Una nueva campaña maliciosa llamada DOUBLECUP explota la técnica ClickFix y PNG en caché para distribuir dos malware: CountLoader y DeviceManager RAT. Anatomía de un ataque en dos etapas.
4 h ago 24 3
Un defecto en el generador de números aleatorios del monedero hardware COLDCARD habría permitido derivar y vaciar miles de carteras: uno de los mayores robos documentados en hardware «frío».
yesterday 9 3
Unit 42 (Palo Alto) documenta un caso concreto de agente LLM autónomo: una sola instrucción enviada por Telegram fue suficiente para escanear Internet, elegir un exploit público y atacar, sin nueva intervención humana.
Jul 31, 2026 18 3
Anthropic hizo correr Claude Mythos Preview como agente semi-autónomo sobre primitivas criptográficas: tamaño de clave efectivo de HAWK-256 cayó de 2^64 a 2^38, ataque AES de 7 vueltas acelerado ×200 a ×800, recuperación de clave LEA de 13 vueltas en menos de una hora. Dos CVE reales (OpenSSL, wolfSSL) de paso. Costo: ~100 000 $ de API por tema.
Jul 28, 2026 20 4
Lavó a escaneado la red en mayo de 2026: 36.872 interfaces BMC expuestas, de las cuales 24.650 revelan el hash IPMI con solo una solicitud RAKP. Una falla de especificación de 13 años de antigüedad, sin parche posible, con Supermicro, HPE iLO y Dell en primera línea.
Jul 28, 2026 12 3
Nozomi Networks Labs documenta Tengu, un botnet Linux multi-arquitecturas que abusa del watchdog del kernel y reescribe los binarios de reinicio para sobrevivir a los intentos de limpieza —todo controlado mediante ChaCha20/Poly1305.
Jul 28, 2026 9 2
Moonshot AI publica los pesos de Kimi K3 en Hugging Face, unos días después de la evaluación preliminar de las capacidades cibernéticas del modelo por parte de los institutos británico y estadounidense AISI/CAISI. Un hito para el hilo «agentes de IA y amenazas».
Jul 27, 2026 17 3
Un investigador afirma haber alertado a SharkNinja desde marzo sobre una vulnerabilidad que permite tomar el control de forma remota de los robots aspiradora Shark, acceder a su cámara y exfiltrar datos sensibles. Los parches aún no llegan.
Jul 27, 2026 4 1
Cinco días después de la confesión de OpenAI, una publicación de LessWrong destacada el 26 de julio en la portada de HN señala las zonas de sombra: ¿qué notas exactamente, en qué contexto y por qué el informe público sigue siendo tan vago.
Jul 26, 2026 6 2
Nueva piedra en el expediente «LLM ofensivos» tras la brecha de Hugging Face y el exploit de sandbox de OpenAI: UK AISI y CAISI publican una evaluación preliminar de las capacidades ofensivas en ciberseguridad de Kimi K3, el modelo chino de código abierto con 2,8 T de parámetros. Paralelamente, un investigador difunde un exploit funcional contra el último servidor Redis obtenido mediante este mismo modelo.
Jul 25, 2026 7 2
CVE-2026-54121, CVSS 8.8. Una cuenta de dominio sin ningún privilegio es suficiente para obtener un certificado AD CS firmado para la identidad de un Domain Controller, luego autenticarse mediante PKINIT y extraer krbtgt mediante DCSync. Parcheado el 14 de julio de 2026, exploit público desde hoy.
Jul 24, 2026 3 1
CVE-2026-32194 y CVE-2026-32191, ambas con CVSS 9.8. Dos inyecciones de comandos en el pipeline de búsqueda de imágenes de Bing: un simple SVG cuyo atributo image comienza con « | » es suficiente para que ImageMagick ejecute comandos shell en el servidor de Microsoft. Descubiertas por la startup autónoma XBOW, parcheadas en marzo de 2026, publicadas hoy.
Jul 24, 2026 4 2
