Boletín Semanal de Ciberseguridad, 7-13 junio

Descubierta EchoLeak, una vulnerabilidad 0-clic en Microsoft 365 Copilot

Investigadores de Aim Labs han descubierto una nueva vulnerabilidad crítica, denominada EchoLeak (CVE-2025-32711, CVSSv3 9.3 según Microsoft), que afecta a Microsoft 365 Copilot. Esta falla, corregida por Microsoft en mayo de 2025, permitía a un atacante exfiltrar datos sensibles sin interacción del usuario.

La técnica consiste en enviar un correo con una inyección de prompt oculta, diseñada para parecer un mensaje corporativo. Posteriormente, cuando el usuario realiza una consulta relacionada en Copilot, el correo es recuperado y procesado por el motor de RAG, activando la orden maliciosa. Esta induce al modelo a insertar datos internos en enlaces o imágenes que, al cargarse, filtran la información a un servidor externo.

Aunque no hay indicios de explotación real, EchoLeak marca la aparición de una nueva clase de fallos, conocidos como LLM Scope Violation, que exponen los riesgos de la integración profunda de IA en entornos empresariales.

Más info

​​​Microsoft corrige un 0‑day crítico y 65 vulnerabilidades adicionales en el Patch Tuesday de junio

Microsoft ha publicado su boletín de seguridad de junio de 2025, que corrige 66 fallos, incluido un 0-day activamente explotado en WebDAV (CVE-2025-33053 CVSSv3 8.8) que permite la ejecución remota de código engañando al usuario con una URL maliciosa. También resuelve otra vulnerabilidad divulgada públicamente en el cliente SMB (CVE-2025-33073 CVSSv3 8.8) que permite la elevación de privilegios a SYSTEM sin interacción del usuario.

Del número total de fallos, diez se consideran críticos (ocho RCE, dos de elevación de privilegios), mientras que el resto incluye fallos de revelación de información, denegación de servicio, omisión de seguridad y suplantación de identidad. Además, se corrigieron múltiples vulnerabilidades en Office (Word, Excel, Outlook, PowerPoint, SharePoint) con puntuaciones CVSS entre 8,4 y 8,8. Microsoft también publicó compilaciones para Windows 10 y 11 con correcciones adicionales, mejoras funcionales y restauraciones del sistema.

Aunque no se ha informado de exploits masivos, la presencia de un 0-day activo hace que sea urgente aplicar estas actualizaciones.

Más info

Myth Stealer: un infostealer en Rust que evoluciona rápidamente

Investigadores de Trellix identificaron Myth Stealer, un infostealer escrito en Rust distribuido mediante sitios fraudulentos de videojuegos. Este malware muestra una ventana falsa para simular legitimidad mientras extrae credenciales, cookies y datos del portapapeles, además de utilizar técnicas de evasión como ofuscación con obfstr, persistencia en el sistema, captura de pantalla, verificación de entornos sandbox y ejecución en memoria con memexec y sustraer información de navegadores basados en Chromium y Gecko, así como aplicaciones como Discord.

Se distribuye en archivos .exe, .rar y .zip, generalmente bajo el pretexto de ser juegos o software vinculado a ellos. Sus operadores lo ofrecen por suscripción semanal o mensual a través de Telegram y presenta un alto grado de actualización para dificultar su detección.

Más info

ConnectWise reemplaza los certificados de ScreenConnect, ConnectWise Automate y RMM

ConnectWise ha decidido reemplazar los certificados digitales de firma de código utilizados para firmar sus herramientas ScreenConnect, ConnectWise Automate y RMM, tras una advertencia de un investigador externo sobre un posible mal uso relacionado con el manejo de datos de configuración por parte del instalador, que podría ser explotado por un atacante con acceso a nivel de sistema.

Más info

APT PurpleHaze y ShadowPad apuntan a proveedores de ciberseguridad y entidades globales

SentinelOne revela que, entre julio de 2024 y marzo de 2025, grupos chinos con nexos estatales, incluidos los operadores PurpleHaze y ShadowPad, han lanzado campañas de ciberespionaje contra más de 70 organizaciones, que abarcan los sectores gubernamental, financiero, tecnológico, de investigación y medios de comunicación, incluidos proveedores de seguridad como la propia SentinelOne.

Un objetivo destacado era una empresa de logística de hardware que apoyaba a SentinelOne, mientras que también detectaron actividades de reconocimiento dirigidas a servidores accesibles a través de Internet. Estas intrusiones empleaban backdoors como GOREshell y ShadowPad, con una sofisticación técnica relevante como el uso de redes ORB y malware de ofuscación ScatterBrain. En algunos casos, se aprovecharon vulnerabilidades como CVE-2024-8963 y CVE-2024-8190 en dispositivos Ivanti para el acceso inicial.

Más info

◾ Este boletín es uno de los entregables de nuestro servicio Operational and Strategic Intelligence. Si deseas conocer el resto de los contenidos de inteligencia operativa y estratégica incluidos en el servicio contacta con nosotros →