Una investigación sobre una sesión SSH interceptada descubrió 333 relés de salida de Tor secuestrados que dirigían las conexiones a servidores de robo de contraseñas. Por otra parte, un análisis del ransomware Heartbreaker encontró una muestra para macOS que incluye su propio código fuente e intenta reconstruirse tras cifrar archivos.
Estos hallazgos aparecen en el resumen de ciberseguridad de SecurityWeek, que también cubre las credenciales robadas de plataformas para desarrolladores, las intrusiones con la puerta trasera Hookedge y las restricciones de los bancos a los agentes de IA de terceros.
Interceptación de contraseñas a través de infraestructura Tor comprometida
La investigación sobre Tor comenzó cuando fue interceptada la propia conexión SSH de un investigador. Se descubrió que aproximadamente una décima parte de todos los relés de salida, 333 en total, enviaba tráfico SSH a 12 servidores controlados por atacantes. Los usuarios que ignoraron la advertencia de SSH e introdujeron sus contraseñas expusieron esas credenciales. Después, los atacantes intentaron instalar Ebury en los servidores a los que los usuarios pretendían conectarse.
Ebury ya había comprometido las máquinas que alojaban los relés maliciosos. Además, los cambios en sus políticas de salida impedían las conexiones a los puertos de recuperación de correo cifrado, pero permitían las conexiones a puertos de texto plano.
En tres días, el Proyecto Tor eliminó los relés. Un operador afectado atribuyó a la reutilización de contraseñas el compromiso de su propio nodo. SecurityWeek indicó que el proyecto no había respondido a su solicitud de comentarios.
El mecanismo de reconstrucción de Heartbreaker tiene límites prácticos
Patrick Wardle analizó Heartbreaker, una muestra de ransomware escrita en Rust para macOS y enviada a VirusTotal en mayo de 2025. Ningún motor antivirus del servicio lo detectaba en el momento de redactar su análisis.
Su secuencia de ejecución comienza con un intento de crear un LaunchAgent para la persistencia, seguido del cifrado de los archivos de la carpeta Descargas del usuario. Después, la muestra intenta generar un nuevo hash mediante recompilación: altera identificadores en el código fuente incrustado, introduce funciones basura y compila otra copia. Si Rust no está presente, incluso intenta instalarlo.
Wardle considera poco probable que la muestra actual se convierta en una amenaza importante. Una única clave AES codificada de forma fija permite recuperar los archivos gratis, mientras que el mecanismo de reconstrucción requiere un framework de Rust que ya no está disponible públicamente.
Railway suspende los despliegues mientras PingCAP detalla los registros robados
Railway ha detenido todos los despliegues y ha pedido a todos sus clientes que roten las variables de entorno almacenadas y las credenciales de los registros privados. La plataforma para desarrolladores indica que un tercero no autorizado pudo haber accedido a variables de entorno cifradas de clientes y haber recuperado parte de su contenido descifrado. Estas variables pueden contener claves API, credenciales de bases de datos y credenciales de registros.
La empresa considera que el incidente forma parte de una serie de ataques contra empresas de plataformas que tienen como objetivo a proveedores de inferencia de IA. Ha notificado a esos proveedores que revoquen las claves de forma proactiva. Railway afirma que el grupo afectado podría limitarse a un subconjunto de usuarios, a pesar de su petición de rotación en toda la plataforma.
Según el desarrollador de TiDB, en PingCAP unas credenciales robadas de cuentas de servicio permitieron a un tercero no autorizado acceder a algunos sistemas internos entre el 9 de septiembre y el 7 de octubre. El intruso copió datos y obtuvo código fuente.
La información exportada incluía nombres de usuario y direcciones de correo electrónico de TiDB Cloud, contactos de clientes, datos de contratos y facturación, y valores cifrados de las claves API de TiDB Cloud. PingCAP afirma que no ha encontrado indicios de que se haya visto afectada la información almacenada en TiDB. Ha invalidado todas las credenciales comprometidas identificadas y ha corregido cuatro vulnerabilidades notificadas por una empresa externa. Continúa el trabajo para identificar a los clientes afectados.
