--[ Anomalía #20 - De PDF a RAR: las capas de un archivo ]--
Octubre 30, 2026
Por: ZoqueLabsEste escrito se distribuye con una licencia Creative Commons CC BY-SA (Reconocimiento - Compartir Igual).
English version
Hoy tenemos algo especial para compartir: publicamos nuestro Experimento 0x04, un ejercicio de inteligencia de amenazas al que llamamos El PDF misterioso.
Todo empezó con un archivo sospechoso que recibimos de otra organización de la sociedad civil durante una investigación. A primera vista parecía un PDF relacionado con una garantía hotelera, pero tenía algo extraño: su extensión era .rev. Cuando empezamos a revisarlo encontramos una cabecera PDF y, escondido dentro del mismo archivo, un RAR que contenía un script malicioso para Windows.
Y bueno, decidimos seguir las pistas.
Lo que parecía un archivo bastante sencillo terminó convirtiéndose en una investigación mucho más grande. Reconstruimos una cadena de infección que incluía scripts de Visual Basic, PowerShell, código ofuscado, mecanismos de persistencia y ejecución de malware dentro de procesos legítimos de Windows. Al final de ese recorrido encontramos Remcos, una herramienta comercial de acceso remoto que también puede utilizarse para vigilar y controlar dispositivos.
Pero la investigación no terminó ahí.
Siguiendo los artefactos y la infraestructura encontramos conexiones con la Operación Golden Boa, documentada por SCILabs, que afectó principalmente a hoteles y empresas del sector turístico en América Latina. También encontramos otros archivos, dominios y componentes que nos llevaron a preguntarnos si estábamos viendo una sola operación, varios actores o incluso algún tipo de servicio de distribución de malware. No tenemos todas las respuestas, pero compartimos las pistas que encontramos y cómo llegamos a ellas.
En el Experimento 0x04 — El PDF misterioso publicamos ese recorrido: desde la inspección del archivo original hasta la desofuscación de scripts, el análisis de loaders, la reconstrucción de la cadena de infección y la búsqueda de infraestructura. Es un ejercicio de CTI bastante técnico, pero intentamos explicar cada paso para que otras personas puedan seguirlo, reproducirlo y aprender de él. Y hay otra parte que nos interesa especialmente.
Aunque todo apunta a una campaña de cibercrimen con motivaciones económicas, el malware que encontramos tiene capacidades que también pueden utilizarse para vigilar personas. Remcos es un producto comercial, disponible por una fracción de lo que cuestan las herramientas de spyware mercenario de las que solemos hablar. Sin embargo, puede permitir un acceso profundamente intrusivo a los dispositivos de sus víctimas y ha aparecido en operaciones de espionaje.
Por eso dedicamos parte del experimento a discutir la victimología y las responsabilidades de quienes desarrollan y comercializan este tipo de herramientas. ¿Quiénes están siendo atacados? ¿Qué cambia cuando una herramienta comercial termina utilizada para vigilar? ¿Qué responsabilidad tiene la industria sobre los usos de sus productos?
Si no tienen conocimientos técnicos, también están invitades a leer el experimento. Especialmente los capítulos de «Victimología» y «Spyware barato, responsabilidad cara», donde abordamos estas preguntas sin necesidad de entender PowerShell, ingeniería inversa o cadenas de explotación. Creemos que esa discusión también les interesa a quienes trabajan en derechos humanos, acompañamiento de incidentes, investigación y políticas públicas.
Y para quienes disfrutan desarmando archivos sospechosos, hay bastante código, comandos, artefactos y pistas para explorar.
Nosotres empezamos con un archivo que parecía un PDF y terminamos bastante más lejos de lo que esperábamos. Ahora les invitamos a seguir ese recorrido con nosotres.
Y no siendo más, Anomalía.
--[ Vigilancia ]--
México - Los carteles también saben cruzar datos
Un análisis del CSIS examina cómo organizaciones criminales están aprovechando cámaras de vigilancia, registros telefónicos, geolocalización y datos comerciales para identificar y perseguir personas. El texto recupera un caso en México en el que un cartel habría contratado a un hacker para rastrear a un funcionario del FBI y cruzar sus movimientos con cámaras de la ciudad, identificando así a fuentes y colaboradores que posteriormente fueron intimidados o asesinados. Una muestra bastante inquietante de cómo las capacidades de vigilancia que solemos asociar con los Estados también están al alcance del crimen organizado.
