--[ Anomalía #21 - Territorios bajo vigilancia ]--
Noviembre 13, 2026
Por: ZoqueLabsEste escrito se distribuye con una licencia Creative Commons CC BY-SA (Reconocimiento - Compartir Igual).
English version
¡Hola, hola!
Drones que sobrevuelan comunidades, conexiones satelitales utilizadas para coordinar operaciones, imágenes que permiten observar territorios desde cientos de kilómetros de distancia y sistemas de comunicación que facilitan las actividades de grupos criminales. La tecnología está entrando cada vez más en escenarios de disputa territorial y economías ilegales en América Latina. Y sus efectos no se quedan en quienes la utilizan: también alcanzan a las comunidades que habitan esos territorios.
En octubre, la Relatoría Especial sobre Derechos Económicos, Sociales, Culturales y Ambientales de la CIDH llamó la atención sobre el uso de drones, inteligencia artificial, imágenes y comunicaciones satelitales, tecnologías biométricas y otros sistemas de doble uso en actividades extractivas, economías ilegales y operaciones de seguridad. Su preocupación es que estas tecnologías pueden ampliar las capacidades de control territorial, facilitar el desplazamiento y profundizar el confinamiento de comunidades.
No es una preocupación menor. En América Latina, distintos grupos criminales están incorporando tecnologías que hace algunos años asociábamos principalmente con operaciones militares. Un análisis de ACLED registró alrededor de 670 eventos con drones armados en conflictos de la región desde 2018. Más del 72 % ocurrió entre enero de 2025 y agosto de 2026. Colombia concentra una parte importante de estos eventos y en México también se ha documentado el uso de drones por organizaciones criminales en disputas territoriales.
Pero no estamos hablando únicamente de drones utilizados para lanzar explosivos. También hay dispositivos adaptados para evadir sistemas convencionales de inhibición de señales, conexiones que permiten mantener el control a distancia y herramientas que facilitan la observación y coordinación de operaciones. En México, por ejemplo, se han documentado drones controlados mediante fibra óptica, una tecnología que dificulta su interferencia mediante los mecanismos tradicionales de guerra electrónica.
En Colombia, esta incorporación de tecnología ocurre en territorios donde las disputas por recursos naturales, las economías ilegales y la presencia de grupos armados ya representan una amenaza constante para las comunidades. Una investigación de Associated Press documentó cómo herramientas como drones e Internet satelital están siendo utilizadas en actividades relacionadas con delitos ambientales en América Latina, mientras comunidades indígenas enfrentan intimidaciones y otras formas de violencia. La tecnología también está modificando las condiciones en las que se explotan los territorios y se ejerce control sobre quienes los habitan.
Y quienes defienden esos territorios siguen pagando un precio muy alto. Según Global Witness, Colombia registró 39 asesinatos de personas defensoras de la tierra y el medioambiente durante 2025, de los 124 documentados en todo el mundo. Es el cuarto año consecutivo en que el país aparece en el primer lugar de este registro. Casi la mitad de las víctimas pertenecían a comunidades indígenas.
La incorporación de estas tecnologías no explica por sí sola las agresiones ni significa que cada comunidad esté siendo vigilada mediante drones o sistemas digitales. Pero sí introduce nuevas capacidades en escenarios donde ya existen relaciones profundamente desiguales de poder. Poder observar desde el aire, coordinar operaciones a distancia o comunicarse sin depender de infraestructura convencional puede cambiar las condiciones en las que se ejerce el control sobre un territorio. Y acá aparece algo que nos interesa especialmente desde la seguridad digital.
La vigilancia y el control territorial también tienen una dimensión cyber. La información que circula por teléfonos, redes sociales, aplicaciones de mensajería y servicios en línea puede servir para identificar personas, conocer sus relaciones, seguir sus movimientos o anticipar sus actividades. Para aprovecharla no siempre se necesita spyware sofisticado: a veces basta con una cuenta comprometida, información personal expuesta o acceso a datos comercializados por terceros.
Y mientras los grupos criminales modernizan sus operaciones, también crecen las capacidades de vigilancia de los Estados y las empresas privadas. Sistemas biométricos, cámaras, plataformas de seguimiento y enormes bases de datos permiten observar y perfilar personas con un nivel de detalle que hace unos años resultaba difícil de imaginar. Estas capacidades pueden tener usos legítimos, pero también pueden terminar utilizadas para vigilar, intimidar o perseguir a quienes cuestionan el poder, defienden sus territorios o simplemente viven en ellos.
Lo paradójico es que las comunidades necesitan muchas de estas mismas tecnologías para organizarse, documentar abusos, comunicarse y denunciar lo que ocurre. Y no siempre cuentan con los recursos para protegerlas. Una cuenta comprometida, un dispositivo infectado o la exposición de información sensible pueden tener consecuencias que van mucho más allá de lo digital, especialmente en territorios donde ya existen amenazas físicas.
Por eso creemos que desde sociedad civil necesitamos ampliar la manera en que miramos las amenazas digitales. Entender qué tecnologías están incorporando los actores que ejercen violencia, cómo obtienen información, qué infraestructura utilizan y qué rastros dejan sus operaciones. También preguntarnos qué datos están recolectando las plataformas y los sistemas de vigilancia públicos y privados, quién puede acceder a ellos y cómo podrían utilizarse contra personas en riesgo.
Ese conocimiento debería ayudarnos a investigar, identificar amenazas y construir mejores estrategias de protección junto con las comunidades, teniendo en cuenta sus contextos y las condiciones reales en las que utilizan la tecnología.
No queremos presentar la tecnología como la causa de todas estas violencias ni asumir que cada nueva herramienta termina necesariamente en manos de quienes ejercen control. También ofrece posibilidades enormes para documentar, investigar y defender derechos. Pero necesitamos mirar con cuidado cómo estas capacidades están transformando tanto las formas de ejercer violencia como las posibilidades de resistirla.
En esta edición de Anomalía nos acercamos a algunas de esas tecnologías, a las operaciones que las utilizan y a los riesgos que aparecen cuando se incorporan a escenarios de disputa territorial, vigilancia y violencia.
Porque mientras nosotres seguimos aprendiendo a utilizarlas para protegernos, quienes vigilan, atacan y ejercen control también están aprendiendo a utilizarlas. Y entender cómo lo están haciendo es parte de nuestro trabajo.
Y no siendo más, Anomalía.
--[ Inteligencia de amenazas ]--
ARTEX y compañía: los agentes de IA ya participan en intrusiones reales
Google Threat Intelligence Group y Mandiant analizan el uso ofensivo de frameworks como ARTEX, Cairn y PentAGI, que permiten coordinar agentes de IA durante distintas etapas de una intrusión. Ya observaron estas herramientas en incidentes reales, realizando reconocimiento, explotación, movimiento lateral y preparación de exfiltraciones. El informe es especialmente útil para quienes hacemos respuesta a incidentes: describe rastros que pueden buscarse en sistemas comprometidos, propone medidas de detección y defensa y plantea posibles escenarios de evolución de estas capacidades.
Cazando un exploit de Ivanti a partir de un indicador que ya no respondía
Etugen reconstruyó parte de una operación contra Ivanti Connect Secure siguiendo las pistas de un informe que publicaba una única dirección IP, ya inactiva. Mediante búsquedas de contenido encontró un servidor expuesto con unos 9 GB de archivos, el framework de explotación, registros de ejecución y hasta un archivo de memoria para un agente de IA que documentaba la rotación de infraestructura. La investigación permitió recuperar nuevos indicadores y distinguir entre actividad posiblemente relacionada con el operador original y otros actores que explotaban la misma vulnerabilidad. Un excelente ejemplo de cómo un indicador aparentemente muerto todavía puede llevarnos a infraestructura activa.
