Los incidentes de ciberseguridad reportados esta semana abarcaron desde el robo de criptomonedas a gran escala y la infraestructura encubierta hasta el phishing, los ataques a la cadena de suministro de software y el Spyware dirigido a usuarios de dispositivos móviles. Varios casos comenzaron con herramientas o servicios aparentemente rutinarios, incluidos enlaces compartidos, extensiones de navegador, software de soporte remoto y plataformas de terceros.

El FBI atribuyó el robo de más de 6.000 millones de dólares en activos virtuales de Binance al grupo de hackers norcoreano TraderTraitor. El botín reportado alcanzó los 6.430 millones de dólares en 11 cadenas de bloques, con el 82 % de los activos ubicados en Ethereum y Bitcoin. Tether, Circle, Ripple, Arbitrum y Optimism han congelado 2.850 millones de dólares de los fondos robados en la cadena, según el informe.

El grupo patrocinado por el Estado chino Volt Typhoon también fue vinculado con Silent Train, una infraestructura de retransmisión formada por cadenas de rápida rotación de dispositivos SOHO, IoT y empresariales comprometidos. La red está diseñada para ocultar el origen de los ataques, respaldar operaciones seleccionadas y ser desmantelada después de su uso. La actividad reportada apunta a esfuerzos para mantener el acceso a comunicaciones, infraestructuras críticas, defensa, logística y otros sistemas que podrían adquirir importancia durante tensiones geopolíticas.

La plataforma de mercados de predicción Polymarket suspendió temporalmente las operaciones después de que unos atacantes comprometieran DebugBear, un servicio de terceros. El JavaScript malicioso distribuido a través del servicio drenó aproximadamente 2,7 millones de dólares de 33 billeteras de depósito en menos de una hora. DebugBear afirmó que los registros de su registrador de dominios habían sido comprometidos y que no había encontrado indicios de una intrusión en sus sistemas internos en el momento de su actualización.

Investigadores de Parameter Labs divulgaron una vulnerabilidad corregida de ChatGPT relacionada con enlaces de conversaciones compartidas. Un atacante podía crear una conversación maliciosa y enviar su enlace para compartirla a otro usuario, provocando la ejecución de JavaScript dentro de la sesión autenticada de ChatGPT de la víctima. Una explotación exitosa podía exponer listas de conversaciones y el contenido de conversaciones privadas, además de transmitir datos a un servidor externo.

Cursor informó que dos versiones de la extensión oficial de Claude Code en su mercado habían sido modificadas para instalar una puerta trasera SSH persistente. El incidente pudo haber afectado hasta a 5.000 usuarios. Cursor afirmó que rotó sus claves, reconstruyó el mercado y dejó fuera de línea el servidor correspondiente, al tiempo que indicó que ninguna otra extensión había sido modificada de forma maliciosa. Siguen existiendo dudas sobre cómo se publicó la extensión alterada bajo el nombre de Anthropic y qué acceso obtuvo el atacante.

El Departamento de Justicia de Estados Unidos anunció la incautación de un dominio asociado con Virtualine, un proveedor de alojamiento a prueba de abusos. Las autoridades afirmaron que el servicio facilitaba actividades delictivas, incluida la distribución de imágenes sexualmente explícitas de menores, imágenes íntimas no consentidas y blanqueo de capitales internacional. El informe también señaló que las interrupciones anteriores de la infraestructura pueden fragmentar el mercado al empujar a los clientes hacia servicios más nuevos.

El fabricante de billeteras de hardware Keystone divulgó un incidente de seguridad relacionado con su sitio web y una vulnerabilidad en una herramienta de monitorización de datos de terceros. El atacante obtuvo información de clientes y una clave utilizada para verificar la autenticidad de los dispositivos. La información expuesta incluía registros con nombres, datos de contacto, direcciones de envío e información de pedidos, así como registros de pago. Keystone afirmó que destruiría 18.835 dispositivos de inventario que contenían la clave antigua y que suspendería temporalmente los envíos desde su sitio web oficial mientras adoptaba un modelo de preventa.

