Audio, cripto y herramientas legítimas, tendencias del cibercrimen

El correo electrónico sigue siendo el principal vector de amenazas en el panorama de ciberseguridad, y en el primer trimestre de 2026 se mantuvo involucrado en el 57 % de los incidentes detectados, según el último Threat Insights Report de HP Wolf Security. Las descargas directas a través de navegadores representaron el 24 % de los casos, mientras que el 19 % restante se distribuyó entre dispositivos externos y transferencias de red.

De los ataques que alcanzaron los buzones de correo, el 11 % logró evadir con éxito una o más capas de filtrado perimetral antes de ser ejecutado en los dispositivos finales. En cuanto a los tipos de archivos utilizados para la entrega del código malicioso, los ejecutables directos lideraron con un 39 % del total, seguidos de cerca por archivos comprimidos e imágenes de disco, que sumaron el 38 %.

Principales tendencias y técnicas observadas

Los investigadores detectaron un creciente abuso de herramientas legítimas de administración remota, como LogMeIn y ScreenConnect, que fueron empleadas en campañas que enviaban instaladores oficiales con configuraciones preestablecidas hacia servidores de comando externos. Gracias a sus firmas digitales válidas y a que su tráfico se asemeja al soporte técnico habitual, los sistemas de detección automatizados no generaron alertas, permitiendo a los atacantes tomar control del dispositivo sin necesidad de exploits de día cero.

En la región de Centroamérica, se documentaron campañas dirigidas a usuarios hispanohablantes que distribuían el troyano de acceso remoto Loda RAT mediante hojas de cálculo modificadas que simulaban estados de cuentas bancarias institucionales. Los documentos solicitaban la ejecución de macros para revelar información oculta, y el análisis inverso mostró que el 80 % del archivo consistía en código ofuscado sin función operativa, utilizado exclusivamente para evadir la detección antivirus. Una vez ejecutado, el malware alteraba el registro del sistema para camuflarse bajo el nombre del antivirus nativo.

Otra técnica emergente es la de los ataques ClickFix, que utilizan extensiones de archivos de audio para eludir los controles de seguridad. Mediante ventanas emergentes que simulan verificaciones de “soy humano”, se instruye al usuario a pulsar combinaciones de teclas que desencadenan la descarga de archivos HTML con extensiones de audio. El código resultante ejecuta el troyano Amatera Stealer, especializado en la extracción automatizada de credenciales almacenadas en navegadores, cookies de sesión y bases de datos de wallets de criptomonedas. Los datos robados se cifran y se envían a servidores externos controlados por los atacantes.

En el sector de criptomonedas, se observó un aumento del 10 % en el uso de documentos PDF como vectores de redirección a páginas de descarga de malware. Estas campañas, atribuidas a un grupo denominado Global Group, aprovechan la configuración predeterminada de ocultación de extensiones en los sistemas operativos para ejecutar comandos PowerShell que inician el cifrado de datos locales.

Finalmente, se registró un notable crecimiento de herramientas maliciosas disfrazadas como utilidades de recuperación de billeteras de criptomonedas, distribuidas en repositorios públicos de desarrollo. El código fuente revela la generación automatizada mediante modelos de lenguaje y comportamientos destructivos como captura de pantalla, lectura de archivos de configuración de comunicaciones y exfiltración de contraseñas mediante webhooks dirigidos a canales de mensajería.

Mira tambien: