Tabla de Contenido
El nuevo informe de HP revela que los ciberdelincuentes están utilizando herramientas legítimas de acceso remoto, campañas de phishing vinculadas al cierre fiscal y malware disfrazado de archivos de audio para comprometer dispositivos corporativos. Expertos advierten que las técnicas tradicionales de detección ya no son suficientes.
Los ciberdelincuentes están abandonando progresivamente las técnicas de ataque más evidentes para adoptar estrategias que se mezclan con la actividad cotidiana de las organizaciones. Así lo revela el más reciente informe de investigación de amenazas de la compañía tecnológica HP, que documenta un incremento en el uso de herramientas legítimas de acceso remoto, descargas fraudulentas y tácticas avanzadas de ingeniería social para comprometer dispositivos corporativos.
El reporte, elaborado por HP Security Lab a partir del análisis de millones de endpoints protegidos por HP Wolf Security, muestra que los atacantes están aprovechando aplicaciones ampliamente utilizadas por departamentos de TI, como LogMeIn y ScreenConnect, para obtener acceso persistente a los equipos sin despertar sospechas.
De acuerdo con los resultados de la investigación, los atacantes distribuyen estas herramientas mediante correos electrónicos de phishing relacionados con el cierre del año fiscal, así como a través de sitios web falsos que simulan aplicaciones de escritorio o plataformas de citas. Una vez instaladas, las aplicaciones permiten a los ciberdelincuentes controlar remotamente los dispositivos mientras aparentan formar parte de operaciones legítimas de soporte técnico.
La nueva generación de ataques se disfraza de actividad normal
Uno de los hallazgos más relevantes del estudio es que los ataques actuales ya no presentan las señales tradicionales asociadas con el malware.
Patrick Schläpfer, Principal Threat Researcher de HP Security Lab, explicó que la combinación de software confiable con campañas de ingeniería social cuidadosamente diseñadas dificulta cada vez más diferenciar entre una actividad legítima y una amenaza real.
“Lo que destaca en estas campañas es la facilidad con la que herramientas legítimas de acceso remoto se están convirtiendo en puntos de entrada para los atacantes”, señaló el especialista.
Esta evolución representa un desafío importante para las áreas de seguridad, ya que muchos controles de detección fueron diseñados para identificar software malicioso tradicional, no aplicaciones legítimas utilizadas de manera fraudulenta.
Criptomonedas y “vibe coding”: nuevos vectores de ataque
La investigación también detectó campañas dirigidas a usuarios que intentan recuperar billeteras de criptomonedas perdidas.
Los atacantes distribuyen falsas herramientas de recuperación que prometen ayudar a localizar fondos extraviados, pero que en realidad están diseñadas para robar credenciales, información de billeteras digitales y datos del sistema. Estas aplicaciones suelen difundirse mediante plataformas de intercambio de código y sitios de descarga de software.
Un aspecto particularmente llamativo es que muchos de estos scripts contienen abundantes emojis y patrones de programación que sugieren el uso de herramientas de desarrollo asistidas por inteligencia artificial, una práctica conocida como “vibe coding”. Este fenómeno podría estar reduciendo las barreras técnicas para que actores maliciosos desarrollen herramientas de ataque con mayor rapidez.
Malware oculto en archivos de audio
Otra tendencia identificada por HP corresponde a campañas basadas en la técnica ClickFix, donde los atacantes disfrazan malware como archivos de audio aparentemente inofensivos.
Las víctimas son dirigidas a sitios web falsificados que incorporan captchas realistas para generar confianza. Una vez que el usuario interactúa con el contenido, se ejecutan comandos maliciosos que descargan cargas útiles en segundo plano sin que la víctima lo advierta.
Este tipo de campañas demuestra que los ciberdelincuentes continúan perfeccionando sus estrategias de engaño aprovechando elementos familiares para los usuarios, como verificaciones CAPTCHA, documentos financieros o mensajes relacionados con procesos administrativos.
Las herramientas de detección ya no son suficientes
El informe revela además que al menos el 11% de las amenazas distribuidas por correo electrónico logró evadir uno o más sistemas de análisis de seguridad. Asimismo, los archivos ejecutables representaron el 39% de los mecanismos de distribución de malware, seguidos por archivos comprimidos con 38% y documentos PDF con 10%.
Los investigadores también observaron un incremento en el uso de documentos PDF maliciosos que emplean señuelos relacionados con procesos judiciales, notificaciones financieras y supuestos bonos económicos para generar urgencia entre las víctimas.
Alex Holland, Principal Threat Researcher de HP Security Lab, advirtió que las organizaciones deben replantear sus estrategias de protección.
“Estos ataques no parecen intrusiones; parecen actividades cotidianas. Se mezclan con el trabajo habitual de TI y evitan las señales de alerta tradicionalmente asociadas con el malware”, afirmó.
¿Qué deben hacer las organizaciones?
Desde una perspectiva de ciberseguridad empresarial, los hallazgos del informe refuerzan la necesidad de adoptar estrategias basadas en el principio de confianza cero (Zero Trust), aislamiento de amenazas y control estricto de privilegios.
HP recomienda que las organizaciones:
- Limiten los privilegios innecesarios de los usuarios.
- Controlen estrictamente la instalación de software.
- Aíslen actividades de riesgo como descargas, enlaces desconocidos y archivos adjuntos.
- Complementen las herramientas de detección con mecanismos de contención y resiliencia.
- Capaciten continuamente a los usuarios frente a campañas de ingeniería social cada vez más sofisticadas.
Un cambio de paradigma para la ciberseguridad corporativa
El principal mensaje del HP Threat Insights Report es claro: el riesgo ya no proviene únicamente del software malicioso tradicional, sino también del abuso de herramientas legítimas que forman parte del entorno cotidiano de trabajo.
Para integradores, proveedores de servicios administrados y responsables de seguridad, este escenario exige evolucionar desde modelos centrados exclusivamente en la detección hacia arquitecturas que incorporen aislamiento, control de identidad, monitoreo continuo y capacidad de respuesta. En un entorno donde las amenazas se camuflan como procesos legítimos, la visibilidad y la resiliencia se convierten en los nuevos pilares de la defensa empresarial.
