Amenazas de la semana: infostealer con IA, zero-day en switches industriales y avalancha de CVE en el kernel Linux

Introducción

La última semana ha puesto a prueba a los equipos de seguridad con una oleada de amenazas que van desde infostealers potenciados con inteligencia artificial hasta cadenas de exploits en infraestructuras críticas, pasando por un lanzamiento récord de vulnerabilidades en el kernel de Linux. Entre los hechos más relevantes se encuentran el descubrimiento de Dolphin X por parte de Varonis, una triple vulnerabilidad zero-day en los switches Siemens ROX II detectada por Palo Alto Networks, la explotación activa de una falla en Zimbra por parte del APT ruso Laundry Bear y la publicación de nada menos que 432 CVE del kernel en solo 24 horas. Completan el panorama una alerta sobre dispositivos antirrobo para coches Acrisure y otros episodios de violaciones y operaciones de las fuerzas del orden. A continuación, el análisis en profundidad.

Análisis técnico

Dolphin X: el infostealer que elige a las víctimas con IA

Los investigadores de Varonis Threat Labs han aislado un nuevo malware, bautizado Dolphin X, que introduce una peligrosa innovación: un módulo de perfilado comportamental basado en inteligencia artificial. El código infecta principalmente sistemas Windows y analiza más de 300 aplicaciones instaladas (desde software de productividad hasta IDEs y monederos de criptomonedas). Según la actividad y la presencia de herramientas sensibles, asigna una “puntuación de valor” a la máquina, decidiendo si extraer y qué credenciales extraer: contraseñas del navegador, claves SSH, tokens cloud, frases semilla de monederos. Particularmente insidiosa es su capacidad para atacar puestos de desarrollo: una sola infección en un entorno CI/CD puede abrir la puerta a todo el ecosistema productivo.

Siemens ROX II: tres zero-day para el control root persistente

Palo Alto Networks Unit 42 ha documentado una cadena de tres vulnerabilidades zero-day en los switches industriales Siemens ROX II, ampliamente utilizados en entornos OT. Las fallas – CVE-2025-40948, CVE-2025-40947 y CVE-2025-40949 – permiten a un atacante, una vez obtenido acceso a la red, leer archivos arbitrarios, inyectar comandos con privilegios elevados y, finalmente, abusar del programador de la gestión web para mantener la persistencia incluso después de un reinicio. El exploit garantiza un acceso root persistente, posibilitando el control total del dispositivo y del tráfico de proceso que lo atraviesa.

Lluvia de CVE en el kernel Linux

En una jornada sin precedentes, se publicaron 432 vulnerabilidades que afectan al kernel Linux. La cantidad récord pone bajo presión a los equipos de seguridad, obligados a realizar un triaje de emergencia para identificar las fallas que afectan a sus distribuciones e infraestructuras. Los tipos van desde escalada de privilegios locales hasta denegación de servicio y ejecución de código arbitrario, con un riesgo proporcional a la exposición de los sistemas.

Laundry Bear y el espionaje a través de Zimbra (CVE-2025-66376)

Un aviso conjunto de CISA y socios internacionales informa sobre la explotación activa de CVE-2025-66376 en Zimbra Collaboration Suite por parte del grupo APT ruso Laundry Bear. La vulnerabilidad es de tipo “basada en vista”: la simple visualización de un correo malicioso (sin hacer clic) es suficiente para desencadenar la exfiltración de todo el buzón de la víctima. La campaña, silenciosa y dirigida, tiene como objetivo entidades gubernamentales y comerciales occidentales con fines de espionaje.

Coches en riesgo: clave Bluetooth hardcodeada en dispositivos Acrisure

Un equipo de la UC San Diego ha descubierto una clave de emparejamiento Bluetooth fija e inmutable en los dispositivos de posventa KARR y SWDS fabricados por Acrisure, instalados en más de 2,2 millones de vehículos (principalmente en California). Un atacante en un radio de 4-5 metros puede aprovecharla para desbloquear las puertas. Aunque la empresa ha lanzado un parche, el riesgo de robo del coche o de objetos en su interior sigue siendo real para quienes aún no han actualizado el sistema.

