CyberSecurityPulse (by Telefónica Tech)

Nueva vulnerabilidad LPE (Local Privilege Elevation) en Linux que demuestra, otra vez, lo peligrosas que siguen siendo ciertas interacciones entre memoria virtual y privilegios del kernel. El fallo, bautizado como Fragnesia, permite a un atacante local obtener privilegios root explotando el subsistema de gestión de memoria de Linux. La técnica se basa en manipular cómo el kernel reutiliza fragmentos de memoria ya liberados. Aprovechando determinadas condiciones de fragmentación y reasignación de la memoria, un proceso sin privilegios puede acabar corrompiendo estructuras críticas del sistema y escalar privilegios hasta root. Lo interesante es que no se trata de un bug simple, sino de un comportamiento derivado de cómo el kernel Linux optimiza memoria y rendimiento. El ataque requiere comprender bastante bien el funcionamiento interno del kernel, especialmente mecanismos relacionados con page allocation, memory reclaim y fragmentación. Los investigadores destacan además que la explotación es relativamente fiable en múltiples distribuciones modernas, lo que aumenta bastante el impacto práctico del fallo. Y como suele ocurrir con este tipo de vulnerabilidades locales, el riesgo real aparece cuando se combina con otros vectores: contenedores, accesos limitados, sandboxes o compromisos parciales previos. Un fallo más que se une a la racha de LPE's que llevamos desde hace un par de semanas. Más información: https://github.com/v12-security/pocs/tree/main/fragnesia

Interesante investigación de ThreatFabric respecto al troyano bancario para Android TrickMo, que sigue evolucionando y ahora incorpora un detalle especialmente interesante: el uso de la blockchain TON como covert channel de comunicación con su infraestructura de mando y control. La idea detrás del cambio es bastante clara. En lugar de depender únicamente de servidores C2 tradicionales, que son más fáciles de bloquear, rastrear y desmontar, el malware utiliza datos publicados en la blockchain para recuperar direcciones y comandos. Esto complica bastante la interrupción de la campaña, porque la infraestructura deja de depender de un único punto centralizado. TrickMo no es un troyano nuevo. Lleva años evolucionando desde sus orígenes ligados al ecosistema TrickBot y actualmente incluye capacidades avanzadas como robo de credenciales bancarias, overlays falsos, captura de pantalla, keylogging, control remoto del dispositivo y abuso de servicios de accesibilidad Android para automatizar fraudes directamente sobre el terminal de la víctima. El uso de TON añade además una capa de resiliencia bastante seria. Incluso aunque parte de la infraestructura atacante sea desmantelada, los operadores pueden seguir distribuyendo nuevos endpoints o configuraciones a través de transacciones y datos publicados en la propia red de la blockchain. Sin duda es un patrón que empieza a repetirse cada vez más: tecnologías diseñadas para descentralización, resiliencia o privacidad, que terminan reutilizadas como soporte para el malware moderno. Más información: https://www.threatfabric.com/blogs/new-trickmo-variant-device-take-over-malware-targeting-banking-fintech-wallet-auth-app

Copy Fail en Linux: análisis de la vulnerabilidad que permite escalar a root https://telefonicatech.com/blog/copy-fail-cve-2026-31431-linux-lpe-af-alg-page-cache

Nueva amenaza en sistemas Linux orientada a la cadena de suministro software. Investigadores de TrendMicro, apoyados por IA, han identificado un implante avanzado llamado QLNX (Quasar Linux), un RAT para Linux con capacidades de rootkit, robo de credenciales, persistencia y funcionalidades orientadas específicamente a entornos DevOps y CI/CD. Lo interesante es el nivel de sofisticación. El malware no llega simplemente como binario precompilado, como es costumbre, sino que lleva incrustado código fuente en C para generar dinámicamente sus propios módulos maliciosos en la máquina de la víctima. Entre ellos, un rootkit basado en LD_PRELOAD y una puerta trasera PAM capaz de interceptar credenciales en texto plano durante autenticaciones legítimas. El objetivo está muy claro, QLNX busca tokens npm, credenciales PyPI, claves AWS, configuraciones Kubernetes, credenciales Docker, tokens Vault, Terraform, GitHub CLI y archivos .env, entre otros. Es decir, todo lo necesario para comprometer pipelines, publicar paquetes maliciosos o pivotar hacia cloud e infraestructura corporativa. Otro detalle relevante es su capacidad P2P. Los sistemas comprometidos pueden formar una red entre los nodos infectados, dificultando la erradicación completa y permitiendo mantener su persistencia incluso si parte de la infraestructura atacante cae. Más información: https://www.trendmicro.com/en_us/research/26/e/quasar-linux-qlnx-a-silent-foothold-in-the-software-supply-chain.html

