Un afiliado de los ransomware Hive y Nefilim fue condenado a 70 meses de prisión el 27 de octubre de 2026, mientras que las autoridades estadounidenses anunciaron la incautación del dominio de un proveedor de alojamiento en un caso distinto. El Departamento de Justicia afirmó que la operación de ransomware perturbó a empresas y proveedores sanitarios. La incautación del dominio apuntó a un servicio acusado de ayudar a clientes criminales a mantener su infraestructura en línea.
Un tercer proceso judicial se refiere a un presunto esquema de inversión en criptomonedas con 174 víctimas identificadas en Estados Unidos. Por otra parte, Anthropic publicó detalles de cinco cadenas de explotación que, según afirma, desarrolló un modelo de IA interno contra navegadores y sistemas operativos, con correcciones informadas para cada objetivo.
Afiliado de ransomware condenado; administrador presunto aún buscado
La Fiscalía de EE. UU. para el Distrito Este de Nueva York informó de que la jueza Pamela K. Chen condenó al ciudadano ucraniano Artem Aleksandrovych Stryzhak, de 36 años, en Brooklyn. Se había declarado culpable en diciembre de 2025 de conspiración para cometer fraude, extorsión y otras actividades relacionadas con ordenadores. Las autoridades españolas lo arrestaron en junio de 2024, y fue extraditado a Estados Unidos el 30 de abril de 2025.
Los documentos judiciales describen a Stryzhak como afiliado —un atacante que despliega el ransomware de un grupo a cambio de una parte de los beneficios— tanto de Nefilim como de Hive. Se unió a la conspiración de Nefilim alrededor de junio de 2021 y acordó con el administrador Volodymyr Tymoshchuk pagar a los administradores del grupo el 20 % de los rescates que cobrara por el acceso a su malware.
En junio de 2021, Stryzhak robó datos de una empresa de transporte de petróleo y gas. Aproximadamente una semana después, creó las direcciones de correo electrónico que se usaron en una nota de rescate enviada a la empresa. Su despliegue de Nefilim continuó hasta octubre de 2021, como mínimo.
Stryzhak también fue uno de los primeros afiliados de Hive. Él y sus coconspiradores desplegaron Hive contra siete víctimas, entre ellas bufetes de abogados, una consulta de dentista y un proveedor sanitario durante la pandemia de COVID-19. Los archivos cifrados quedaron inaccesibles, y los autores proporcionaban una clave de descifrado cuando las víctimas pagaban. El FBI entregó a una de las víctimas de Stryzhak una clave durante su campaña de desarticulación, lo que permitió recuperar los datos sin pagar rescate.
La conspiración Hive en su conjunto atacó a unas 1.500 víctimas en todo el mundo entre junio de 2021 y enero de 2023, entre ellas organismos gubernamentales, hospitales y empresas. Esa cifra corresponde al grupo en su conjunto, y no a las siete víctimas de Hive identificadas en el caso de Stryzhak. Un hospital tuvo que atender a los pacientes que ya tenía sin tecnología digital y no pudo aceptar nuevos pacientes de inmediato.
La oficina del FBI en Springfield investigó el caso Nefilim, y la oficina de Tampa investigó el caso Hive. Las autoridades siguen buscando a Tymoshchuk, y el Departamento de Estado ofrece una recompensa de hasta 11 millones de dólares por información que conduzca a su arresto, condena o localización.
Dominio de Virtualine incautado por alojamiento criminal presunto
En un anuncio separado del 27 de octubre, la Fiscalía de EE. UU. para el Distrito Este de Virginia informó de que las autoridades obtuvieron autorización judicial para incautar virtualine.net. El dominio daba servicio a Virtualine, también conocido como Secury, Massgod, Spamhouse, Lanedo y Omegatech.
Los fiscales describen a Virtualine como un proveedor «bulletproof»: un servicio de alojamiento que se promocionaba como resistente a las denuncias por abuso y a las acciones de las fuerzas de seguridad. Ofrecía servidores, alojamiento y compra de dominios, y se anunciaba ante delincuentes en foros de cibercrimen.
Los registros judiciales citan un anuncio de septiembre de 2024 que permitía actividades ilegales como phishing, fraude con tarjetas de pago y spam, pero excluía el contenido de abuso sexual infantil y el terrorismo. En marzo de 2026, Virtualine promocionó un plan de protección adicional según el cual, ante una solicitud oficial de las fuerzas de seguridad, trasladaría la infraestructura de un cliente a una empresa pantalla aparentemente no vinculada y reactivaría el servidor.
