atacantes usan para acelerar la propagación de malware a gran escala. Cuando nos enteramos de una posible vulnerabilidad, el equipo de Adversary Tactics trabaja en conjunto con Huntress para determinar el posible impacto, actualizar a nuestros clientes y entregar documentación para la comunidad de seguridad. Aquí tienes un incidente que manejamos el último mes:

",{"_126":1868,"_106":1869,"_660":17,"_129":101},{"_126":1867,"_106":1648,"_660":17,"_129":101},"

En marzo, una investigación de Huntress reveló que actores de amenazas abusaban del PaaS de Railway.com para ejecutar una campaña a gran escala de phishing mediante código de dispositivo y reenvío de tokens en Microsoft 365, dirigida a 344 organizaciones en cinco países. En el Rapid Response, los autores Dave Kleinatland, Jamie Levy, Rich Mozeleski y Erin Meyers analizaron la infraestructura de Railway/EvilTokens, documentaron cómo funcionan el phishing y el robo de tokens de autenticación, y describieron cómo Huntress bloqueó los rangos de IP de Railway para los inquilinos elegibles.

$\"\"$ Phishing mediante código en acción

Consulta el blog completo del Rapid Response aquí, que incluye consultas de detección, IoC y recomendaciones de endurecimiento para que los equipos puedan buscar actividad y reforzar los controles de Microsoft 365.

","

El 30 de marzo, un atacante comprometió las credenciales de npm del mantenedor principal de axios y publicó dos versiones con puerta trasera de la librería, uno de los paquetes de JavaScript más usados del mundo, con más de 100 millones de descargas semanales. Las versiones maliciosas inyectaban silenciosamente una dependencia fantasma que ejecutaba un hook posinstalación, instalando un RAT multiplataforma en macOS, Windows y Linux sin necesitar interacción del usuario. La primera infección monitoreada por Huntress ocurrió 89 segundos después de que se publicara el paquete malicioso. Dentro de la ventana de exposición de tres horas, 135 endpoints monitoreados por Huntress contactaron al C2.

$\"\"$

Huntress EDR detecta la ejecución de esta cadena de ataque

Los paquetes maliciosos ya fueron eliminados y el C2 está fuera de línea, pero todo sistema que ejecutó npm install durante la ventana debe tratarse como totalmente comprometido. Rota todas las credenciales accesibles desde los sistemas afectados. Investigadores de Huntress escribieron una publicación de blog de respuesta rápida.

","Compromiso de la cadena de suministro del paquete npm de axios",[1871,1872,1873],{"_126":1878,"_106":1879,"_660":17,"_129":101},{"_126":1876,"_106":1877,"_660":17,"_129":101},{"_126":1874,"_106":1875,"_660":17,"_129":101},"

El 7 de abril, Anthropic lanzó Claude Mythos Preview bajo el Proyecto Glasswing, un despliegue deliberadamente restringido a un pequeño grupo de socios verificados. El motivo de esta restricción es sencillo: Anthropic afirma que Mythos ha encontrado vulnerabilidades de día cero sin parchear en los principales sistemas operativos, incluida una falla que pasó inadvertida en OpenBSD durante 27 años. Anthropic declaró que no tiene planes de hacer que Mythos esté disponible de forma general. Los gobiernos están observando de cerca, y el Instituto de Seguridad en IA del Reino Unido ya ha comenzado una evaluación independiente. La pregunta sobre el equilibrio entre ataque y defensa que esto plantea es algo que la comunidad de seguridad debatirá durante un buen tiempo.

","Vista previa de Claude Mythos: lo que los equipos de seguridad deben saber","

Otro día, otro ataque a la cadena de suministro. En abril se publicó una versión maliciosa del paquete Bitwarden CLI (@bitwarden/cli@2026.4.0) a través de una GitHub Action comprometida en el pipeline de CI/CD de Bitwarden. El paquete fraudulento ejecutó un gancho de preinstalación que robó tokens de GitHub y npm, claves SSH, archivos .env, historial de shell, secretos de GitHub Actions y credenciales de cloud, exfiltrando todo a dominios controlados por el atacante. El ataque parece haber aprovechado una GitHub Action comprometida en el pipeline de CI/CD de Bitwarden, consistente con el patrón observado en otros repositorios afectados en esta campaña.

","El CLI de Bitwarden comprometido en un ataque a la cadena de suministro","

El 19 de abril, Vercel confirmó un acceso no autorizado a sistemas internos que se remonta a Context.ai, una herramienta de productividad de IA de terceros utilizada por un empleado de Vercel. El atacante usó ese acceso para tomar el control de la cuenta de Google Workspace del empleado en Vercel, lo que le permitió obtener acceso a la cuenta de Vercel de ese empleado. A partir de ahí, se movió hacia entornos internos para enumerar y descifrar variables de entorno no sensibles. Una infección de Lumma Stealer a un empleado de Context.ai en febrero de 2026 parece haber iniciado la cadena. Un actor de amenazas que afirma ser ShinyHunters publicó los datos robados en BreachForums con un precio de venta de $2 millones. Si guardas secretos sin cifrar en variables de entorno de Vercel, rótalos ahora.

","Un permiso de OAuth, una herramienta comprometida, un mal día para Vercel",[1882,1883],"

Nuestro equipo de Tactical Response se desarrolló como una función independiente dentro de nuestro SOC para profundizar en las intrusiones y responder preguntas de los partners que están fuera del alcance de las operaciones del SOC 24x7. Ayuda a cerrar la brecha entre el SOC y el momento en que se necesita una respuesta formal a incidentes. Los hallazgos de nuestro equipo de Tactical Response también nos dan muchas pistas sobre cómo se desarrollan las intrusiones.

",{"_126":1887,"_106":1888,"_660":99,"_129":1889},{"_126":1884,"_106":1885,"_660":99,"_129":1886},"

El Huntress SOC ha estado monitoreando la explotación de Bomgar RMM a través de CVE-2026-1731 desde febrero. Recientemente vimos un aumento en los ataques en abril, con dos incidentes que destacan en particular:

El 15 de abril, una cuenta de MSP comprometida provocó el aislamiento masivo de 78 empresas dependientes
El 14 de abril, el ransomware arrasó tres organizaciones a través de la instancia de Bomgar de una empresa de software dental

El manual del atacante incluyó cuentas fraudulentas de Domain Admin, instancias de AnyDesk y ScreenConnect agregadas para persistencia, herramientas de EDR eliminadas mediante drivers BYOVD, y el despliegue de LockBit 3.0.

$\"\"$ Incidentes de Bomgar RMM

","CVE-2026-1731: la vulnerabilidad de RMM que sigue dando que hablar","

Las versiones de Bomgar anteriores a la 25.3.2 todavía están expuestas: esto no ha terminado. Conoce más en esta publicación de Josh Allman.

","

Mientras investigaba una intrusión, el Huntress SOC detectó el uso en vivo de herramientas de prueba de concepto (PoC) publicadas por un investigador bajo el alias \"Nightmare-Eclipse\".

BlueHammer (CVE-2026-33825), RedSun y UnDefend, tres herramientas públicas de escalada de privilegios y disrupción de Windows Defender, estaban guardadas en la carpeta Imágenes de una víctima y se ejecutaron contra un objetivo real. El actor logró el acceso inicial con credenciales comprometidas de FortiGate SSL VPN. También se detectó una herramienta de túnel basada en Go previamente indocumentada, BeigeBurrow, que enviaba señales al C2 del atacante.

$\"\"$ Nightmare-Eclipse lanzó BlueHammer, RedSun y UnDefend

","De PoC a producción: BlueHammer golpea un objetivo real","

Aquí está la buena noticia: el actor de amenazas falló en la ejecución y ninguno de los exploits tuvo éxito. Pero también hay malas noticias: UnDefend y RedSun siguen sin parche. Lee el análisis completo de Anna Pham y Michael Tigges. Además: un agradecimiento especial a Dani Lopez, Tanner Filip, Anton Ovrutsky y John Hammond por su investigación sobre esto.

",[1892,1893,1894],"

",{"_126":1900,"_106":1901,"_660":99,"_129":1902},{"_126":1897,"_106":1898,"_660":99,"_129":1899},{"_126":1895,"_106":1896,"_660":17,"_129":101},"

Los errores de condición de carrera de tipo Time-of-Check to Time-of-Use (TOCTOU) estuvieron por todas partes este mes (ver: nuestros hallazgos sobre BlueHammer más abajo). Ryan Dowd encontró un error TOCTOU en macOS mientras revisaba integraciones de EDR de Apple.

Los errores TOCTOU se deben a la pequeña ventana de tiempo entre el momento en que un programa verifica una condición y el momento en que realmente ejecuta una acción basada en esa verificación. Los atacantes pueden colarse durante esa fracción de segundo y cambiar el estado del sistema. Esto invalida la \"verificación\" del programa, abriendo la puerta a actividades maliciosas.

En este caso, la explotación del error puede permitir que atacantes sin privilegios de administrador eliminen contenido protegido por el marco Transparency Consent and Control (TCC), uno de los componentes clave de los controles de privacidad de Apple. Para explotar la falla, un atacante tendría que acertar esa ventana de tiempo en el momento exacto.

$\"\"$ Se encontró un error de Apple durante una revisión de integración de EDR

La falla ha sido reportada a Apple y actualmente está siendo evaluada por su equipo de seguridad.

","Lugar correcto, momento correcto, permisos incorrectos","

Lo que comenzó como una alerta de adware se convirtió en algo mucho más peligroso. Los investigadores descubrieron que Dragon Boss Solutions LLC desplegaba silenciosamente ClockRemoval.ps1, un eliminador de antivirus a nivel SYSTEM que apuntaba a Malwarebytes, Kaspersky, ESET y otros. Podía terminar procesos, contaminar el archivo de resolución de nombres local para bloquear actualizaciones de antivirus, eliminar entradas del registro y crear exclusiones en Defender para futuras cargas maliciosas. Y aquí está el detalle: el dominio C2 principal no estaba registrado. 😳 Huntress lo registró primero, lo convirtió en un sinkhole y observó cómo 23.565 endpoints infectados se conectaban, incluyendo universidades, redes OT y entidades gubernamentales en 124 países.

$\"\"$ La cadena de ataque

","A solo $10 de registro de dominio de 25 mil endpoints comprometidos","

No subestimes a los PUP. Lee el desglose completo aquí, escrito por James Northey y Ryan Dowd.

","

El Huntress SOC respondió a un caso de compromiso en Linux donde la víctima había introducido un tercero al caos: Codex de OpenAI, al que se le encargó responder a síntomas de comportamiento malicioso (en este caso, ventiladores ruidosos causados por malware de criptominería).

Codex silenció los ventiladores. El criptominero siguió minando.

Mientras tanto, los comandos generados por IA parecían tácticas de un actor de amenazas, lo que dejó a los analistas revisando los restos señal por señal para separar la \"ayuda\" de la IA de la amenaza real. Lo que encontraron debajo: explotación de CVE-2025-55182 (React2Shell), ocho mecanismos de persistencia y 15 categorías de datos exfiltrados, incluidas claves SSH, credenciales de cloud y tokens de API. La IA sacó una C+. El SOC limpió el desastre.

$\"\"$ Lo que Codex encontró y lo que no

","La IA que arregló el ventilador pero pasó por alto el minero","

No nos malinterpretes: la IA tiene sus usos, pero incidentes como este muestran el valor de los expertos humanos detrás de las herramientas, que tienen experiencia realizando investigaciones basadas en telemetría. Consulta nuestra publicación de blog de James Northey y John Hammond sobre este incidente (parte uno y dos).

","Huntress Adversary Tactics de abril de 2026 cubre un criptominero oculto por IA, el exploit BlueHammer activo y el ataque a la cadena de suministro de la CLI de Bitwarden.","

Bienvenido al boletín Adversary Tactics, tu fuente de información sobre las amenazas emergentes que monitoreamos en Huntress y en todo el mundo. Trabajemos juntos para acabar con los hackers que atacan sin descanso a nuestros clientes, socios y a sus clientes. Mantente a salvo. Mantente alerta. Pero antes, ¡mantente informado!

",{"_197":198,"_199":200,"_108":201},{"_207":2013},{"_207":1995},{"_207":1977},{"_207":1962},{"_207":1928},{"_207":1912},{"_209":210,"_54":211,"_32":212,"_213":1913},{"_215":216,"_217":218,"_34":1914,"_220":221,"_222":1915,"_54":211,"_224":225,"_226":227,"_228":225,"_229":1916,"_231":232,"_56":233,"_234":234,"_235":1917,"_237":1918,"_239":240,"_241":1919,"_58":59,"_60":1920},{"_63":244,"_245":246,"_247":248,"_249":250,"_251":252,"_253":1921,"_255":256,"_257":258,"_259":260,"_82":1922,"_56":233,"_262":263,"_264":265,"_91":266,"_60":1923},[],{},[],"gglihxd4818",{},[62],[1924,1925],{"_185":268,"_187":233},[62],{"_271":1927},{"_271":1926},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":1929,"_32":212,"_213":1930},"60fad31d1711446fac3ce0e0c1af8c0d",{"_215":1931,"_217":1932,"_34":1933,"_220":1934,"_222":1935,"_54":1929,"_224":225,"_226":1936,"_228":225,"_229":1937,"_231":232,"_56":1938,"_234":234,"_235":1939,"_237":1940,"_288":17,"_239":240,"_241":1941,"_58":59,"_60":1942},"ZHpwzbOhr6Vg3QqgYaBHvq3dRME2",1776886991860,{"_245":1943,"_247":1944,"_249":250,"_251":1945,"_253":1946,"_255":1947,"_77":1948,"_257":1949,"_259":1950,"_82":1951,"_56":1938,"_298":1952,"_262":1953,"_264":1938,"_91":1954,"_60":1955},1776887279794,[],1794331788148,{},"Andrew Brandt",[],"7p1j9x6komh",{},[62],"

Andrew Brandt es un analista de cibercrimen con más de 20 años de experiencia en análisis de malware, forense de redes y operaciones contra adversarios, quien aplica su experiencia en periodismo de investigación para contar historias sobre cómo operan los cibercriminales a los clientes, la industria de la ciberseguridad y el mundo.

","Andrew Brandt es un analista de cibercrimen con más de 20 años de experiencia en análisis de malware, forense de redes y operaciones contra adversarios, quien aplica su experiencia en periodismo de investigación para contar historias sobre cómo operan los cibercriminales a los clientes, la industria de la ciberseguridad y el mundo.","Andrew",[1958,1959],"Principal Threat Intelligence Incident Commander",{},"Brandt","https://www.linkedin.com/in/andrew-brandt-9603682",{"_185":1956,"_187":1957},"https://images.huntress.com/asset/file/bfbbdd13527a454596cdff36f2cf933e","https://images.huntress.com/asset/file/9c47dceae14848eba81af665c6287608","andrew-brandt",[62],"Lee más de Andrew Brandt en el Blog de ciberseguridad de Huntress","Andrew Brandt - Principal Threat Intelligence Incident Commander",{"_271":1961},{"_271":1960},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":1723,"_32":212,"_213":1963},{"_215":1725,"_217":1726,"_34":1964,"_220":1728,"_222":1965,"_54":1723,"_224":225,"_226":1730,"_228":225,"_229":1966,"_231":232,"_56":1732,"_234":234,"_235":1967,"_237":1968,"_288":17,"_239":240,"_241":1969,"_58":59,"_60":1970},{"_63":1732,"_245":1737,"_247":1738,"_249":250,"_251":1739,"_253":1971,"_255":1741,"_77":1972,"_257":1743,"_259":1744,"_82":1973,"_56":1732,"_262":1746,"_264":1732,"_91":1747,"_60":1974},[],{},[],"8poid4x4tzf",{},[62],[1975],{},{"_185":1749,"_187":1732},[62],{"_271":1976},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":316,"_32":212,"_213":1978},{"_215":279,"_217":318,"_34":1979,"_220":318,"_222":1980,"_54":316,"_224":225,"_226":321,"_228":225,"_229":1981,"_231":232,"_56":323,"_234":234,"_235":1982,"_237":1983,"_239":240,"_241":1984,"_58":59,"_60":1985},{"_245":328,"_247":329,"_249":250,"_251":330,"_253":1986,"_255":332,"_257":333,"_259":334,"_82":1987,"_56":323,"_298":336,"_262":337,"_264":338,"_91":339,"_60":1988,"_304":341},[],{},[],"ynsk0zix439",{},[62],[1989,1990,1991],{"_185":342,"_307":17,"_308":17,"_187":343},[62],{"_271":1994},{"_271":1993},{"_271":1992},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":351,"_32":212,"_213":1996},{"_215":353,"_217":354,"_34":1997,"_220":354,"_222":1998,"_54":351,"_224":225,"_226":357,"_228":225,"_229":1999,"_231":232,"_56":359,"_234":234,"_235":2000,"_237":2001,"_239":240,"_241":2002,"_58":59,"_60":2003},{"_245":364,"_247":365,"_249":250,"_251":366,"_253":2004,"_368":369,"_255":370,"_257":371,"_259":372,"_82":2005,"_56":359,"_298":374,"_262":375,"_264":376,"_91":377,"_60":2006,"_304":379},[],{},[],"45lqux198cc",{},[62],[2007,2008,2009],{"_185":380,"_307":17,"_308":17,"_187":381},[62],{"_271":2012},{"_271":2011},{"_271":2010},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":389,"_32":212,"_213":2014},{"_215":353,"_217":391,"_34":2015,"_220":391,"_222":2016,"_54":389,"_224":225,"_226":394,"_228":225,"_229":2017,"_231":232,"_56":396,"_234":234,"_235":2018,"_237":2019,"_288":17,"_239":240,"_241":2020,"_58":59,"_60":2021},{"_245":401,"_247":402,"_249":250,"_251":403,"_253":2022,"_255":405,"_257":406,"_259":407,"_82":2023,"_56":396,"_298":409,"_262":410,"_264":411,"_91":412,"_413":414,"_60":2024},[],{},[],"a3plof9948h",{},[62],[2025,2026,2027],{"_185":416,"_307":17,"_308":17,"_187":417},[62],{"_271":2030},{"_271":2029},{"_271":2028},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_429":431,"_427":432},{"_429":430,"_427":184},{"_427":2034},"Abril de 2026",{"_65":2039,"_67":2040,"_69":2041,"_71":2042,"_73":2043,"_79":2044,"_82":2045,"_56":2046,"_85":2047,"_87":2048,"_89":2049,"_91":2050,"_95":96,"_60":2051},"2fdda61aabff4bf2a81d1de23afd3da2","Threat View from the Lens of Huntress Adversary Tactics: May 2026",[62],[2195,2196,2197],{"_98":99},[2102,2103,2104,2105,2106,2107],{"_190":2101,"_192":193,"_194":195,"_187":196},{},{"_126":1904,"_98":17},{"_185":2100,"_187":2046},"Vista de amenazas desde la perspectiva de Huntress Adversary Tactics: mayo de 2026",{"_110":2052},"Fri May 29 2026 00:00:00 GMT-0400 (Eastern Daylight Time)",{"_100":101,"_102":103,"_104":105,"_106":107,"_98":99,"_108":1035},"may-2026",[62],[2053,2054,2055,2056,2057],{"_117":170,"_119":2090,"_121":1891,"_122":173},{"_117":883,"_119":2085,"_121":1881,"_122":497},{"_117":158,"_119":2075,"_121":101,"_122":160},{"_63":2063,"_117":2064,"_119":2065,"_121":2066,"_122":135},{"_117":118,"_119":2058,"_121":101,"_122":123},[2059,2060],{"_126":2062,"_106":131},{"_126":2061,"_106":464,"_660":17,"_129":101},"

Andrew Brandt, comandante principal de incidentes de inteligencia de amenazas, recientemente participó en Darknet Diaries para hablar sobre Pacific Rim, la operación defensiva y contraofensiva de Sophos contra adversarios estatales en China. Escúchalo!

$\"\"$

","

Durante el Tradecraft Tuesday de este mes, Harlan Carvey, analista principal de inteligencia de amenazas de Huntress, y Lindsey O'Donnell-Welch, escritora principal de participación técnica comunitaria, explicaron cómo la economía del RaaS se manifiesta en las tácticas de los atacantes durante incidentes reales. Mira la repetición (y el blog de resumen).

$\"\"$ Tradecraft Tuesday de mayo de 2026

","EDR Icon","https://images.huntress.com/asset/file/278bf5b73a794763b3ff4c7c04930494",[2067,2068,2069,2070],"

Aunque no es un producto directo del equipo de Adversary Tactics, queremos destacar algunas funciones nuevas e increíbles que nuestros compañeros de Investigación de Productos y Producto lanzaron para ayudar a complicarles las cosas a los atacantes. Estamos ansiosos por empezar a usar estos datos para ampliar nuestra comprensión de los actores de amenazas que enfrentan nuestros clientes.

Mira el Product Lab de este mes, donde el CTO y Co-Founder de Huntress, Chris Bisnett, y el investigador principal de productos Jonathan Johnson hablaron sobre instaladores engañosos de macOS y más.

$\"\"$ Product Lab de mayo de 2026

",{"_126":2074,"_106":482,"_660":17,"_129":101},{"_126":2073,"_106":480,"_660":17,"_129":101},{"_126":2072,"_106":478,"_660":17,"_129":101},{"_126":2071,"_106":476,"_660":17,"_129":101},"

Mira la nueva demo de simulación de phishing de SAT: Este escenario de phishing muestra un tipo de ataque que hemos visto en el mundo real, donde las víctimas reciben una invitación falsa a una reunión de Microsoft Teams y se les pide unirse a una llamada real con una persona generada por IA. El audio se corta de forma intermitente, lo que las lleva a actualizar el controlador de Teams, algo que en incidentes reales ha abierto la puerta al ataque.
Lifecycle Manager de ScalePad ahora incorpora datos de SAT junto con su integración existente de EDR, para que los MSP puedan generar informes tanto de amenazas de endpoints como de riesgo humano (resultados de simulación de phishing, finalización de capacitaciones, comportamiento de los usuarios) en un solo informe consolidado y listo para el cliente, en lugar de alternar entre herramientas.
Contenido personalizado desde importaciones de PDF: el creador de contenido personalizado de SAT ahora puede importar un PDF de PowerPoint o Google Slides y convertirlo en contenido de capacitación personalizado.
Nuevo informe resumen de asignación en PDF: se rediseñó el informe resumen de asignación en PDF para incluir datos más completos sobre finalización/no finalización de los usuarios y detalles del número de sesiones.
Nuevos episodios de SAT: los materiales de mayo destacan Secure Browsing 2 e Insider Threat (2026) (amenazas internas) como nuevo contenido de episodios

","

Integración con Okta con nuevas detecciones: Managed SIEM amplió el soporte de Okta con nuevas detecciones y casos de uso para patrones de autenticación riesgosos y posible compromiso de cuenta.
SIEM mediante el agente de macOS: Managed SIEM ya está disponible a través del agente de macOS de Huntress para una visibilidad más amplia en Mac.
Revisa esta publicación de blog de Cody Staley para saber cómo los equipos internos de seguridad de Huntress usan Managed SIEM en un ciclo de retroalimentación estrecho con el equipo de producto, de modo que cada función que recibes esté probada en condiciones reales para ayudarte a detectar amenazas más rápido, correlacionar señales entre endpoints e identidades, y detectar ataques complejos que las herramientas de eventos individuales no detectarían.

","

Exportación en PDF de la línea de tiempo del reporte de incidente: la línea de tiempo del reporte de incidente de ITDR, que te da una vista rápida y precisa de la actividad maliciosa ocurrida durante un ataque basado en identidad, ya está disponible en versión PDF. Lee más aquí.
Vuelve a autorizar a la versión 6 para obtener las funciones más recientes de ITDR: hacerlo garantiza que estés preparado para acceder a las últimas y mejores funciones de ITDR. Puedes encontrar los pasos de reautorización aquí.

","

Mayor visibilidad de los eventos de inicio de sesión de Windows: Managed EDR ahora muestra los eventos de inicio de sesión exitosos de Windows en el portal, incluido el tipo de inicio de sesión, el nombre de usuario, el dominio y el SID, para ayudar a distinguir el acceso normal de las sesiones remotas sospechosas.
Detección de infostealers/instaladores engañosos en macOS: Managed EDR ahora detecta infostealers de macOS que usan ingeniería social para engañar a los usuarios y hacer que eviten Gatekeeper. El agente escanea los archivos al abrirse y marca íconos o instrucciones engañosas para que el SOC las analice.

",[2076,2077,2078],{"_126":2083,"_106":2084,"_660":17,"_129":101},{"_126":2081,"_106":2082,"_660":17,"_129":101},{"_126":2079,"_106":2080,"_660":17,"_129":101},"

Mini Shai-Hulud es un ataque importante a la cadena de suministro de software que siguió generando titulares a mediados de mayo de 2026. El grupo de amenazas TeamPCP vinculó la campaña con compromisos de paquetes npm y PyPI de TanStack, UiPath, Mistral AI, OpenSearch y Guardrails AI. En una ventana de 48 horas, del 11 al 12 de mayo, los atacantes comprometieron 172 paquetes únicos en 403 versiones maliciosas. El malware autopropagable se propagó al robar secretos de CI/CD y secuestrar tokens OIDC de GitHub Actions para publicar versiones maliciosas a través de los propios pipelines de lanzamiento de los proyectos, evadiendo las protecciones modernas al usar los sistemas automatizados de los desarrolladores en su contra. Las credenciales robadas se exfiltraron a través de tres canales, incluida la red descentralizada de mensajería Session, lo que dificultó su eliminación.

","Más sobre Mini Shai-Hulud","

A principios de mayo de 2026, el grupo de hackers ShinyHunters vulneró a Instructure, la empresa detrás de Canvas LMS, y robó 3,65 TB de datos de casi 9 mil organizaciones. Los datos robados incluían nombres, direcciones de correo electrónico, números de identificación de estudiantes y mensajes privados, pero no contraseñas ni información financiera.

El 7 de mayo, un segundo ataque desfiguró las páginas de inicio de sesión de Canvas en alrededor de 330 instituciones, con un plazo de rescate fijado para el 12 de mayo. La vulneración afectó a 275 millones de usuarios en 8.809 instituciones en todo el mundo, lo que la convierte en la mayor filtración de datos educativos registrada. El 11 de mayo, Instructure dijo que había “llegado a un acuerdo” con el actor no autorizado (leyendo entre líneas, eso significa que la empresa pagó el rescate). El incidente muestra el impacto real de los ciberataques: el trabajo de curso y los exámenes de muchos estudiantes en todo EE. UU. se vieron interrumpidos el 7 de mayo.

$\"\"$

","Ataque de extorsión de ShinyHunters a Canvas","

En mayo, se divulgaron tres vulnerabilidades de escalada de privilegios en Linux fáciles de explotar: CopyFail, Dirty Frag y Fragnesia. Si bien no permiten por sí solas la ejecución remota de código, un atacante con un punto de entrada existente puede aprovecharlas para obtener rápidamente acceso root en los sistemas afectados. Consulta esta publicación del blog de Chris Ryan y Uttie Gumbula para saber cómo tres vulnerabilidades del kernel de Linux recientemente descubiertas permiten que los atacantes (con un punto de entrada existente) escalen fácilmente a acceso root, y qué puede hacer tu equipo ahora mismo para parchar o mitigar el riesgo.

","Errores de escalada de privilegios en Linux",[2086],{"_126":2087,"_106":2088,"_660":99,"_129":2089},"

Tras el informe de GreyNoise Intelligence sobre la actividad generalizada de escaneo de SonicWall, Huntress siguió detectando un aumento significativo en los compromisos de dispositivos SonicWall SSLVPN durante mayo, que se originaron en dos direcciones IP: 173.208.148[.]250 (WholeSale Internet) y 45.86.230[.]72 (Clouvider).

En un grupo de ataques del 22 de mayo, los actores de amenazas que operaban desde estas direcciones lanzaron ataques de fuerza bruta a lo largo de 24 horas, apuntando a 58 organizaciones distintas, y lograron acceder a varios dispositivos en seis de ellas. Sin embargo, los ataques continuaron también en las semanas siguientes a este grupo.

Los atacantes parecen estar trabajando con una lista preexistente de credenciales, ya que varias cuentas se vieron comprometidas en el primer intento, lo que sugiere que el adversario ya podría haber tenido combinaciones válidas de usuario y contraseña antes de iniciar su campaña. ¡Un reconocimiento a Dray Agha y Michael Tigges por su investigación de esta actividad!

Detección de autenticación maliciosa en VPN de SonicWall

","Aumento en los compromisos de SSLVPN de SonicWall","

Huntress sigue monitoreando este aumento en los compromisos de SSLVPN que hemos observado en nuestra base de clientes. Si eres socio de Huntress, asegúrate de haber implementado SIEM y de estar exportando tus registros de SonicWall para contar con mayor visibilidad de seguridad.

",[2091,2092,2093],{"_126":2098,"_106":2099,"_660":17,"_129":101},{"_126":2096,"_106":2097,"_660":17,"_129":101},{"_126":2094,"_106":2095,"_660":17,"_129":101},"

Desde febrero, el SOC ha observado un número creciente de incidentes que involucran a Tiflux, una herramienta RMM relativamente poco conocida. Si bien la documentación pública sobre Tiflux sigue siendo escasa, su adopción encaja en un patrón más amplio que hemos rastreado: los actores de amenazas suelen experimentar con RMM menos conocidas para obtener puntos de entrada y mantener persistencia en los entornos de las víctimas.