Brasil - Smart Sampa y las consecuencias de exponer cámaras de vigilancia
La exposición de accesos al sistema de videovigilancia Smart Sampa, en São Paulo, abrió una discusión sobre la responsabilidad de las autoridades y las posibles indemnizaciones para las personas afectadas. El caso resulta especialmente interesante porque la discusión está pasando de las fallas técnicas a sus consecuencias legales. El Consejo Nacional de Derechos Humanos de Brasil también pidió suspender el sistema y promover investigaciones por las deficiencias de seguridad. Una perspectiva que vale la pena seguir cuando hablamos de filtraciones de información personal.
Oponerse a las cámaras también puede convertirte en sospechoso
Documentos obtenidos por 404 Media muestran que un centro de inteligencia de California advirtió a la policía sobre posibles comportamientos sospechosos durante reuniones de concejos municipales donde se discutía la instalación de cámaras Flock. El boletín reconocía que no existían amenazas específicas y creíbles, pero aun así mencionaba la presencia de manifestantes, confrontaciones verbales y cobertura mediática como posibles riesgos. Preocupante que la participación ciudadana contra la vigilancia termine tratándose como un asunto de inteligencia policial.
Serbia - Nuevos casos de Pegasus
Citizen Lab y SHARE Foundation documentaron nuevas operaciones de spyware contra figuras vinculadas con las protestas y las investigaciones anticorrupción en Serbia. El análisis confirmó una infección con Pegasus en el dispositivo de Vladan Đokić, rector de la Universidad de Belgrado y simpatizante del movimiento estudiantil. También identificó una notificación de amenaza recibida por el fiscal Rade Bajić, aunque en este segundo caso todavía no se ha confirmado una infección. Los hallazgos se suman a una serie de investigaciones sobre vigilancia contra estudiantes, activistas y figuras de oposición en el país.
--[ Malware y Análisis ténicos ]--
SiriusQT: un RAT con HVNC y un mercado alrededor
Group-IB analiza SiriusQT, un RAT comercializado en foros clandestinos desde abril de 2026 que combina control remoto mediante HVNC, robo de credenciales, keylogging, automatización del navegador e inyección de procesos. La investigación examina tanto sus componentes técnicos como su distribución, licencias e infraestructura de comando y control. Los investigadores identificaron más de 280 muestras del cliente y 146 licencias únicas. Es interesante seguir cómo este tipo de herramientas se desarrollan y comercializan, y cómo sus operadores se distribuyen geográficamente.
Más de 300 nodos de salida de Tor comprometidos
Una investigación publicada por KABA documenta una operación en la que atacantes comprometieron 333 nodos de salida de Tor, aproximadamente el 10 % de los existentes en ese momento. Los servidores habían sido infectados con Ebury, un backdoor para Linux capaz de robar credenciales de SSH. Los atacantes utilizaron los nodos para interceptar conexiones SSH y recolectar tráfico de correo sin cifrar. Tras recibir el reporte, el equipo de Tor marcó los nodos como BadExit y coordinó su aislamiento. Un caso especialmente relevante para quienes dependemos de infraestructura de anonimato.
Millones de instalaciones abandonadas de Popcorn Time y una actualización inesperada
Eye Security encontró que una versión antigua de Popcorn Time seguía consultando dominios de actualización que ya habían expirado. Al registrar uno de ellos, los investigadores descubrieron millones de clientes potencialmente vulnerables a la ejecución remota de código con privilegios elevados. Ante la ausencia de un desarrollador que pudiera corregir el problema, decidieron distribuir actualizaciones para desactivar el mecanismo vulnerable en Windows y macOS, sin intervención de las personas propietarias de los equipos. Reportan más de dos millones de descargas de la actualización. Una investigación técnicamente fascinante que también plantea preguntas sobre consentimiento, límites y responsabilidad en la investigación de seguridad.
uCreator: espionaje de Android como servicio
Una investigación sobre uCreator describe una plataforma comercial que permite distribuir aplicaciones Android modificadas para robar credenciales, interceptar mensajes y comprometer cuentas de Telegram y WeChat. El análisis de un servidor GitLab expuesto permitió conocer parte del código y de la organización detrás de la herramienta. También aparecen conexiones con campañas anteriores de aplicaciones falsas, algunas promocionadas mediante anuncios en portugués y dirigidas a personas en Brasil. Otro ejemplo de cómo el malware móvil puede comercializarse como un servicio reutilizable.
