El grupo de ransomware Rhysida aprovecha la publicidad maliciosa en motores de búsqueda y los instaladores falsos con firma de código para distribuir OysterLoader, una puerta trasera C++ de múltiples etapas. Utiliza técnicas avanzadas de evasión para establecer su persistencia, entregando cargas útiles de alto impacto, como ransomware o infostealers, a las empresas.
El grupo Fancy Bear (también conocido como APT28), vinculado a Rusia, ha lanzado NotDoor, una campaña de espionaje de alto riesgo dirigida a los países miembros de la OTAN. Mediante la carga lateral a través de la aplicación de confianza OneDrive, reconfiguran silenciosamente los registros de Windows, desactivando las alertas de seguridad y forzando la ejecución automática de macros maliciosas, convirtiendo Outlook en un canal encubierto de comando y control (C2) para los atacantes.
En una reciente campaña de malware Latrodectus, observamos una estrategia particularmente insidiosa para lograr la persistencia, que consistía en modificar las claves del registro de Windows para ejecutar un archivo ejecutable legítimo y firmado, imitando el software de seguridad y ocultando la carga lateral de DLL maliciosas, lo que permitía una ejecución sigilosa. Estos cambios en el registro pueden restar prioridad o complicar la detección por parte de los equipos de seguridad, por lo que es necesario prestar especial atención a actividades similares y reconocer los indicadores de esta campaña.
Estamos siendo testigos de una importante evolución en las tácticas de los adversarios: los actores maliciosos están aprovechando activamente herramientas legítimas y de código abierto para la respuesta a incidentes, como Velociraptor, con fines maliciosos, adoptando de manera efectiva un «patrón de uso indebido» en lugar de depender únicamente de malware personalizado. Esta táctica en evolución pone de relieve la necesidad de estar alerta en la supervisión y detección del uso no autorizado de Velociraptor para interceptar y mitigar eficazmente el uso indebido antes de que dé lugar a un mayor compromiso o al despliegue de ransomware.
WinRAR es una de las herramientas de compresión de archivos más populares a nivel mundial, conocida por su capacidad para comprimir, empaquetar e intercambiar archivos de manera eficiente. En 2025, se descubrió una vulnerabilidad de seguridad crítica denominada CVE-2025-8088 en la versión para Windows de WinRAR. Los grupos criminales comenzaron a abusar de ella, en particular RemCom (también llamado Tropical Scorpion) actualizó sus TTPs armando la falla de WinRAR para archivar el acceso inicial y la persistencia en el host comprometido.