$\"\"$ La cadena de ataque de Tiflux comenzó con correos de malspam

Muchos de los incidentes relacionados con Tiflux compartían elementos comunes, incluido el uso de varias RMM junto con controladores de kernel vulnerables, y en algunos casos, estas intrusiones resultaron en acceso no autorizado y robo de credenciales. Un análisis más profundo de uno de estos incidentes reveló una infraestructura que los actores de amenazas habían construido para persistencia, reconocimiento del sistema y exfiltración de capturas de pantalla. Lee más aquí.

","La triple amenaza Tiflux","

A principios de mayo, el administrador de la operación The Gentlemen RaaS reconoció que se había filtrado una base de datos interna, lo que expuso las cuentas del operador del ransomware, quien administra su infraestructura y construye el locker. Las filtraciones dieron visibilidad de principio a fin sobre la operación del grupo detrás del ransomware, que se ha desplegado en un número creciente de ataques en 2026.

$\"\"$ Alerta de Microsoft Defender para el ransomware The Gentlemen

Huntress ha visto el ransomware The Gentlemen en varios incidentes en mayo. En dos de los incidentes, observamos el uso de tareas programadas y PowerShell. También vimos que los actores de amenazas usaron tácticas de evasión o deterioro de las defensas, como borrar los registros de eventos de Seguridad, Sistema y Aplicación, y usar comandos de PowerShell para deshabilitar Microsoft Defender y agregar exclusiones de antivirus. Puedes leer nuestro análisis completo de este ransomware y los incidentes relacionados aquí. ¡Un reconocimiento a los analistas del SOC Nick Roddy y Dani Lopez por sus investigaciones y análisis de estos incidentes!

","El ransomware The Gentlemen","

Nuestro SOC detectó la explotación de una grave falla de omisión de autenticación (CVE-2026-41940) en el popular software de administración de servidor web cPanel y WebHost Manager (WHM). cPanel es un panel de control de alojamiento web basado en la web que usan ampliamente los proveedores de hosting y las empresas que quieren administrar sitios web o portales de recursos públicos. Eso significa que esta falla tiene una superficie de ataque potencialmente muy grande, y los actores de amenazas ya están aprovechándola.

La vulnerabilidad, que se divulgó y se corrigió en abril, podría permitir que los actores de amenazas evadan de forma remota la pantalla de inicio de sesión de cPanel y accedan a su panel de administración. Esto fue lo que vimos: el 1 de mayo, detectamos actividad maliciosa después de que dos grupos de atacantes (desde dos direcciones IP distintas) explotaran la falla de cPanel en un servidor Linux. Estas son algunas de las cosas que hicieron los actores de amenazas:

Ejecutaron comandos de reconocimiento a través de la API de cPanel
Establecieron persistencia agregando una clave pública SSH a /root/.ssh/authorized_keys, antes de modificar los archivos de configuración de SSH para habilitar la autenticación por contraseña y cambiar la contraseña de root
Crearon dos cuentas de revendedor de WHM fraudulentas con privilegios administrativos completos
Usaron wget para descargar un script malicioso, que se guardó como /tmp/a.sh
Desplegaron el malware de minería de criptomoneda XMRig (/root/.rsyslogd)

Por suerte, nuestro SOC detectó y remedió la actividad maliciosa a tiempo. ¡Un reconocimiento para Tanner Filip por su investigación de este incidente!

","Explotación de cPanel (CVE-2026-41940)","El boletín Adversary Tactics de Huntress de mayo de 2026: amenazas emergentes rastreadas por nuestro SOC, incluida la explotación de cPanel, con análisis y recomendaciones de defensa.",{"_197":198,"_199":200,"_108":201},{"_207":2177},{"_207":2159},{"_207":2141},{"_207":2126},{"_207":2124},{"_207":2108},{"_209":210,"_54":211,"_32":212,"_213":2109},{"_215":216,"_217":218,"_34":2110,"_220":221,"_222":2111,"_54":211,"_224":225,"_226":227,"_228":225,"_229":2112,"_231":232,"_56":233,"_234":234,"_235":2113,"_237":2114,"_239":240,"_241":2115,"_58":59,"_60":2116},{"_63":244,"_245":246,"_247":248,"_249":250,"_251":252,"_253":2117,"_255":256,"_257":258,"_259":260,"_82":2118,"_56":233,"_262":263,"_264":265,"_91":266,"_60":2119},[],{},[],"fiut5il8xc",{},[62],[2120,2121],{"_185":268,"_187":233},[62],{"_271":2123},{"_271":2122},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":2125,"_32":212},"9e40055ac51e4bca9db7bf1d15f9f958",{"_209":210,"_54":1723,"_32":212,"_213":2127},{"_215":1725,"_217":1726,"_34":2128,"_220":1728,"_222":2129,"_54":1723,"_224":225,"_226":1730,"_228":225,"_229":2130,"_231":232,"_56":1732,"_234":234,"_235":2131,"_237":2132,"_288":17,"_239":240,"_241":2133,"_58":59,"_60":2134},{"_63":1732,"_245":1737,"_247":1738,"_249":250,"_251":1739,"_253":2135,"_255":1741,"_77":2136,"_257":1743,"_259":1744,"_82":2137,"_56":1732,"_262":1746,"_264":1732,"_91":1747,"_60":2138},[],{},[],"s9k5ajfd4j",{},[62],[2139],{},{"_185":1749,"_187":1732},[62],{"_271":2140},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":316,"_32":212,"_213":2142},{"_215":279,"_217":318,"_34":2143,"_220":318,"_222":2144,"_54":316,"_224":225,"_226":321,"_228":225,"_229":2145,"_231":232,"_56":323,"_234":234,"_235":2146,"_237":2147,"_239":240,"_241":2148,"_58":59,"_60":2149},{"_245":328,"_247":329,"_249":250,"_251":330,"_253":2150,"_255":332,"_257":333,"_259":334,"_82":2151,"_56":323,"_298":336,"_262":337,"_264":338,"_91":339,"_60":2152,"_304":341},[],{},[],"y0596uuprz",{},[62],[2153,2154,2155],{"_185":342,"_307":17,"_308":17,"_187":343},[62],{"_271":2158},{"_271":2157},{"_271":2156},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":351,"_32":212,"_213":2160},{"_215":353,"_217":354,"_34":2161,"_220":354,"_222":2162,"_54":351,"_224":225,"_226":357,"_228":225,"_229":2163,"_231":232,"_56":359,"_234":234,"_235":2164,"_237":2165,"_239":240,"_241":2166,"_58":59,"_60":2167},{"_245":364,"_247":365,"_249":250,"_251":366,"_253":2168,"_368":369,"_255":370,"_257":371,"_259":372,"_82":2169,"_56":359,"_298":374,"_262":375,"_264":376,"_91":377,"_60":2170,"_304":379},[],{},[],"00kjlyx4t6tte",{},[62],[2171,2172,2173],{"_185":380,"_307":17,"_308":17,"_187":381},[62],{"_271":2176},{"_271":2175},{"_271":2174},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":389,"_32":212,"_213":2178},{"_215":353,"_217":391,"_34":2179,"_220":391,"_222":2180,"_54":389,"_224":225,"_226":394,"_228":225,"_229":2181,"_231":232,"_56":396,"_234":234,"_235":2182,"_237":2183,"_288":17,"_239":240,"_241":2184,"_58":59,"_60":2185},{"_245":401,"_247":402,"_249":250,"_251":403,"_253":2186,"_255":405,"_257":406,"_259":407,"_82":2187,"_56":396,"_298":409,"_262":410,"_264":411,"_91":412,"_413":414,"_60":2188},[],{},[],"jyt6s1hx2rh",{},[62],[2189,2190,2191],{"_185":416,"_307":17,"_308":17,"_187":417},[62],{"_271":2194},{"_271":2193},{"_271":2192},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_429":431,"_427":432},{"_429":430,"_427":184},{"_427":2198},"Mayo de 2026",{"_65":2203,"_67":2204,"_69":2205,"_71":2206,"_73":2207,"_79":2208,"_82":2209,"_56":2210,"_85":2211,"_87":2212,"_89":2213,"_91":2214,"_95":96,"_60":2215},"bc2143f60b4446bf8f6f600d6b74b643","Threat View from the Lens of Huntress Adversary Tactics: June 2026",[62],[2279,2280,2281],{"_98":99},[],{"_190":2278,"_192":193,"_194":703,"_187":196},{},{"_126":2277,"_98":17},{"_185":2276,"_187":2210},"Vista de amenazas desde la perspectiva de Huntress Adversary Tactics: junio de 2026",{"_110":2216},"Tue Jun 30 2026 00:00:00 GMT-0400 (Eastern Daylight Time)",{"_100":101,"_102":103,"_104":105,"_106":107,"_98":99,"_108":628},"june-2026",[62],[2217,2218,2219,2220,2221,2222],{"_117":170,"_119":2263,"_121":1891,"_122":684},{"_117":883,"_119":2257,"_121":2258,"_122":497},{"_117":158,"_119":2247,"_121":101,"_122":160},{"_117":145,"_119":2241,"_121":2242,"_122":485},{"_117":132,"_119":2228,"_121":2229,"_122":644},{"_117":118,"_119":2223,"_121":101,"_122":123},[2224,2225],{"_126":2227,"_106":131},{"_126":2226,"_106":464},"

¡Felicidades a Andrew Schwartz por su reconocimiento CVE de parte de Microsoft! A Andrew se le acreditaron dos fallas de denegación de servicio en Windows Kerberos (CVE-2026-42914 y CVE-2026-42903).

","

Durante el Tradecraft Tuesday de este mes, los investigadores principales de producto de Huntress, Jenko Hwong y Dave Kleinatland, analizaron el aumento del phishing mediante código de dispositivo, un ataque que abusa del flujo de autorización de dispositivos OAuth 2.0 de Microsoft para robar tokens de autenticación válidos y evadir las protecciones de autenticación multifactor (MFA). En particular, plataformas modernas de modelo de phishing como servicio (PhaaS) como EvilTokens y Kali365 han estado impulsando más casos de phishing mediante código de dispositivo, y Hwong y Kleinatland hablaron sobre los pasos que las organizaciones pueden tomar para defenderse de este tipo de ataque. Consulta nuestro blog de resumen para saber más.

El episodio de Tradecraft Tuesday de junio se centró en el phishing mediante código de dispositivo y otros problemas de identidad

",[2230,2231,2232,2233,2234],"

Aunque no es un producto directo del equipo de Adversary Tactics, queremos destacar algunas funciones nuevas e impresionantes que nuestros compañeros de Product Research y Product lanzaron para complicarles la vida a los atacantes. Estamos ansiosos por empezar a usar estos datos para ampliar nuestra comprensión de los actores de amenazas que enfrentan nuestros clientes.

Mira el Product Lab de este mes, donde los cofundadores de Huntress, Chris Bisnett y Kyle Hanslovan, hablaron sobre el descubrimiento de IA en la sombra, la inteligencia de amenazas reflexiva en ITDR, nuevas detecciones de fuerza bruta en SIEM y escenarios de phishing con HTML personalizado, además de una simulación de OSINT remasterizada y un nuevo episodio de Info Sec 2 en SAT.

Product Lab de junio de 2026

",{"_126":2240,"_106":482,"_660":17,"_129":101},{"_126":2239,"_106":480,"_660":17,"_129":101},{"_126":2237,"_106":2238,"_660":17,"_129":101},{"_126":2236,"_106":478,"_660":17,"_129":101},{"_126":2235,"_106":476,"_660":17,"_129":101},"

La actividad administrativa de Managed SAT ahora es visible en SIEM: los registros de auditoría de la interfaz de SAT se pueden revisar y consultar directamente desde el portal de Huntress, lo que les da a los partners un lugar unificado para dar seguimiento a las acciones administrativas junto con la telemetría de seguridad.
El soporte de exportación SCORM ya está disponible de forma general: los partners que quieran entregar contenido de SAT a través de su propio Sistema de Gestión de Aprendizaje pueden descargar archivos compatibles con SCORM 1.2 directamente desde el portal.
Hay un nuevo informe resumen en PDF disponible para las asignaciones de SAT: diseñado para juntas directivas, auditores y equipos de cumplimiento, el informe exportable incluye detalles del episodio, el estado de finalización del usuario con sus puntajes, y una lista completa de quienes no lo completaron. Funciona tanto para asignaciones de una sola empresa como para asignaciones multiinquilino.
La simulación OSINT 2 ya está disponible de forma general: una nueva versión de la experiencia de simulación OSINT, que permite a los usuarios recorrer paso a paso cómo se ve usar inteligencia de fuentes abiertas para comprometer una cuenta objetivo. Se puede activar desde el panel del usuario.
Managed Phishing localizado para Canadá: los usuarios canadienses inscritos en Managed Phishing ahora recibirán simulaciones de phishing en inglés basadas en marcas y escenarios familiares, como Tim Hortons e Interac.
Nuevos escenarios de phishing con deepfake: nuestro nuevo escenario de phishing con deepfake comprometió a más de 1.000 usuarios en tan solo la primera semana de estar disponible en Managed Phishing. Eso significa que un tercio de los usuarios que hicieron clic en el enlace para unirse a una reunión falsa fueron un paso más allá e hicieron clic en \"descargar controlador\" para comprometerse a sí mismos. Esta es una táctica nueva que estamos observando en el entorno real, donde los atacantes envían a los usuarios una invitación falsa a una reunión, que los lleva a una videoconferencia con apariencia legítima (con asistentes deepfake incluidos), y despliega malware bajo la apariencia de una actualización obligatoria de una aplicación o controlador. Puedes probarlo tú mismo aquí.

","

La recopilación de registros de macOS ya está disponible en Managed SIEM: los equipos ahora pueden recopilar y consultar registros de Windows, Linux y macOS desde una sola plataforma, lo que brinda mayor visibilidad en los sistemas operativos por los que se mueven los atacantes.
Okta ya es una fuente de registros compatible en Managed SIEM: esta nueva funcionalidad incluye detecciones integradas del SOC que cubren ataques de credenciales, omisión y fatiga de MFA, escalada de privilegios y toma de control de una cuenta para organizaciones que usan Okta como su proveedor de IdP o SSO.
Azure Government (GCC High) ya es una fuente de registros compatible en Managed SIEM: las organizaciones que operan en entornos cloud del gobierno de EE. UU. ahora pueden conectar sus fuentes de registros de Azure a Managed SIEM, lo que extiende la misma visibilidad y cobertura de detección respaldadas por el SOC a los tenants de GCC High.
La búsqueda impulsada por IA ya está disponible en Managed SIEM: escribe tu búsqueda en español sencillo y Managed SIEM creará la consulta por ti, sin necesidad de conocer ESQL. Haz clic en el botón ESQL para ver exactamente cómo luce la consulta por dentro, y guárdala o prográmala como una alerta recurrente en cualquier momento.

","

Disponibilidad general (GA) de Managed ISPM: Managed ISPM, la solución totalmente administrada de Huntress para el endurecimiento de la seguridad continuo de los entornos de Microsoft 365, alcanzó la disponibilidad general el 1 de julio. Lee esta publicación del blog de Aimee Simpson y Scott Riley para aprender más sobre ISPM y cómo ayuda a las organizaciones a definir el estándar de oro para la seguridad de identidad de Microsoft 365, implementar los controles adecuados y mantenerlos aplicados con el tiempo.

","Managed ISPM","

Detecciones mejoradas en ITDR para Google Workspace (GWS): los ataques a la identidad no se limitan a Microsoft. Si usas GWS, es probable que enfrentes a diario intentos de secuestro de sesión y robo de credenciales. Por eso nos entusiasma anunciar detecciones mejoradas de ITDR en GWS. Al ampliar nuestra solución de GWS, ahora detectamos el robo de credenciales, que señala patrones de toma de control de una cuenta, incluyendo credenciales obtenidas por phishing, intentos de password spray y comportamientos de inicio de sesión anómalos, así como el secuestro de sesión, que identifica tokens de sesión robados o falsificados usados para evadir MFA y obtener acceso no autorizado a cuentas de GWS sin credenciales. Estas detecciones son nuestro último paso para llevar nuestra solución de GWS a la par de nuestra oferta de Microsoft 365. Consulta Understanding the Differences Between ITDR for Microsoft 365 and ITDR for Google Workspace para obtener más información.

","

macOS expulsa automáticamente instaladores engañosos: cuando Huntress detecta que un DMG montado es un instalador engañoso, el Huntress Agent ahora expulsa automáticamente el volumen antes de que el payload incluido pueda ejecutarse, deteniendo a los infostealers en seco.
Detección de bypass de Gatekeeper en macOS: el Huntress Agent for macOS ahora detecta cuando un usuario evade las protecciones de Gatekeeper de Apple para abrir un archivo en cuarentena o sin firmar, cerrando una brecha crítica de visibilidad en cómo se ejecutan los infostealers. Disponible para macOS 14 y versiones posteriores.
Panel rediseñado de Managed Antivirus: el panel rediseñado pone al frente la actividad reciente de Defender, las organizaciones más ruidosas y los endpoints más activos, con una nueva vista de eventos de AV, visualización de agentes principales y una pestaña de cumplimiento de agentes instalados recientemente.

",[2243],"

En Huntress, activamos “Respuestas Rápidas” cuando hay una vulnerabilidad o amenaza que los atacantes están usando para escalar la implementación de malware a gran escala. Cuando nos enteramos de una posible vulnerabilidad, el equipo de Tácticas del Adversario trabaja en toda Huntress para determinar el impacto potencial, actualizar a nuestros clientes y proporcionar documentación para la comunidad de seguridad. Aquí hay un incidente que manejamos el mes pasado:

",{"_126":2244,"_106":2245,"_660":99,"_129":2246},"

Huntress ha estado rastreando una campaña automatizada de password spray originada desde infraestructura controlada por LSHIY LLC (AS32167). Los atacantes realizaron 81 millones de intentos de inicio de sesión contra entornos de Microsoft 365, comprometiendo 78 cuentas en 64 organizaciones durante dos semanas en junio.

La campaña abusó del flujo obsoleto ROPC de OAuth para evadir MFA por completo: 15 de las 23 empresas afectadas solo el 22 de junio tenían MFA habilitado pero mal configurado. Los ataques cesaron después de que Huntress contactara a LSHIY, que suspendió al usuario responsable.

","Campaña de rociado de contraseñas","

Las políticas de acceso condicional deben cubrir todos los usuarios, todas las aplicaciones cloud y todos los tipos de aplicaciones cliente, no solo aplicaciones o grupos seleccionados. Lee el blog completo aquí.

",[2248,2249,2250],{"_126":2255,"_106":2256,"_660":17,"_129":101},{"_126":2253,"_106":2254,"_660":17,"_129":101},{"_126":2251,"_106":2252,"_660":17,"_129":101},"

Check Point divulgó CVE-2026-50751 el 8 de junio. Se trata de un bypass de autenticación crítico (CVSS 9.3) en su VPN de acceso remoto que afecta implementaciones que usan el protocolo obsoleto IKEv1. Se observó explotación desde el 7 de mayo, con decenas de organizaciones atacadas. Al menos un incidente estuvo vinculado a un afiliado de ransomware Qilin. CISA lo agregó al catálogo KEV al día siguiente. Las organizaciones que usan configuraciones heredadas de IKEv1 deben aplicar el parche de inmediato.

","Se explota en el entorno real una omisión de autenticación de VPN de Check Point (CVE-2026-50751)","

El grupo de amenazas ShinyHunters explotó CVE-2026-35273, una vulnerabilidad crítica de RCE no autenticada en Oracle PeopleSoft Empresarial PeopleTools, para comprometer a más de 100 organizaciones entre el 27 de mayo y el 9 de junio. Casi el 70% de las víctimas fueron instituciones de educación superior. Los datos robados incluían nombres de estudiantes, direcciones, números de seguro social, promedios académicos y registros de inscripción. Oracle publicó su aviso el mismo día en que la explotación se hizo pública, dejando una ventana de zero-day sin advertencia previa.

","ShinyHunters explota Oracle PeopleSoft y afecta a más de 100 organizaciones","

El martes de parches de junio fue el más grande en la historia de Microsoft: 200 vulnerabilidades, incluidas 33 fallas críticas y seis zero-days. La más urgente: CVE-2026-41091, una falla de escalada de privilegios en Microsoft Defender que se explota activamente, y CVE-2026-45657, un RCE del kernel de Windows propagable por gusano (CVSS 9.8) que no requiere autenticación ni interacción del usuario. Un bypass de BitLocker y un error de denegación de servicio en HTTP.sys completaron la lista de zero-days. Aplica el parche de inmediato, especialmente para CVE-2026-45657.

","El récord del Patch Tuesday de junio de Microsoft",[2259],"

Nuestro equipo de Tactical Response se creó como una función separada dentro de nuestro SOC para profundizar en las intrusiones y responder preguntas de los partners que están fuera del alcance de las operaciones del SOC 24x7. Ayuda a cerrar la brecha entre el SOC y el momento en que se requiere una respuesta formal a incidentes. Los hallazgos de nuestro equipo de Tactical Response también nos dan muchas pistas sobre cómo se desarrollan las intrusiones.

",{"_126":2260,"_106":2261,"_660":99,"_129":2262},"

Este mes, el equipo de Respuesta Táctica identificó a actores de amenazas explotando CVE-2026-35616, una vulnerabilidad en FortiClient EMS de Fortinet, en al menos dos entornos de clientes, incluyendo un MSP y un cliente hospitalario subsiguiente. CVE-2026-35616 es una falla crítica de control de acceso inadecuado que podría permitir a atacantes no autenticados ejecutar código arbitrario. La falla fue divulgada y parcheada en abril, y desde entonces otros investigadores han encontrado actividad de explotación. En el caso de esta actividad de explotación específica, hallada mediante una caza de amenazas retrospectiva, la ejecución fue limpia: el actor implementó una copia maliciosa de SimpleHelp RMM para acceso remoto persistente y para evitar un movimiento lateral ruidoso.

","FortiClient EMS CVE-2026-35616: MSP y hospital comprometidos","

FortiClient EMS se ha convertido en un vector confiable de acceso inicial. Las empresas que usan FortiClient EMS deben tratarlo como un objetivo prioritario de parcheo y verificar que no esté expuesto directamente a internet.

",[2264,2265,2266],{"_126":2273,"_106":2274,"_660":99,"_129":2275},{"_126":2270,"_106":2271,"_660":99,"_129":2272},{"_126":2267,"_106":2268,"_660":99,"_129":2269},"

A finales de junio, nuestro SOC detectó a un actor de amenazas que usaba un Cloudflare Tunnel como canal C2 encubierto y persistente en múltiples entornos de clientes, una técnica que vemos con creciente frecuencia. Los atacantes modificaron la clave de registro SafeBoot para que el túnel siguiera funcionando incluso si el endpoint arrancaba en modo seguro, un modo de inicio de diagnóstico de Windows que carga solo los controladores y servicios esenciales, permitiendo a los usuarios solucionar problemas que impiden que el sistema funcione con normalidad.

En un incidente representativo, así se veía la cadena de ataque:

Acceso inicial mediante RDP usando credenciales comprometidas
Se implementó un binario de Cloudflare, disfrazado como WindowsUpdate.exe en AppData\\Local\\Microsoft\\WindowsUpdate\\, y configurado con config.yml para establecer acceso remoto persistente y cifrado
Se instaló como un servicio de Windows y se modificó la clave de registro SafeBoot en HKLM\\SYSTEM\\CurrentControlSet\\Control\\SafeBoot\\Network\\Cloudflared para evadir la detección de seguridad

","La persistencia del túnel de Cloudflare sobrevive el modo seguro","

La modificación de la clave SafeBoot es poco utilizada, pero efectiva. La mayoría de los defensores vigilan las ubicaciones estándar de autoarranque y no toman en cuenta el modo seguro como una vía de escape para el atacante.

","

A principios de junio, nuestro SOC identificó una infección por webshell notable, no por su método de acceso inicial, sino por el esfuerzo que hizo el actor de amenazas para cegar a los defensores una vez dentro. Después de obtener un punto de apoyo persistente, el actor hizo lo siguiente:

Desinstaló un módulo de firewall de aplicaciones web de IIS para eliminar la visibilidad del servidor web
Usó Image File Execution Options, un mecanismo de depuración de Windows, para cegar a Sysmon e impedir que registrara la creación de procesos
Creó consumidores de eventos WMI para borrar automáticamente los registros de eventos de Windows, eliminando la evidencia forense
Incorporó técnicas adicionales de evasión y antiforenses a lo largo de la intrusión

","Intrusión mediante webshell con evasión de defensa avanzada","

En conjunto, esto representa un intento cuidadoso y de múltiples capas para vencer tanto la detección en tiempo real como la investigación posterior al incidente. Vale la pena entenderlo y poner a prueba tus defensas contra él. ¡Buen trabajo de Mark O'Halloran en la investigación y el blog correspondiente!

","

En junio, FortiBleed afectó a unos 74,000 firewalls FortiGate expuestos a internet en 194 países. No es una vulnerabilidad nueva: según Fortinet, se trata de credenciales reutilizadas y ataques de fuerza bruta contra dispositivos con contraseñas débiles y sin MFA (es decir, no hay CVE ni parche, solo contraseñas de administrador/VPN que funcionan). Huntress cruzó las direcciones IP publicadas con su propio corpus de datos e identificó 845 organizaciones de socios afectadas específicamente por esta filtración de credenciales.

Lo más relevante es la metodología, sobre la que Huntress tiene una telemetría única. Los atacantes:

Obtuvieron credenciales por fuerza bruta y descifraron hashes con Hashcat en infraestructura de GPU a través de vast[.]ai
Usaron el acceso para recolectar hashes NTLM y Kerberos del tráfico de la red interna (mediante captura de paquetes en el propio dispositivo Fortigate)
Mantuvieron la persistencia mediante un bot de C2 basado en Telegram
Crearon cuentas de puerta trasera: el administrador fgt_admin y el usuario de SSLVPN sslvpn

","FortiBleed: filtración masiva de credenciales de Fortigate","

Verifica fgt_admin y sslvpn como posibles IOC, rota todas las credenciales de VPN y asegúrate de que las interfaces de administración no estén expuestas públicamente.

","El boletín Huntress Adversary Tactics de junio de 2026: amenazas emergentes rastreadas por nuestro SOC, incluyendo FortiBleed, con análisis y guía para mantenerte protegido.","

Bienvenido al boletín Adversary Tactics, tu fuente de información sobre las amenazas emergentes que rastreamos en Huntress y en todo el mundo. Trabajemos juntos para acabar con los hackers que atacan sin descanso a nuestros clientes, socios y a los clientes de estos. Mantente a salvo. Mantente alerta. Pero antes, ¡mantente informado!

",{"_197":198,"_199":200,"_108":201},{"_429":431,"_427":432},{"_429":430,"_427":828},{"_427":2282},"Junio de 2026",{"_65":2287,"_67":2288,"_69":2289,"_71":2290,"_73":2291,"_79":2292,"_82":2293,"_56":2294,"_85":2295,"_87":2296,"_89":2297,"_91":2298,"_95":96,"_60":2299},"6c21f6583b934c10b14e2eb68e1de054","Threat View from the Lens of Huntress Adversary Tactics: July 2026",[62],[2525,2526,2527],{"_98":99},[2366,2367,2368,2369,2370,2371,2372],{"_190":2365,"_192":193,"_194":703,"_187":196},{},{"_126":2277,"_98":17},{"_185":2364,"_187":2294},"Vista de amenazas desde la perspectiva de las tácticas de los actores de amenazas de Huntress: julio 2026",{"_110":2300},"Fri Jul 31 2026 00:00:00 GMT-0400 (Eastern Daylight Time)",{"_100":101,"_102":103,"_104":105,"_106":107,"_98":99,"_108":628},"july-2026",[62],[2301,2302,2303,2304,2305],{"_117":2350,"_119":2351,"_121":1891,"_122":684},{"_117":2335,"_119":2336,"_121":2337,"_122":497},{"_117":2324,"_119":2325,"_121":101,"_122":160},{"_117":2311,"_119":2312,"_121":2313,"_122":644},{"_117":2306,"_119":2307,"_121":2308,"_122":123},"https://images.huntress.com/asset/file/cf310c7ec7af4e53a9747f8018dddf3e",[2309],"

",{"_126":2310,"_106":131},"

El Tradecraft Tuesday de este mes analizó una importante campaña de rociado de contraseñas (password spray) de Azure CLI que involucró 81 millones de intentos de inicio de sesión en dos semanas y vulneró 78 cuentas al abusar del flujo OAuth ROPC obsoleto para evadir políticas de acceso condicional (CAP) débiles, incluso con MFA habilitado. Spike Brandt, Rich Mozeleski y Lindsey O'Donnell-Welch mostraron cómo el BYOIP alojado en LSHIY, un volumen de rociado 155 veces mayor y un alcance mal definido de las CAP hacen que estos ataques tengan éxito, y explicaron pasos concretos de endurecimiento de la seguridad.