Trezor advirtió por separado sobre informes creíbles de un supuesto implante para el robo de criptomonedas en un dispositivo Safe 5 vendido por el distribuidor CryptoBilis en el sudeste asiático. Se recomendó a los clientes que compraron un Trezor a ese distribuidor desde marzo de 2026 trasladar los fondos a una billetera recién creada con una nueva semilla.

Los investigadores identificaron uCreator, una oferta comercial de spyware para Android dirigida a usuarios de billeteras móviles y servicios de mensajería en China y el sudeste asiático. El malware ataca aplicaciones como GCash, WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber y MoMo, y según los informes puede clonar cuentas de WeChat. Las víctimas reciben aplicaciones legítimas recompiladas mediante cargas laterales o campañas de ingeniería social. El spyware utiliza virtualización en el dispositivo para instrumentar las aplicaciones objetivo y facilitar el fraude.

Una campaña llamada Gheist ha estado utilizando tokens de GitHub robados para insertar un flujo de trabajo denominado “sync-check” en repositorios accesibles. El flujo de trabajo imprime los secretos del repositorio en su propio registro, descarga ese registro mediante la API de GitHub y elimina la ejecución poco después. Wiz afirmó haber recuperado más de 13.500 ramas insertadas vinculadas a más de 850 cuentas comprometidas. La campaña fue detectada por primera vez a mediados de septiembre de 2026.

La semana también trajo un amplio conjunto de divulgaciones de vulnerabilidades que afectaban a productos y proyectos como Wasmtime, Fireblocks mpc-lib, COVESA vsomeip, software de ASUS, Drupal, EPICS Base, TianoCore EDK II, GoAhead, Apache Camel, Okta, Apache Kafka, Google Chrome, Mozilla Firefox, el kernel de Linux, Veeam, Juniper Networks Session Smart Router, TeamViewer, cámaras IP de Intelbras, WatchGuard Fireware OS, Apache Tomcat, Canonical LXD, Langflow OSS y TightVNC. La lista incluía una vulnerabilidad de ejecución remota de código previamente autenticada en TightVNC y múltiples vulnerabilidades que afectaban a software ampliamente implementado.

Los investigadores de seguridad también informaron sobre la campaña Searchjacked, que involucraba 319 extensiones de Chrome con un total combinado de 13,4 millones de instalaciones reportadas. Las extensiones secuestraban las búsquedas mediante servidores de seguimiento, capturaban consultas y generaban pagos por referencias de Bing y Yahoo. Otras extensiones de navegador maliciosas suplantaban billeteras de criptomonedas o aplicaciones de documentos, con actividades relacionadas con el robo de frases de recuperación, claves privadas y datos de navegación.

Microsoft detalló dos intrusiones operadas por humanos en las que los atacantes utilizaron mensajes y llamadas de Teams para hacerse pasar por personal de TI o de soporte técnico. Los operadores persuadieron a los usuarios para conceder acceso remoto, principalmente mediante Quick Assist; después implementaron entornos de ejecución portátiles, realizaron labores de descubrimiento del sistema y la red y examinaron Active Directory Certificate Services en busca de rutas hacia la autenticación basada en certificados. Microsoft advirtió que una sesión remota aprobada por el usuario puede conducir al acceso a identidades privilegiadas y a la infraestructura del dominio.

Entre los demás acontecimientos se incluyeron el uso creciente de vulnerabilidades para entrar en redes corporativas, el abuso de navegadores antidetección como Kameleo, AdsPower y MultiLogin para gestionar grandes cantidades de cuentas, y los ciberataques contra sistemas de alerta de emergencia en Ucrania y Rusia. Ucrania informó de falsas alertas nacionales de ataque aéreo, mientras que Rusia afirmó que su aplicación de alertas también había sido atacada, describiéndola como un servicio auxiliar. No se estableció la relación entre ambos incidentes.

Fuentes: The Hacker News.