A pesar de esa restricción declarada, los fiscales sostienen que Virtualine alojó a sabiendas un foro identificado como Vendor 1, que vendía acceso a imágenes y vídeos sexuales de menores y de adultos. El foro también promocionaba hackers a sueldo para entrar en cuentas de víctimas y obtener material íntimo sin consentimiento.
Virtualine empezó a recibir notificaciones sobre material de abuso sexual infantil en enero de 2026, aproximadamente un mes después de asignar a Vendor 1 una dirección IP. Las notificaciones llegaron de las fuerzas de seguridad de Alemania, Canadá y Australia, del Centro Nacional para Niños Desaparecidos y Explotados de EE. UU. y de la abogada de una víctima. Según los fiscales, Virtualine siguió alojando el servicio y ayudó a crear un sitio web separado para subir y descargar archivos, que seguía alojado en el momento del anuncio, a pesar de al menos una denuncia por abuso que involucraba imágenes de niños.
El proveedor aceptaba pagos mediante una opción etiquetada como BTC [NO-AML], con direcciones de bitcoin no alojadas que se anunciaban como una forma de evitar que los fondos fueran marcados como ilícitos. Los fiscales sostienen que los pagos rastreables a grupos criminales se blanquearon después para ocultar su origen.
La oficina del FBI en Washington investigó el caso, con la ayuda de la policía alemana y neerlandesa, la Agencia Nacional contra el Crimen del Reino Unido, OverRIPE, Lumen y la Oficina de Asuntos Internacionales del Departamento de Justicia.
Extradición en un presunto esquema de blanqueo de 36,9 millones de dólares
El Departamento de Justicia anunció el 23 de octubre que Zheng Zhao, ciudadano chino de 44 años, había sido extraditado desde los Países Bajos y comparecido ante el tribunal del Distrito Central de California. Se le acusa de participar en una conspiración internacional de inversión en criptomonedas dirigida desde centros de estafas en Camboya.
Los documentos judiciales afirman que los conspiradores en el extranjero contactaron con víctimas estadounidenses mediante interacciones no solicitadas en redes sociales, llamadas, mensajes de texto y servicios de citas. Tras ganarse la confianza de las víctimas, promovieron inversiones fraudulentas a través de sitios web que se parecían a plataformas legítimas de trading de criptomonedas, y les dijeron falsamente que sus inversiones estaban aumentando de valor.
Los fiscales afirman que la red movió el dinero robado a través de empresas pantalla estadounidenses, cuentas bancarias internacionales y carteras de activos digitales. Más de 36,9 millones de dólares de fondos de las víctimas pasaron de cuentas bancarias estadounidenses controladas por coconspiradores a una única cuenta en el Deltec Bank de las Bahamas. Según la acusación, Zhao y otros dispusieron que el banco convirtiera los fondos en Tether, la stablecoin identificada como USDT, y los enviara a una cartera controlada en Camboya. Desde allí, los conspiradores distribuían USDT a los líderes de los centros de estafas de la región.
Zhao fue imputado en agosto de 2025 por conspiración para blanquear dinero y se enfrenta a una pena máxima de 20 años de prisión si es declarado culpable. Los cargos siguen siendo acusaciones, y se presume su inocencia. Ocho coconspiradores se han declarado culpables, entre ellos ShengSheng He y Jingliang Su, que recibieron penas de 51 y 46 meses respectivamente por conspiración para dirigir un negocio de transmisión de dinero sin licencia.
El Centro de Operaciones de Investigación Global del Servicio Secreto investiga el caso, con la ayuda de otras agencias estadounidenses y de las autoridades neerlandesas. La acusación forma parte de la Iniciativa contra Estafas Facilitadas por la Ciberdelincuencia, de la División Criminal. El departamento pide a las víctimas de fraude de inversión en activos digitales que lo denuncien en IC3.gov.
Anthropic describe cinco cadenas de explotación desarrolladas con IA
En un informe técnico aparte, Anthropic afirma que un modelo de investigación interno no publicado descubrió vulnerabilidades y, tras una instrucción inicial, escribió exploits funcionales contra Chrome, Safari, Android, Windows y Linux. Según la compañía, estos son sus hallazgos y demostraciones.
En Chrome para macOS, Anthropic describe una página maliciosa que abrió la calculadora en cuestión de segundos y ejecutó código fuera del sandbox del navegador, el límite que debe contener los componentes comprometidos. La cadena combinó la corrupción de memoria en el motor JavaScript V8, la evasión del sandbox de regiones de memoria de V8, una condición de carrera en CacheStorage y un fallo de use-after-free en la función de inicio de sesión FedCM. Un use-after-free se produce cuando el software accede a una memoria después de liberarla.