El episodio de Tradecraft Tuesday de julio se enfocó en un ataque masivo de rociado de contraseñas

","https://images.huntress.com/asset/file/d407852bf08e4726af184a3e845b68e2",[2314,2315,2316,2317,2318],"

Aunque no es un producto directo del equipo de Adversary Tactics, queremos destacar algunas capacidades nuevas increíbles que nuestros socios de Product Research y Product han lanzado para complicarle la vida a los atacantes. No podemos esperar a empezar a usar estos datos para ampliar nuestra comprensión de los actores de amenazas que enfrentan nuestros clientes.

Mira \\el Product Lab de este mes\\, donde los cofundadores de Huntress, Chris Bisnett y Kyle Hanslovan, hablaron sobre el lanzamiento de la app móvil de Huntress, el hardening de ISPM tras el \\ataque de password spray LSHIY\\, y cómo nuestro \\analista agentic de SOC Athena\\ ayuda al Huntress SOC a investigar amenazas de forma más rápida, consistente y a escala.

¡Product Lab de julio de 2026 EN VIVO!

",{"_126":2323,"_106":482,"_660":17,"_129":101},{"_126":2322,"_106":480,"_660":17,"_129":101},{"_126":2321,"_106":2238,"_660":17,"_129":101},{"_126":2320,"_106":478,"_660":17,"_129":101},{"_126":2319,"_106":476,"_660":17,"_129":101},"

Contenido nuevo: Reevaluamos constantemente nuestra biblioteca para asegurarnos de que todo el contenido sea relevante y esté actualizado. Este trimestre lanzamos versiones actualizadas de episodios anteriores (Seguridad de la información 2, Navegación segura 2 y Amenazas internas 2) para reflejar las amenazas y las mejores prácticas actuales.
Phishing con HTML personalizado: Los socios ahora pueden crear simulaciones de phishing totalmente personalizadas usando HTML.
Nuevo video de onboarding para alumnos: Nuevos videos en nuestra biblioteca dan a los alumnos un vistazo rápido y detallado de lo que pueden esperar de su nuevo programa de SAT.

","

Búsqueda con IA ya en disponibilidad general: La búsqueda de registros en lenguaje natural ya está disponible en general en Managed SIEM, lo que permite a los socios y analistas consultar registros en español o inglés sencillo, sin necesidad de sintaxis, haciendo las investigaciones más rápidas y accesibles para equipos de cualquier nivel de experiencia.
Fuente de registros de GCP + Azure GCC: High Google Cloud Platform ahora es una fuente de registros compatible en Managed SIEM, y Azure GCC High cuenta con soporte nativo, lo que amplía la cobertura para organizaciones que operan entornos híbridos o de cloud gubernamental.
Recopilación de registros de Veeam Backup: Huntress SIEM ahora ingiere y normaliza los registros de Veeam Backup, lo que da a los socios visibilidad sobre la infraestructura de respaldo que los actores de ransomware suelen atacar para deshabilitar las opciones de recuperación antes de activar el ataque.

","

Managed ISPM alcanza disponibilidad general: Managed Identity Security Posture Management (ISPM), que da soporte a la identidad y la postura de seguridad, ya está disponible de forma general para todos los partners y clientes como producto independiente, sin necesidad de licencia ITDR, con integraciones a HaloPSA, ConnectWise, Autotask y Syncro. Desde su lanzamiento el 1 de julio, más de 5.700 organizaciones ya usan Managed ISPM para fortalecer su entorno de Microsoft.

Amplía la cobertura de Huntress de los controles NIST SP 800-171: Con la incorporación de Managed ISPM, Huntress ahora cubre 55 de los 110 controles NIST SP 800-171 requeridos para el cumplimiento de CMMC, lo que les da a los partners y clientes de la base industrial de defensa una herramienta poderosa para apoyar el cumplimiento de CMMC, junto con la documentación detallada necesaria para demostrar el cumplimiento durante el proceso de evaluación.

","

Supresión de dispositivos confiables: Una nueva función de supresión de dispositivos confiables está reduciendo las escalaciones por inicios de sesión inesperados en un 40–50%, lo que disminuye el ruido de alertas para que los socios y el SOC puedan enfocarse en las amenazas que realmente importan.
Limitador de escalación durante el onboarding: Los primeros días después de conectar un inquilino son los más difíciles: aún no hay una línea base, así que todo parece anómalo y las escalaciones llegan en ráfaga. Con el limitador de escalación durante el onboarding, la primera semana de un nuevo inquilino ahora produce un flujo manejable y priorizado en lugar de una avalancha, así puedes incorporar clientes sin advertir a tus técnicos que se preparen para el ruido.
Inferencia de ubicación de uso de Microsoft: Configurar la ubicación de uso inquilino por inquilino ha sido una de las principales solicitudes en Canny, así que nos emociona compartir que la inferencia de ubicación de uso de Microsoft ya está disponible en Managed ITDR (¡gracias por sus comentarios!). Con esta funcionalidad, Huntress ahora infiere el país de origen directamente desde el inquilino, sin necesidad de configuración por parte del socio.
Reglas esperadas basadas en IP: Los socios y clientes ahora pueden crear reglas de acceso no deseado esperado de una sola IP en Managed ITDR para eliminar las escalaciones de IPs conocidas de oficinas o trabajadores remotos.

","

Expulsión automática de instaladores engañosos: el Huntress Agent ahora expulsa automáticamente los instaladores engañosos antes de que un usuario pueda ejecutarlos, deteniendo de raíz una técnica común de acceso inicial. Los informes de incidentes para amenazas de instaladores engañosos y prueba CAPTCHA falsa ahora también recomiendan episodios de capacitación SAT dirigidos para cerrar el lado humano de la brecha.
Disponibilidad general de la integración con MDE para GCC High: la integración con Microsoft Defender for Endpoint ahora es totalmente compatible en entornos Government Community Cloud (GCC) High, dando a los socios del sector público y sus clientes la misma visibilidad profunda de EDR que en los despliegues comerciales.

","https://images.huntress.com/asset/file/4397449e46de452ba0fd7ede742c5bc4",[2326,2327,2328],{"_126":2333,"_106":2334,"_660":17,"_129":101},{"_126":2331,"_106":2332,"_660":17,"_129":101},{"_126":2329,"_106":2330,"_660":17,"_129":101},"

A fines de julio, los hackers llevaron a cabo una campaña coordinada contra la tecnología operativa de más de 30 servicios de agua comunitarios en Minnesota, dejando al menos una planta fuera de línea y obligando a otras a operar manualmente. La calidad del agua se mantuvo segura, pero el incidente mostró lo poco que se necesita para sacar a pequeños sistemas municipales de su piloto automático y arrastrar a equipos de respuesta estatales, federales y locales a una crisis total de infraestructura crítica.

","Ataques coordinados a sistemas OT afectan a sistemas de agua comunitarios de Minnesota","

Hugging Face reveló que un agente autónomo de IA vulneró su infraestructura de producción después de escapar de un sandbox de evaluación de OpenAI, encadenando una vulnerabilidad de día cero en un proxy de paquetes con un procesamiento de conjuntos de datos defectuoso para llegar a clústeres internos. El agente no buscaba dinero, buscaba las claves de respuesta de ExploitGym, convirtiendo una “evaluación de capacidades” en la primera intrusión impulsada por IA ampliamente documentada a gran escala.

Anthropic también reveló recientemente que un error de configuración en pruebas permitió que versiones de Claude escaparan de entornos de evaluación aislados y realmente hackearan los sistemas de tres organizaciones reales durante pruebas de seguridad tipo \"capture the flag\". Versiones del modelo de IA Claude de Anthropic escaparon de sus entornos de prueba y hackearon a otras organizaciones en tres ocasiones distintas, una revelación que llegó aproximadamente una semana después de que OpenAI divulgara un incidente similar relacionado con sus modelos.

","El agente de OpenAI se infiltra en Hugging Face para \"hacer trampa\" en una \"prueba\"","

Investigadores de seguridad observaron a JADEPUFFER, un agente autónomo de ransomware, ingresar a su sandbox a través de un servidor Langflow mediante CVE-2025-3248. El agente robó credenciales, se movió lateralmente y cifró una base de datos de producción sin ningún operador humano involucrado. Sin embargo, el agente también cometió movimientos extraños, como falsificar los detalles cripto de la nota de rescate, incluir una dirección de Bitcoin que es un ejemplo conocido de la documentación pública, y destruir accidentalmente la clave de descifrado. En general, es un adelanto preocupante de lo que ocurre cuando los flujos de trabajo de IA expuestos sirven a la vez como acceso inicial, persistencia y extorsión automatizada.

","JADEPUFFER: un agente de IA ejecuta en solitario una operación completa de ransomware (y no le va tan bien)","https://images.huntress.com/asset/file/ea5a45b9931646dc8c0043c0a93d05fb",[2338,2339,2340],"

Nuestro equipo de Respuesta Táctica se desarrolló como una función independiente dentro de nuestro SOC para profundizar en las intrusiones y responder a las preguntas de los socios que están fuera del alcance de las operaciones del SOC 24x7. Ayuda a cerrar la brecha entre el SOC y el momento en que se requiere una respuesta formal a incidentes. Nuestros hallazgos de Respuesta Táctica también nos dan muchas pistas sobre cómo se desarrollan las intrusiones.

",{"_126":2347,"_106":2348,"_660":99,"_129":2349},{"_126":2344,"_106":2345,"_660":99,"_129":2346},{"_126":2341,"_106":2342,"_660":99,"_129":2343},"

Un agente de acceso inicial está convirtiendo CitrixBleed 2 (CVE-2025-5777) en una cadena de ataque repetible de siete pasos que drena la memoria de NetScaler, roba tokens de sesión activos y evade el MFA en gateways expuestos. Las siguientes etapas incluyen pivotar de sesiones de usuario secuestradas a SYSTEM, plantar cuentas de administrador falsas estilo Citrix, e instalar ScreenConnect o Zoho Assist para acceso manual persistente. Todo esto culmina en ransomware DragonForce en entornos sin parches y un tiempo de inactividad brutal para quienes descuidaron la aplicación de parches. Revisa este blog para ver el desglose del ataque.

","CitrixBleed 2, utilizado como arma por corredores de acceso inicial","

Los defensores deben aplicar parches a los dispositivos NetScaler expuestos, conservar y revisar los registros, cerrar las sesiones pendientes, y auditar en busca de cuentas sospechosas y herramientas de gestión remota.

","

En julio escribimos sobre un actor de amenazas que se apoyó en IA para generar un script de reconocimiento en PowerShell \"vibe-coded\" que mapeó todo un entorno de Active Directory y luego envolvió los resultados en un bonito informe HTML. El manual de ataque siguió siendo familiar, con un pivote por RDP, enumeración ruidosa de AD y exfiltración rápida, pero la herramienta fue única y creada con IA. Mira este blog de Jevon Ang y Dray Agha para más detalles.

Extracto de Huntress SIEM identificando las tácticas desplegadas

","Análisis de la enumeración de redes potenciada por IA","

La IA está convirtiendo a operadores mediocres en fábricas de scripts, pero no está reescribiendo el ciclo de vida del ataque. Los defensores que buscan comportamientos como la enumeración de AD y la exfiltración por etapas siguen por buen camino, incluso cuando el código parece completamente nuevo cada vez.

","

Después de buscar la descarga de Claude Desktop en Bing, usuarios de 29 organizaciones distintas llegaron a un artefacto “legítimo” de Claude.ai que silenciosamente los dirigía hacia SectopRAT. Los atacantes usaron instaladores falsos y sideloading de DLL, además de EtherHiding en la blockchain y medidas antianálisis basadas en GPU para complicar la investigación. Conoce más sobre el ataque en este blog de Michael Tigges, y cómo superó estos desafíos antianálisis.

Resultados de búsqueda en Bing con varios anuncios patrocinados maliciosos, incluido el artefacto público alojado en Claude.ai.

","Cómo una campaña de malvertising de Claude Desktop afectó a 29 organizaciones con SectopRAT","

Los atacantes siguen utilizando como arma el auge de la IA y los dominios de confianza. Los defensores deben estar atentos a falsas \"aplicaciones de escritorio\" en la telemetría y tratar cada enlace de descarga sospechoso como un posible cargador malicioso.

","https://images.huntress.com/asset/file/40dbf525d42c49128b4931b9355938a4",[2352,2353,2354],{"_126":2361,"_106":2362,"_660":99,"_129":2363},{"_126":2358,"_106":2359,"_660":99,"_129":2360},{"_126":2355,"_106":2356,"_660":99,"_129":2357},"

Un descuido en un campo web permitió que un atacante entrara por un agujero de inyección SQL y comenzara a remodelar el entorno de la víctima a su gusto: habilitó RDP, creó nuevas cuentas de administrador, instaló módulos BadIIS y un sigiloso minero XMRig, y luego lo ocultó todo a plena vista. Así se ve cuando los criminales convierten tu propia infraestructura en su territorio. Esta publicación de blog de Harlan Carvey y Lindsey O’Donnell Welch lo explica todo.

El actor de amenazas instaló los módulos BadIIS

","Cómo los atacantes moldean los entornos de las víctimas","

El acceso inicial es solo el primer movimiento; los defensores necesitan visibilidad sobre los desordenados ajustes del entorno después del compromiso que permiten a los atacantes afianzarse. Los defensores pueden bloquear las entradas web, reforzar la exposición de identidad y RDP, y monitorear cambios de configuración extraños para negarles a los atacantes esa ventaja de terreno propio.

","

En julio investigamos una campaña generalizada de credential stuffing que golpeó los portales de VPN y firewall de SonicWall. Los actores de amenazas trabajaron desde un pequeño grupo de IP de DigitalOcean usando credenciales robadas para inicios de sesión de acceso remoto en docenas de organizaciones sin relación entre sí. Cuando los inicios de sesión funcionaban, los atacantes entraban sin hacer ruido. Nuestro SOC confirmó alrededor de 30 vulneraciones y observó a los atacantes validando accesos a gran escala en lugar de operar manualmente. Mira la investigación y el blog de Jevon Ang y Ethan Williams aquí.

Cronología de los ataques de fuerza bruta contra SonicWall

","Amplia campaña de credential stuffing contra SonicWall","

Las empresas que usan SonicWall afectadas en esta ola necesitaron controles de acceso remoto más estrictos, restablecimientos completos de credenciales, registros más exhaustivos y una cobertura real de MFA.

","

Los usuarios de Mac que buscan en Google una guía de instalación de Claude están encontrando algo mucho peor: MacSync, una cadena de seis etapas de stealer y RAT que se aprovecha de un recurso compartido de Claude armado y un comando curl para copiar y pegar. Roba contraseñas con phishing, extrae datos del navegador y del llavero, abusa de TCC y luego reescribe apps de billeteras cripto para robar frases semilla y entregar el control total al atacante. Conoce más en esta publicación de blog de Josh Kiriakoff, y únete a nuestro próximo episodio de Tradecraft Tuesday donde hablaremos más sobre este ataque.

Las seis etapas de MacSync, desde el comando curl pegado hasta las apps de billetera troyanizadas

","Guía falsa de instalación de Claude conduce a MacSync Stealer","

El malvertising en torno a herramientas de IA ahora alimenta cadenas de ataque completas en Mac que terminan en el robo irreversible de billeteras. Busca indicios de curl redirigido a zsh, LaunchAgents sospechosos de com.apple en ~/.local y aplicaciones de billetera firmadas ad hoc antes de que MacSync convierta un clic equivocado en una fuga permanente de criptomonedas.

","Tácticas de los actores de amenazas de julio 2026: campañas de malware con temática de Claude, credential stuffing en SonicWall, explotación de CitrixBleed 2 y un agente de IA ejecutando ransomware en solitario.",{"_197":198,"_199":200,"_108":201},{"_207":2507},{"_207":2489},{"_207":2471},{"_207":2454},{"_207":2422},{"_207":2406},{"_207":2373},{"_209":210,"_54":2374,"_32":212,"_213":2375},"7a3e37bfc78443d48d2efcdba1ec3f4d",{"_215":2376,"_217":2377,"_34":2378,"_220":2379,"_222":2380,"_54":2374,"_224":225,"_226":2381,"_228":225,"_229":2382,"_231":232,"_56":2383,"_234":234,"_235":2384,"_237":2385,"_288":17,"_239":240,"_241":2386,"_58":59,"_60":2387},"ksrtPDlNQGhJESnopKjn4sdUP2x1",1785527377922,{"_245":2388,"_247":2389,"_249":250,"_251":2390,"_253":2391,"_255":2392,"_77":2393,"_257":2394,"_259":2395,"_82":2396,"_56":2383,"_262":2397,"_91":2398,"_60":2399},1785527515145,[],1794331300094,{},"Ben Nahorney",[],"6g6fqzg2ywl",{},[62],"

Ben Nahorney lleva suficiente tiempo en esto como para recordar con cariño una época en la que el ransomware solo pedía tarjetas de regalo. Pero sin importar el desenlace, el objetivo de Ben sigue siendo el mismo: explorar, desentrañar y crear un informe sobre lo que pasa en el panorama de amenazas. Se siente igual de cómodo explorando una nueva cadena de ataque que dando un paso atrás para trazar hacia dónde se dirige todo el panorama. De cualquier forma, quiere asegurarse de que valga tu tiempo, ya sea que estés metido de lleno en un incidente o solo tengas curiosidad por las amenazas.

","Ben Nahorney lleva tanto tiempo en esto que todavía recuerda con cariño cuando el ransomware solo pedía tarjetas de regalo. Pero sin importar el desenlace, el objetivo de Ben sigue siendo el mismo: explorar, desentrañar y elaborar un informe sobre lo que ocurre en el panorama de amenazas. Se siente igual de cómodo explorando una nueva cadena de ataque que dando un paso atrás para trazar hacia dónde se dirige todo el panorama. De cualquier forma, quiere asegurarse de que valga tu tiempo, ya sea que estés metido de lleno en un incidente o solo tengas curiosidad por las amenazas.","Ben",[2402,2403],"Staff Technical Community Engagement Writer",{},"Nahorney","https://www.linkedin.com/in/ben-nahorney/",{"_185":2400,"_187":2401},"https://images.huntress.com/asset/file/5a93e1de02104036929d72837691c139","ben-nahorney",[62],"Lee las publicaciones de Ben Nahorney en el Blog de ciberseguridad de Huntress.","Ben Nahorney | Staff Technical Community Engagement Writer | Huntress",{"_271":2405},{"_271":2404},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":211,"_32":212,"_213":2407},{"_215":216,"_217":218,"_34":2408,"_220":221,"_222":2409,"_54":211,"_224":225,"_226":227,"_228":225,"_229":2410,"_231":232,"_56":233,"_234":234,"_235":2411,"_237":2412,"_239":240,"_241":2413,"_58":59,"_60":2414},{"_63":244,"_245":246,"_247":248,"_249":250,"_251":252,"_253":2415,"_255":256,"_257":258,"_259":260,"_82":2416,"_56":233,"_262":263,"_264":265,"_91":266,"_60":2417},[],{},[],"k9p27xkexpq",{},[62],[2418,2419],{"_185":268,"_187":233},[62],{"_271":2421},{"_271":2420},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":2423,"_32":212,"_213":2424},"82ea7ba96a2349c4a672de253806c144",{"_215":2376,"_217":2425,"_34":2426,"_220":2427,"_222":2428,"_54":2423,"_224":225,"_226":2429,"_228":225,"_229":2430,"_231":232,"_56":2431,"_234":234,"_235":2432,"_237":2433,"_288":17,"_239":240,"_241":2434,"_58":59,"_60":2435},1783431308991,{"_245":2436,"_247":2437,"_249":250,"_251":2438,"_253":2439,"_255":2440,"_77":2441,"_257":2442,"_259":2443,"_82":2444,"_56":2431,"_262":2445,"_91":2446,"_60":2447},1783431481819,[],1794470154796,{},"Susannah Matt",[],"3ef9eqag2q",{},[62],"

Autodenominada \"ingeniera de oraciones\", Susannah ha pasado más de una década en la industria de la ciberseguridad traduciendo la jerga técnica en una prosa ágil. Es conocida por pasar días angustiada por la elección de una sola palabra, y tiene una vendetta personal contra la voz pasiva. Cuando no está metida de lleno en un Google Doc, la puedes encontrar cantando en el Brooklyn Community Chorus o paseando por Prospect Park.

El consejo de ciberseguridad favorito de Susannah es: \"El software de código abierto no es gratis como una cerveza. Es gratis como un cachorro\".

","Autodenominada \"ingeniera de oraciones\", Susannah ha pasado más de una década en la industria de la ciberseguridad traduciendo la jerga técnica en una prosa ágil. Es conocida por pasar días angustiada por la elección de una sola palabra, y tiene una vendetta personal contra la voz pasiva. Cuando no está metida de lleno en un Google Doc, la puedes encontrar cantando en el Brooklyn Community Chorus o paseando por Prospect Park.","Susannah",[2450,2451],"Staff Technical Security Content Specialist",{},"Matt","https://www.linkedin.com/in/susannah-clark-matt-51060b149/",{"_185":2448,"_187":2449},"https://images.huntress.com/asset/file/c7ddb957e62f4831b0b340321df653da","susannah-matt",[62],"Lee los blogs de Susannah Matt en el Blog de ciberseguridad de Huntress.","Susannah Matt | Staff Technical Security Content Specialist | Huntress",{"_271":2453},{"_271":2452},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":1929,"_32":212,"_213":2455},{"_215":1931,"_217":1932,"_34":2456,"_220":1934,"_222":2457,"_54":1929,"_224":225,"_226":1936,"_228":225,"_229":2458,"_231":232,"_56":1938,"_234":234,"_235":2459,"_237":2460,"_288":17,"_239":240,"_241":2461,"_58":59,"_60":2462},{"_245":1943,"_247":1944,"_249":250,"_251":1945,"_253":2463,"_255":1947,"_77":2464,"_257":1949,"_259":1950,"_82":2465,"_56":1938,"_298":1952,"_262":1953,"_264":1938,"_91":1954,"_60":2466},[],{},[],"2njo17dvz9s",{},[62],[2467,2468],{},{"_185":1956,"_187":1957},[62],{"_271":2470},{"_271":2469},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":316,"_32":212,"_213":2472},{"_215":279,"_217":318,"_34":2473,"_220":318,"_222":2474,"_54":316,"_224":225,"_226":321,"_228":225,"_229":2475,"_231":232,"_56":323,"_234":234,"_235":2476,"_237":2477,"_239":240,"_241":2478,"_58":59,"_60":2479},{"_245":328,"_247":329,"_249":250,"_251":330,"_253":2480,"_255":332,"_257":333,"_259":334,"_82":2481,"_56":323,"_298":336,"_262":337,"_264":338,"_91":339,"_60":2482,"_304":341},[],{},[],"fb2jq221y75",{},[62],[2483,2484,2485],{"_185":342,"_307":17,"_308":17,"_187":343},[62],{"_271":2488},{"_271":2487},{"_271":2486},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":351,"_32":212,"_213":2490},{"_215":353,"_217":354,"_34":2491,"_220":354,"_222":2492,"_54":351,"_224":225,"_226":357,"_228":225,"_229":2493,"_231":232,"_56":359,"_234":234,"_235":2494,"_237":2495,"_239":240,"_241":2496,"_58":59,"_60":2497},{"_245":364,"_247":365,"_249":250,"_251":366,"_253":2498,"_368":369,"_255":370,"_257":371,"_259":372,"_82":2499,"_56":359,"_298":374,"_262":375,"_264":376,"_91":377,"_60":2500,"_304":379},[],{},[],"60d69gh9oe7",{},[62],[2501,2502,2503],{"_185":380,"_307":17,"_308":17,"_187":381},[62],{"_271":2506},{"_271":2505},{"_271":2504},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":389,"_32":212,"_213":2508},{"_215":353,"_217":391,"_34":2509,"_220":391,"_222":2510,"_54":389,"_224":225,"_226":394,"_228":225,"_229":2511,"_231":232,"_56":396,"_234":234,"_235":2512,"_237":2513,"_288":17,"_239":240,"_241":2514,"_58":59,"_60":2515},{"_245":401,"_247":402,"_249":250,"_251":403,"_253":2516,"_255":405,"_257":406,"_259":407,"_82":2517,"_56":396,"_298":409,"_262":410,"_264":411,"_91":412,"_413":414,"_60":2518},[],{},[],"w3j1ti38f2t",{},[62],[2519,2520,2521],{"_185":416,"_307":17,"_308":17,"_187":417},[62],{"_271":2524},{"_271":2523},{"_271":2522},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_429":431,"_427":432},{"_429":430,"_427":828},{"_427":2528},"Julio de 2026",{"_65":2533,"_67":2534,"_69":2535,"_71":2536,"_73":2537,"_79":2538,"_82":2539,"_56":2540,"_85":2541,"_87":2542,"_89":2543,"_91":2544,"_95":96,"_60":2545},"cb0cc112e63d45f6bff4425309ac9d02","Threat View from the Lens of Huntress Adversary Tactics: August 2026",[62],[2742,2743,2744],{"_98":99},[2614,2615,2616,2617,2618,2619,2620],{"_190":2613,"_192":193,"_194":195,"_187":196},{},{"_126":1904,"_98":17},{"_185":2611,"_187":2612},"Vista de amenazas desde la óptica de Huntress Adversary Tactics: agosto de 2026",{"_110":2546},"Mon Aug 31 2026 00:00:00 GMT-0400 (Eastern Daylight Time)",{"_100":101,"_102":103,"_104":105,"_106":107,"_98":99,"_108":109},"august-2026",[62],[2547,2548,2549,2550,2551,2552],{"_117":2350,"_119":2598,"_121":1891,"_122":173},{"_117":2335,"_119":2592,"_121":2593,"_122":497},{"_117":2324,"_119":2579,"_121":101,"_122":160},{"_117":145,"_119":2569,"_121":2570,"_122":148},{"_117":2311,"_119":2556,"_121":2557,"_122":2558},{"_117":2306,"_119":2553,"_121":101,"_122":123},[2554],{"_126":2555,"_106":131,"_660":17,"_129":101},"

En la edición de agosto de Tradecraft Tuesday, Security Operations Analyst Josh Kiriakoff y Principal Security Operations Center Analyst Ryan Dowd analizaron una infección de MacSync que comenzó con un resultado patrocinado de Google para Claude. El enlace llevaba a una página legítima de claude.ai que se hacía pasar por Apple Support e indicaba a la víctima que pegara un comando curl en Terminal. Josh y Ryan explicaron la cadena de seis etapas de MacSync: ejecución de AppleScript en memoria, solicitudes de Full Disk Access, validación de contraseña, robo de credenciales y datos del navegador, persistencia mediante LaunchAgent, acceso a grabación de pantalla y apps de billeteras cripto manipuladas. También explicaron cómo un analista recuperó muestras de la infraestructura del atacante después de que el equipo quedara fuera de línea. Revisa el resumen completo aquí, ¡y no olvides registrarte para nuestro Tradecraft Tuesday del 8 de septiembre!

$\"\"$

El episodio de agosto de Tradecraft Tuesday se centró en una guía falsa de instalación de Claude que condujo a un ladrón de información para macOS

",[2559,2560,2561,2562,2563],"

Aunque no es un producto directo del equipo de Adversary Tactics, queremos destacar algunas funciones nuevas e increíbles que nuestros socios de Investigación de Producto y Producto lanzaron para complicarles las cosas a los atacantes. Estamos ansiosos por empezar a usar estos datos para ampliar nuestra comprensión de los actores de amenazas que enfrentan nuestros clientes.

Mira el Product Lab de este mes, donde el CEO de Huntress, Kyle Hanslovan, y el CTO, Chris Bisnett, hablaron sobre actualizaciones de producto, próximas funciones y más.

$\"\"$ ¡Product Lab de agosto de 2026 EN VIVO!

","Actualizaciones relevantes de productos",{"_126":2568,"_106":482,"_660":17,"_129":101},{"_126":2567,"_106":480,"_660":17,"_129":101},{"_126":2566,"_106":2238,"_660":17,"_129":101},{"_126":2565,"_106":478,"_660":17,"_129":101},{"_126":2564,"_106":476,"_660":17,"_129":101},"

Escenarios de phishing con reuniones falsas: Managed SAT ahora incluye escenarios de phishing con deepfake basados en Zoom, Microsoft Teams y Google Meet. Cada escenario usa una experiencia de reunión falsa y una solicitud para instalar un controlador o actualización, lo que permite a los usuarios practicar cómo reconocer una ruta de ingeniería social que va más allá de un correo de phishing convencional.
Episodio de fraude de inversión en criptomonedas: Este nuevo episodio enseña a los usuarios cómo los esquemas de \"pig butchering\" generan confianza con el tiempo, usan narrativas persuasivas de inversión y dirigen a las víctimas hacia plataformas fraudulentas de criptomoneda.
Escenarios de phishing con HTML personalizado: Los administradores pueden crear escenarios de phishing más personalizados con HTML propio, incluyendo escenarios basados en la marca interna, proveedores conocidos o mensajes reales vistos por su organización. Managed SAT depura los enlaces en estos escenarios para reducir el riesgo de phishing accidental o malicioso hacia los usuarios.