Para sorpresa de nadie, CISA, la agencia de los Estados Unidos que se encarga de la ciberseguridad y seguridad de infraestructuras, ha incluido la vulnerabilidad de elevación de privilegios en el kernel Linux conocida como "Copy Fail" (CVE-2026-31431, que afecta a kernels posteriores a 2017) en su catálogo de vulnerabilidades que están siendo explotadas (KEV, Known Exploited Vulnerabilities). Cuando CISA incluye una vulnerabilidad en el KEV significa que está siendo activamente explotada y ha sido observada en operaciones de infección o intrusión. No es para menos, el exploit, a modo de prueba de concepto, funciona de forma impecable, sobre todo debido a que es un fallo en la lógica del tratamiento de páginas de memoria y no requiere los tradicionales condicionantes para alcanzar una explotación satisfactoria. A pesar de existir un parche, debido al inmenso parque existente de sistemas Linux desplegados, será una vulnerabilidad que previsiblemente se mantenga activa en los arsenales de los atacantes bastante tiempo. No se trata de un exploit de frontera sino un LPE que necesita que el atacante disponga de una cuenta sin privilegios en el sistema. No obstante, el fallo es grave según muchos escenarios y es preciso actualizar cuanto antes. Más información: https://www.cisa.gov/news-events/alerts/2026/05/01/cisa-adds-one-known-exploited-vulnerability-catalog

Nueva vulnerabilidad en Linux encontrada (con asistencia de IA) por el equipo de seguridad Deutsche Telekom. Pack2TheRoot (CVE-2026-41651), como se ha denominado, es una escalada de privilegios local que afecta a PackageKit, una especie de servicio que unifica la gestión de paquetes de muchas distros Linux, tratando de simplificar la cantidad existente de gestores de paquetes y las diferencias entre ellos. El impacto de la vulnerabilidad es directo: un usuario sin privilegios puede acabar ejecutando acciones como root. El fallo permite instalar o eliminar paquetes sin autorización, lo que en la práctica equivaldría a tomar control completo del sistema. El origen está en una condición de carrera clásica (TOCTOU) en la gestión de transacciones. Aprovechando ese desfase temporal, un atacante puede evadir los controles de seguridad y forzar operaciones privilegiadas que deberían estar protegidas. PackageKit está presente por defecto en múltiples distribuciones como Ubuntu, Debian o Fedora, y la vulnerabilidad ha permanecido presente durante años sin ser detectada. No es un fallo de memoria o similar al uso, sino una combinación de comportamiento legítimo que termina rompiendo el modelo de seguridad, es decir, un fallo en la lógica de la implementación del modelo de seguridad. Más información: https://github.security.telekom.com/2026/04/pack2theroot-linux-local-privilege-escalation.html

Nueva vulnerabilidad crítica en protobuf.js que vuelve a poner el foco en un problema poco visible pero bastante extendido: reutilizar definiciones sin entender su impacto real. El fallo permite la ejecución de código arbitrario en aplicaciones que procesan esquemas protobuf no confiables. El origen está en cómo protobuf.js interpreta ciertas definiciones dinámicas. Si un atacante pudiese controlar o inyectar un esquema, podría forzar la ejecución de código arbitrario durante el proceso de parsing o compilación, convirtiendo algo con apariencia de declarativo en una superficie de ataque. Lo interesante aquí no es solo la vulnerabilidad en sí, sino el patrón de uso que la hace explotable. Muchos proyectos reutilizan archivos .proto de terceros, los cargan dinámicamente o los aceptan desde fuentes externas sin una validación estricta. En ese contexto, el esquema deja de ser un contrato de datos y pasa a ser una entrada ejecutable. El impacto es especialmente importante en servicios backend, pipelines de datos y herramientas que procesan protobuf de forma flexible, donde este tipo de inputs puede atravesar varias capas sin ser revisado convenientemente. Posee un CVSS de 9.4 y afecta a las versiones inferiores a 8.0.0 y 7.5.4. Hay parches disponibles para ambas ramas. Se le ha asignado el CVE-2026-41242. Más información: https://www.endorlabs.com/learn/the-dangers-of-reusing-protobuf-definitions-critical-code-execution-in-protobuf-js-ghsa-xq3m-2v4x-88gg