--[ IA y operaciones ofensivas ]--
LATAM - Vapor Panda utiliza agentes de IA contra ministerios latinoamericanos
CrowdStrike documentó una campaña atribuida al actor vinculado con China Vapor Panda, que utilizó el framework ARTEX y modelos de lenguaje para coordinar intrusiones contra más de 200 organizaciones en distintas regiones. Entre sus objetivos estuvieron ministerios de relaciones exteriores de países latinoamericanos, con actividad de explotación y despliegue del backdoor BLOODALCHEMY. Los agentes automatizaban reconocimiento, explotación y movimientos dentro de las redes, mientras operadores humanos intervenían para orientar las acciones. El informe no identifica públicamente todos los países afectados, pero confirma que Latinoamérica estuvo entre las regiones objetivo.
Argentina - Agentes de IA comprometen organizaciones de salud
Otra investigación de CrowdStrike, reseñada por CRN Asia, describe cuatro actores que incorporaron asistentes de programación y agentes de IA a operaciones ofensivas. Uno de los casos más interesantes ocurrió en Argentina, donde un operador comprometió al menos quince organizaciones del sector salud mediante un framework que coordinaba agentes de Claude Code. En una de las intrusiones, el agente cambió de estrategia después de encontrar bloqueado un ataque Pass-the-Hash y consiguió establecer una reverse shell en un controlador de dominio. También se documentaron operaciones contra entidades gubernamentales de Brasil y Colombia.
LATAM - CARLIY0S: varios modelos de IA coordinados para atacar bancos latinoamericanos
Straiker publicó una investigación sobre CARLIY0S, un sistema utilizado por CyberCartel para organizar operaciones contra bancos y proveedores de pagos de Latinoamérica. A partir de información obtenida del entorno del propio grupo, los investigadores describen una arquitectura donde distintos modelos cumplen funciones de análisis, ejecución y evaluación de objetivos, compartiendo información mediante un grafo de conocimiento. La investigación identifica una lista de más de 400 instituciones financieras como objetivos, aunque eso no significa que todas hayan sido comprometidas. Es un caso interesante para entender cómo la IA empieza a incorporarse a la organización del cibercrimen, más allá de generar scripts o correos de phishing.
Cairn: agentes de IA atacando sitios web y dejando sus propios paneles expuestos
NorForge encontró, mediante búsquedas en Censys y Shodan, más de 20 paneles de Cairn aparentemente utilizados en operaciones maliciosas. Cairn es un sistema que coordina agentes de IA para investigar objetivos, buscar vulnerabilidades e intentar explotarlas. Uno de los grupos identificados acumulaba más de 1.100 proyectos de ataque, principalmente contra sitios de comercio electrónico. Los investigadores incluso confirmaron compromisos reales y estimaron una tasa de éxito cercana al 10 % entre las operaciones observadas. Lo curioso es que los propios atacantes dejaron sus paneles sin protección, exponiendo credenciales, información de sus víctimas y controles para dirigir los agentes. Una ventana bastante interesante a cómo se están utilizando estas herramientas en operaciones reales y a los problemas de seguridad operacional de quienes las utilizan.
--[ Plataformas y desinformación ]--
Las protestas en Francia y las operaciones de influencia
Alliance4Europe analizó más de medio millón de publicaciones relacionadas con las protestas de octubre de 2026 en Francia. La investigación no encontró evidencia de que actores extranjeros hubieran originado las manifestaciones, pero sí identificó redes que aprovecharon el descontento para amplificar narrativas polarizantes. Entre ellas aparece Doppelganger, una operación atribuida a Rusia, que difundió mensajes coordinados sobre Ucrania y las políticas europeas. El informe también examina cómo estas narrativas circularon internacionalmente y llegaron a sistemas de IA.
Operaciones encubiertas de influencia en TikTok
El portal de transparencia de TikTok documenta las redes de influencia encubierta que la plataforma identifica y retira. Entre los casos reportados aparecen operaciones relacionadas con Colombia, Brasil, Perú y Haití, lo que vuelve interesante revisar cómo estas campañas intentan influir en conversaciones públicas de la región. Como ocurre con otros informes de transparencia publicados por plataformas, los datos permiten conocer parte de las operaciones detectadas, pero también dependen de los criterios y de la visibilidad que la propia empresa decide ofrecer.