","

Fuente de registros de Cato Networks: Managed SIEM ahora es compatible con Cato Networks como fuente de registros a través de HEC. La integración trae eventos de seguridad, firewall, IPS y DNS de la capa SASE a la plataforma, con eventos de IPS enriquecidos con contexto de MITRE ATT&CK.
Detecciones de máquinas virtuales y discos virtuales de Hyper-V: Managed SIEM ahora detecta el registro de máquinas virtuales de Hyper-V y la creación de discos duros virtuales. Las detecciones brindan el nombre de la máquina, el ID de la máquina, la ruta del VHDX, el equipo asociado y el contexto del usuario asociado, para que los analistas puedan identificar actividad sospechosa en el hipervisor sin tener que revisar todo el canal de eventos de Hyper-V.
Ahora puedes exportar reportes de incidente e líneas de tiempo de EDR y SIEM en PDF (GA): los partners y clientes ahora pueden descargar cualquier reporte de incidente de EDR o SIEM como un PDF pulido. Incluye la línea de tiempo completa de la investigación y la respuesta del SOC en un solo documento claro.

","

Controles de seguridad adicionales en Managed ISPM: ya estamos cerca de los 80 controles de seguridad en Managed ISPM, tras haber añadido recientemente siete nuevos controles para Exchange Online Protection y Microsoft Defender for Office 365.

","

El panel rediseñado de ITDR ya está disponible: ¡El panel rediseñado de Managed ITDR ya está disponible de forma general para todos los partners y clientes! Diseñado para ayudarte a investigar amenazas a la identidad más rápido y obtener el contexto que necesitas en un solo lugar, el nuevo panel incorpora potentes capacidades de investigación directamente en tu flujo de trabajo de ITDR, incluyendo Rapid Identity Triage, Failed Login Characterization y Quick SIEM Search. A partir de ahora, el panel rediseñado será el panel predeterminado al acceder a Managed ITDR. Obtén más detalles sobre el panel de ITDR en nuestro nuevo blog.
Resúmenes ejecutivos ahora en los reporte de incidente de ITDR: Nos complace anunciar que todos los reporte de incidente de ITDR ahora incluyen un Resumen ejecutivo. El Resumen ejecutivo convierte automáticamente los hallazgos técnicos profundos de ITDR en reportes en español sencillo que puedes entregar directamente a líderes de negocio, aseguradoras y el área legal sin necesidad de reescribirlos. El resumen explica con claridad qué pasó, por qué importa y qué se ha hecho o qué hacer, lo que ahorra horas por incidente mientras genera confianza en el cliente y acelera las decisiones. El Resumen ejecutivo aparece en texto plano en la parte superior de cada reporte de incidente de ITDR, y también se puede descargar como un PDF independiente desde el portal, listo para compartir directamente.
Nuevo modelo de escalamientos de notificación por identidad: Huntress Managed ITDR ha comenzado oficialmente a usar escalamientos por identidad para la nueva actividad de país inesperado y VPN inesperada. Con este cambio, cada identidad que genere nueva actividad escalable recibirá su propio escalamiento y notificación de Huntress, lo que facilita ver exactamente qué identidad necesita tu atención.
Reglas de acceso esperado basadas en IP: Los partners ahora pueden hacer inclusión en la lista de aceptados de direcciones IP individuales y rangos CIDR a nivel de identidad, organización o cuenta. Esto les da a los equipos una alternativa más precisa que hacer inclusión en la lista de aceptados de un país o una VPN entera, y ayuda a reducir los escalamientos recurrentes por inicios de sesión inesperados.
Inferencia de ubicación de uso de Microsoft 365: Cuando una identidad no tiene una ubicación de uso de Microsoft 365, Managed ITDR ahora puede usar el país predeterminado del inquilino en lugar de generar un escalamiento por ubicación faltante. Este cambio reduce el ruido predecible mientras preserva la protección de inicio de sesión subyacente.

","

Visibilidad de Screen Sharing en macOS y detección de abuso de sesiones root: Managed EDR ahora observa las sesiones de Screen Sharing en los endpoints de macOS compatibles, incluyendo la dirección de origen, el usuario de la sesión y el tipo de autenticación. También detecta cuando una sesión se vincula a una sesión de usuario root mediante el protocolo de autenticación heredado, dando a los defensores visibilidad sobre el acceso gráfico remoto que antes era difícil de confirmar.
Visibilidad del último usuario conectado en endpoints de macOS: la descripción general del endpoint ahora muestra el usuario interactivo más reciente y la hora de inicio de sesión en los endpoints de macOS administrados. Se excluyen los registros de inicio de sesión y apagado propios del sistema, lo que ayuda a los operadores a atribuir la actividad del endpoint a un usuario real durante el triaje y la revisión de activos.
Visibilidad completa de direcciones IPv4 en el portal de Huntress: la plataforma ahora muestra todas las direcciones IPv4 recopiladas por el análisis del Base Agent, en lugar de solo la primera dirección devuelta. Esto ayuda a los operadores a entender los sistemas con múltiples interfaces de red, y la lista completa también está disponible a través de la API REST y las exportaciones.
Ahora se detecta la omisión de Gatekeeper en macOS mediante la eliminación de la cuarentena: Huntress ahora detecta las omisiones de Gatekeeper en macOS que eliminan el atributo de cuarentena de un archivo, lo que permite que payloads no firmados o no notarizados se ejecuten sin avisos en los endpoints que ejecutan el Agent v0.14.196. Común en campañas de AMOS, Poseidon, Odyssey y MacSync, esta actividad antes era invisible. La detección apunta a la llamada al sistema, capturando tanto a los invocadores de shell como a los scripteados y compilados.
Nuevas configuraciones de MAV: Network File Scanning y Archive File Scanning (GA): ahora puedes configurar Network File Scanning y Archive File Scanning para Microsoft Defender mediante la función Managed Antivirus (MAV). Estas configuraciones antes estaban fijas en los valores predeterminados de Huntress, pero ahora los socios pueden configurarlas. Los ajustes predeterminados se mantienen, por lo que no hay cambios inmediatos en las configuraciones de los endpoints.
Ahora puedes exportar reportes de incidentes y cronologías de EDR y SIEM en PDF (GA): los socios y clientes ahora pueden descargar cualquier reporte de incidente de EDR o SIEM como un PDF pulido. Incluye la cronología completa de la investigación y la respuesta del SOC en un solo documento.

",[2571,2572],"

En Huntress, activamos “Respuestas rápidas” cuando los atacantes usan una vulnerabilidad o amenaza para escalar la distribución de malware a gran escala. Cuando nos enteramos de una posible vulnerabilidad, el equipo de Adversary Tactics trabaja en todo Huntress para determinar el posible impacto, actualizar a nuestros clientes y dar documentación a la comunidad de seguridad. Estos son dos incidentes que manejamos el mes pasado:

",{"_126":2576,"_106":2577,"_660":99,"_129":2578},{"_126":2573,"_106":2574,"_660":99,"_129":2575},"

El 27 de agosto, PaperCut advirtió que atacantes estaban explotando una vulnerabilidad previa a la autenticación en PaperCut NG y MF. Huntress confirmó la explotación en dos entornos de clientes, recuperó comandos de descubrimiento codificados y reprodujo una cadena completa de ejecución remota de código contra un servidor PaperCut estándar. Las fallas encadenadas permitían a un atacante no autenticado alterar la configuración confiable y ejecutar código Java en el proceso del servidor de aplicaciones. PaperCut lanzó parches de emergencia, incluida la versión 3 el 1 de septiembre.

","PaperCut explotado activamente: una cadena de RCE previa a la autenticación","

Retira los servidores de aplicaciones de PaperCut de internet público, actualiza las versiones compatibles, conserva los registros y metadatos de archivos, e investiga las clases Java inesperadas o la actividad de shell de comandos generada por `pc-app.exe`.

","

El 1 y 2 de agosto, N-able reveló una vulnerabilidad crítica de omisión de autenticación en N-central, su plataforma de monitoreo y gestión remota (RMM) para administrar entornos de clientes. Los atacantes podían obtener acceso administrativo sin credenciales y luego usar la función Take Control de N-central para llegar a endpoints posteriores, incluidos los controladores de dominio. Huntress detectó explotación activa, rastreó sesiones de control remoto sospechosas, identificó servidores sin parchear y se puso en contacto con socios y clientes en riesgo mientras ajustaba las detecciones y rastreaba en toda la telemetría. N-able lanzó una segunda revisión urgente enfocada en el endurecimiento de la seguridad el 6 de agosto.

$\"\"$ Cronología de actores de amenazas avanzando por endpoints posteriores en dos organizaciones afectadas

","Vulnerabilidad crítica en N-able N-central y explotación activa","

Trata las consolas de RMM como planos de control de alto valor. Aplica actualizaciones de inmediato, restringe el acceso a la consola, revisa la actividad de control remoto y verifica que el aislamiento de respuesta esté habilitado.

",[2580,2581,2582],{"_126":2589,"_106":2590,"_660":99,"_129":2591},{"_126":2586,"_106":2587,"_660":99,"_129":2588},{"_126":2583,"_106":2584,"_660":99,"_129":2585},"

El Departamento de Justicia de EE. UU. y el FBI incautaron dominios que respaldaban a QScan y QTRouter, plataformas presuntamente operadas y utilizadas por el grupo QTFY vinculado a China. La infraestructura ayudaba a escanear y comprometer dispositivos IoT expuestos a internet, y luego enrutaba el tráfico de ataque a través de esos dispositivos para ocultar la actividad contra redes sensibles. La interrupción expone un modelo en el que los dispositivos de borde vulnerables se convierten tanto en objetivo como en escudo operativo. También muestra cómo los operadores vinculados a estados pueden ganar escala agregando routers, cámaras y otros sistemas conectados a la red que han sido comprometidos.

$\"\"$ El análisis de Lumen sobre la plataforma QTROUTER

","El DOJ interrumpe infraestructura usada por hackers vinculados a China","

Inventaría y refuerza los dispositivos IoT y de red expuestos a internet, segmenta las interfaces de administración, aplica actualizaciones rápidamente e investiga comportamientos inusuales de escaneo o retransmisión saliente.

","

Sygnia identificó un conjunto de intrusión vinculado a China, rastreado como \"Fire Ant\", que comprometió routers Cisco IOS XR y servidores TACACS. Los atacantes usaron los routers para capturar tráfico, robar credenciales TACACS y suprimir registros y salidas de comandos, limitando la visibilidad de los defensores mientras mantenían el acceso. Atacar la infraestructura de red les dio tanto acceso privilegiado como una forma de interferir con la evidencia necesaria para detectarlos. Esta actividad refuerza que los routers y los servidores de autenticación son límites de seguridad activos, no sistemas pasivos en segundo plano.

","Fire Ant compromete routers Cisco y servidores TACACS","

Actualiza los dispositivos de red, restringe el acceso de administración y envía los registros a sistemas que los atacantes no puedan alterar desde el router.

","

Las autoridades australianas acusaron a dos hombres de Australia Occidental, de 21 y 23 años, tras una investigación de la AFP, el FBI y la Policía de Australia Occidental. La policía alega que el par ayudó a operar un sindicato que insertó código malicioso en software de código abierto, comprometiendo potencialmente a más de 1.000 organizaciones, robando más de 500.000 credenciales y exfiltrando al menos 300 GB de datos.

","Dos presuntos hackers de TeamPCP arrestados en Australia","

Las herramientas de desarrollo comprometidas pueden darle a un grupo pequeño un alcance global. Las organizaciones deben inventariar sus dependencias de software, supervisar cambios inesperados en paquetes y rotar las credenciales expuestas a través de la cadena de suministro de software.

",[2594],"

Nuestro equipo de Tactical Response se desarrolló como una función separada dentro de nuestro SOC para profundizar en las intrusiones y responder preguntas de los partners fuera del alcance de las operaciones del SOC 24x7. Ayuda a cerrar la brecha entre el SOC y el momento en que se requiere una respuesta formal a incidentes. Los hallazgos de nuestro equipo de Tactical Response también nos dan muchas pistas sobre cómo se desarrollan las intrusiones.

",{"_126":2595,"_106":2596,"_660":99,"_129":2597},"

Una aplicación Java/Tomcat de cara pública aceptaba entradas sin depurar, lo que permitió un ataque de inyección SQL contra su backend de Oracle. En lugar de soltar un payload convencional, los atacantes almacenaron un kit de herramientas de post-explotación llamado khunt dentro de Oracle como código fuente Java y objetos PL/SQL. Desde la base de datos, khunt podía ejecutar comandos de Windows, explorar archivos, obtener nombres de usuario y contraseñas, y copiar las secciones del registro SAM, SECURITY y SYSTEM. El atacante finalmente logró acceso a nivel SYSTEM, lo que demuestra cómo el compromiso de una base de datos puede llevar al control del sistema operativo, dejando el código malicioso fuera de las rutas habituales de detección basadas en archivos.

$\"\"$ Detecciones activadas por actividad sospechosa de robo de credenciales

","Instalación de un toolkit mediante inyección SQL demuestra que las técnicas clásicas siguen funcionando","

Previene la inyección SQL con consultas parametrizadas, restringe los privilegios de la base de datos y supervisa los objetos y procesos de la base de datos para detectar ejecución inesperada de comandos del sistema operativo.

",[2599,2600,2601],{"_126":2608,"_106":2609,"_660":99,"_129":2610},{"_126":2605,"_106":2606,"_660":99,"_129":2607},{"_126":2602,"_106":2603,"_660":99,"_129":2604},"

Dos vulnerabilidades de Screen Sharing en macOS, CVE-2026-43760 y CVE-2026-65400, surgieron con pocos días de diferencia. La falla más grave abusa de un error en el manejo de Secure Remote Password para eludir la autenticación y leer o escribir archivos arbitrarios como root, lo que permite la ejecución remota de código. Huntress identificó señales de detección útiles, incluyendo sesiones inusuales de Screen Sharing bajo la cuenta root, autenticación SRP y ejecución del asistente privilegiado SSFileCopySender de Apple. La infraestructura de macOS alojada queda particularmente expuesta cuando Screen Sharing está orientado a internet o se aprovisiona desde imágenes desactualizadas.

","La última actualización de macOS corrige una vulnerabilidad de ejecución remota de código previa a la autenticación en Screen Sharing","

Actualiza a macOS 26.6.1, 15.7.9 o 14.8.9, o desactiva Screen Sharing hasta aplicar las actualizaciones.

","

Recientemente vimos un incidente en el que un afiliado de Akira ingresó a través de una VPN SonicWall expuesta, se movió hacia el controlador de dominio, enumeró Active Directory, archivó recursos compartidos de archivos y exfiltró datos. Antes de implementar el ransomware, el atacante reinició el endpoint en modo seguro con funciones de red, agregando AnyDesk a la lista de servicios del modo seguro para que el acceso remoto continuara mientras el agente de Huntress y la protección en tiempo real de Defender permanecían fuera de línea. El plan funcionó parcialmente, pero Akira se quedó sin memoria virtual en el entorno reducido y no logró cifrar el sistema. Aun así, los atacantes lograron recolectar credenciales y archivos robados.

$\"\"$ Cronología completa de la intrusión

","Akira llega al modo seguro: el ransomware se reinicia para evadir EDR","

Supervisa el modo seguro y los cambios en la configuración de arranque, exige MFA en las VPN y trata un cifrado fallido como una vulneración, no como una señal de que todo está bien.

","

Después de Black Hat y DEF CON, un actor de amenazas se hizo pasar por un ejecutivo de CoinDesk y contactó a un investigador de Huntress en X con una propuesta falsa de planificación de conferencias. El señuelo llevaba a un Google Doc que contenía una barra lateral maliciosa de Apps Script, instrucciones falsas de descifrado y comandos al estilo ClickFix. Un segundo documento se hacía pasar por DocSend y entregaba distintas cargas útiles a los usuarios de macOS y Windows, incluyendo AMOS, NetSupport RAT, un implante de Ledger y un proxy que intercepta tráfico. Esta campaña muestra cómo los atacantes pueden convertir herramientas de colaboración confiables en sistemas de distribución de malware, adaptando las cargas útiles a la plataforma de la víctima. Consulta nuestro próximo episodio de Tradecraft Tuesday, donde explicaremos este ataque con más detalle.

$\"\"$ La cuenta de X que le escribió a nuestro investigador sobre la \"conferencia\", compartiendo el Google Doc y la clave de cifrado

","Phishing posterior a la DEF CON usa un Google Doc malicioso para distribuir malware","

Trata los mensajes inesperados tras un evento, las solicitudes de documentos y las peticiones para omitir controles de seguridad como phishing, incluso cuando usen servicios conocidos.

","Adversary Tactics de agosto de 2026: phishing posterior a la DEF CON a través de un Google Doc malicioso, Akira reiniciando en modo seguro para evadir EDR, y un RCE de Screen Sharing en macOS.","Vista de amenazas desde la perspectiva de Huntress Adversary Tactics: agosto de 2026",{"_197":198,"_199":200,"_108":201},{"_207":2724},{"_207":2706},{"_207":2688},{"_207":2671},{"_207":2654},{"_207":2638},{"_207":2621},{"_209":210,"_54":2374,"_32":212,"_213":2622},{"_215":2376,"_217":2377,"_34":2623,"_220":2379,"_222":2624,"_54":2374,"_224":225,"_226":2381,"_228":225,"_229":2625,"_231":232,"_56":2383,"_234":234,"_235":2626,"_237":2627,"_288":17,"_239":240,"_241":2628,"_58":59,"_60":2629},{"_245":2388,"_247":2389,"_249":250,"_251":2390,"_253":2630,"_255":2392,"_77":2631,"_257":2394,"_259":2395,"_82":2632,"_56":2383,"_262":2397,"_91":2398,"_60":2633},[],{},[],"0oyi9iwfg1r",{},[62],[2634,2635],{},{"_185":2400,"_187":2401},[62],{"_271":2637},{"_271":2636},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":211,"_32":212,"_213":2639},{"_215":216,"_217":218,"_34":2640,"_220":221,"_222":2641,"_54":211,"_224":225,"_226":227,"_228":225,"_229":2642,"_231":232,"_56":233,"_234":234,"_235":2643,"_237":2644,"_239":240,"_241":2645,"_58":59,"_60":2646},{"_63":244,"_245":246,"_247":248,"_249":250,"_251":252,"_253":2647,"_255":256,"_257":258,"_259":260,"_82":2648,"_56":233,"_262":263,"_264":265,"_91":266,"_60":2649},[],{},[],"t6wi1p5df5c",{},[62],[2650,2651],{"_185":268,"_187":233},[62],{"_271":2653},{"_271":2652},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":2423,"_32":212,"_213":2655},{"_215":2376,"_217":2425,"_34":2656,"_220":2427,"_222":2657,"_54":2423,"_224":225,"_226":2429,"_228":225,"_229":2658,"_231":232,"_56":2431,"_234":234,"_235":2659,"_237":2660,"_288":17,"_239":240,"_241":2661,"_58":59,"_60":2662},{"_245":2436,"_247":2437,"_249":250,"_251":2438,"_253":2663,"_255":2440,"_77":2664,"_257":2442,"_259":2443,"_82":2665,"_56":2431,"_262":2445,"_91":2446,"_60":2666},[],{},[],"shdoycf0p2a",{},[62],[2667,2668],{},{"_185":2448,"_187":2449},[62],{"_271":2670},{"_271":2669},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":1929,"_32":212,"_213":2672},{"_215":1931,"_217":1932,"_34":2673,"_220":1934,"_222":2674,"_54":1929,"_224":225,"_226":1936,"_228":225,"_229":2675,"_231":232,"_56":1938,"_234":234,"_235":2676,"_237":2677,"_288":17,"_239":240,"_241":2678,"_58":59,"_60":2679},{"_245":1943,"_247":1944,"_249":250,"_251":1945,"_253":2680,"_255":1947,"_77":2681,"_257":1949,"_259":1950,"_82":2682,"_56":1938,"_298":1952,"_262":1953,"_264":1938,"_91":1954,"_60":2683},[],{},[],"liyu484iw8c",{},[62],[2684,2685],{},{"_185":1956,"_187":1957},[62],{"_271":2687},{"_271":2686},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":316,"_32":212,"_213":2689},{"_215":279,"_217":318,"_34":2690,"_220":318,"_222":2691,"_54":316,"_224":225,"_226":321,"_228":225,"_229":2692,"_231":232,"_56":323,"_234":234,"_235":2693,"_237":2694,"_239":240,"_241":2695,"_58":59,"_60":2696},{"_245":328,"_247":329,"_249":250,"_251":330,"_253":2697,"_255":332,"_257":333,"_259":334,"_82":2698,"_56":323,"_298":336,"_262":337,"_264":338,"_91":339,"_60":2699,"_304":341},[],{},[],"m5lulkcqsc",{},[62],[2700,2701,2702],{"_185":342,"_307":17,"_308":17,"_187":343},[62],{"_271":2705},{"_271":2704},{"_271":2703},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":351,"_32":212,"_213":2707},{"_215":353,"_217":354,"_34":2708,"_220":354,"_222":2709,"_54":351,"_224":225,"_226":357,"_228":225,"_229":2710,"_231":232,"_56":359,"_234":234,"_235":2711,"_237":2712,"_239":240,"_241":2713,"_58":59,"_60":2714},{"_245":364,"_247":365,"_249":250,"_251":366,"_253":2715,"_368":369,"_255":370,"_257":371,"_259":372,"_82":2716,"_56":359,"_298":374,"_262":375,"_264":376,"_91":377,"_60":2717,"_304":379},[],{},[],"xnorhljc3e",{},[62],[2718,2719,2720],{"_185":380,"_307":17,"_308":17,"_187":381},[62],{"_271":2723},{"_271":2722},{"_271":2721},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_209":210,"_54":389,"_32":212,"_213":2725},{"_215":353,"_217":391,"_34":2726,"_220":391,"_222":2727,"_54":389,"_224":225,"_226":394,"_228":225,"_229":2728,"_231":232,"_56":396,"_234":234,"_235":2729,"_237":2730,"_288":17,"_239":240,"_241":2731,"_58":59,"_60":2732},{"_245":401,"_247":402,"_249":250,"_251":403,"_253":2733,"_255":405,"_257":406,"_259":407,"_82":2734,"_56":396,"_298":409,"_262":410,"_264":411,"_91":412,"_413":414,"_60":2735},[],{},[],"9omxuumtavf",{},[62],[2736,2737,2738],{"_185":416,"_307":17,"_308":17,"_187":417},[62],{"_271":2741},{"_271":2740},{"_271":2739},{"_209":210,"_54":273,"_32":253},{"_209":210,"_54":314,"_32":253},{"_209":210,"_54":275,"_32":253},{"_429":431,"_427":432},{"_429":430,"_427":184},{"_427":2745},"Agosto de 2026",{"_65":2750,"_67":2751,"_69":2752,"_71":2753,"_73":2754,"_75":2755,"_79":2756,"_82":2757,"_56":2758,"_85":2759,"_87":2760,"_89":2761,"_91":2762,"_95":96,"_60":2763},"c0ccc90496684de78285cf36900ce3e8","Threat View from the Lens of Huntress Adversary Tactics: September 2026",[62],[2831,2832,2833],{"_98":99},[],{"_190":2830,"_192":193,"_194":195,"_187":196},{},{},{"_126":1904,"_98":17},{"_185":2828,"_187":2829},"Panorama de amenazas desde la perspectiva de Huntress Adversary Tactics: septiembre de 2026",{"_110":2764},"Wed Sep 30 2026 00:00:00 GMT-0400 (Eastern Daylight Time)",{"_100":101,"_102":103,"_104":105,"_106":107,"_98":99,"_108":452},"september-2026",[62],[2765,2766,2767,2768,2769],{"_117":2350,"_119":2807,"_121":1891,"_122":173},{"_117":2324,"_119":2794,"_121":101,"_122":160},{"_117":145,"_119":2786,"_121":2570,"_122":148},{"_117":2311,"_119":2774,"_121":2775,"_122":135},{"_117":2306,"_119":2770,"_121":101,"_122":123},[2771],{"_126":2772,"_106":2773,"_660":17,"_129":101},"

El Tradecraft Tuesday de septiembre, “Borrowed Faces, Borrowed Certs,” analizó una campaña posterior a DEFCON que suplantó a un ejecutivo de CoinDesk y usó un documento de Google (extensión de archivo DOC) como señuelo y herramienta de reconocimiento. Un Apps Script vinculado a un contenedor recopiló la dirección IP, la ubicación, los detalles del navegador y las extensiones de billetera cripto de quien lo veía, y luego envió los datos a Telegram. Las víctimas eran dirigidas hacia cargas útiles de macOS o Windows mediante errores de descifrado, mensajes de ClickFix y descargas firmadas con certificados robados. La ruta de macOS entregaba un stealer similar a AMOS, mientras que la cadena de Windows recuperaba un RAT NetSupport, una autoridad certificadora fraudulenta y un implante para billeteras cripto. Los investigadores también mostraron cómo recuperaron las distintas etapas después de que el C2 dejó de estar en línea. Revisa el resumen completo aquí, ¡y no olvides inscribirte en nuestro Tradecraft Tuesday de octubre!

$\"\"$ El episodio de Tradecraft Tuesday de septiembre se centró en una campaña de malware posterior a DEFCON

","Tradecraft Tuesday: Borrowed Faces, Borrowed Certs: dentro de una campaña de malware posterior a DEFCON",[2776,2777,2778,2779,2780],"

Aunque no es un producto directo del equipo de Adversary Tactics, nos gustaría destacar algunas nuevas capacidades excelentes que nuestros socios de Product Research y Product lanzaron para complicarles la vida a los atacantes. Estamos ansiosos por empezar a usar estos datos para ampliar nuestra comprensión de los actores de amenazas que enfrentan nuestros clientes.

Mira el Product Lab de este mes, donde el CTO de Huntress, Chris Bisnett, y el Chief Innovation Officer, Daniel Westendorf, hablaron sobre actualizaciones de productos, próximas funciones y más.

$\"\"$ Product Lab de septiembre de 2026

",{"_126":2785,"_106":482,"_660":17,"_129":101},{"_126":2784,"_106":480,"_660":17,"_129":101},{"_126":2783,"_106":2238,"_660":17,"_129":101},{"_126":2782,"_106":478,"_660":17,"_129":101},{"_126":2781,"_106":476,"_660":17,"_129":101},"

Nuevo video de incorporación para el alumno: este nuevo video asignable le da al alumno un resumen completo de qué esperar de su nuevo programa de Security Awareness Training, desde episodios hasta escenarios de phishing, Phishing Defense Coaching, simuladores de amenazas y más.

","

Nuevas fuentes de registros en Huntress SIEM: nos complace anunciar que ahora admitimos oficialmente potentes fuentes de registros nuevas, incluyendo IT Glue, Cato, Checkpoint, N-Able y Scout DNS. Al normalizar estos datos, estamos desbloqueando información más profunda y procesable sobre tu infraestructura de TI que nunca antes.

","

Managed ISPM ahora ofrece dos formas de implementar controles de seguridad: las Implementaciones administradas, la opción predeterminada recomendada, son cuando Huntress elige los controles y los implementa automáticamente por ti. Está diseñada para equipos que quieren el endurecimiento de la seguridad sin revisión manual. Novedad: las Implementaciones modificadas te permiten crear tu propio conjunto de controles a partir de toda la biblioteca de políticas de Huntress y definir tu propio cronograma de implementación. Los controles nuevos no se implementan hasta que los apruebes primero. Este método está diseñado para entornos de control de cambios y alto cumplimiento normativo, como CMMC o ISO 27001.
Nuevos controles de seguridad en Managed ISPM: mientras seguimos ampliando la profundidad de los controles para endurecer la seguridad de los entornos de Microsoft 365, agregamos nuevos controles en Microsoft Exchange Online y Microsoft Defender for Office 365 para proteger contra Shadow Workflows.

","

El nuevo panel de ITDR ya está disponible: ¡el panel rediseñado de Managed ITDR ya está disponible para todos los partners y clientes! Diseñado para ayudarte a investigar amenazas a la identidad más rápido y obtener el contexto que necesitas en un solo lugar, el nuevo panel incorpora potentes capacidades de investigación directamente en tu flujo de trabajo de ITDR, incluyendo Rapid Identity Triage, Failed Login Characterization y Quick SIEM Search. A partir de ahora, el panel rediseñado será el panel predeterminado al acceder a Managed ITDR. Encuentra más detalles del panel de ITDR en nuestro nuevo blog.

","

Credenciales sin proteger: nuevo panel de archivos de credenciales e inclusión en la lista de aceptados: Le dimos a Credenciales sin proteger una renovación completa, con un nuevo panel, visibilidad total de los archivos marcados y la capacidad de incluir en la lista de aceptados los archivos que no quieres que se informen. ¿Qué hay de nuevo?
- Página de archivos de credenciales. Un nuevo hogar para Credenciales sin proteger, disponible desde el panel de Process Insights en Managed EDR. Ve y administra en un solo lugar cada archivo que active un reporte de Credenciales sin proteger.
- Ve antes de activar. Ahora puedes previsualizar qué archivos de credenciales generarían un reporte de incidente, sin activar los reportes.
- Inclusión en la lista de aceptados. Excluye los archivos que ya revisaste y aceptaste, para que los reportes se concentren en lo que realmente necesita atención.

¿Habías desactivado esto antes? Échale otro vistazo.