Nuevo ataque a la cadena de suministro en el ecosistema WordPress que va un paso más allá de lo habitual. Alguien con intenciones maliciosas, compró un set completo de más de 30 plugins populares y, tras hacerse con el control legítimo del código, introdujo una puerta trasera en ellos. El troyano se introdujo meses antes de su uso real, camuflado como una actualización legítima que supuestamente mejoraba la compatibilidad. En realidad, añadía una funcionalidad de deserialización remota que permitía ejecutar código arbitrario controlado desde un servidor externo. Durante ocho meses no ocurrió nada. Hasta que el payload se activó. En ese momento, los plugins empezaron a descargar código malicioso, modificar wp-config.php y servir contenido SEO oculto únicamente para Googlebot, manteniéndose invisible para los administradores de los sitios comprometidos. El detalle es el vector inicial: no hubo hackeo. Hubo una compra legal. El atacante adquirió el negocio completo a través de un marketplace público, heredó acceso al repositorio oficial de WordPress y utilizó el canal legítimo de actualizaciones para distribuir el troyano. Cuando se detectó la campaña, WordPress.org cerró más de 30 plugins en un solo día y forzó actualizaciones para intentar neutralizar el código malicioso. Pero el daño ya estaba hecho: los sistemas afectados seguían comprometidos porque la carga persistía fuera del propio plugin. En este caso, no se vulnera el software o se monta una operación de ingeniería social sobre el administrador, se adquiere manteniendo la cadena de confianza. Más información: https://anchor.host/someone-bought-30-wordpress-plugins-and-planted-a-backdoor-in-all-of-them/

Campaña masiva en el ecosistema de extensiones de Chrome que vuelve a poner el foco en un vector que muchos siguen considerando “de bajo riesgo”. Investigadores de la empresa Socket, han identificado 108 extensiones maliciosas publicadas en la Chrome Web Store que, bajo apariencia legítima, formarían parte de una operación con una única infraestructura de mando y control. Lo relevante no es el número, sino la coherencia del ataque. Las extensiones, disfrazadas de herramientas de Telegram, utilidades de Youtube, juegos o traductores, funcionan correctamente, pero también roban credenciales de Google, exfiltran sesiones activas y abren puertas traseras en el navegador. Todo el tráfico acaba en el mismo backend, lo que apunta a un único operador detrás de la campaña. El caso más llamativo es el robo de sesiones de Telegram Web. Una de las extensiones captura la sesión desde el localStorage del navegador y lo envía al C2 cada pocos segundos, permitiendo al atacante tomar control de la cuenta sin necesidad de credenciales ni MFA. Varias de las extensiones incorporan una puerta trasera que se activa al iniciar el navegador, y son capaces de ejecutar acciones remotas como abrir URLs arbitrarias o inyectar contenido. Otras manipulan las cabeceras de seguridad o actúan como proxy del tráfico. Muchas de estas extensiones siguen disponibles aun y acumulan miles de instalaciones. Más información: https://socket.dev/blog/108-chrome-ext-linked-to-data-exfil-session-theft-shared-c2

Nuevo ataque a la cadena de suministro que demuestra, otra vez, que “descargar desde la web oficial” ya no es una garantía. El sitio de CPUID, responsable de herramientas ampliamente usadas como CPU-Z y HWMonitor, muy populares para obtener información y métricas de rendimiento en hardware, fue comprometido y durante varias horas sirvió instaladores troyanizados en lugar de los binarios legítimos. El vector es especialmente limpio. No hay phishing ni repositorios falsos: el propio dominio oficial redirigía a payloads maliciosos tras el compromiso. Cualquier usuario que descargara el software en esa ventana recibía malware (además, firmado) como si fuera legítimo. A nivel técnico, se apoya en DLL sideloading (mediante la librería cryptbase.dll) y ejecuta una cadena de varias etapas completamente en memoria (sin tocar disco), dificultando el análisis forense y la detección por firmas. El payload final identificado es un RAT (STX RAT), con capacidades de robo de credenciales, acceso remoto y movimiento lateral. Más información: https://www.cyderes.com/howler-cell/how-cpuids-hwmonitor-supply-chain-was-hijacked-to-deploy-stx-rat?utm_source=chatgpt.com