Otros eventos

Notas breves: el grupo ShinyHunters ha reivindicado un acceso no autorizado a los sistemas de Cancer Diagnostics de Abbott (sin impactos operativos); Stadler Rail rechazó una petición de rescate millonaria tras una violación en una plataforma de un proveedor; se desmanteló la banda alemana Kratos dedicada al phishing; Google lanzó la vista previa de CodeMender para la detección de vulnerabilidades en el código; un ataque a un proveedor causó interrupciones de internet en varias localidades de Maine.

Impacto

El panorama general dibuja un escenario de alto riesgo:

• Dolphin X amenaza con el robo dirigido de secretos digitales y credenciales, con posibles rebotes hacia entornos productivos y ataques a la cadena de suministro.
• El exploit en Siemens ROX II pone en peligro las redes industriales: interrupción de procesos, manipulación de datos operativos, espionaje industrial.
• Las 432 CVE del kernel Linux amplían la superficie de ataque para servidores, IoT y estaciones de trabajo, haciendo crítica la gestión de parches.
• El ataque a Zimbra expone archivos completos de correo electrónico de organizaciones gubernamentales y empresariales, facilitando el espionaje prolongado.
• La vulnerabilidad de los coches facilita robos materiales y mina la confianza en los dispositivos de seguridad posventa.

Mitigación

Estas son las principales acciones defensivas recomendadas:

• Siemens ROX II: aplicar inmediatamente los parches lanzados por Siemens; segmentar las redes OT/IT y limitar el acceso a las interfaces de gestión.
• Kernel Linux: realizar un triaje rápido con herramientas de inventario, priorizando los sistemas expuestos; monitorizar los boletines de las distribuciones y automatizar el parcheado.
• Zimbra: instalar sin demora el parche para CVE-2025-66376; deshabilitar la vista previa automática HTML en el webmail; comprobar los registros IMAP/POP3 en busca de exfiltraciones pasadas.
• Dolphin X: reforzar la defensa endpoint con análisis de comportamiento; limitar los privilegios de las máquinas de desarrollo y segmentar los entornos CI/CD.
• Acrisure: solicitar y aplicar la actualización de software para los dispositivos KARR/SWDS en los centros instaladores.
• General: mantener visibilidad continua sobre los activos propios, concienciar a los usuarios (donde sea necesario) y probar la resiliencia de los planes de respuesta.

FAQ

1. ¿Cuál es la amenaza más urgente para las empresas esta semana?
Depende del perfil de la organización. Para quienes operan en el ámbito industrial, la prioridad absoluta es el parche de los switches Siemens ROX II (zero-day críticos). Para la mayoría de las empresas de TI, las dos emergencias son la actualización inmediata de Zimbra (si está en uso) y el triaje acelerado de las vulnerabilidades del kernel Linux, que podrían afectar a servidores y dispositivos expuestos.

2. ¿Qué hace diferente a Dolphin X de los infostealers comunes?
Dolphin X emplea un perfilador basado en inteligencia artificial para evaluar la “rentabilidad” de una víctima. En lugar de recolectar datos indiscriminadamente, analiza el software instalado y la actividad del usuario para centrarse en objetivos de alto valor (desarrolladores, administradores, poseedores de monederos), aumentando la eficacia del robo y reduciendo el ruido de fondo.

3. ¿Cómo puedo gestionar 432 nuevas vulnerabilidades del kernel en un solo día?
El enfoque ganador es el triaje basado en la exposición real, no solo en la gravedad de las CVE. Utilice herramientas de gestión de activos para identificar qué sistemas están realmente afectados, luego dé prioridad a los sistemas críticos y a aquellos accesibles desde el exterior. Automatice el parcheado en cuanto los paquetes actualizados de las distribuciones (Red Hat, Ubuntu, Debian, SUSE) estén disponibles, y monitorice los canales oficiales para posibles correcciones adicionales.