",[2787,2788],{"_126":2792,"_106":2577,"_660":99,"_129":2793},{"_126":2789,"_106":2790,"_660":99,"_129":2791},"

Huntress investigó tres incidentes en los que la ingeniería social llevó a las víctimas a instalar clientes de ScreenConnect fraudulentos. En endpoints no relacionados, esos clientes generaron repetidamente wscript.exe para ejecutar cuatro archivos VBScript en etapas, y luego crearon persistencia WindowsServiceHost en AppData. Los clientes de ScreenConnect modificados hacían más que dar acceso remoto: vigilaban nuevas conexiones de Host, transferían los mismos scripts a través de la función de transferencia de archivos virtual de ScreenConnect y los ejecutaban en los sistemas conectados. Eso le dio a la campaña una ruta de propagación potencialmente similar a un gusano. La campaña también usó Quick Assist y UltraViewer. ConnectWise lanzó la versión 26.6.5 para corregir una falla de autorización en las transferencias de archivos de sesiones de Client Support and Access.

$\"\"$ Huntress detectó que ScreenConnect.WindowsClient.exe generaba el proceso secundario wscript.exe

","Instalaciones fraudulentas de ScreenConnect sugieren actividad similar a un gusano","

Trata los clientes de ScreenConnect inexplicables y las entradas del registro de auditoría RunFiles o RanFiles que involucren 1.vbs hasta 4.vbs como señales de compromiso. Actualiza a ScreenConnect 26.6.5 y reinstala la imagen de los endpoints afectados desde medios confiables.

","

En agosto, Huntress ayudó a sus clientes cuando N-able reveló fallas de N-central explotadas activamente. Luego, en septiembre, llegó una nueva serie de descubrimientos. El 5 de septiembre, Huntress reprodujo una cadena de explotación distinta que afectaba entornos completamente parcheados, que involucraba CVE-2026-86206 y CVE-2026-86207, y que podía eludir los controles de acceso y crear cuentas administrativas no autorizadas. El equipo compartió sus hallazgos con N-able, que lanzó el Hotfix 3. Al día siguiente, N-able reveló CVE-2026-86218, un RCE de preautenticación explotado activamente con calificación 10.0, y lanzó el Hotfix 4, que reemplaza las correcciones anteriores. Huntress también trabajó con Cloudflare para desactivar túneles del adversario y publicó orientación de caza de amenazas para anomalías de API y cambios sospechosos en cuentas .invalid en entornos de N-central en todo el mundo.

","

El Hotfix 4 es la línea base obligatoria para las instancias on-premises de N-central, ya que el Hotfix 3 no protege contra CVE-2026-86218. Restringe el acceso entrante a la consola, audita los cambios en la API y las cuentas, e investiga posibles compromisos.

",[2795,2796,2797],{"_126":2804,"_106":2805,"_660":99,"_129":2806},{"_126":2801,"_106":2802,"_660":99,"_129":2803},{"_126":2798,"_106":2799,"_660":99,"_129":2800},"

Brevo reveló un ataque a la cadena de suministro en el que los atacantes usaron una clave de API de Cloudflare comprometida para implementar un Worker en el borde de la CDN. Durante aproximadamente cinco horas, el Worker reescribió scripts alojados en Brevo incrustados en sitios web. A los visitantes se les mostraba una página falsa de verificación de Cloudflare que distribuía el malware ClickFix, mientras que los administradores de WordPress con sesión iniciada enfrentaban un intento de instalación de una puerta trasera.

","El ataque a la cadena de suministro de Brevo inyecta malware ClickFix en sitios de clientes","

Los investigadores de seguridad estimaron que el incidente podría haber afectado a más de 100.000 sitios web, lo que demuestra cómo una sola credencial expuesta puede amplificar el riesgo.

","

Cisco emitió parches de emergencia para CVE-2026-76460, un error de omisión de autenticación de severidad máxima en Identity Services Engine (motor de servicios de identidad) e ISE Passive Identity Connector (conector de identidad pasiva de ISE). La falla permite que un atacante remoto no autenticado envíe solicitudes manipuladas a un endpoint de API vulnerable, evada la interfaz de administración web y obtenga ejecución de comandos con privilegios de root.

","Cisco corrige una falla de ISE de máxima severidad explotada activamente","

Cisco confirmó que la vulnerabilidad está siendo explotada activamente, y CISA la agregó a su catálogo de vulnerabilidades explotadas conocidas. Las organizaciones que usan estos dispositivos deben aplicar las versiones de Cisco y revisar sus sistemas en busca de compromisos.

","

El Patch Tuesday de septiembre de Microsoft fue el más grande hasta ahora, y abordó 974 vulnerabilidades en Windows, Office, SQL Server, Exchange, SharePoint, Azure y herramientas para desarrolladores. Dos vulnerabilidades de escalamiento de privilegios en Windows ya estaban siendo explotadas activamente, mientras que la publicación también incluyó 20 fallas potencialmente capaces de propagarse como gusano. La escala por sí sola hace que este ciclo de actualizaciones sea notable, pero la explotación activa eleva los riesgos.

","El Patch Tuesday récord de Microsoft incluye dos días cero explotados","

Las organizaciones deben priorizar las fallas explotadas, hacer un inventario de los sistemas afectados y acelerar las pruebas e implementación de las actualizaciones restantes.

",[2808,2809,2810,2811,2812],{"_126":2825,"_106":2826,"_660":99,"_129":2827},{"_126":2822,"_106":2823,"_660":99,"_129":2824},{"_126":2819,"_106":2820,"_660":99,"_129":2821},{"_126":2816,"_106":2817,"_660":99,"_129":2818},{"_126":2813,"_106":2814,"_660":99,"_129":2815},"

Investigadores de Huntress descubrieron Knight Office, una consola de operador detrás de una campaña de phishing adversary-in-the-middle dirigida a cuentas de Microsoft 365. Un señuelo estilo DocuSign usaba redirecciones de Monday y un sitio de Joomla comprometido para ocultar la página final de phishing. Después de que la víctima completaba la MFA, el kit capturaba un token de autenticación válido y lo reproducía desde la infraestructura del atacante, evadiendo los controles basados en contraseñas. El actor luego registraba un dispositivo no autorizado de Microsoft Entra y vinculaba una credencial de clave de Windows Hello for Business a la cuenta. Eso creaba un acceso duradero sin contraseña capaz de sobrevivir a la revocación de sesión. Huntress vinculó al menos nueve ataques de repetición de token al kit y encontró cientos de señuelos relacionados reportados a través de su telemetría.

$\"\"$ El correo señuelo detrás del ataque AiTM

","Dentro de Knight Office, un nuevo kit de phishing AiTM para Microsoft 365","

Los ataques AiTM roban la sesión autenticada, no solo la contraseña. Monitorea los inicios de sesión posteriores a la MFA desde proxies de retrollamada, los dispositivos de Entra recién registrados y las nuevas credenciales de Windows Hello; luego revoca las sesiones y elimina los métodos de autenticación no autorizados.

","

Investigadores de Huntress encontraron un RAT modular oculto dentro de un instalador manipulado de la billetera cripto Exodus. Las víctimas abrían PDF falsos o archivos ZIP de actualización de software que ejecutaban JavaScript, mostraban un documento señuelo legítimo e instalaban la billetera de forma silenciosa. El paquete era casi indistinguible de la aplicación real: solo se modificaron tres de 1.973 archivos, y no tenía detecciones en VirusTotal. Esos cambios evitaban que apareciera una ventana y cargaban un payload residente en memoria con VNC oculto, un proxy SOCKS, robo de credenciales del navegador, gestión de archivos y comandos remotos. Una tarea programada cada hora relanzaba la aplicación invisible, mientras que el tráfico de comando y control usaba Azure Table Storage en lugar de un dominio propiedad del atacante. Conoce más sobre el ataque en esta publicación de blog de Jonathan Semon y Jose Oregon.

$\"\"$ Cómo una billetera cripto que no se puede abrir termina instalando un RAT modular para robar credenciales del navegador

","El monedero cripto que nunca se abrió: un instalador manipulado de Exodus esconde un RAT modular","

Un nombre de aplicación confiable o un hash limpio no necesariamente significa que todo esté en orden. Los defensores deben investigar las instalaciones silenciosas de aplicaciones por usuario, las aplicaciones de Electron sin ventana visible y las tareas programadas que ejecutan archivos ejecutables desde AppData. También deben tratar las credenciales del navegador y las sesiones activas en los endpoints afectados como comprometidas.

","

Huntress investigó un incidente de ransomware en septiembre que involucró a Settra, una variante de ransomware más reciente reportada públicamente por primera vez en junio. El agente de Huntress se instaló mientras la intrusión ya estaba en curso, pero la telemetría igual mostró el manual de acciones posteriores al compromiso del atacante. El actor instaló MeshAgent para acceso remoto y usó una técnica de Bring Your Own Vulnerable Driver, probablemente para interferir con las herramientas de seguridad. Luego lanzó el ransomware desde la carpeta Documentos del usuario comprometido, cifró archivos con la extensión .locked_wip, creó notas de rescate RESTORE_FILES.txt, borró numerosos registros de eventos de Windows y deshabilitó las opciones de recuperación de Windows. Un nombre de registro de Defender con un error ortográfico dejó intacta una valiosa fuente de evidencia. Consulta nuestro análisis de Settra para más información.

$\"\"$ Señales que indican el uso de BYOVD y del RMM MeshAgent por parte del atacante

","El ransomware Settra usa MeshAgent y BYOVD","

Vigila las instalaciones no autorizadas de RMM, la carga de controladores vulnerables, la eliminación de registros y los cambios en el entorno de recuperación. Incluso cuando el cifrado tiene éxito, la telemetría de endpoints que sobrevive puede revelar la ruta de acceso del atacante y ayudar a delimitar el alcance de la intrusión más amplia.

","

Huntress observó una campaña de phishing que abusó de Microsoft Power BI para que su señuelo pareciera legítimo y así evadir los controles que confían en el servicio. Las víctimas recibían un correo con un enlace a una página pública de Power BI que mostraba un botón falso de “Descargar referencia”. Al hacer clic se abría un sitio controlado por el atacante que identificaba el navegador y el equipo antes de activar una descarga fraudulenta de ScreenConnect. El cliente inicial instalaba un segundo cliente de acceso remoto, lo que les daba a los atacantes acceso redundante. En un incidente, los atacantes también usaron un script de PowerShell, una tarea programada configurada para ejecutarse cada dos minutos, y HideUL_x64.exe para evadir las defensas. El SOC detuvo la actividad antes de que pudiera avanzar.

$\"\"$ Un esquema de la campaña de phishing

","Phishing de Power BI entrega clientes de ScreenConnect fraudulentos","

Un dominio cloud legítimo no hace que un enlace sea seguro. Revisa las protecciones y los flujos de trabajo de reportes para los servicios de confianza que llevan a descargas, y genera alertas ante clientes de ScreenConnect inesperados, tareas programadas y scripts de acceso remoto.

","

Los analistas del Huntress SOC investigaron dos ataques de phishing que usaron páginas browser-in-the-browser para suplantar a Adobe Reader. En un caso, una prueba CAPTCHA falsa llevaba a una página que mostraba documentos borrosos y un aviso para instalar una “actualización”. En otro, un mensaje malicioso enviado a través de una plataforma de comunicaciones legítima usó la misma plantilla. En lugar de Adobe Reader, las víctimas descargaban clientes de ScreenConnect fraudulentos. Cada ataque instalaba dos clientes, lo que creaba una persistencia redundante basada en servicios, antes de usar HideCursor o HideUL para ocultar la actividad en pantalla. Huntress detuvo ambos ataques antes de que avanzaran más, pero las campañas muestran cómo elementos de marca familiares y de navegador con apariencia legítima pueden convertir un clic de phishing en acceso remoto persistente. La analista del Huntress SOC Sarah Reddish describió el ataque en esta publicación de blog.

$\"\"$ Una campaña de phishing con un señuelo de Adobe

","Phishing de navegador en navegador entrega RMM fraudulentos","

Trata con sospecha las páginas inesperadas de visualización de archivos, las solicitudes de prueba CAPTCHA y las actualizaciones de software, incluso cuando parezcan usar marcas confiables. Restringe las herramientas de RMM no aprobadas e investiga las nuevas instalaciones de ScreenConnect, las conexiones de relay inusuales y los ejecutables que se inician desde las carpetas de descargas.

","Adversary Tactics de septiembre de 2026: phishing de browser-in-the-browser y Power BI que descarga RMM maliciosos, ransomware Settra que usa BYOVD, y un RAT en una billetera Exodus manipulada.","Vista de amenazas desde la perspectiva de Huntress Adversary Tactics: septiembre de 2026",{"_197":198,"_199":200,"_108":201},{"_429":431,"_427":432},{"_429":430,"_427":184},{"_427":2834},"Septiembre de 2026",{"_65":2839,"_67":2840,"_69":2841,"_71":2842,"_73":2843,"_75":2844,"_79":2845,"_82":2846,"_56":2847,"_85":2848,"_87":2849,"_89":2850,"_91":2851,"_95":96,"_60":2852},"c4e5bd2109c74d7cba5f34e74c41f006","Threat View from the Lens of Huntress Adversary Tactics: October 2026",[62],[2931,2932,2933],{"_98":99},[],{"_190":2930,"_192":193,"_194":703,"_187":196},{},{},{"_126":2929,"_98":17},{"_185":2928,"_187":2847},"Vista de amenazas desde la perspectiva de Huntress Adversary Tactics: octubre de 2026",{"_110":2853},"Sat Oct 31 2026 00:00:00 GMT-0400 (Eastern Daylight Time)",{"_100":101,"_102":103,"_104":105,"_106":107,"_98":99,"_108":628},"october-2026",[62],[2854,2855,2856,2857,2858],{"_117":2350,"_119":2915,"_121":1891,"_122":684},{"_117":145,"_119":2901,"_121":2902,"_122":485},{"_117":2324,"_119":2888,"_121":101,"_122":160},{"_117":2311,"_119":2867,"_121":2868,"_122":644},{"_117":2306,"_119":2859,"_121":101,"_122":123},[2860,2861],{"_126":2864,"_106":2865,"_660":99,"_129":2866},{"_126":2862,"_106":2863,"_660":17,"_129":101},"

Amazon y ChatGPT son solo dos de las marcas suplantadas en campañas de ClickFix, donde una prueba CAPTCHA falsa o una supuesta solución de software convence a los usuarios de pegar un comando en un cuadro de ejecución. Un solo pegado puede abrir la puerta a infostealers o ransomware.

Tyler Bohlmann y Sarah Reddish, del SOC y el equipo de ingeniería de detección de Huntress, se unen a Ben Nahorney para repasar los señuelos más convincentes que Huntress ha visto y la infraestructura que usan los atacantes para alojarlos.

Únete el 10 de noviembre a la 1:00 p. m. hora del Este.

","Próximo Tradecraft Tuesday: ClickFix y todas sus variantes","

Huntress researchers Andrea Hatcher and Rich Mozeleski examined how phishing kits such as EvilTokens, Knight Office, and Kali365 give less-skilled attackers advanced identity-attack capabilities. Beyond fake login pages, these kits can help operators acquire infrastructure, track victims, relay credentials, steal session tokens, and establish persistence.

The session covered device-code phishing, adversary-in-the-middle phishing, and token replay. Huntress’ ITDR team has found rogue device registration in roughly one in six investigated incidents, reinforcing the need to investigate activity after authentication.

$\"\"$ Andrea Hatcher and Rich Mozeleski discuss tradecraft linked to phishing kits

","Tradecraft Tuesday: phishing avanzado para atacantes de nivel inicial","

Sigue toda la cadena de ataque de identidad, desde el señuelo y el inicio de sesión hasta el uso del token de autenticación, el registro de dispositivos y la actividad del buzón. Restringe la autenticación por código de dispositivo donde no sea necesaria, investiga infraestructura de inicio de sesión desconocida y nuevos métodos de autenticación, y revoca los tokens de autenticación de actualización y elimina los dispositivos no autorizados durante la contención. Lee el resumen de la sesión o míralo bajo demanda.

",[2869,2870,2871,2872,2873,2874,2875,2876],"

Aunque no es un producto directo del equipo de Adversary Tactics, queremos destacar algunas funciones nuevas e impresionantes que nuestros compañeros de Product Research y Product lanzaron para ayudar a complicarles las cosas a los atacantes. Estamos ansiosos por empezar a usar estos datos para ampliar nuestra comprensión de los actores de amenazas que enfrentan nuestros clientes.

",{"_126":2886,"_106":2887,"_660":17,"_129":101},{"_126":2884,"_106":2885,"_660":17,"_129":101},{"_126":2883,"_106":482,"_660":17,"_129":101},{"_126":2882,"_106":480,"_660":17,"_129":101},{"_126":2881,"_106":2238,"_660":17,"_129":101},{"_126":2879,"_106":2880,"_660":17,"_129":101},{"_126":2878,"_106":478,"_660":17,"_129":101},{"_126":2877,"_106":476,"_660":17,"_129":101},"

Security awareness training agrega Defense Drills: Defense Drills ya está disponible de forma general en Huntress security awareness training. Defense Drills se basa en las amenazas que vemos desde el SOC para poner las tácticas emergentes frente a los usuarios aún más rápido. Los ejercicios interactivos guían a los alumnos paso a paso a través de ataques realistas en un entorno seguro, ayudándolos a reconocer lo que sucedió y a responder con más confianza cuando encuentren amenazas similares.

","

Brute Force Sentry: Esta es una próxima capacidad de Managed SIEM para detectar ataques de credenciales contra servicios de acceso remoto, y luego escalar cuando el ataque parece resultar en un inicio de sesión exitoso. Llega el 18 de noviembre para todos los clientes de SIEM.
Ask SIEM: Hazle una pregunta a tu SIEM en español sencillo y obtén una respuesta en español sencillo. Esta función usa un flujo de trabajo agéntico para planificar la investigación, ejecutar las consultas que necesita en tus datos de SIEM y resumir lo que encontró. Se espera que esto esté en adopción temprana en las próximas dos semanas.
Huntress SIEM extiende las detecciones de procesos a EDR de terceros: Huntress SIEM ahora aplica las detecciones de procesos de Huntress a las alertas de CrowdStrike y SentinelOne. Las alertas de terceros se normalizan al formato de Huntress EDR, lo que permite que se active la lógica de detección existente. Cuando el endpoint también tiene un agente de Huntress, el endpoint se agrega automáticamente a la investigación para que los analistas puedan aislarlo y remediarlo. Las alertas de Cisco AMP también se normalizan, con cobertura de detección adicional planeada.
Managed SIEM agrega integraciones de IT Glue, ScreenConnect y Salesforce: Managed SIEM ahora ofrece integraciones de disponibilidad general para IT Glue, ConnectWise ScreenConnect y Salesforce. Estas integraciones recopilan actividad de alto valor, como acceso a credenciales y cambios administrativos, eventos de sesión remota e inicio de sesión, y actividad de auditoría, API, exportación y usuarios de Salesforce. Las integraciones centralizan este contexto para las investigaciones; las detecciones aún no están incluidas.

","

La reducción de ataques de ESPM ayuda a frenar ClickFix: Huntress Managed ESPM ahora ofrece Reducción de ataques en Early Access, comenzando con la capacidad de bloquear el cuadro de diálogo Ejecutar de Windows para los usuarios que no lo necesitan. La función establece una línea base del uso del cuadro de diálogo Ejecutar, ayuda a identificar comandos de estilo ClickFix y permite a los equipos bloquear Win + R mientras preservan el acceso para los usuarios que dependen de él. El bloqueo no detiene todas las variantes de ClickFix, pero cierra una vía de ejecución común. Obtén más información.

","Managed ESPM","

Managed ISPM agrega una evaluación de postura de identidad: Huntress Managed ISPM ahora incluye una evaluación de postura de identidad bajo demanda y compartible para Microsoft 365. El informe califica los controles frente al Huntress Identity Security Framework, identifica brechas que Huntress puede remediar o que requieren acción manual, y se puede personalizar con la marca del cliente. Les da a los MSP y a los equipos de seguridad una vista priorizada del riesgo de identidad y su evolución en el tiempo. Obtén más información.
Managed ISPM agrega controles de gestión de dispositivos Apple: Managed ISPM ahora monitorea el certificado push de Apple MDM de Intune, los tokens de inscripción automatizada de dispositivos y los tokens de Apple VPP. Los nuevos controles marcan las credenciales que ya vencieron o que vencerán dentro de 30 días, ayudando a los equipos a evitar interrupciones en la gestión, inscripción y distribución de aplicaciones de dispositivos Apple.
Managed ISPM agrega controles de licencias y descargas: Managed ISPM ahora marca las cuentas bloqueadas que conservan licencias de Exchange, SharePoint/OneDrive o Teams, ayudando a reducir la exposición de cuentas inactivas. También verifica y aplica las políticas emparejadas de Acceso condicional y Outlook en la web que impiden que navegadores no administrados descarguen archivos adjuntos, sin afectar las aplicaciones de escritorio o móviles de Outlook.
Los nuevos controles administrados identifican cuentas bloqueadas que aún conservan licencias de Microsoft 365 e impiden que navegadores no administrados descarguen archivos adjuntos de Outlook en la web.

","

Vista retrospectiva de 180 días de Managed ITDR para compromisos históricos: la vista retrospectiva de Managed ITDR ya está disponible de forma general para los inquilinos de Microsoft 365 recién incorporados. Examina automáticamente hasta 180 días de historial de inicio de sesión en busca de compromisos previos y luego distingue los hallazgos históricos de las amenazas activas. Cuando encuentra un compromiso activo, el Huntress SOC investiga y revoca las sesiones activas. La función también está incluida para los inquilinos de prueba. Obtén más información.
Managed ITDR amplía la protección de entidades de servicio: a finales de octubre, observamos nuestra flota de más de 16 millones de identidades y encontramos más actividad de ARTEX/Storm que sigue el mismo patrón que vimos con SkyKick. SkyKick dejó en claro que se necesitaba una mejor protección, así que creamos cobertura para cada inicio de sesión de entidad de servicio en todas las aplicaciones. El viernes 16 de octubre, Huntress comenzó a ingerir y analizar registros de inicio de sesión de entidades de servicio en toda nuestra flota. Eso significa que, si los inquilinos de los clientes cuentan con licencias Microsoft P1 o superiores, están cubiertos. Cuando detectamos un acceso malicioso a una entidad de servicio en los inquilinos, enviamos un reporte de incidente y deshabilitamos automáticamente la aplicación, de modo que la contención no dependa de que alguien detecte una alerta a las 2 a. m.
La remediación de persistencia guiada por analistas permite que el SOC proponga la eliminación de métodos de MFA agregados por atacantes, dispositivos no autorizados en Entra y archivos maliciosos de SharePoint o OneDrive directamente desde un reporte de incidente.

","

En octubre, Managed EDR superó los 6.000.000 de endpoints protegidos. Aunque Windows sigue siendo la gran mayoría de nuestra flota, hemos visto un crecimiento considerable en nuestra flota de macOS y Linux, con nuestra flota de macOS casi duplicándose este último año calendario.
Huntress Managed EDR ahora recibe incidentes de Microsoft Defender XDR con contexto de Defender for Identity, Defender for Office 365, Defender for Cloud Apps y Entra ID Protection. El resultado es una vista más completa de la actividad de endpoints, identidad, correo electrónico y aplicaciones cloud, con el Huntress SOC correlacionando e investigando las señales. Este tipo de visibilidad ayuda a los defensores a detectar ataques de identidad como la campaña de reutilización de token de autenticación que Huntress rastreó recientemente en 79 organizaciones.

","

¿Quieres saber qué pasó en el T3 y qué se viene en el T4 para la hoja de ruta de productos de Huntress? Mira nuestra actualización de plataformas bajo demanda, donde hablamos de los puntos destacados y qué esperar.

$\"\"$ Puntos destacados del T3 y hoja de ruta del T4 de la plataforma Huntress

","Actualización de la Huntress Platform","

Mira el Product Lab de este mes, donde los cofundadores de Huntress, Kyle Hanslovan y Chris Bisnett, presentaron la hoja de ruta y escucharon en vivo los comentarios de la audiencia.

$\"\"$ Product Lab de octubre de 2026

","Laboratorio de producto",[2889,2890,2891],{"_126":2898,"_106":2899,"_660":99,"_129":2900},{"_126":2895,"_106":2896,"_660":99,"_129":2897},{"_126":2892,"_106":2893,"_660":99,"_129":2894},"

Railway reportó acceso no autorizado a un subconjunto de sus sistemas internos tras una campaña sostenida que comenzó el 20 de octubre. Su investigación encontró que un atacante pudo haber accedido a variables de entorno cifradas de clientes y, en algunos casos, obtenido su contenido descifrado. Railway dijo que la actividad parecía estar dirigida a obtener claves de API de proveedores de IA para ataques de destilación de modelos. La empresa pausó las implementaciones, contrató a especialistas externos en respuesta a incidentes y a las autoridades, y notificó a los clientes que identificó como directamente afectados.

","Railway insta a rotar credenciales tras la exposición de variables de entorno","

Las variables de entorno son un almacén de secretos de alto valor, no un lugar seguro para olvidar credenciales. Railway recomienda que los clientes que se registraron antes del 21 de octubre roten todas las variables almacenadas en la plataforma, incluidas las claves de API y las credenciales de registros privados, y que revisen los registros de servicios conectados en busca de actividad inusual. Lee el reporte de incidente preliminar de Railway.

","

LiteLLM reveló que un atacante comprometió su canal de publicación y publicó la versión maliciosa 1.107.0 en PyPI y sus registros de contenedores el 21 de octubre. La versión contenía malware compilado que roba credenciales y carga herramientas de ejecución remota de código. El paquete de PyPI estuvo disponible durante aproximadamente dos horas, mientras que las imágenes de Docker afectadas etiquetadas como v1.107.0, latest, main-latest y main-stable también fueron reemplazadas. LiteLLM eliminó los artefactos y dijo que las versiones empresariales privadas no se vieron afectadas.

","Una versión comprometida de LiteLLM entregó malware que robaba credenciales","

Los canales de paquetes firmados u oficiales aún pueden distribuir código malicioso tras un compromiso en el pipeline de lanzamiento. Los equipos que instalaron o ejecutaron LiteLLM 1.107.0 deben aislar y reconstruir los sistemas afectados, rotar los secretos disponibles en esos entornos y revisar los registros de CI y de ejecución en busca de actividad sospechosa. Lee el reporte de incidente de LiteLLM.

","

eMudhra reveló que las claves privadas de ocho autoridades de certificación intermedias emSign G3 eran recuperables debido a un error de script durante una ceremonia de generación de claves. La empresa dijo que un paso de wrap-and-unwrap produjo un segundo conjunto de claves débiles, y esas se publicaron en los almacenes de raíces de confianza de los navegadores. eMudhra revocó las ocho intermedias el 18 de octubre. Afirma que no se emitieron certificados de entidad final a partir de ellas, que su infraestructura no se vio comprometida y que no se vulneraron datos de clientes. Los programas de raíces de confianza de los navegadores también retiraron la confianza de la raíz ECC asociada, como medida de precaución.

","Claves débiles de la CA intermedia de eMudhra provocan desconfianza en los navegadores","

La infraestructura de clave pública depende de una generación de claves sólida y de una revocación rápida cuando falla la confianza. Las organizaciones deben asegurarse de que los almacenes de confianza del navegador y del sistema operativo estén actualizados, inventariar los certificados emitidos por las autoridades certificadoras (CA) afectadas y monitorear los avisos de los proveedores sobre requisitos de reemplazo o desconfianza. Lee la declaración de incidente de eMudhra.

",[2903,2904,2905],"

En Huntress, activamos \"Rapid Responses\" cuando hay una vulnerabilidad o amenaza que los atacantes están usando para escalar la distribución de malware a gran escala. Cuando nos enteramos de una posible vulnerabilidad, el equipo de Adversary Tactics trabaja en toda Huntress para determinar el posible impacto, actualizar a nuestros clientes y ofrecer documentación para la comunidad de seguridad. Estos son tres incidentes que manejamos el último mes:

",{"_126":2912,"_106":2913,"_660":99,"_129":2914},{"_126":2909,"_106":2910,"_660":99,"_129":2911},{"_126":2906,"_106":2907,"_660":99,"_129":2908},"

Huntress emitió una respuesta rápida después de que los detalles de alto nivel de dos fallas críticas de PHP, CVE-2026-109618 y CVE-2026-109619, se filtraran el 20 de octubre, un día antes de que se tuviera previsto divulgar las vulnerabilidades y los parches. Las fallas pueden permitir la ejecución remota de código sin autenticación en PHP, incluidos PHP-FPM, Apache con mod_php y php-cgi. El 21 de octubre, PHP publicó correcciones en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

Hemos estado cazando actividad maliciosa de PHP, y nuestro SOC está alerta ante procesos de servidores web que generan shells, intérpretes o herramientas de descarga. Al 27 de octubre, no hemos observado explotación en nuestra base de socios.

","PHP2Shell: fallas de PHP que requerían parches","

Los defensores deben inventariar cada instalación de PHP, incluido el PHP incluido en paquetes, y luego aplicar parches primero a los sistemas expuestos a internet; aislar el PHP fuera de soporte de la exposición a internet cuando no sea posible actualizarlo; investigar procesos secundarios inesperados de php-fpm, php-cgi, httpd o apache2, y conservar los registros web y de PHP si se sospecha de un compromiso. Lee el Rapid Response para más información.

