Boletín Semanal de Ciberseguridad, 6 de noviembre

Chrome 157 corrige 213 vulnerabilidades, siete de ellas críticas

Google ha publicado Chrome 157 en el canal estable (versiones 157.0.8103.38/.39 para Windows y macOS y 157.0.8103.38 para Linux) con parches para 213 vulnerabilidades, siete de ellas críticas y 77 de gravedad alta. Entre las críticas destacan dos buffer overflow en Dawn, la implementación multiplataforma del estándar WebGPU (CVE-2026-121156 y CVE-2026-121247, ambas CVSSv3 9.6), y una corrupción de memoria en el motor gráfico ANGLE (CVE-2026-121229, CVSSv3 9.6), junto a cuatro use-after-free.

Por tipología, predominan la autorización incorrecta o ausente (51 fallos), los use-after-free (45) y la suplantación de interfaz (19). Google no menciona explotación activa de ninguno de estos fallos.

Aun así, dada la cuota de despliegue de Chrome, se recomienda aplicar la actualización cuanto antes y extenderla a los navegadores basados en Chromium a medida que sus fabricantes la incorporen.

Más info

Binance detalla la cadena de ataque del robo de 6430 millones de dólares

Binance ha explicado cómo se produjo el robo récord de 6430 millones de dólares en activos, fruto de una campaña en varias etapas. En junio, un ingeniero de Wallet DevOps descargó desde un buscador un instalador troyanizado de Homebrew para instalar una herramienta de IA, lo que expuso información sobre su equipo. En septiembre, otro ingeniero fue captado en una plataforma de empleo legítima por un falso director de proyecto.

Tras dos rondas de entrevistas, ejecutó en su equipo corporativo un repositorio de prueba técnica con código malicioso, que sustituía un componente de una herramienta de desarrollo y borraba artefactos forenses. El 20 de octubre, el atacante abusó de una herramienta interna de IA para hacerse con los equipos de otros dos ingenieros. El 29 de octubre, con un token de despliegue de contenedores robado, lanzó un script que usó el servicio interno de firma de wallets para emitir transacciones fuera del proceso de retirada. Binance no ha atribuido formalmente el ataque. Sin embargo, el patrón encaja con las técnicas de los 57 casos vinculados a Corea del Norte que el exchange afirma haber frustrado este año.

Para el sector financiero, el caso aconseja impedir la ejecución de código de terceros en equipos con acceso a infraestructura crítica, controlar estrictamente los tokens de despliegue y limitar los permisos de las herramientas internas de IA.

Más info

Vapor Panda utiliza el framework de IA ARTEX contra más de 200 organizaciones, entre ellas la presidencia de un país europeo

CrowdStrike ha atribuido al actor estatal chino Vapor Panda, con solapamientos con el cluster Earth Estries, el uso de ARTEX, un framework de pentesting en Go impulsado por IA, contra más de 200 organizaciones desde el 17 de octubre. Entre los objetivos figuran el ministerio de Exteriores, la presidencia y la oficina del primer ministro de un país europeo, junto con sus entidades de defensa, justicia, finanzas e inteligencia, un ministerio del Interior de Oriente Medio, ministerios de Exteriores de Latinoamérica y Asia, y operadores de telecomunicaciones en EE. UU., Bélgica y Filipinas.

ARTEX coordina agentes planificadores y ejecutores apoyados en DeepSeek y en un LLM comercial de suscripción no identificado, bajo la supervisión de un operador humano; en una sola intrusión los agentes consumieron del orden de 1400 millones de tokens de entrada. Las transcripciones recuperadas muestran cadenas como una aserción SAML sin firmar combinada con un XXE para consultar el servicio de metadatos de la instancia cloud, el abuso de un servicio de orquestación sin autenticación para obtener root en contenedores, la lectura de contraseñas LAPS y el uso de claves sin rotar desde 2022 para forjar tokens de administrador.

La post-explotación está confirmada en nueve organizaciones, con despliegue de BLOODALCHEMY, derivado de ShadowPad, y el actor ha lanzado password spraying contra al menos otras 12, entre ellas entidades gubernamentales europeas.

Más info

Un 0-day en los switches Zyxel GS1900 permitió comprometer casi 1000 equipos en 48 países

Binarly ha revelado que la campaña que en agosto comprometió 996 switches Zyxel GS1900 en 48 países explotaba un 0-day de ejecución remota de código sin autenticación distinto del que Zyxel corrigió en junio, CVE-2026-7273 (CVSSv3 8.8 según fabricante). El exploit capturado ataca /cgi-bin/dispatcher.cgi en los modelos MIPS. El analizador CGI copia los parámetros a un búfer global antes de comprobar el contador g_count, de modo que un valor sobredimensionado lo corrompe y lo vuelve negativo.

Eso permite escribir memoria fuera del búfer y secuestrar punteros de función hasta obtener ejecución como root. El parche de junio añadía la comprobación después de la copia insegura, por lo que las diez versiones .2 seguían siendo vulnerables. Zyxel publicó las versiones corregidas el 22 de octubre y el aviso CVE-2026-107441 el 3 de noviembre (CVSSv3 8.8 según fabricante). Los atacantes robaron configuraciones, hashes de credenciales root e información de red, y no está claro cuántos equipos cayeron por el nuevo fallo.

Se recomienda actualizar todos los GS1900 a la versión .3.

Más info

Crédit Mutuel Arkéa sufre un ciberataque con transferencias fraudulentas de más de 133 millones de dólares

El grupo bancario francés Crédit Mutuel Arkéa ha confirmado un ciberataque que provocó transacciones fraudulentas y le obligó a restringir temporalmente las transferencias. Según la propia entidad, los atacantes accedieron a la plataforma de un proveedor de servicios externo y desde ella llegaron directamente al banco. Usaron la cuenta propia de Arkéa para transferir fondos a otras entidades financieras y después los convirtieron en criptomonedas mediante plataformas especializadas.

El investigador de blockchain ZachXBT cifra las pérdidas en más de 133 millones de dólares. Arkéa reconoce ese orden de magnitud, pero no la cifra exacta, y asegura que parte de los fondos se han congelado y que no se usaron cuentas de clientes ni de su filial Fortuneo. No se ha identificado públicamente el proveedor comprometido, la vulnerabilidad, el malware ni el actor responsable, y no existe atribución a ningún grupo.

La fiscalía francesa ha abierto una investigación asignada a la oficina nacional contra la cibercriminalidad (OFAC).

Más info

◾ Este boletín es uno de los entregables de nuestro servicio Operational and Strategic Intelligence. Si deseas conocer el resto de los contenidos de inteligencia operativa y estratégica incluidos en el servicio contacta con nosotros →