Bullhorn también está restableciendo el servicio tras un ciberincidente que la llevó a deshabilitar el acceso a sus sistemas. No se ha determinado si se exfiltraron datos de clientes. Durante la restauración de su plataforma ATS/CRM, los usuarios sin SSO deben restablecer sus contraseñas, y los usuarios de API deben rotar sus contraseñas de API. La empresa no informa de indicios de impacto en Bullhorn Automation, Sourcebreaker ni VMS Sync.
Symantec atribuye las intrusiones de Hookedge a APT28
Según Symantec, un constructor naval, un fabricante de motores de aviones militares y una agencia policial en dos Estados miembros de la OTAN fueron objetivo de la puerta trasera Hookedge. La empresa atribuye los ataques a APT28 de Rusia, al que denomina Swallowtail.
La intrusión en el constructor naval se prolongó al menos durante dos meses. Allí, los atacantes emplearon dos técnicas de robo de credenciales y mantuvieron un túnel SSH hacia la red interna. También desplegaron un cargador que Symantec no había documentado antes; descifra su carga útil y la ejecuta en memoria.
Los bancos se enfrentan a la actividad de IA en las cuentas de clientes
Axios informa, citando fuentes, que los principales bancos estadounidenses han detectado agentes de IA de terceros no autorizados operando en cuentas de clientes. Algunas acciones intentadas parecen haberse producido al margen de las instrucciones del usuario, aunque muchos bancos no pueden determinar si los clientes dirigieron la actividad.
Los clientes suelen proporcionar a los agentes permisos y credenciales de acceso, en contra de las normas de la mayoría de los bancos. Morgan Stanley ha empezado a bloquear los agentes de terceros, y JPMorgan, Bank of America y Citi también los están restringiendo. La mayoría de los bancos avanza hacia el acceso de solo lectura.
Por otra parte, ISO e IEC han publicado la norma ISO/IEC 27090, que orienta la detección y mitigación de amenazas específicas de la IA a lo largo del ciclo de vida de los sistemas, incluidos el envenenamiento de datos y el robo de modelos. Complementa las normas ISO/IEC 27001 y 27002 y subraya cómo el reentrenamiento podría trasladar datos operativos corruptos a versiones posteriores del modelo.
Los investigadores examinan los contactos de ShinyHunters; los tribunales sopesan pruebas e indemnizaciones
KrebsOnSecurity, citando fuentes cercanas a una investigación federal, informa de que los investigadores creen que al menos un directivo de una consultora estadounidense ayudó a dirigir Shinywire. El sitio de ShinyHunters, hoy desaparecido, se usó para presionar a casi 100 organizaciones vulneradas para que pagaran.
Las autoridades accedieron a mensajes de Signal cuando detuvieron en los Países Bajos al sospechoso de ShinyHunters Pepijn van der Stap. Según se informa, esos mensajes muestran contactos frecuentes con el directivo canadiense de ciberseguridad Edward Dubrovsky y con al menos un directivo de una consultora estadounidense, y en ocasiones esos contactos conocían a las nuevas víctimas antes que las propias víctimas.
En un litigio que involucra a WhatsApp, un juez federal se negó a declarar en desacato a NSO Group por las acusaciones de que incumplió una orden judicial de 2025 que prohibía usar la infraestructura de WhatsApp para atacar a usuarios. La única prueba era la declaración de un investigador de Meta que identificaba 23 cuentas nuevas con firmas asociadas anteriormente a pruebas de NSO. El juez consideró que las pruebas no alcanzaban el estándar de prueba «clara y convincente», y señaló que WhatsApp había omitido detalles para proteger sus métodos de detección.
Un acuerdo propuesto de 80 millones de dólares en un caso separado pondría fin a una demanda colectiva consolidada por la brecha de seguridad de Conduent de 2024, que implicó el robo de datos personales y de salud de millones de personas. Con sujeción a la aprobación judicial, todos los miembros del grupo podrían reclamar un año de monitorización de crédito o de datos médicos y el reembolso de las pérdidas documentadas de hasta 3500 dólares. También estaría disponible un pago en efectivo prorrateado para las personas cuyos datos robados estuvieran en un formato fácilmente accesible. Conduent rechaza las acusaciones de irregularidades y de responsabilidad.