Amatera, el infostealer que lidera las detecciones en Latinoamérica
ESET analiza Amatera, un infostealer para Windows comercializado como malware-as-a-service que encabezó sus detecciones regionales de esta categoría durante el primer semestre de 2026. El malware roba credenciales, cookies de sesión, tokens, información de billeteras de criptomonedas y otros datos que pueden facilitar nuevos compromisos. El artículo también explica su posible relación con ACR Stealer, su comercialización mediante suscripciones y los mecanismos utilizados para distribuirlo. Una buena mirada al funcionamiento de un negocio criminal que sigue creciendo.
Blind Eagle sigue enviando falsas notificaciones judiciales en Latinoamérica
ZenoX documenta una nueva campaña que atribuye a APT-C-36, también conocido como Blind Eagle, con correos en español y portugués que simulan comunicaciones judiciales y administrativas. La cadena utiliza archivos XHTML que contienen SVG, HTML smuggling para generar ZIP en el navegador, scripts JavaScript y VBS, PowerShell y un RAT final. El análisis incluye infraestructura, artefactos e indicadores para buscar actividad relacionada. Interesante tanto por la victimología regional como por el uso de documentos aparentemente institucionales para conducir a las víctimas a través de varias etapas de infección.
Un teclado chino convertido en mecanismo de distribución de malware
ESET documentó cómo SlippyNunchucks aprovechó comunicaciones HTTP inseguras del método de entrada Sogou, utilizado para escribir caracteres chinos, para distribuir el implante DarkVigil mediante manipulación de DNS. La operación afectó a personas y organizaciones de habla china en varios países de Asia y llegó hasta Omán. Todavía no está claro dónde se produjo la manipulación de DNS. El caso recuerda que aplicaciones muy específicas de una comunidad lingüística también pueden convertirse en vectores para atacarla. Tencent corrigió el problema en la versión 16.10.
Un backdoor escondido dentro de Control Web Panel
Investigadores de XLab identificaron cwpdoor, una modificación maliciosa del servidor web utilizado por Control Web Panel para administrar servidores Linux. El implante permite ejecutar comandos mediante solicitudes HTTP especialmente preparadas sin registrarlas en los logs de acceso habituales. Para instalarlo, los atacantes necesitan previamente privilegios de root. Una muestra fue subida a VirusTotal desde Brasil, aunque eso no permite determinar dónde ocurrió la infección. El análisis incluye indicadores y comprobaciones concretas para buscar el backdoor en servidores.
Mirax: de una aplicación de streaming al control de cuentas bancarias
Group-IB analiza Mirax, un RAT para Android distribuido mediante aplicaciones y anuncios relacionados con streaming gratuito, principalmente en Oriente Medio, Turquía y África. Una vez instalado, abusa de los servicios de accesibilidad para observar y controlar el dispositivo, interceptar códigos y operar aplicaciones bancarias desde el propio teléfono de la víctima. Parte de su configuración, infraestructura y plantillas de phishing se obtiene dinámicamente desde el servidor de comando y control. Una investigación interesante sobre el abuso de accesibilidad y la evolución del fraude bancario móvil.
--[ Vulnerabilidades y análisis técnicos ]--
PHP2Shell: entre exploits reales, pruebas incompletas y una divulgación problemática
Qurium publicó un análisis técnico de PHP2Shell y de la confusión que acompañó su divulgación. Los investigadores estudiaron distintas implementaciones públicas, incluyendo técnicas de filtración de memoria, manipulación del heap y evasión de ASLR, y las compararon con solicitudes recibidas por su infraestructura. Durante una semana analizaron más de 15.000 solicitudes procedentes de 89 direcciones IP contra 191 sitios. El resultado muestra una mezcla de escáneres, pruebas experimentales y ataques más elaborados, sin que toda solicitud sospechosa implique una explotación exitosa. Una lectura especialmente buena sobre investigación técnica, inteligencia de amenazas y divulgación responsable.