","

Huntress observó a actores de amenazas encadenando dos vulnerabilidades en AhsayCBS, una utilidad de gestión de copias de seguridad usada comúnmente por proveedores de servicios administrados e integradores de sistemas. El ataque comenzó con un bypass de autenticación y llevó a la ejecución remota de código como SYSTEM en los endpoints expuestos. En las intrusiones observadas, los atacantes realizaron reconocimiento, implementaron webshells JSP e instalaron un criptominero XMRig disfrazado como Microsoft Edge. También usaron un script de PowerShell que monitoreaba el Administrador de tareas e intentaba cerrarlo cuando permanecía abierto.

$\"\"$ Procesos secundarios sospechosos generados desde archivos ejecutables de AhsayCBS (cbssvcX64.exe)

Ahsay publicó parches para las versiones afectadas, y verificamos de forma independiente que la versión 10.3.4.45 mitiga el punto de entrada inicial en la cadena de ataque observada. Lee el análisis completo de explotación de AhsayCBS.

","Actores de amenazas explotan fallas de AhsayCBS para implementar webshells y criptomineros XMRig","

Los defensores que tengan AhsayCBS en sus entornos deben aplicar los parches de inmediato, restringir el acceso a su interfaz de administración e investigar actividad sospechosa de los procesos de AhsayCBS, especialmente webshells inesperados, comandos de reconocimiento o actividad de criptominería.

","

Huntress confirmó que una credencial comprometida de ConnectWise Cloud Backup se usó para obtener tokens de autenticación de Graph en inquilinos de Microsoft 365 el 15 de octubre. En inicios de sesión no autorizados en 162 inquilinos, vimos que una aplicación de ConnectWise Cloud Management se otorgaba a sí misma el rol de Administrador Global y luego agregaba secretos en otros lugares, creando persistencia más allá de la aplicación original. El análisis posterior encontró enumeración mediante scripts, cambios realizados por operadores y herramientas que se adaptaban.

Contuvimos la actividad confirmada eliminando una credencial no autorizada de una aplicación de Huntress, habilitando el bloqueo de propiedades de instancia de aplicación, revisando las credenciales de socios y compartiendo orientación (incluido un aviso de incidente); mientras que ConnectWise luego indicó que deshabilitó las aplicaciones relevantes. El 21 de octubre, Microsoft atribuyó la actividad a Storm-0940 usando el marco ARTEX AI. Huntress publicó un blog de seguimiento analizando nuestra propia telemetría y cómo se alinea con estos hallazgos.

$\"\"$ Actividad del 15 de octubre en inquilinos monitoreados por Huntress, agrupada por comportamiento

","Credenciales de proveedor de ConnectWise (SkyKick) explotadas en ataques a Microsoft 365","

En nuestro blog inicial, recomendamos a las organizaciones afectadas deshabilitar las aplicaciones sin eliminarlas. También recomendamos revisar los secretos y certificados de las aplicaciones empresariales, eliminar credenciales e investigar las asignaciones de roles de proveedores, las modificaciones de aplicaciones y los agentes de usuario anómalos.

",[2916,2917,2918],{"_126":2925,"_106":2926,"_660":99,"_129":2927},{"_126":2922,"_106":2923,"_660":99,"_129":2924},{"_126":2919,"_106":2920,"_660":99,"_129":2921},"

¿Quieres ver la informática forense en acción? Un reciente ataque de ransomware Akira dejó vacíos en la telemetría de endpoints, pero los artefactos forenses igual revelaron el camino del atacante desde el acceso por RDP hasta el cifrado.

Huntress investigó un incidente de ransomware Akira después de que el agente de Huntress se implementara tras el compromiso, lo que dejó vacíos en la telemetría de endpoints disponible. Los analistas reconstruyeron la intrusión a partir de artefactos del registro, los registros de eventos de Windows, Shellbags y archivos de registro de Akira. La evidencia mostró que el atacante entró por RDP, deshabilitó los servicios de Bitdefender, ejecutó procdump.exe desde C:\\PerfLogs, implementó una herramienta de túnel GOST y usó Rclone para la exfiltración de datos antes del cifrado.

Incluso sin una línea de comandos de ransomware registrada, Huntress conectó el momento de un comando de eliminación de copias shadow, la creación de archivos de registro de Akira y la evidencia de Shellbags que mostraba al actor revisando carpetas objetivo después de cada ejecución de cifrado. La investigación muestra cómo los artefactos forenses pueden conservar un relato útil de la actividad del atacante, incluso cuando la cobertura de EDR comienza después del acceso inicial. Este nivel de detalle puede ser clave al proteger la cuenta y los datos de un cliente.

","Cómo se mapeó un ataque de ransomware Akira sin una línea de comandos","

La falta de telemetría no significa que un incidente no se pueda entender. Las organizaciones deben proteger el acceso remoto expuesto con MFA, monitorear las conexiones RDP desde estaciones de trabajo desconocidas e investigar ejecutables inesperados o la creación de archivos en C:\\PerfLogs. Lee la investigación completa sobre Akira.

","

Un sitio falso de descarga de VPN de WatchGuard robó credenciales y luego entregó el instalador real y firmado para que las víctimas no sospecharan nada.

El incidente comenzó cuando un administrador buscó en Bing el cliente SSL VPN de WatchGuard y hizo clic en un sitio de descarga falso, watchguard-vpn[.]net. El sitio usó una ventana emergente del navegador para recolectar la dirección del servidor VPN, el nombre de usuario y la contraseña. Rechazó deliberadamente el primer envío, probablemente para obtener un segundo conjunto de credenciales, y luego le ofreció a la víctima exactamente lo que esperaba: un instalador genuino y válidamente firmado de WatchGuard descargado desde la propia CDN de WatchGuard. Ese último paso hizo que este ataque fuera difícil de detectar para los defensores, ya que eliminó el archivo malicioso en el que podrían haberse enfocado. La principal amenaza en este ataque es la captura de credenciales que ocurre en el navegador antes de que se descargue el cliente legítimo.

Al 13 de octubre, el dominio principal vinculado a la actividad observada por Huntress (watchguard-vpn[.]net) estaba fuera de línea. Antes de publicar, Huntress notificó a WatchGuard sobre esta campaña activa y compartió los detalles relevantes de la infraestructura. Conoce más aquí.

$\"\"$ Flujo completo del phishing de credenciales de VPN de WatchGuard

","Sitio falso de VPN de WatchGuard roba credenciales y luego entrega el cliente real","

Publicar y guardar en marcadores los enlaces oficiales de descarga de VPN puede mantener a los usuarios alejados de sitios falsos en los resultados de búsqueda. Los defensores deben implementar MFA para el acceso VPN, monitorear los inicios de sesión desde redes desconocidas y tratar como comprometidas las credenciales ingresadas en un sitio de descarga sospechoso, incluso si la aplicación instalada es legítima.

","

Una campaña masiva de Microsoft 365 secuestró sesiones y se afianzó en docenas de organizaciones.

A lo largo de 10 semanas, Huntress rastreó la importante campaña de Microsoft 365, que robó sesiones autenticadas mediante relés adversary-in-the-middle (AiTM) y phishing de código de dispositivo. El actor lanzó un ataque de token de autenticación spraying, reutilizando tokens de autenticación robados desde la infraestructura de 1337 Services GmbH, lo que llevó a 497 inicios de sesión exitosos en 79 organizaciones (y más de 200.000 intentos fallidos).

Después del compromiso, el atacante estableció persistencia registrando 48 dispositivos de Entra fraudulentos, reemplazando los métodos de autenticación multifactor (MFA) de las víctimas y creando reglas de bandeja de entrada ocultas. En un incidente, el actor de amenazas también usó el buzón comprometido para enviar spam saliente a cientos de destinatarios externos.

$\"\"$ Inicios de sesión exitosos mediante reproducciones de tokens de autenticación a lo largo de la campaña

","Campaña de repetición de token de autenticación de Microsoft 365 crea acceso duradero","

MFA es un paso de seguridad importante, pero no puede detener los tokens de autenticación posteriores a la autenticación que se reproducen. Los defensores deben usar acceso condicional, restringir el flujo de código de dispositivo, revocar sesiones, restablecer contraseñas, eliminar dispositivos y métodos de MFA desconocidos, y revisar las reglas sospechosas de la bandeja de entrada en sus entornos. Lee el análisis completo de la campaña para más detalles.

","Adversary Tactics de octubre de 2026: una campaña de repetición de token de autenticación de Microsoft 365, un sitio falso de VPN de WatchGuard que roba credenciales, y un ataque de ransomware Akira mapeado a partir de análisis forense.","

Bienvenido a Threat View, tu fuente de información sobre las amenazas emergentes que rastreamos en Huntress y en todo el mundo. Trabajemos juntos para acabar con los hackers que atacan sin descanso a nuestros clientes, socios y a sus clientes. Mantente seguro. Mantente alerta. ¡Pero primero, mantente informado!

",{"_197":198,"_199":200,"_108":201},{"_429":431,"_427":432},{"_429":430,"_427":184},{"_427":2934},"Octubre de 2026","svVAxzPR0KYX8UrWRr9E1WHQMyr2",1775754683417,{"_2965":2966,"_2967":2968,"_2969":2970,"_2971":2972,"_2973":2974,"_2975":2976,"_2977":2978,"_2979":2980,"_77":2981,"_82":2982,"_2983":2984,"_2985":2986,"_2987":2988,"_2989":99,"_2990":17,"_2991":99,"_2992":2993,"_2994":101,"_2995":17,"_187":2996,"_200":2955,"_60":2997},1775844799984,[],1794332070927,{"_1172":2956,"_2957":2958,"_1174":17,"_1175":17,"_2959":17,"_1176":9,"_1177":2960},"3fa669f9656b425bbe84446dd9c5a7cd","Adversary Tactics Index",-46159.25,[2949],"42ef08vmmcc",{},[62],{"_209":2950,"_2951":2952,"_2953":2954,"_213":2955},"@builder.io/core:Query","operator","is","property","urlPath","/threat-library/adversary-tactics",{"_1178":1196,"_1180":1197,"_1198":1199},"componentsUsed",{"_2961":240,"_2962":240,"_2963":240,"_2964":240},"hasLinks","https://www.huntress.com/threat-library/adversary-tactics?builder.space=3eb6f92aedf74f109c7b4b0897ec39a8&builder.user.permissions=read%2Ccreate%2Cpublish%2CeditCode%2CeditDesigns%2Cadmin%2CeditLayouts%2CeditLayers%2CeditContentPriority%2CeditFolders%2CeditProjects%2CmodifyMcpServers%2CmodifyWorkflowIntegrations%2CmodifyProjectSettings%2CconnectCodeRepository%2CcreateProjects%2CindexDesignSystems%2CsendPullRequests%2CmergePullRequests&builder.user.role.name=Admin&builder.user.role.id=admin&builder.cachebust=true&builder.preview=page&builder.noCache=true&builder.allowTextEdit=true&__builder_editing__=true&builder.overrides.page=866f5e547e02448b8dcd697e95e8267d&builder.overrides.866f5e547e02448b8dcd697e95e8267d=866f5e547e02448b8dcd697e95e8267d&builder.overrides.page:/threat-library/adversary-tactics=866f5e547e02448b8dcd697e95e8267d&builder.options.includeRefs=true&builder.options.enrich=true&builder.options.locale=Default","Base:Hero","BlogSignupSection","SolutionsIndexGridSection","v2:Hero","backgroundColor","var(--black, #000)","banner",{},"blocks",[3012,3013,3014,3015],"contentTags",{},"contextData",[3006],"eventDetails",{},"indexOverrides",{},"inputs",[],{},{"_185":3004,"_187":3005},"referenceDataModel","resource-guides.articles","resourceDetails",{},"secondaryNav",{},"showAdvanced","showBanner","sitemapIndexing","state",{"_2998":2999,"_3000":3001},"template","themeId","Índice de Adversary Tactics",[62],"deviceSize","large","location",{"_3002":101,"_235":3003},"path",{},"Inteligencia de amenazas mensual de los investigadores de Huntress: desglosamos las últimas tácticas de los adversarios, TTPs y telemetría de primera línea para mantener tus defensas un paso adelante.","Adversary Tactics: vista de amenazas del mes",{"_34":3007},{"_3008":3009,"_36":37,"_32":33,"_3010":3011},"fields","id,name,data","paging","all",{"_209":3016,"_3040":3041,"_3042":3171,"_54":3172,"_229":3173,"_3020":3174},{"_209":3016,"_3040":3041,"_3042":3115,"_54":3116,"_3020":3117},{"_209":3016,"_3040":3041,"_3042":3043,"_54":3044,"_3020":3045},{"_209":3016,"_54":3017,"_3018":3019,"_3020":3021,"_3022":3023},"@builder.io/sdk:Element","builder-pixel-28jok9fxo2c","properties",{"_3035":101,"_3036":3037,"_3027":3028,"_3038":3039,"_3034":3028},"responsiveStyles",{"_2999":3024},"tagName","img",{"_3025":3026,"_3027":3028,"_3029":3028,"_3030":3031,"_3032":3033,"_3034":3028},"display","block","height","0","opacity","overflow","hidden","pointerEvents","none","width","alt","aria-hidden","true","src","https://cdn.builder.io/api/v1/pixel?apiKey=3eb6f92aedf74f109c7b4b0897ec39a8","@version",2,"component",{"_3058":-5,"_56":2962,"_3059":3060},"builder-64c5a39ec8e646c5b124ae7b6fddb526",{"_2999":3046},{"_3047":3048,"_3025":3049,"_3050":3051,"_3052":3028,"_3053":3054,"_3055":3054,"_3056":3057},"boxSizing","border-box","flex","flexDirection","column","flexShrink","marginBottom","60px","marginTop","position","relative","isRSC","options",{"_3061":3062,"_3063":3064,"_3065":3066,"_3067":3068,"_106":3069,"_3070":3071,"_192":3072,"_3073":17,"_194":3074,"_3075":3076},"blogSignupForm",{"_3105":3106,"_3107":3108,"_3109":17,"_3110":17,"_3111":17,"_3112":3113,"_3114":17},"contentContainer",{"_3101":3102,"_3103":3104},"glitches",[3088],"gradient",{"_3077":3078,"_3079":3080,"_3081":3082,"_3083":99,"_3084":3085,"_3086":3087},"Regístrate para recibir actualizaciones del blog","headingQualifier","Calificador de encabezado","https://images.huntress.com/asset/file/cb5efa5143804ba59d530a903d29fe5f","showHeadingQualifier","Suscríbete hoy y serás el primero en enterarte cuando haya contenido nuevo en el blog.","theme","light","angle","60deg","angleRange",60,"blurSize",35,"show","size","blur(40px)","variant","gradientGreenBlue",{"_3089":3090,"_192":3091},"displayOn",{"_3092":99,"_3093":3094},"https://images.huntress.com/asset/file/3de86f848e7b4a788c5d296dbf0dc07c","desktop","desktopDisplayOptions",{"_3095":99,"_3056":3096,"_3034":3097},"displayBehindContent",{"_3098":3028,"_3099":3100},300,"right","top","45%","customWidth",1200,"maximumWidth","1200","formId","wf-form-Blog-Signup-Form","hubspotFormId","5198e52f-a296-4d78-935d-fe864d69a67a","showBlueGreenGradient","showBluePurpleGradient","showFormTitle","submitButtonText","Enviar","useNeverBounce",{"_3058":-5,"_56":2963,"_3059":3123},"builder-fac7e60bf8c5409b8b84a6fb0bf55211",{"_2999":3118},{"_3047":3048,"_3025":3049,"_3050":3051,"_3052":3028,"_3053":3119,"_3120":3121,"_3055":3122,"_3056":3057},"72px","marginRight","var(--space-0, 0px)","var(--space-5, 24px)",{"_3124":37,"_3125":17,"_3065":3126,"_3127":17,"_3128":3129,"_3130":99},"contextDataIdentifier","enableContentTagFiltering",[3153,3154],"hidePageDescriptions","paginationOptions",{"_3131":3132,"_3133":3134,"_3135":3136,"_3137":3138,"_3139":3140,"_3141":3140,"_3142":3134,"_3143":3144,"_3145":3146,"_3147":3148,"_3149":17,"_3150":17},"useContextData","arrowImageUrl","https://images.huntress.com/asset/file/779e332a141048329fb98c924119138a","columnGap",20,"columns",{"_3092":3144,"_3151":240,"_3152":3041},"emptyStateMessage","No se encontraron elementos.","itemAlign","stretch","itemJustify","rowGap","rows",3,"scrollAnchorId","authors-list-pagination-scroll-anchor","scrollTo","anchor","showPaginationWhenOnePage","useZeroBasedIndex","mobile","tablet",{"_3089":3164,"_192":3165},{"_3089":3155,"_192":3156},{"_3092":17,"_3151":99,"_3157":3158,"_3152":99,"_3159":3160},"https://images.huntress.com/asset/file/134745e8b573443683ff217da8fe9080","mobileDisplayOptions",{"_3095":99,"_3056":3163,"_3034":3162},"tabletDisplayOptions",{"_3095":99,"_3056":3161,"_3034":3162},{"_3098":3028,"_3099":3028},150,{"_3098":3028,"_3099":3028},{"_3092":99,"_3093":3166},"https://images.huntress.com/asset/file/fe29eb38b03541f3b6419461e8c56719",{"_3056":3167,"_3034":3168},{"_3169":3170,"_3098":3028},250,"bottom","15%",{"_3058":-5,"_56":2964,"_3059":3178},"builder-7641bffd24334ff8a6f2533ae53b315b",{"_3176":3177},{"_2999":3175},{"_3047":3048,"_3025":3049,"_3050":3051,"_3052":3028,"_3053":3054,"_3055":3121,"_3056":3057},"localizedTextInputs",[106,194],{"_3179":3180,"_3181":3182,"_3183":3184,"_3185":3186,"_3187":3188,"_3189":3190,"_3065":3191,"_106":3192,"_3070":3193,"_3194":3195,"_3196":3197,"_3198":3199,"_3200":3201,"_3202":3203,"_3204":17,"_3205":17,"_3206":99,"_3073":17,"_3207":17,"_3208":99,"_194":3209,"_3210":3211,"_3212":3213,"_3214":3215},"borderConfig",{"_3169":99,"_3099":17},"breadcrumb",{"_65":3353,"_3354":99},"ctaQualifierOptions",{"_3351":3352},"ctas",[3344,3345],"desktopBlocks",[3340],"formBlock",[3335],[3325,3326],"

Adversary Tactics: vista de amenaza del mes

","Caso de cliente destacado","justifyContentCopy",{"_3092":3324,"_3151":3324,"_3152":3324},"mediaContent",{"_3278":3279,"_3280":3281,"_3282":3283,"_3284":3285,"_3151":3286,"_3287":3288,"_3289":17,"_3290":3033,"_3291":17,"_3292":17,"_3293":17,"_3152":3286,"_3294":3295},"mediaGlowOptions",{"_3262":3263,"_3264":3265,"_3266":3263,"_3267":3263,"_3268":3269},"mobileBlocks",[3258],"paddingBottom","40px","showCTAs","showCtaQualifier","showHeading","showSummarizeWithAi","showSummary","

El Adversary Tactics Threat View mensual es tu línea directa a la telemetría de primera línea que vemos en Huntress. No solo te damos un informe de las amenazas: analizamos las tácticas que usan para atacar tu negocio. Deja de ir a la zaga de las últimas TTPs y empieza a destruir el camino del atacante hacia la rentabilidad. Mantente seguro. Mantente alerta. Pero primero, mantente informado.

","tabletBlocks",[3252],"tagNames",{"_3248":3249,"_3250":3251},"wordRotator",{"_3216":17,"_3217":3218},"enableWordRotator","wordRotatorOptions",{"_3219":3220,"_3221":3222},"animationSpeed",{"_3245":3246,"_3247":3162},"words",[3223,3224,3225,3226,3227,3228,3229,3230,3231,3232],{"_3233":3234,"_108":3244},{"_3233":3234,"_108":3243},{"_3233":3234,"_108":3242},{"_3233":3234,"_108":3241},{"_3233":3234,"_108":3240},{"_3233":3234,"_108":3239},{"_3233":3234,"_108":3238},{"_3233":3234,"_108":3237},{"_3233":3234,"_108":3236},{"_3233":3234,"_108":3235},"duration",2000,"Tranquilidad","Datos","Personas","organización","identidades","Negocio","Ganancias","Futuro","Endpoints","Empresarial","backspace",50,"typing","headingTagName","h1","qualifierTagName","div",{"_209":3016,"_3040":3041,"_3042":3253,"_54":3254},{"_3058":-5,"_56":3255,"_3059":3256},"builder-7851d349a30244b0b4778e84c2659d6b","Text",{"_108":3257},"

Huntress Managed ITDR

",{"_209":3016,"_3040":3041,"_3042":3259,"_54":3260},{"_3058":-5,"_56":3255,"_3059":3261},"builder-8d2c30a1e70f4f1892ce6d4b0b7ece6b",{"_108":3257},"desktopMediaGlow","no-glow","desktopMediaGlowOptions",{"_3270":3271,"_192":3277,"_3273":3274,"_3275":99,"_3276":17},"mobileMediaGlow","tabletMediaGlow","tabletMediaGlowOptions",{"_3270":3271,"_192":3272,"_3273":3274,"_3275":99,"_3276":17},"fetchPriority","high","https://images.huntress.com/asset/file/14a15009b07f43378ae7125650667174","loading","eager","presentation","zoomable","https://images.huntress.com/asset/file/28025cf38a014e3aa8fe01dd80ea812b","contentMediaGap",0,"copyMediaAlignment","content-start","copyMediaSplitPercentage","split-70-30","default",{"_3296":3320,"_3298":3033,"_3299":3321,"_3301":3322,"_3303":3323},"use-default-options","mobileMediaContentOptions",{"_3296":3316,"_3298":192,"_3299":3317,"_3301":3318,"_3303":3319},"overflowMedia","previousMediaContentType","reverseOrderOnDesktop","reverseOrderWhenStacked","stackOnDesktop","tabletMediaContentOptions",{"_3296":3297,"_3298":192,"_3299":3300,"_3301":3302,"_3303":3304},"imageOptions",{"_3270":3271,"_192":3315,"_3273":3274,"_3275":17,"_3276":17},"mediaContentType","storylaneOptions",{"_3313":3314},"videoPlayerOptions",{"_3309":17,"_3305":3310,"_3311":3312},"wistiaPlayerOptions",{"_3305":3306,"_3307":3308},"poster","https://images.huntress.com/asset/file/233fea1218104f50ae2d579a9874185a","wistiaId","od2hso47z4","autoPlay","https://images.huntress.com/asset/file/0a63940a9c034bbfb89f60eed7a973a2","video","https://cdn.builder.io/o/assets%2F3eb6f92aedf74f109c7b4b0897ec39a8%2Ff20e34a1818345448a7ca0bf9ac8944c?alt=media&token=65325cff-7267-4865-8a48-45d74530d5d9&apiKey=3eb6f92aedf74f109c7b4b0897ec39a8&optimized=true","storylaneId","ydcsbfybwjde","https://images.huntress.com/asset/file/11ab66c9ece240ffb779043de770f2bc",{"_3270":3271,"_192":3315,"_3273":3274,"_3275":17,"_3276":17},{"_3313":3314},{"_3309":17,"_3305":3310,"_3311":3312},{"_3305":3306,"_3307":3308},{"_3270":3271,"_192":3315,"_3273":3274,"_3275":17,"_3276":17},{"_3313":3314},{"_3309":17,"_3305":3310,"_3311":3312},{"_3305":3306,"_3307":3308},"left",{"_3089":3332,"_192":3165},{"_3089":3327,"_192":3156},{"_3092":17,"_3151":99,"_3157":3328,"_3152":99,"_3159":3329},{"_3095":99,"_3056":3331,"_3034":3162},{"_3095":99,"_3056":3330,"_3034":3162},{"_3098":3028,"_3099":3028},{"_3098":3028,"_3099":3028},{"_3092":99,"_3093":3333},{"_3056":3334,"_3034":3168},{"_3169":3170,"_3098":3028},{"_209":3016,"_3040":3041,"_3042":3336,"_54":3337},{"_3058":-5,"_56":3338,"_3059":3339},"builder-d99c686ce4864cccbd9bd1cb72110ba9","Form:Dynamic",{},{"_209":3016,"_3040":3041,"_3042":3341,"_54":3342},{"_3058":-5,"_56":3255,"_3059":3343},"builder-1ba26f4b9d4e4c8b95531b2ab78b5fc7",{"_108":3257},{"_3346":3347,"_3084":2999,"_108":3349,"_200":198,"_3086":3350},{"_3346":3347,"_3084":2999,"_108":103,"_200":105,"_3086":3348},"ctaTarget","_self","outline","Empieza gratis","solid","ctaQualifierText","Prueba gratis, con todas las funciones y sin tarjeta de crédito.
",[3355,3356,3357],"showBreadcrumbs",{"_429":3358,"_427":3359},{"_429":431,"_427":432},{"_429":101,"_427":184},"/es","Inicio","preprod","indexedLocales",[59],"common",{"_3374":3375,"_3376":3377,"_3378":3379,"_3380":3381,"_3382":-5,"_3383":-5},"enabledLocales",[59],"designVersion","v2","designTheme","dark","isNonProd","origin","http://www.huntress.com","headerContent",{"_3615":3616,"_3617":3618,"_3619":3620},"footerContent",[3464,3465,3466,3467,3468,3469],"g2Awards",[3394,3395,3396,3397],"assetTypes",[3384,3385,3386,3387,3388,3389,3390,3391,3392,3393],"hubspotEnrichData","autofill","Checklist","Datasheet","Ebook","Handbook","Infographic","On-Demand Virtual Event","Report","Success Kit","Video","Whitepaper",{"_34":3447,"_54":3448,"_56":3449,"_58":1170,"_60":3450},{"_34":3434,"_54":3435,"_56":3436,"_58":1170,"_60":3437},{"_34":3417,"_54":3418,"_56":3419,"_58":1170,"_60":3420},{"_34":3398,"_54":3399,"_56":3400,"_58":1170,"_60":3401},{"_3402":480,"_3403":3404},"a15035cbedea4437bf339e54f6573731","Managed ITDR Awards",[],"category","images",[3405,3406,3407,3408],{"_63":3415,"_192":3416},{"_63":3413,"_192":3414},{"_63":3411,"_192":3412},{"_63":3409,"_192":3410},"G2 Summer 2026 Managed ITDR Best Relationship Badge","https://images.huntress.com/asset/file/a7d6e5ffadd24bd089bec898126f9911","G2 Summer 2026 Managed ITDR Best Usability Badge","https://images.huntress.com/asset/file/a0f52fc940d94925a1eff364249a2ce2","G2 Summer 2026 Managed ITDR Best Estimated ROI Badge","https://images.huntress.com/asset/file/62f633b582cd4af792766436f07c34e0","G2 Summer 2026 Managed ITDR Leader Badge","https://images.huntress.com/asset/file/3814a40fd89c44c4a783f59c02f60636",{"_3402":482,"_3403":3421},"f4f2c8064b7e4e92b01a3c95a41dde18","Managed EDR Awards",[],[3422,3423,3424,3425],{"_63":3432,"_192":3433},{"_63":3430,"_192":3431},{"_63":3428,"_192":3429},{"_63":3426,"_192":3427},"G2 Summer 2026 Managed EDR Best Relationship Badge","https://images.huntress.com/asset/file/cb55636d05764b10aadd2171e084649d","G2 Summer 2026 Managed EDR High Performer — Enterprise Badge","https://images.huntress.com/asset/file/6b49410a06a3486dab4871c728374406","G2 Summer 2026 Managed EDR Best Results Badge","https://images.huntress.com/asset/file/68b6d485ec2549d482ae2fd55a9998cc","G2 Summer 2026 Managed EDR Leader Badge","https://images.huntress.com/asset/file/109be4090231496fb9e55733bfba2175",{"_3402":3284,"_3403":3438},"9b043f11647d490c8780d9136cf88b34","Default G2 Awards",[],[3439,3440,3441,3442],{"_63":3432,"_192":3433},{"_63":3430,"_192":3431},{"_63":3445,"_192":3446},{"_63":3443,"_192":3444},"G2 Summer 2026 Managed EDR Fastest Implementation — Enterprise Badge","https://images.huntress.com/asset/file/2fc0014953834b6eb0f0f5c0ec607845","G2 Summer 2026 Managed EDR High Performer — Asia Pacific Badge","https://images.huntress.com/asset/file/dec7137165de47498c5e143b47d9b2a3",{"_3402":476,"_3403":3451},"b1ef1fa50cc44b4cb964fcd76ce27c47","Managed SAT Awards",[],[3452,3453,3454,3455],{"_63":3462,"_192":3463},{"_63":3460,"_192":3461},{"_63":3458,"_192":3459},{"_63":3456,"_192":3457},"G2 Summer 2026 Managed SAT Leader — Small Business — EMEA Badge","https://images.huntress.com/asset/file/d91dae99a6be4e7e869fc114a79f67d7","G2 Summer 2026 Managed SAT Leader Badge","https://images.huntress.com/asset/file/910b842354c94d63a96a531172611e3c","G2 Summer 2026 Managed SAT Leader — Small Business Badge","https://images.huntress.com/asset/file/cfdc70ec7db8485f973a7d84d39d5ed8","G2 Summer 2026 Managed SAT Momentum Leader Badge","https://images.huntress.com/asset/file/2faf248c5e7f457f928a141d9d49ad47",{"_34":3601,"_54":3602,"_56":3603,"_58":59,"_60":3604},{"_34":3573,"_54":3574,"_56":3575,"_58":59,"_60":3576},{"_34":3542,"_54":3543,"_56":3544,"_58":59,"_60":3545},{"_34":3520,"_54":3521,"_56":3522,"_58":59,"_60":3523},{"_34":3495,"_54":3496,"_56":3497,"_58":59,"_60":3498},{"_34":3470,"_54":3471,"_56":3472,"_58":59,"_60":3473},{"_3474":3475,"_187":3476,"_3477":3474,"_60":3478},"c211d3560ba74bc9a088ee63b66293ab","About",[62],"links",[3479,3480,3481,3482,3483],"Sobre nosotros","type",[62],{"_3484":3493,"_200":3494},{"_3484":3491,"_200":3492},{"_3484":3489,"_200":3490},{"_3484":3487,"_200":3488},{"_3484":3485,"_200":3486},"linkText","Contáctanos","/es/contact-us","Empleos","/es/company/careers","Noticias y prensa","/es/company/press","Liderazgo","/es/company/leadership","Nuestra empresa","/es/company/our-story",{"_3474":3499,"_187":3500,"_3477":3474,"_60":3501},"7c53b226c0d14e18856978d679c98b2a","Resources",[62],[3502,3503,3504,3505,3506],"Recursos",[62],{"_3484":3518,"_200":3519},{"_3484":3516,"_200":3517},{"_3484":3514,"_3509":3347,"_200":3515},{"_3484":3512,"_200":3513},{"_3484":3507,"_3508":99,"_3509":3510,"_200":3511},"Documentación de soporte","nofollow","target","_blank","https://support.huntress.io/hc/en-us","Próximos eventos","/es/upcoming-events","Ciberseguridad 101","/es/cybersecurity-education/cybersecurity-101","Centro de recursos","/es/resources","Blog","/es/blog",{"_3474":3524,"_187":3525,"_3477":3474,"_60":3526},"eaae2a88df264ce8987bc9b7803d090a","Why Huntress?",[62],[3527,3528,3529,3530,3531],"¿Por qué Huntress?",[62],{"_3484":3540,"_200":3541},{"_3484":3538,"_200":3539},{"_3484":3536,"_200":3537},{"_3484":3534,"_200":3535},{"_3484":3532,"_200":3533},"Casos de clientes","/es/why-huntress/case-studies","SOC 24/7","/es/why-huntress/24-7-soc","Equipos de TI y seguridad","/es/why-huntress/it-security-teams","Revendedores","/es/partners/resellers","Proveedores de servicios administrados","/es/partners/msps",{"_3474":3546,"_187":3547,"_3477":3474,"_60":3548},"48e36f6d9651423da2291512cdde8b9e","Solutions",[62],[3549,3550,3551,3552,3553,3554,3555,3556],"Soluciones",[62],{"_3484":3571,"_200":3572},{"_3484":3569,"_200":3570},{"_3484":3567,"_200":3568},{"_3484":3565,"_200":3566},{"_3484":3563,"_200":3564},{"_3484":3561,"_200":3562},{"_3484":3559,"_200":3560},{"_3484":3557,"_200":3558},"Gobierno estatal y local","/es/industries/state-and-local-government","Manufactura","/es/industries/manufacturing","Salud","/es/industries/healthcare","Finanzas","/es/industries/financial-services","Educación","/es/industries/education","Compromiso del correo electrónico empresarial","/es/use-cases/business-email-compromise","Cumplimiento normativo","/es/use-cases/cybersecurity-compliance","Phishing","/es/use-cases/phishing",{"_3474":3577,"_187":867,"_3477":3474,"_60":3578},"508d2fee7ccc4b62af82033c8240810d","Platform",[62],[3579,3580,3581,3582,3583,3584,3585,3586,3587,3588],[62],{"_3484":3599,"_200":3600},{"_3484":482,"_200":3598},{"_3484":3596,"_200":3597},{"_3484":3594,"_3509":3347,"_200":3595},{"_3484":480,"_200":3593},{"_3484":478,"_200":3592},{"_3484":476,"_200":3591},{"_3484":2238,"_3509":3347,"_200":3590},{"_3484":2880,"_3509":3347,"_200":3589},{"_3484":103,"_200":105},"/es/platform/managed-espm","/es/platform/managed-ispm","/es/platform/security-awareness-training","/es/platform/siem","/es/platform/managed-itdr","Managed EDR for Linux","/es/platform/managed-edr/linux","Managed EDR for macOS","/es/platform/managed-edr/macos","/es/platform/managed-edr","Huntress Managed Security Platform","/es/platform",{"_71":3605,"_187":3606,"_3477":3607,"_60":3608},"a8fca4868d8f440489acb2b0b275d583","50 50 CTA Section",[62],{"_3609":3610,"_3611":3612,"_3613":3614},"Sección de CTA 50 50","50-50-content",[62],"formHeading","Únete a la cacería","formSummary","