Meta y las restricciones a cuentas políticas en Brasil y Estados Unidos
En Brasil, mensajes internos publicados por la prensa mostraron que personal de Meta reconoció restricciones que afectaron la visibilidad y la promoción de publicaciones de la campaña de Lula. La empresa atribuyó los problemas a errores técnicos. En Estados Unidos, la coalición No Kings denunció que Instagram suspendió temporalmente su cuenta durante una jornada de movilizaciones y que, incluso después de restaurarla, sus administradores tuvieron dificultades para publicar. Aunque estos episodios no demuestran por sí mismos una intervención política deliberada, muestran cuánto pueden afectar las decisiones y fallas de las plataformas a la organización y comunicación de movimientos sociales y campañas políticas.
--[ Infraestructura y conflictos ]--
Brasil - Una ciudad brasileña sin Internet por ataques a la fibra óptica
Groaíras, en el estado de Ceará, pasó más de dos días con interrupciones de Internet después de que fueran cortados cables de fibra óptica de varios proveedores. El ataque también afectó a la vecina Cariré. Según la federación brasileña FENINFRA, grupos criminales habrían amenazado a proveedores legales para imponer servicios clandestinos de conectividad. Las autoridades investigan los hechos, aunque todavía no han confirmado públicamente todas las atribuciones. Un caso donde el control territorial del crimen organizado se extiende directamente a la infraestructura de telecomunicaciones.
El Pentágono prepara una oficina especializada en sabotaje tecnológico
Según una investigación de Politico, el Departamento de Defensa estadounidense creó la Technology Support Office, una estructura destinada a desarrollar capacidades para interrumpir o sabotear tecnologías extranjeras consideradas amenazas para su superioridad militar. La iniciativa reorganiza programas de inteligencia existentes y busca aprovechar herramientas desarrolladas por contratistas privados, desde capacidades cibernéticas hasta otras formas de interferencia tecnológica. Aunque el alcance operativo de la oficina permanece clasificado y el Pentágono ha cuestionado partes del reporte, la iniciativa plantea preguntas sobre la participación de la industria privada y los mecanismos de supervisión de estas operaciones.
--[ Exfiltradaz - Snapshot del 16/10/2026 al 30/10/2026 ]--
Durante este periodo se identificaron 8 referencias a filtraciones, accesos comprometidos y publicaciones asociadas a ransomware en tres países de América Latina. Brasil como siempre concentró la mayor cantidad de registros, con cuatro referencias, seguido por México, con tres, y Bolivia, con una.
La actividad asociada a ransomware incluyó publicaciones sobre organizaciones de Bolivia y México. Entre ellas aparecen Mercantile Investment Corporation Bolivia S.A., la Universidad de Nuevo México y Airbus SLC México. Los anuncios atribuyen los ataques a los grupos The Gentlemen, BYOD y Qilin, respectivamente. Estos registros corresponden a publicaciones y alertas de monitoreo, no a una verificación independiente del alcance de los incidentes.
En el mercado de credenciales se observaron nuevas publicaciones sobre accesos a cuentas de correo brasileñas y cuentas de TikTok ofrecidas junto con cookies de sesión. También se identificó un registro de logs asociado a Brasil en la categoría de salud. Entre los nuevos autores observados durante el periodo está mrpems88. Las principales fuentes fueron niflheim, mipped, ransomware y cracked.
Más detalles de estas filtraciones en Exfiltradaz.
--[ ZOLIM --> Snapshot 16/10/2026 ]--
8 nuevas y muy interesantes IPs para este snapshot de ZOLIM. Con estas ya completamos 307 servidores detectados desde que empezamos el observatorio. :)
Algunas señales interesantes:
- México: Seguimos detectando Sliver, esta vez en Monterrey. Este patrón es interesante. Por otro lado encontramos dos instancias de CHAOS en el mismo servidor de Ciudad de México.
- Panamá: Dos apariciones interesantes, un Sliver y un Cobalt Strike por los mismos dias. De este tipo de implantes no detectábamos en panamá desde Enero de este año.
> Si quieres profundizar, date una vuelta por ZOLIM. En la tabla de la parte inferior puedes buscar y cruzar los datos por país, ASN, IP, amenaza, ciudad y otros campos. Cada IP es una buena excusa para empezar a investigar. :)