Interesante artículo del grupo TALOS de Cisco en el que se describe cómo los atacantes están aprovechando la vulnerabilidad React2Shell (afecta al framework web Next.js) para organizar campañas de infección masivas en servidores expuestos. El patrón: escaneo automatizado de internet (tipo Shodan o Censys), explotación sin interacción y despliegue inmediato de scripts que comienzan a extraer secretos del sistema. En cuestión de horas, la campaña fue capaz de comprometer cientos de hosts (más de 700 en un solo día) en múltiples proveedores cloud. Lo interesante no es solo el acceso inicial, sino lo que ocurre después. El malware ejecuta un proceso en varias fases que recopila variables de entorno, claves SSH, tokens cloud, historiales de comandos, credenciales de bases de datos y configuraciones de contenedores. Todo se envía a una infraestructura centralizada donde los atacantes pueden explorar la información desde una interfaz web llamada NEXUS Listener. Más información: https://blog.talosintelligence.com/uat-10608-inside-a-large-scale-automated-credential-harvesting-operation-targeting-web-applications/

Nuevo incidente de cadena de suministro que afecta a uno de los paquetes más usados y populares del ecosistema JavaScript. Varias versiones de axios publicadas en npm han sido comprometidas e incluían un RAT (remote access tool). Axios está presente en una enorme cantidad de proyectos, tanto directos como transitivos (dependencias de dependencias), lo que convierte cualquier compromiso en un problema de propagación masiva. En este caso, el código malicioso se ejecutaba durante la instalación, permitiendo la descarga y ejecución de binarios maliciosos desde infraestructura controlada por el atacante. El malware buscaba establecer acceso remoto persistente en las máquinas afectadas. Es decir, no hablamos de un simple stealer puntual, sino de una puerta trasera completa. Este compromiso es diferente a los que acostumbramos a leer casi a diario. Axios tiene un nombre y reputación que ahora han sido dañados. Es esencial que el desarrollador medio confíe en librerías populares y este varapalo añade incertidumbre a la hora de añadirlas a los proyectos. Máxime en una era de vibe coding, donde ni tan siquiera se inspeccionan los componentes de los proyectos. Más información: https://www.stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions-drop-remote-access-trojan

Investigadores de Socket han detectado miles de publicaciones en Discussions de Github (una especie de foro dentro de los repositorios) que simulan avisos críticos de Visual Studio Code, con CVEs falsos y mensajes urgentes que incitan al usuario a descargar una supuesta versión “parcheada” del famoso editor. El mecanismo es simple pero muy efectivo. Los atacantes crean cuentas nuevas, publican en masa en repositorios populares y etiquetan a desarrolladores para forzar notificaciones e incluso correos automáticos desde la propia plataforma. El resultado es que el ataque entra directamente en el flujo de trabajo habitual del desarrollador, sin necesidad de un correo phishing clásico. En el siguiente paso, los enlaces no apuntan directamente al malware, sino que pasan por una cadena de redirecciones que realiza fingerprinting del navegador y del sistema antes de servir el payload definitivo. Esto permite filtrar víctimas reales, evadir análisis automatizados y adaptar el ataque en función del entorno. Más información: https://socket.dev/blog/widespread-github-campaign-uses-fake-vs-code-security-alerts-to-deliver-malware