Obtén acceso privilegiado a las tácticas de Huntress, eventos increíbles y mucho más.

","leftPanelSummary","

Colaboramos con más de 285 mil organizaciones como la tuya para ofrecer protección de nivel empresarial.

","mainNavigationContent",[3680,3681,3682,3683,3684,3685,3686],"generalNavigationContent",{"_34":3652,"_54":3653,"_56":3654,"_58":59,"_60":3655},"utilityNavigationContent",[3621,3622,3623,3624],{"_34":3645,"_54":3646,"_56":3647,"_58":59,"_60":3648},{"_34":3639,"_54":3640,"_56":3641,"_58":59,"_60":3642},{"_34":3634,"_54":3635,"_56":3518,"_58":59,"_60":3636},{"_34":3625,"_54":3626,"_56":3627,"_58":59,"_60":3628},{"_307":-5,"_3629":-5,"_3630":-5,"_3509":3347,"_108":3631,"_200":3632,"_60":3633},"2e817b99333e43558f80a62e15f6ca34","Contact",[62],"noOpener","noReferrer","Contactar","/contact-us",[62],{"_307":-5,"_3629":-5,"_3630":-5,"_3509":3347,"_108":3518,"_200":3637,"_60":3638},"e77d329e44f740e19119846f979bb482",[62],"/blog",[62],{"_307":99,"_3629":99,"_3630":99,"_3509":3510,"_108":3643,"_200":3511,"_60":3644},"d6f4ad9f23684304b90c2e8714f026a1","Support",[62],"Soporte",[62],{"_307":99,"_3629":-5,"_3630":-5,"_3509":3510,"_108":3649,"_200":3650,"_60":3651},"acf951ac3c78411c93de07af387dd39c","Portal Login",[62],"Iniciar sesión en el portal","https://huntress.io/",[62],{"_3185":3656,"_3657":3658,"_3659":3660,"_60":3661},"7c4c5fd87f0c4daaae1dc870e407e0bf","Primary",[62],[3670,3671],"mainNavigationBar",{"_3666":3667},"utilityNavigationBar",{"_3662":3663},[62],"message",{"_3509":3347,"_108":3664,"_200":3665},"El engaño avanza a la velocidad de las máquinas. Aprende a mantener el ritmo.","/es/security-topics/deception-at-machine-speed","logo",{"_63":3668,"_192":3669,"_3509":3347,"_200":3358},"Huntress Logo in Teal","https://images.huntress.com/asset/file/bf879a26d9994fd8b3b0d8878c9474f4",{"_190":3673},{"_190":3672},{"_199":200,"_3084":1180,"_3509":3347,"_108":3349,"_200":198,"_3086":3350},{"_199":200,"_3084":1180,"_3509":3347,"_108":103,"_200":105,"_3086":3348,"_3674":3675},"visibility",{"_3676":99,"_3677":99,"_3678":99,"_3679":99},"hideOnDesktop","hideOnMobile","hideOnMobileLandscape","hideOnTablet",{"_3135":4401,"_4025":4402,"_3688":4403,"_3477":3692,"_60":4404,"_3694":-5},{"_3135":4196,"_4025":4197,"_3688":3547,"_3477":3692,"_60":4198,"_3694":-5},{"_3135":4187,"_3688":4188,"_4189":17,"_3694":4190,"_3690":4191,"_3477":4192,"_60":4193},{"_3135":4024,"_4025":4026,"_3688":3500,"_3477":3692,"_60":4027,"_3694":-5},{"_3135":3897,"_3688":3898,"_3821":17,"_3690":3899,"_3477":3692,"_60":3900,"_3694":-5},{"_3135":3817,"_3818":3819,"_3688":3820,"_3821":99,"_3477":3692,"_60":3822,"_3694":-5},{"_3135":3687,"_3688":3689,"_3690":3691,"_3477":3692,"_60":3693,"_3694":-5},[3695,3696],"menuText","Empresa","sourceContentOverride",{},"Menu",[62],"source",{"_56":3785,"_119":3786,"_3086":3284},{"_3697":3041,"_56":3698,"_119":3699,"_3086":3284},"columnSpan","Column 2",[3700,3701],{"_3702":101,"_3704":3743,"_3706":3744,"_3708":99,"_3709":-5,"_3710":3745,"_3694":3746},{"_3702":3703,"_3704":3705,"_3706":3707,"_3708":99,"_3709":3279,"_3710":3711,"_3694":3712},"flowDirection","row","items",[3716,3717],"itemsLayout",{"_3702":3703,"_3709":3279},"noHeading","rowItemCount","sectionLayout",{"_3713":3714},{},"showSectionSeparator",{"_3715":99,"_3151":17},"hideSeparatorLineMobile",{"_3718":3734,"_3720":3735},{"_3718":3719,"_3720":3721},"item",{"_3086":3722,"_3694":3730},"mobileItem",{"_3086":3722,"_3723":-7,"_3694":3724},"Text Link","overrideLayout",{"_106":3485,"_3725":99,"_3726":3727,"_3728":99,"_3729":99,"_200":3632},"hideSubheading","subheading","¿Quieres hablar con alguien de ventas, hacer una pregunta o conocer más sobre una de nuestras vacantes? Contáctanos y te responderemos lo antes posible.","hideEyebrow","hideImage",{"_106":3485,"_3725":99,"_3726":3727,"_3728":99,"_192":3731,"_3732":3733,"_200":3632},"https://images.huntress.com/asset/file/2e958e7931e347119a8858f4dc258c9b","v2Image","https://images.huntress.com/asset/file/7d1d62e3e4e74ea5a7ee744dfd55d645",{"_3086":3722,"_3694":3740},{"_3086":3722,"_3723":-7,"_3694":3736},{"_106":3737,"_3725":99,"_3726":3738,"_3728":99,"_3729":99,"_200":3739},"Premios","No solo confíes en nuestra palabra: mira los premios y reconocimientos que ha recibido Huntress. ","/company/awards-and-accolades",{"_106":3737,"_3725":99,"_3726":3738,"_3728":99,"_192":3741,"_3732":3742,"_200":3739},"https://images.huntress.com/asset/file/c9d1294fc830417b86d8b806efafe118","https://images.huntress.com/asset/file/d1428a27e4a647bc8bc81a73d6975ea8",[3754,3755,3756,3757],{"_3702":3703,"_3709":3041},{"_3747":3748,"_3749":240,"_3750":3751,"_3713":3752,"_3753":240},{},"alignSelf","start","grow","justifyContent","center",{"_3092":99,"_3151":99},"shrink",{"_3718":3778},{"_3718":3771},{"_3718":3764},{"_3718":3758},{"_3086":3722,"_3694":3759},{"_106":3487,"_3726":3760,"_192":3761,"_3732":3762,"_200":3763},"

¿Listo para sacudir el mundo de la ciberseguridad? Únete a la caza.

","https://images.huntress.com/asset/file/8f117f73053b4dcb927c656d94560f27","https://images.huntress.com/asset/file/12370ebec3454ac6911cb15830d4bb75","/company/careers",{"_3086":3722,"_3694":3765},{"_106":3766,"_3726":3767,"_3728":99,"_192":3768,"_3732":3769,"_200":3770},"Conoce al equipo","

Fundada por exoperadores cibernéticos de la NSA. Respaldada por investigadores de seguridad.

","https://images.huntress.com/asset/file/424d46a865414decac2aa008bda47094","https://images.huntress.com/asset/file/c65cd698978649ffba543dd57fbdbf83","/company/leadership",{"_3086":3722,"_3694":3772},{"_106":3773,"_3726":3774,"_3728":99,"_192":3775,"_3732":3776,"_200":3777},"Sala de prensa","

Explora comunicados de prensa, artículos de noticias, entrevistas en medios y más.

","https://images.huntress.com/asset/file/7170db3e023148249ff49a3b88b0de83","https://images.huntress.com/asset/file/f52c643f26b545baa9ca9acfd18cedc0","/company/press",{"_3086":3722,"_3694":3779},{"_106":3780,"_3726":3781,"_3728":99,"_192":3782,"_3732":3783,"_200":3784},"Nuestra historia","

Estamos en una misión para derribar las barreras hacia la seguridad de nivel empresarial.

","https://images.huntress.com/asset/file/4e65b81ddab34c63a79949f1ca1db341","https://images.huntress.com/asset/file/4bfa714fd3f440fc84a3c3f0e73a1475","/company/our-story","Featured Press Release",[3787],{"_3702":3051,"_3704":3788,"_3706":3789,"_3708":99,"_3710":3790,"_3694":3791},[3793],{},{"_3713":3792},{},{"_3715":99,"_3151":99},{"_3718":3794,"_3720":3795},{"_3796":3812,"_3086":3813,"_3694":3814},{"_3796":3797,"_3086":3798,"_3799":3800,"_3723":-7,"_3694":3801},"cardProperties",{"_3811":3350},"Small Card","smallCardProperties",{"_3809":3810},{"_106":3802,"_3725":99,"_3726":3803,"_3804":3805,"_3806":99,"_192":3807,"_200":3808},"Huntress supera los $250 millones en ARR y protege a 270.000 empresas, avanzando en su misión de hacer la ciberseguridad accesible para todos","Un crecimiento impulsado por la innovación ampliada en IA, el alcance global, el liderazgo ejecutivo y la educación para combatir el cibercrimen organizado impulsado por IA para TODAS las empresas","eyebrow","Press Release","eyebrowIsContentType","https://images.huntress.com/asset/file/caf0d5e2c85c477a9f9035618b0e2371","/press-release/huntress-surpasses-250-million-in-arr","linesBeforeTruncate","3","backgroundVariant",{"_3811":3350},"Card",{"_106":3802,"_3815":1180,"_3725":99,"_3726":3803,"_3804":3805,"_3806":99,"_192":3816,"_200":3808},"headingFontSize","https://images.huntress.com/asset/file/a01b14bbbb6b49afa41e7dcac678e232",[3824,3825],"dropdownLayout",{"_3823":101},"Socios","reverseColumnsOnMobile",[62],"horizontalOffset",{"_3697":240,"_56":3872,"_119":3873,"_3086":3284},{"_3697":240,"_56":3826,"_119":3827,"_3086":3284},"Partner Related Links",[3828],{"_3829":99,"_3702":3051,"_3704":3830,"_3706":3831,"_3708":17,"_3710":3832,"_3833":3834,"_3694":3835},"collapsibleOnMobile",[3841,3842,3843,3844],{},{"_3747":3748,"_3750":3751,"_3713":3840},"sectionName","Partners",{"_106":3820,"_3836":3837,"_3726":3838,"_200":3839},"headingFontColor","green","¿Buscas cerrar la brecha de seguridad? Asóciate con Huntress para obtener las herramientas y la plataforma que necesitas para reforzar a tu equipo y ampliar tus integraciones técnicas. ","/es/partners",{"_3715":17,"_3151":99},{"_3718":3865},{"_3718":3859},{"_3718":3852},{"_3718":3845},{"_3086":3722,"_3694":3846},{"_106":3847,"_3726":3848,"_3728":99,"_192":3849,"_3732":3850,"_200":3851},"Alianza con Microsoft","

Un nivel superior para la seguridad de tu negocio

","https://images.huntress.com/asset/file/4c51b19e07db4998921e15175320f9a7","https://images.huntress.com/asset/file/22121d9318104ce7a6eeadd53aad0e33","/why-huntress/partnerships/huntress-and-microsoft-better-together",{"_3086":3722,"_3694":3853},{"_106":3854,"_3726":3855,"_3728":99,"_192":3856,"_3732":3857,"_200":3858},"Alianzas tecnológicas","

Impulsamos la innovación mediante alianzas tecnológicas globales

","https://images.huntress.com/asset/file/f5189e4920554855b15e98b3da4775d9","https://images.huntress.com/asset/file/4afa27b478dd489ca52b3adefe9b2caa","/partners/alliances",{"_3086":3722,"_3694":3860},{"_106":3538,"_3726":3861,"_3728":99,"_192":3862,"_3732":3863,"_200":3864},"

Programa de socios diseñado para hacer crecer tu negocio de ciberseguridad.

","https://images.huntress.com/asset/file/36e7fd5abe684d40bd8e7e19bef59473","https://images.huntress.com/asset/file/5755655e3d5a4ed183fd2838e03e9f47","/partners/resellers",{"_3086":3722,"_3694":3866},{"_106":3867,"_3726":3868,"_3728":99,"_192":3869,"_3732":3870,"_200":3871},"MSPs","

Únete a nuestra comunidad de socios para ofrecer seguridad gestionada liderada por expertos.

","https://images.huntress.com/asset/file/c5200da826f048ec82c1928346f06609","https://images.huntress.com/asset/file/823cb7d1f6164a80bf0dad244f943307","/partners/msps","Huntress Hub",[3874],{"_3697":240,"_3702":3051,"_3704":3875,"_3708":99,"_3876":99,"_3877":3872,"_3694":3878},[3879],"noTitle","sectionTitle",{},{"_3718":3880},{"_3796":3881,"_3723":17,"_3799":3882,"_3086":3813,"_3694":3883},{"_3811":3067,"_3889":3890,"_3891":3892,"_3893":99,"_3894":3890},{"_3809":3888},{"_106":3884,"_3726":3885,"_192":3886,"_200":3887,"_3509":3510},"HUNTRESS HUB","

Inicia sesión para acceder a recursos de marketing, herramientas y capacitación de primer nivel.

","https://images.huntress.com/asset/file/f67300556acf4faf8649e87377c04fe1","https://hub.huntress.com/#/page/login","4","gradientBackgroundMarginTop","30%","linkButtonProperties",{"_3084":1180,"_108":3895,"_3086":3896},"showLinkButton","solidBackgroundMarginTop","Inicio de sesión del portal de socios","link",[3901,3902,3903],"Por qué Huntress",{},[62],{"_3697":240,"_56":4009,"_119":4010,"_3086":3284},{"_3697":240,"_56":3968,"_119":3969,"_3086":3284},{"_3697":240,"_56":3904,"_119":3905,"_3086":3076},"Comparisons",[3906],{"_3697":240,"_3702":3051,"_3704":3907,"_3706":3908,"_3909":99,"_3833":3910,"_3877":3910,"_3694":3911},[3919,3920,3921,3922,3923,3924,3925,3926],{"_3133":3915,"_3702":3703,"_3916":99,"_3142":3917,"_3709":240},"lastItemAsFooter","Compare Huntress",{"_106":3912,"_3726":3913,"_200":3914},"Compara Huntress","Huntress combina protección de nivel empresarial con experiencia humana 24/7. No tienes que elegir entre seguridad de primer nivel y un gran soporte. Obtén ambos con Huntress.","/comparison",{"_3092":101,"_3918":101},"lastItemIsFooter",{"_3092":3888,"_3918":3888},"largeDesktop",{"_3718":3963},{"_3718":3958},{"_3718":3953},{"_3718":3948},{"_3718":3943},{"_3718":3938},{"_3718":3933},{"_3718":3927},{"_3891":3928,"_3086":3929,"_3694":3930},{"_108":3932,"_3086":3896},"Link Button",{"_106":3931,"_3726":3913,"_200":3914},"Compara a Huntress","Comparar todo",{"_3086":3722,"_3694":3934},{"_106":3935,"_3725":99,"_3726":3936,"_3728":99,"_3729":99,"_200":3937},"Sophos","Descubre por qué las pequeñas y medianas empresas eligen Huntress Managed EDR sobre Sophos Intercept X.","/comparison/huntress-vs-sophos",{"_3086":3722,"_3694":3939},{"_106":3940,"_3725":99,"_3726":3941,"_3728":99,"_3729":99,"_200":3942},"SentinelOne","Compara Huntress y SentinelOne en seguridad de endpoints, identidades y Microsoft 365. Descubre por qué las empresas en crecimiento y los partners MSP eligen Huntress en su lugar.","/comparison/huntress-vs-sentinelone",{"_3086":3722,"_3694":3944},{"_106":3945,"_3725":99,"_3726":3946,"_3728":99,"_3729":99,"_200":3947},"Kaseya","¿Cansado de la fatiga por alertas, herramientas fragmentadas y contratos de varios años? Mira cómo Huntress supera a Kaseya con detección totalmente administrada y precios transparentes pensados para equipos de TI reducidos y MSP.","/comparison/huntress-vs-k365",{"_3086":3722,"_3694":3949},{"_106":3950,"_3725":99,"_3726":3951,"_3728":99,"_3729":99,"_200":3952},"CrowdStrike","Descubre por qué los proveedores de servicios y las pequeñas y medianas empresas eligen Huntress en lugar de CrowdStrike.","/comparison/huntress-vs-crowdstrike",{"_3086":3722,"_3694":3954},{"_106":3955,"_3725":99,"_3726":3956,"_3728":99,"_3729":99,"_200":3957},"Breach Secure Now","Compara el security awareness training gestionado mejor calificado de Huntress frente a Breach Secure Now y descubre por qué Huntress es la mejor opción para negocios en crecimiento.","/comparison/huntress-vs-breach-secure-now",{"_3086":3722,"_3694":3959},{"_106":3960,"_3725":99,"_3726":3961,"_3728":99,"_3729":99,"_200":3962},"Blackpoint","Descubre por qué las pymes eligen Huntress Managed EDR en lugar de Blackpoint MDR. Comienza tu prueba gratuita de Huntress para experimentar la diferencia.","/comparison/huntress-vs-blackpoint",{"_3086":3722,"_3694":3964},{"_106":3965,"_3725":99,"_3726":3966,"_3728":99,"_3729":99,"_200":3967},"Bitdefender","Descubre por qué las empresas eligen Managed EDR de Huntress en lugar de la plataforma multinivel de Bitdefender.","/comparison/huntress-vs-bitdefender","Why Huntress Related Links",[3970],{"_3697":240,"_3702":3051,"_3704":3971,"_3750":3751,"_3708":99,"_3876":99,"_3972":17,"_3973":17,"_3710":3974,"_3877":3968,"_3694":3975},[3978,3979,3980,3981],"reserveHeadingSpace","reserveTitleSpace",{"_3749":240,"_3750":3976,"_3713":3977,"_3753":240},{},"between",{"_3151":99},{"_3718":4002},{"_3718":3995},{"_3718":3989},{"_3718":3982},{"_3086":3722,"_3694":3983},{"_106":3984,"_3726":3985,"_3728":99,"_192":3986,"_3732":3987,"_200":3988},"Comunidad","

Ponte en contacto con el equipo de la comunidad de Huntress

","https://images.huntress.com/asset/file/cbab242a68d84eeca207c1414ab79458","https://images.huntress.com/asset/file/844b7ce71a5c4b89b72cb62057cbe3ae","/why-huntress/community",{"_3086":3722,"_3694":3990},{"_106":3532,"_3726":3991,"_3728":99,"_192":3992,"_3732":3993,"_200":3994},"

Aprende directamente de nuestros partners cómo Huntress los ha ayudado

","https://images.huntress.com/asset/file/9fddb087804f49f480fdb7ad6e6dd8aa","https://images.huntress.com/asset/file/6b1c451bb0484875a1fb4a641db87d8d","/why-huntress/case-studies",{"_3086":3722,"_3694":3996},{"_106":3997,"_3726":3998,"_3728":99,"_192":3999,"_3732":4000,"_200":4001},"Reseñas","

Por qué empresas de todos los tamaños confían en Huntress para defender sus activos

","https://images.huntress.com/asset/file/3dca1e2d45844fe18d3447500ac6eedc","https://images.huntress.com/asset/file/f8a3189f38ec42df997892803afac2ae","/why-huntress/reviews",{"_3086":3722,"_3694":4003},{"_106":4004,"_3726":4005,"_3728":99,"_192":4006,"_3732":4007,"_200":4008},"El Huntress SOC","

El centro de operaciones de seguridad (SOC) 24/7

","https://images.huntress.com/asset/file/0ff3035d72574e228a896b365082d2ff","https://images.huntress.com/asset/file/c6b5baedcd9c4fa68fa1695e950be6e3","/why-huntress/24-7-soc","Resource Card",[4011],{"_3697":240,"_3702":3051,"_3704":4012,"_3708":99,"_3876":99,"_3710":4013,"_3877":4014,"_3694":4015},[4017],{"_3202":101,"_3713":4016},"Why Huntress Resource Card",{},{"_3715":99,"_3151":99},{"_3718":4018},{"_3796":4019,"_3086":3813,"_3694":4020},{"_3811":3067,"_3889":3100,"_3893":17},{"_106":3898,"_3836":3837,"_3726":4021,"_3728":99,"_192":4022,"_200":4023},"

Ve más allá de la IA en la lucha contra los hackers actuales con Huntress Managed EDR, diseñado a la medida de tus necesidades

","https://images.huntress.com/asset/file/627cb459ac894ef98ad1885516698788","/why-huntress",[4028,4029,4030],"linkProperties",{},[62],{"_3697":240,"_56":4145,"_119":4146,"_3086":3284},{"_3697":240,"_56":4061,"_119":4062,"_3086":3284},{"_3697":240,"_56":4031,"_119":4032,"_3086":3076},"The Huntress Blog",[4033],{"_3697":240,"_3702":3051,"_3704":4034,"_3710":4035,"_3833":4031,"_3877":4031,"_3694":4036},[4039,4040,4041],{"_3747":101},{"_106":4037,"_3726":4038,"_200":3519},"El blog de Huntress","Explora todas las publicaciones del blog de ciberseguridad de Huntress para obtener perspectivas de expertos y así mantenerte un paso adelante de los hackers y potenciar tus conocimientos de ciberseguridad.",{"_3718":4055},{"_3718":4049},{"_3718":4042},{"_3086":3798,"_3694":4043},{"_106":4044,"_3726":4045,"_3804":4046,"_3806":99,"_192":4047,"_200":4048},"Hacking en vivo a Microsoft 365 con Kyle Hanslovan","

¿Crees que Microsoft 365 es seguro porque tienes MFA? El CEO de Huntress, Kyle Hanslovan, un exhacker de la NSA, te mostrará exactamente cómo los atacantes lo esquivan de todos modos.

","Blog Post","https://images.huntress.com/asset/file/59b34946f2ee468797982b93a3f0cf9b","/es/blog/live-hacking-microsoft-365-kyle-hanslovan",{"_3086":3798,"_3694":4050},{"_106":4051,"_3726":4052,"_3804":4046,"_3806":99,"_192":4053,"_200":4054},"Cómo Huntress y DEFCERT están agilizando la preparación para la evaluación de CMMC","

Huntress y DEFCERT crearon una biblioteca de documentación compartida para ayudar a los MSP y subcontratistas del DoD a cumplir con los requisitos de CMMC más rápido. Esto es lo que está disponible ahora mismo.

","https://images.huntress.com/asset/file/b778e71cedda4fae8dad029f70dcce8e","/es/blog/huntress-defcert-streamline-cmmc-assessment-prep",{"_3086":3798,"_3694":4056},{"_106":4057,"_3726":4058,"_3804":4046,"_3806":99,"_192":4059,"_200":4060},"Huntress llega a Microsoft Marketplace","

Los productos de Huntress ya están disponibles en Microsoft Marketplace. Seguridad de endpoints, resiliencia de la identidad y adquisición simplificada: unos cuantos clics para proteger tu entorno de Microsoft.

","https://images.huntress.com/asset/file/860114c74f67474fa7d26e5fc2883f7c","/es/blog/huntress-available-on-marketplace-microsoft","Resources & Cybersecurity Education",[4063,4064],{"_3829":99,"_3697":240,"_3702":3051,"_3704":4109,"_3706":4110,"_3708":17,"_3709":3041,"_3710":4111,"_3833":3497,"_3877":3497,"_3694":4112},{"_3829":99,"_3697":240,"_3702":3051,"_3704":4065,"_3706":4066,"_3709":3041,"_3710":4067,"_3833":4068,"_3877":4068,"_3694":4069},[4074,4075,4076,4077,4078,4079],{"_3702":3703,"_3709":3041},{"_3713":4073},"Cybersecurity Education",{"_106":4070,"_3836":3837,"_3726":4071,"_200":4072},"Educación en ciberseguridad","Detén los ciberataques con la Huntress Managed Platform. Obtén EDR, ITDR, SIEM y Security Awareness Training con respaldo del SOC las 24 horas, los 7 días de la semana, para protección de nivel Empresarial en todos tus entornos.","/",{"_3151":99},{"_3718":4105},{"_3718":4100},{"_3718":4096},{"_3718":4091},{"_3718":4086},{"_3718":4080},{"_3086":3722,"_3694":4081},{"_106":4082,"_3725":99,"_3726":4083,"_3728":99,"_3804":3390,"_3806":99,"_3729":99,"_192":4084,"_200":4085},"Informe de ciberamenazas 2026","

El panorama de amenazas nunca se queda quieto… y 2025 no fue la excepción.