La cadena eludió la aleatorización del espacio de direcciones (ASLR), que oculta las ubicaciones del código en memoria, y utilizó la programación orientada a retorno (ROP), que combina fragmentos de código existentes para controlar la ejecución. Anthropic afirma que Google asignó 62 CVE, o identificadores de vulnerabilidad, a sus hallazgos y parcheó todos ellos a partir de Chrome 156. Todos se clasificaron como de gravedad crítica o alta; entre ellos había 13 escapes de sandbox y 21 vulnerabilidades que podían comprometer el renderizador, el proceso que gestiona el contenido de las páginas web.
La cadena de Safari eludió la política del mismo origen, la regla que separa los datos de un sitio web de los de otro. Anthropic afirma que podía leer el historial del navegador, las cookies y las bases de datos de sesiones, y realizar solicitudes autenticadas a otros dominios y leer sus respuestas. Por tanto, un atacante podría leer el correo de un usuario que tiene la sesión iniciada, o consultar los saldos bancarios e intentar transferencias.
Esa cadena combinó un use-after-free en JavaScriptCore, una evasión aislamiento de memoria Gigacage de WebKit y un fallo en el mecanismo de comunicación entre procesos del sandbox. En lugar de ejecutar código arbitrario, alteró datos del navegador y una marca de seguridad. Algunos comportamientos de los componentes solo se volvían explotables al combinarse. Anthropic afirma que Apple reconoció el informe el mismo día y aplicó rápidamente una corrección que ya está disponible para los usuarios.
En Android, la empresa informa de que logró extraer fotos e información personal de un teléfono bloqueado a través de USB. El trabajo, que incluyó análisis de código fuente, ingeniería inversa de los servicios de Google Play y pruebas en un Pixel 9 físico, dio como resultado una cadena que eludió las restricciones de transferencia con el dispositivo bloqueado, la autorización entre pares y la confirmación de emparejamiento de seis dígitos. Un mecanismo de respaldo transfirió después el contenido de los archivos pese a una restricción aparte sobre las transferencias de archivos sin procesar. Anthropic afirma que Google abordó el problema.
El hallazgo en Windows, CVE-2026-33096, se refiere a una lectura de memoria fuera de límites en la implementación de QUIC del kernel, un protocolo de transporte que usa HTTP/3. Anthropic afirma que unos pocos paquetes podrían bloquear y reiniciar una máquina Windows que responda a HTTP/3 mediante la implementación nativa, y que las solicitudes repetidas podrían mantenerla no disponible. La estimación de varios millones de servidores expuestos a internet es una cifra de la propia empresa. Según Anthropic, Microsoft resolvió la vulnerabilidad. El modelo la encontró mediante análisis binario, incluida la reconstrucción y comparación del comportamiento del programa, antes de examinar el código resultante en busca de debilidades.
La cadena de Linux tenía como objetivo servidores con un listener de TCP multiruta. Según Anthropic, un atacante remoto sin autenticar podría explotar un use-after-free dependiente del tiempo para ejecutar comandos como root, la cuenta con mayores privilegios, sin interacción del usuario. Una etapa filtró un puntero del kernel para revelar ubicaciones de memoria; otra sobrescribió un puntero de callback para redirigir la ejecución a través de funciones existentes del kernel. Los intentos fallidos podrían dejar solo un handshake de conexión fallido, lo que permitiría repetir los intentos. La demostración tardó 48 minutos en filtrar un puntero y otros cinco minutos en ejecutar un comando.
Anthropic identifica esa falla como CVE-2026-98432 y afirma que la corrección se integró en upstream y se retroportó a todas las ramas estables del kernel de Linux que siguen en mantenimiento. También informa de hallazgos de escalada local de privilegios en OpenBSD, FreeBSD y Linux, de escapes de sandbox y de vulnerabilidades en aplicaciones web.
La empresa afirma que notificó cada vulnerabilidad según un proceso de divulgación que concede a los proveedores 90 días para parchear y otros 45 días antes de cualquier discusión técnica adicional. Su plataforma de investigación ejecuta agentes de escaneo en paralelo, hace seguimiento de la cobertura de código, busca variantes de fallos confirmados y somete los hallazgos a verificación y evaluación de riesgo.
Para los equipos de desarrollo, Anthropic recomienda analizar el código en el momento de cada pull request y ha publicado un plugin de orientación de seguridad para Claude Code. También afirma que su Programa de Verificación Cibernética ampliado ofrece a los profesionales de seguridad acreditados capacidades avanzadas y clasificadores de bloqueo reducidos, incluido el acceso a Claude Opus 5.5, Claude Sonnet 5.5 y Claude Mythos 5.1. Su recomendación práctica es analizar el propio código de los defensores como parte del desarrollo.