Nuevo framework de explotación para iOS denominado Coruna. No es un kit cualquiera. Los investigadores de Karspesky lo sitúan como la evolución directa del framework utilizado en una operación APT llamada Triangulation, un ataque zeroclick que en 2023 comprometió sistemas iOS a través de iMessage. El nivel técnico es bastante bueno. Coruna integra cinco cadenas completas de explotación y un total de 23 vulnerabilidades, reutilizando y ampliando exploits ya vistos en Triangulation, pero adaptados a hardware moderno (chips A17, M3) y versiones más recientes de iOS. Lo relevante no es solo la reutilización de vulnerabilidades, sino la continuidad del desarrollo. El código analizado apunta a un framework mantenido en el tiempo, no a un ensamblado de exploits públicos. Es decir, estamos ante una plataforma de explotación con evolución activa (mantenida), no una compilación de exploits puntual. Además, el contexto ha cambiado. Lo que comenzó como herramientas para el ciberespionaje altamente dirigido ha terminado expandiéndose: el propio framework se ha observado en campañas más amplias, incluyendo ataques vía web (watering hole) donde el exploit se adapta dinámicamente al dispositivo y versión de iOS de la víctima, algo muy quirúrgico. Más información: https://securelist.com/coruna-framework-updated-operation-triangulation-exploit/119228/

Nuevo incidente de cadena de suministro, esta vez al ecosistema de la IA generativa. LiteLLM, una de las librerías más utilizadas como puerta de entrada a múltiples proveedores LLM, ha sido comprometida en PyPI con versiones maliciosas. El vector es especialmente interesante. En la versión 1.82.8 se introduce un archivo .pth que se ejecuta automáticamente al arrancar el intérprete de Python, sin necesidad de importar la librería. Esto implica que basta con tener el paquete instalado para que el payload se ejecute en cualquier script, notebook o proceso del sistema. El malware además recolecta variables de entorno, claves SSH, credenciales cloud (AWS, GCP, Azure), configuraciones de Kubernetes, tokens, historiales de shell… básicamente todo lo que suele poseer las máquinas de desarrollo, CI/CD o producción. Después, cifra la información y la envía a una infraestructura controlada por el atacante. Pero lo realmente preocupante es el contexto. Este compromiso no es aislado, sino parte de una campaña más amplia donde el atacante primero compromete herramientas de seguridad en pipelines y luego utiliza esas credenciales para envenenar dependencias críticas como LiteLLM. En otras palabras, el ataque no va contra el código en desarrollo, sino contra la infraestructura en la que se aloja. Y en el caso de LiteLLM es una librería que centraliza API keys y secretos de múltiples proveedores de IA, convirtiéndose en un objetivo muy apetecible para los atacantes. Más información: https://github.com/BerriAI/litellm/issues/24512

Nuevo infostealer en el radar con un enfoque bastante más fino de lo habitual. VoidStealer introduce una técnica bastante novedosa en campañas de infección para saltarse la protección Application Bound Encryption (ABE) del navegador Chrome (y por ende, todos sus derivados). Se trat de un mecanismo diseñado precisamente para impedir el robo de credenciales almacenadas en el navegador. La novedad no está en el objetivo, que es seguir robando contraseñas, cookies o datos sensibles, sino en cómo lo hace. En lugar de recurrir a inyección de código o privilegios elevados, el malware "hookea" al navegador como debugger y espera el momento exacto en el que la clave maestra (v20_master_key) aparece en memoria en texto plano durante operaciones habituales de descifrado. A partir de ahí, utiliza breakpoints de hardware (más difíciles de detectar) y lecturas de memoria para extraer la clave directamente, sin modificar el proceso ni levantar demasiadas sospechas. Este detalle es clave: elimina gran parte del “ruido” típico de otras técnicas, reduciendo su huella de detección y por lo tanto pasando más desapercibido. Más información: https://www.gendigital.com/blog/insights/research/voidstealer-abe-bypass

Investigadores de ThreatFabric alertan de nuevo malware para Android que pone el foco en las aplicaciones de notas. La campaña, bautizada como Perseus, ha sido detectada distribuyendo aplicaciones maliciosas (disfrazadas de otras utilidades) fuera de tiendas oficiales. Una vez infectado el dispositivo, busca información sensible en las notas creadas por el usuario. El comportamiento es interesante porque apunta a un hábito muy extendido: guardar contraseñas y otra información sensible en notas personales. Perseus escanea este tipo de aplicaciones en busca de contenido útil, elevando considerablemente el valor de la información exfiltrada. Además, el malware cuenta con las capacidades típicas de troyanos en Android: control del dispositivo, capturas de pantalla y ataques overlay para robar credenciales en tiempo real. Más información: https://www.threatfabric.com/blogs/perseus-dto-malware-that-takes-notes