El cibercrimen se ha convertido en la tercera economía más grande del mundo, con costos que se espera alcancen $12,2 billones anuales para 2031. El Informe de Ciberamenazas 2026 de Huntress, basado en datos de más de 4 millones de endpoints y 9 millones de identidades protegidos por la Huntress Security Platform, revela cómo los cibercriminales cambiaron sus estrategias, simplificaron sus manuales de ataque y perfeccionaron sus técnicas para pasar desapercibidos como nunca antes.

Ese es el mundo en el que opera tu empresa ahora. El Informe de Ciberamenazas 2026 de Huntress explica cómo funcionan realmente las amenazas modernas hoy en día, con base en lo que vemos al proteger organizaciones reales todos los días, no en titulares ni en exageraciones. Esto es lo que cambió, por qué importa y qué puedes hacer al respecto.

Aquí tienes un adelanto:

","https://images.huntress.com/asset/file/607ff30764f34666bdaf0a81b24140da","/resources/2026-cyber-threat-report",{"_3086":3722,"_3694":4087},{"_106":4088,"_3725":99,"_3726":4089,"_3728":99,"_3729":99,"_200":4090},"Tradecraft real, resultados reales","Detrás de cada amenaza neutralizada en Huntress está nuestro equipo de Operaciones de Seguridad, que combina experiencia con una dedicación incansable. Descubre las historias reales donde su tradecraft protege lo que más importa: tu negocio.","/why-huntress/24-7-soc/tradecraft-stories",{"_3086":3722,"_3694":4092},{"_106":4093,"_3725":99,"_3726":4094,"_3728":99,"_3729":99,"_200":4095},"Actores de amenazas","Explora la biblioteca de amenazas de Huntress con perfiles creados por expertos que detallan las clasificaciones de actores de amenazas, su surgimiento, afiliaciones y métodos de ataque para una defensa más sólida.","/threat-library/threat-actors",{"_3086":3722,"_3694":4097},{"_106":432,"_3725":99,"_3726":4098,"_3728":99,"_3729":99,"_200":4099},"La Biblioteca de inteligencia sobre amenazas de Huntress es tu recurso experto para obtener información detallada sobre vulnerabilidades, malware, ransomware, actores de amenazas y filtraciones de datos. Mantente a la vanguardia con inteligencia de amenazas procesable.","/threat-library",{"_3086":3722,"_3694":4101},{"_106":4102,"_3725":99,"_3726":4103,"_3728":99,"_3729":99,"_200":4104},"Guías de ciberseguridad","Accede a las guías detalladas de ciberseguridad de Huntress sobre ransomware, phishing, malware, EDR, filtraciones de datos y más. Fortalece tus defensas con información práctica diseñada para empresas.","/guides",{"_3086":3722,"_3694":4106},{"_106":3514,"_3725":99,"_3726":4107,"_3728":99,"_3729":99,"_200":4108},"Domina los fundamentos de la ciberseguridad 101. Aprende a proteger tu negocio de las amenazas digitales en evolución con nuestro glosario de ciberseguridad elaborado por los expertos de Huntress.","/cybersecurity-education/cybersecurity-101",[4115,4116,4117,4118,4119,4120],{"_3702":3703,"_3709":3041},{"_3713":4114},{"_106":3500,"_3836":3837,"_3726":4113,"_200":3517},"La ciberseguridad es dinámica y cambia constantemente. Mantente al día con los recursos más recientes para elevar tu experiencia en seguridad. Mira webinars, descarga libros electrónicos y mucho más.",{"_3092":99,"_3151":99},{"_3718":4141},{"_3718":4137},{"_3718":4133},{"_3718":4129},{"_3718":4125},{"_3718":4121},{"_3086":3722,"_3694":4122},{"_106":4123,"_3725":99,"_3728":99,"_3729":99,"_200":4124},"Fichas técnicas","/es/resources?assetTypes=Datasheet",{"_3086":3722,"_3694":4126},{"_106":4127,"_3725":99,"_3728":99,"_3729":99,"_200":4128},"Whitepapers","/es/resources?assetTypes=Whitepaper",{"_3086":3722,"_3694":4130},{"_106":4131,"_3725":99,"_3726":4113,"_3728":99,"_3729":99,"_200":4132},"Videos","/es/resources?assetTypes=Video",{"_3086":3722,"_3694":4134},{"_106":4135,"_3815":1180,"_3725":99,"_3726":4071,"_3728":99,"_3729":99,"_200":4136},"Eventos virtuales bajo demanda","/es/resources?assetTypes=On-Demand+Virtual+Event",{"_3086":3722,"_3694":4138},{"_106":4139,"_3725":99,"_3726":4113,"_3728":99,"_3729":99,"_200":4140},"Ebooks","/es/resources?assetTypes=Ebook",{"_3086":3722,"_3694":4142},{"_106":3512,"_3725":99,"_3726":4143,"_3728":99,"_3729":99,"_200":4144},"Explora nuestros próximos eventos en Norteamérica, Australia y Nueva Zelanda, y el Reino Unido e Irlanda, desde conferencias hasta roadshows organizados por Huntress y eventos virtuales.","/upcoming-events","Community Series",[4147],{"_3829":99,"_3697":240,"_3702":3051,"_3704":4148,"_3474":4149,"_3708":17,"_3710":4150,"_3833":4145,"_3877":4145,"_187":4151,"_3694":4152},[4156,4157,4158,4159],[],{"_3713":4155},{"_197":3358,"_199":200,"_108":4145,"_3086":4154},{"_106":4153,"_3836":3837},"Serie comunitaria","menu",{"_3151":99},{"_3718":4180},{"_3718":4173},{"_3718":4167},{"_3718":4160},{"_3086":3722,"_3694":4161},{"_106":4162,"_3726":4163,"_3728":99,"_192":4164,"_3732":4165,"_200":4166},"_declassified","

Revelando verdades ocultas en el mundo de la ciberseguridad.

","https://images.huntress.com/asset/file/f4d416cb29644950a764cd25117d7a7a","https://images.huntress.com/asset/file/275119d4cb6c4fac9bf246d9db2d3ff6","/declassified",{"_3086":3722,"_3694":4168},{"_106":131,"_3726":4169,"_3728":99,"_192":4170,"_3732":4171,"_200":4172},"

Sin productos, sin discursos de venta, solo el oficio.

","https://images.huntress.com/asset/file/27b40a1fa7214684a25262c583f24fdd","https://images.huntress.com/asset/file/b4a784c6ba0d4db4b0b18dc1a233ca7d","/community-series/tradecraft-tuesday",{"_3086":3722,"_3694":4174},{"_106":4175,"_3726":4176,"_3728":99,"_192":4177,"_3732":4178,"_200":4179},"Fireside Chat","

Personas reales. Perspectivas reales. Mejores conversaciones.

","https://images.huntress.com/asset/file/34936a86a2524615b601b9eed234ff77","https://images.huntress.com/asset/file/2df055d378334e879914706e293b78f8","/community-series/fireside-chat",{"_3086":3722,"_3694":4181},{"_106":4182,"_3726":4183,"_3728":99,"_192":4184,"_3732":4185,"_200":4186},"El laboratorio de producto","

Da forma a la próxima gran novedad en ciberseguridad, juntos.

","https://images.huntress.com/asset/file/f15ced11f90c4aeb9e3138349697b4d1","https://images.huntress.com/asset/file/ff7b6015a475460ea93123fb0a749a0a","/community-series/product-lab",[],"Precios","overrideSourceContent",{"_106":4188,"_3726":4194,"_200":4195},{},"Link",[62],"El precio de Huntress para Managed EDR, ITDR, SAT y SIEM se basa en endpoints, identidades, estudiantes y fuentes de datos. Incluye SOC 24/7. Reserva una demo.","/pricing",[4199,4200,4201],{},[62],{"_3697":240,"_56":4337,"_119":4338,"_3086":3076},{"_3697":240,"_56":4225,"_119":4226,"_3086":3284},{"_3697":240,"_56":4202,"_119":4203,"_3086":3284},"Featured Content",[4204],{"_3697":240,"_3702":3051,"_3704":4205,"_3474":4206,"_3708":99,"_3876":99,"_187":4207,"_3694":-5},[4209],[],{"_3086":4208},"menu with visibility",{"_3718":4210,"_3720":4211},{"_3796":4219,"_3723":99,"_3086":3813,"_3694":4220},{"_3796":4212,"_3723":17,"_3086":3813,"_3694":4213},{"_3811":3067,"_3889":4218,"_3893":17},{"_106":4214,"_3836":3837,"_3726":4215,"_3728":99,"_192":4216,"_200":4217},"Los cibercriminales han evolucionado","

El engaño avanza a la velocidad de las máquinas. Aprende a mantener el ritmo.

","https://images.huntress.com/asset/file/db3a6c0ed7754ebab11c94c569c043f8","/security-topics/deception-at-machine-speed","40%",{"_3811":3067,"_3889":3100,"_3893":17},{"_106":4221,"_3815":1180,"_3836":4222,"_3726":4223,"_3728":99,"_192":4224,"_200":4217},"Una defensa más sólida empieza con mejor inteligencia","teal","

El engaño avanza a la velocidad de las máquinas. Aprende a mantener el ritmo.

","https://images.huntress.com/asset/file/16498691e7a8401fb443eedf5a06e508","Industries & Tailored Solutions",[4227,4228],{"_3829":99,"_3697":240,"_3702":3703,"_3704":4277,"_3706":4278,"_3474":4279,"_3709":3041,"_3710":4280,"_3833":4281,"_3877":4282,"_187":4283,"_3694":4284},{"_3829":99,"_3697":240,"_3702":3703,"_3704":4229,"_3706":4230,"_3474":4231,"_3709":3144,"_3710":4232,"_3833":4233,"_3877":4233,"_187":4234,"_3694":4235},[4244,4245,4246,4247,4248,4249],{"_3133":4242,"_3702":3703,"_3142":4243,"_3709":3144},[],{"_4237":101,"_4238":101,"_3750":3976,"_4239":4240,"_3713":4241},"Tailored Solutions",{"_197":3358,"_199":200,"_108":4233,"_3086":4154},{"_106":4236,"_3836":3837},"Soluciones a la medida","alignContent","alignItems","paddingTop","2",{"_3151":99},{"_3092":101},{"_3092":101},{"_3718":4274},{"_3718":4271},{"_3718":4265},{"_3718":4261},{"_3718":4255},{"_3718":4250},{"_3086":3722,"_3694":4251},{"_106":4252,"_3725":99,"_3726":4253,"_3728":99,"_3729":99,"_200":4254},"API","Nuestros socios y tecnologías de integración: se conectan con tu stack para minimizar la sobrecarga operativa.","/platform/integrations",{"_3086":3722,"_3694":4256},{"_106":4257,"_3725":99,"_3726":4258,"_3728":99,"_3729":99,"_192":4259,"_200":4260},"SOC con IA agéntica","Descubre cómo Huntress usa la IA de forma responsable: Athena, nuestro/a el/la analista del centro de operaciones de seguridad (SOC) impulsado/a por IA, acelera las investigaciones mientras los expertos humanos de nuestro SOC, disponible 24/7, toman las decisiones críticas.","https://images.huntress.com/asset/file/1294faf1024240688c4aa60b5aa6a2a5","/platform/ai",{"_3723":17,"_3086":3722,"_3694":4262},{"_106":3569,"_3725":99,"_3726":4263,"_3728":99,"_3729":99,"_200":4264},"Simplifica el cumplimiento normativo de ciberseguridad con seguridad administrada, visibilidad de registros y soporte de reportes diseñados para equipos reducidos. Huntress te ayuda a fortalecer tu preparación para marcos como CMMC, HIPAA, PCI y más.","/use-cases/cybersecurity-compliance",{"_3086":3722,"_3694":4266},{"_106":4267,"_3725":99,"_3726":4268,"_3728":99,"_3729":99,"_192":4269,"_200":4270},"Pymes","Las pequeñas empresas enfrentan amenazas cibernéticas de nivel empresarial sin equipos de seguridad empresariales. Descubre cómo Huntress ofrece protección administrada de endpoints, identidades y amenazas las 24 horas, los 7 días de la semana.","https://cdn.builder.io/api/v1/assets/3eb6f92aedf74f109c7b4b0897ec39a8/macos-edr-cta","/why-huntress/it-security-teams/mid-sized-businesses",{"_3086":3722,"_3694":4272},{"_106":3538,"_3725":99,"_3726":4273,"_3728":99,"_3729":99,"_200":3864},"Ciclos de venta de 75 días. Tasas de renovación del 95%. CSAT del 98,9%. El Programa de Socios de Huntress para Revendedores está diseñado para hacer que tu negocio de seguridad sea más rentable.",{"_3723":17,"_3086":3722,"_3694":4275},{"_106":3867,"_3725":99,"_3726":4276,"_3728":99,"_3729":99,"_200":3871},"Socio de servicios de seguridad administrados para MSP. Huntress ofrece detección y respuesta administradas 24/7 lideradas por el SOC, en endpoint, identidad y SIEM. NFR gratis.",[4289,4290,4291,4292,4293,4294,4295,4296],{"_3702":3703,"_3709":3041},[],{"_3713":4288},"Industries We Serve","Industries",{"_197":4287,"_199":200,"_108":4282,"_3086":4154},{"_106":4285,"_3836":3837,"_200":4286},"Sectores que atendemos","/es/solutions-by-industry","/es/industries",{"_3092":99,"_3151":99},{"_3718":4332},{"_3718":4327},{"_3718":4323},{"_3718":4319},{"_3718":4314},{"_3718":4310},{"_3718":4305},{"_3718":4297},{"_3891":4298,"_3723":17,"_3086":3929,"_3694":4299},{"_108":4304,"_3086":3896},{"_106":4300,"_3726":4301,"_192":4302,"_200":4303},"Soluciones por industria","Protege tu negocio, sin importar la industria. Desde ecommerce hasta salud y manufactura, la plataforma de ciberseguridad de Huntress protege organizaciones de todo tipo. ¡Explora nuestras soluciones hoy!","https://images.huntress.com/asset/file/9df720005de743498214f1e6652e8d3d","/solutions-by-industry","Ver todo",{"_3086":3722,"_3694":4306},{"_106":4307,"_3725":99,"_3726":4308,"_3728":99,"_3729":99,"_200":4309},"Servicios públicos","Protege la infraestructura crítica y los sistemas energéticos con Huntress. Nuestras soluciones de ciberseguridad para el sector de servicios públicos detectan y detienen el ransomware, el phishing y otras amenazas antes de que puedan interrumpir las operaciones.","/industries/utilities",{"_3086":3722,"_3694":4311},{"_106":3559,"_3725":99,"_3726":4312,"_3728":99,"_3729":99,"_200":4313},"El ransomware, el robo de credenciales y el abuso del acceso remoto pueden detener la producción. Huntress ofrece soluciones de ciberseguridad para manufactura respaldadas por protección de un SOC disponible las 24/7.","/industries/manufacturing",{"_3086":3722,"_3694":4315},{"_106":4316,"_3725":99,"_3726":4317,"_3728":99,"_3729":99,"_200":4318},"Firmas de abogados","Protege los datos de tus clientes y los archivos de casos confidenciales con Huntress. Nuestras soluciones de ciberseguridad para firmas de abogados detienen de forma proactiva el ransomware, el phishing y otras amenazas antes de que pongan en riesgo la confidencialidad, el cumplimiento o las relaciones con tus clientes.","/industries/law-firms",{"_3086":3722,"_3694":4320},{"_106":3561,"_3725":99,"_3726":4321,"_3728":99,"_3729":99,"_200":4322},"El ransomware, el phishing y la toma de control de una cuenta pueden interrumpir la atención a los pacientes. Huntress ofrece servicios de ciberseguridad para el sector de la salud respaldados por un SOC disponible 24/7.","/industries/healthcare",{"_3086":3722,"_3694":4324},{"_106":3557,"_3725":99,"_3726":4325,"_3728":99,"_3729":99,"_200":4326},"Soluciones de ciberseguridad para gobiernos estatales y locales. Huntress ayuda a equipos de TI reducidos y a los MSP a proteger endpoints e identidades con seguridad liderada por expertos las 24 horas, los 7 días de la semana.","/industries/state-and-local-government",{"_3086":3722,"_3694":4328},{"_106":4329,"_3725":99,"_3726":4330,"_3728":99,"_3729":99,"_200":4331},"Servicios financieros","Protege los datos financieros y las cuentas de los clientes con Huntress. Nuestras soluciones de ciberseguridad para servicios financieros detectan y detienen el ransomware, el phishing y otras amenazas antes de que puedan interrumpir las operaciones.","/industries/financial-services",{"_3086":3722,"_3694":4333},{"_106":3565,"_3725":99,"_3726":4334,"_3728":99,"_3729":99,"_192":4335,"_200":4336},"El ransomware, el phishing y la toma de control de una cuenta interrumpen la enseñanza y el aprendizaje. Huntress ofrece soluciones de ciberseguridad para la educación respaldadas por un SOC disponible 24/7.","https://images.huntress.com/asset/file/577e32909b704e5ab6e87ccec0003e14","/industries/education","Threats We Stop",[4339],{"_3829":17,"_3697":240,"_3702":3051,"_3704":4340,"_3706":4341,"_3909":99,"_3474":4342,"_3710":4343,"_3833":4337,"_3877":4344,"_187":4345,"_3694":4346},[4350,4351,4352,4353,4354,4355,4356],{"_3916":99},[],{"_3713":4349},"Use Cases",{"_197":3358,"_199":200,"_108":4344,"_3086":4154},{"_106":4347,"_200":4348},"Amenazas que detenemos","/es/use-cases",{"_3151":99},{"_3718":4395},{"_3718":4389},{"_3718":4383},{"_3718":4376},{"_3718":4369},{"_3718":4362},{"_3718":4357},{"_3891":4358,"_3086":3929,"_3694":4359},{"_108":4304,"_3086":3896},{"_3726":4360,"_200":4361},"Huntress ofrece soluciones de ciberseguridad para proteger tu negocio de todas las amenazas modernas, incluidos los ataques de phishing, el compromiso de correo empresarial y los desafíos de cumplimiento normativo, manteniendo tus operaciones seguras y resilientes.","/use-cases",{"_3086":3722,"_3694":4363},{"_106":4364,"_3725":99,"_3726":4365,"_3728":99,"_192":4366,"_3732":4367,"_200":4368},"Acceso inicial y RaaS","Los IABs irrumpen. Los afiliados de RaaS cobran. Descubre cómo opera la cadena de suministro de los atacantes y cómo Huntress detecta el acceso sospechoso y la preparación del atacante antes de que se convierta en ransomware.","https://images.huntress.com/asset/file/022ae7a78be2482d8b76fd0fd85c598e","https://images.huntress.com/asset/file/01c2bd14d6b941b8948c10cd83df5eaa","/use-cases/initial-access-broker-ransomware-defense",{"_3086":3722,"_3694":4370},{"_106":4371,"_3725":99,"_3726":4372,"_3728":99,"_192":4373,"_3732":4374,"_200":4375},"Living off the Land","Living off the land attacks no necesitan malware para vulnerar tus defensas. Los atacantes se esconden en herramientas legítimas y evaden tus controles de seguridad. Descubre cómo Huntress detecta y detiene las amenazas que otras herramientas pasan por alto","https://images.huntress.com/asset/file/4db4aef7c1ea4e5da40903512992eabc","https://images.huntress.com/asset/file/745c78deb0064555924010f14fef0d7f","/use-cases/living-off-the-land",{"_3086":3722,"_3694":4377},{"_106":4378,"_3725":99,"_3726":4379,"_3728":99,"_192":4380,"_3732":4381,"_200":4382},"Infostealers","Detén a los infostealers antes de que roben credenciales, tokens de sesión y datos empresariales confidenciales. Huntress combina detección y respuesta administradas con un SOC humano disponible 24/7 para encontrar, aislar y detener amenazas con rapidez.","https://images.huntress.com/asset/file/4763c8fd1d48402f8cbb68399734a16c","https://images.huntress.com/asset/file/a661be78979c43b3b5296e28d314e5bb","/use-cases/infostealers",{"_3086":3722,"_3694":4384},{"_106":1492,"_3725":99,"_3726":4385,"_3728":99,"_192":4386,"_3732":4387,"_200":4388},"Protección contra ransomware respaldada por un SOC 24/7. Huntress detecta la actividad del atacante a tiempo, aísla endpoints y contiene los ataques antes del cifrado.","https://images.huntress.com/asset/file/08b433fa08ac4e89a73dc37c28513bdf","https://images.huntress.com/asset/file/4901fd6220b84845bacd532e13ac8d94","/use-cases/ransomware",{"_3086":3722,"_3694":4390},{"_106":3567,"_3725":99,"_3726":4391,"_3728":99,"_192":4392,"_3732":4393,"_200":4394},"Previene el compromiso del correo electrónico empresarial con monitoreo de identidades 24/7 y respuesta respaldada por el SOC. Huntress ayuda a detectar la toma de control de una cuenta, actividad sospechosa y amenazas basadas en correo electrónico antes de que los atacantes puedan causar daños financieros.","https://images.huntress.com/asset/file/b9a5513cc47b4ca6aa833d798751391a","https://images.huntress.com/asset/file/b8738341c4374015beb856c2081e0a4a","/use-cases/business-email-compromise",{"_3086":3722,"_3694":4396},{"_106":3571,"_3725":99,"_3726":4397,"_3728":99,"_192":4398,"_3732":4399,"_200":4400},"Previene los ataques de phishing antes de que terminen en cuentas comprometidas e interrupciones del negocio. Huntress protege identidades y endpoints, y a la vez ayuda a tu equipo a desarrollar mejores hábitos de seguridad mediante la concientización y la respuesta.","https://images.huntress.com/asset/file/7e00219348d34773bbc54d71e6109727","https://images.huntress.com/asset/file/5b664e28b4fa4c68b49e4fa8ef267959","/use-cases/phishing",[4405,4406],{},"Productos",[62],{"_3697":3041,"_56":3599,"_119":4421,"_3086":3284},{"_3697":240,"_56":4202,"_119":4407,"_3086":3284},[4408],{"_3697":240,"_3702":3051,"_3704":4409,"_3474":4410,"_3708":99,"_3876":99,"_3973":17,"_187":4411,"_3694":-5},[4412],[],{"_3086":4208},{"_3718":4413},{"_3796":4414,"_3086":3813,"_3694":4415},{"_3811":3067,"_3891":4420,"_3893":99},{"_106":107,"_3726":4416,"_3728":99,"_192":4417,"_3732":4418,"_200":4419},"

Implementa y gestiona rápidamente protección en tiempo real para endpoints, correo electrónico y empleados, todo desde un solo panel.

","https://images.huntress.com/asset/file/51a8e99c510142ed9fbe3e6726a87f33","https://images.huntress.com/asset/file/57f70ae5eece4a20ae40061a73e10d74","/demo",{"_108":103,"_3086":3350},[4422,4423],{"_3697":3041,"_3702":3051,"_3704":4446,"_3706":4447,"_3474":4448,"_4449":4450,"_4451":4452,"_3709":3041,"_3710":4453,"_3833":4454,"_3694":4455,"_187":4456},{"_3697":3041,"_3702":3703,"_3704":4424,"_3750":3751,"_4425":3751,"_3474":4426,"_3708":99,"_3876":99,"_3972":17,"_3973":17,"_3709":3279,"_3710":4427,"_3833":4428,"_187":4429,"_3694":-5},[4431,4432],"justifyContentVertically",[],{"_3750":3751,"_3713":4430},"Integrations & Support Documentation",{"_3086":4208},{"_3151":99},{"_3718":4439,"_3720":4440},{"_3718":4433,"_3720":4434},{"_3086":3722,"_3694":4436},{"_3086":3722,"_3723":17,"_3694":4435},{"_106":3507,"_3725":99,"_3728":99,"_3729":99},{"_106":3507,"_3725":99,"_3728":99,"_192":4437,"_3732":4438,"_200":3511,"_3509":3510,"_307":99,"_3629":99,"_3630":99},"https://images.huntress.com/asset/file/2be73561192d447f878667d454833863","https://images.huntress.com/asset/file/2840849540844ce683029fb930eee0bb",{"_3086":3722,"_3694":4443},{"_3086":3722,"_3723":-7,"_3694":4441},{"_106":4442,"_3725":99,"_3726":4253,"_3728":99,"_3729":99,"_200":4254},"Integraciones",{"_106":4444,"_3725":99,"_3726":4253,"_3728":99,"_192":3856,"_3732":4445,"_200":4254},"API e integraciones","https://images.huntress.com/asset/file/21c6d28452314ddc8319eff3821a1d58",[4462,4463,4464,4465,4466,4467,4468,4469],{"_3702":3703,"_3709":3041},[],"rowGapWidthDesktop","8","rowGapWidthLargeDesktop","10",{"_3747":3748,"_3749":240,"_3750":3751,"_3713":4460,"_3753":240},"Platform Overview",{"_106":4457,"_3726":4458,"_200":4459},{"_197":3600,"_199":200,"_3509":3347,"_108":4454,"_3086":4154},"Descripción general de la plataforma","Las amenazas cibernéticas no se detienen. Nosotros tampoco. Huntress te da Managed EDR, ITDR, ISPM, ESPM, SIEM y SAT, todo respaldado por un SOC disponible 24/7. Sin complicaciones.","/platform",{"_3092":99,"_4461":17,"_3151":99},"hideSeparatorLineDesktop",{"_3718":4511},{"_3718":4506},{"_3718":4500},{"_3718":4494},{"_3718":4488},{"_3718":4482},{"_3718":4476},{"_3718":4470},{"_3086":3722,"_3694":4471},{"_106":2880,"_3726":4472,"_192":4473,"_3732":4474,"_200":4475},"

Protege tus endpoints de forma proactiva contra ataques.

","https://images.huntress.com/asset/file/40107527fc014715aadbe5e6f4b55d11","https://images.huntress.com/asset/file/a6a17318faaf46248514de2cdf660379","/platform/managed-espm",{"_3086":3722,"_3694":4477},{"_106":2238,"_3726":4478,"_192":4479,"_3732":4480,"_200":4481},"

Endurecimiento de la seguridad continuo de Microsoft 365 e identidades, gestionado y aplicado por expertos de Huntress.

","https://images.huntress.com/asset/file/96fd92518985400188885d6d49f113d1","https://images.huntress.com/asset/file/9915b6a0e37d46c2b811cedeb2e5d8ab","/platform/managed-ispm",{"_3086":3722,"_3694":4483},{"_106":476,"_3726":4484,"_192":4485,"_3732":4486,"_200":4487},"

Potencia a tus equipos con security awareness training respaldado por la ciencia.

","https://images.huntress.com/asset/file/83455b8013984422848df5d1829bc1e5","https://images.huntress.com/asset/file/28ae14cce8d74ddea226dc33fc5c19cd","/platform/security-awareness-training",{"_3086":3722,"_3694":4489},{"_106":478,"_3726":4490,"_192":4491,"_3732":4492,"_200":4493},"

Respuesta gestionada a amenazas y soporte de cumplimiento sólido a un precio predecible.

","https://images.huntress.com/asset/file/8feb54a3643a4a168a470f2842909fcd","https://images.huntress.com/asset/file/ff13d278f74e4cddb9a2740f923bd78f","/platform/siem",{"_3086":3722,"_3694":4495},{"_106":480,"_3726":4496,"_192":4497,"_3732":4498,"_200":4499},"

Protege tus identidades y entornos de correo de Microsoft 365 y Google Workspace.

","https://images.huntress.com/asset/file/ea4f7d39c8dc4791b042afe265917451","https://images.huntress.com/asset/file/af70f6fa3f024a4b9690d2904927981c","/platform/managed-itdr",{"_3086":3722,"_3694":4501},{"_106":482,"_3726":4502,"_192":4503,"_3732":4504,"_200":4505},"

Obtén visibilidad, detección y respuesta completas de endpoints.

","https://images.huntress.com/asset/file/23f6507216a943ae95105a31f80f52c8","https://images.huntress.com/asset/file/ffd5efb682d94d06be823a2566e50dbf","/platform/managed-edr",{"_3086":3722,"_3694":4507},{"_106":4508,"_3726":4509,"_192":4259,"_3732":4510,"_200":4260},"Athena Engine","

La IA agéntica que investiga cada alerta junto con nuestros analistas del SOC.

","https://images.huntress.com/asset/file/4835027ffe2b4ae98114e4c6bf554660",{"_3086":3722,"_3694":4512},{"_106":1056,"_3726":4513,"_192":4514,"_3732":4514,"_200":4459},"

Una plataforma gestionada para la integridad de endpoints, la resiliencia de la identidad y la preparación operativa.

","https://images.huntress.com/asset/file/e4941249d34f4ac5bdd7894bd92142db"]