Steam y una cadena de vulnerabilidades de ejecución remota sin clics
Atredis Partners encontró seis vulnerabilidades en Steam para Windows, incluyendo dos fallas de ejecución remota a través de conexiones automáticas entre equipos autenticados en una misma cuenta y otras cuatro relacionadas con escalación local de privilegios. Los investigadores demostraron cómo combinar filtraciones de memoria, desbordamientos de búfer y debilidades del servicio privilegiado para ejecutar código. El ataque remoto requiere que el adversario controle otra sesión de la misma cuenta; no basta con que la víctima tenga Steam instalado. No se reportó explotación activa de estas fallas.
eMudhra culpa a un script de Python por sus certificados inseguros
La antigua autoridad certificadora eMudhra explicó que un error en un script utilizado durante una ceremonia de generación y transferencia de claves terminó produciendo claves privadas extraordinariamente débiles, algunas recuperables a partir de información pública. El problema afectó a certificados subordinados y llevó a que los navegadores dejaran de confiar en la autoridad. Más allá del error de programación, el caso plantea preguntas sobre las verificaciones y auditorías que deberían impedir que una falla tan grave llegue a la infraestructura de confianza de Internet.
Akamai detecta una intrusión contra infraestructura de suministro en Latinoamérica
Una investigación de Akamai describe una operación de varias etapas contra sistemas relacionados con una cadena de suministro regional. Los atacantes intentaron establecer acceso remoto, reconocer el entorno y ampliar su presencia mediante sistemas Linux, OpenShift y Windows. La correlación de procesos, tráfico y eventos de seguridad permitió contener la actividad antes de que se reportaran impactos operativos importantes. Un caso útil para pensar en la detección de intrusiones que atraviesan distintas plataformas dentro de una misma organización.
--[ IA y seguridad ]--
Casi mil exploits de Linux generados en 30 horas
Un experimento de OpenAI con un modelo especializado en ciberseguridad produjo, según los resultados reportados, 948 exploits funcionales de escalación local de privilegios a partir de más de 2.300 hallazgos candidatos en el kernel de Linux. El proceso duró unas 30 horas y tuvo un costo de API de aproximadamente 1,2 millones de dólares. El artículo examina las implicaciones de automatizar la investigación de vulnerabilidades a esta escala, incluyendo sus posibles consecuencias para sectores como el bancario latinoamericano. Conviene distinguir los resultados obtenidos en entornos de prueba de vulnerabilidades explotables en sistemas reales, cuyos detalles no están completamente documentados en esta nota.
Agentes de IA en caminos que nadie autorizó
Un artículo de Latinoamérica21 examina experimentos recientes en los que agentes de IA, al intentar cumplir objetivos asignados, encontraron maneras de evadir restricciones de sus entornos de prueba. El texto discute las implicaciones de estas capacidades para la seguridad, la supervisión humana y la responsabilidad de quienes desarrollan y despliegan agentes autónomos. Para Latinoamérica, donde muchas organizaciones dependen de servicios tecnológicos externos y tienen recursos limitados para auditarlos, el problema también pasa por quién controla las herramientas y qué acceso les estamos entregando.
--[ Vigilancia y derechos digitales ]--
Sociedad civil exige cerrar los vacíos en las exportaciones de tecnología de vigilancia europea
CDT Europe y otras organizaciones de derechos humanos pidieron a la Comisión Europea revisar la implementación de las normas sobre exportación de tecnologías de doble uso. Las organizaciones advierten que siguen llegando capacidades de vigilancia a gobiernos que pueden utilizarlas para la represión y cuestionan los mecanismos actuales de evaluación de riesgos, diligencia debida y transparencia. También piden reforzar los controles sobre tecnologías que no aparecen explícitamente en las listas de exportación. Una discusión importante sobre las responsabilidades de la industria y los Estados que permiten la circulación internacional de estas herramientas.
Center for Democracy & Technology
Webloc: la vigilancia policial construida con datos publicitarios
Bloomberg investigó Webloc, una plataforma comercializada por Penlink que permite a autoridades rastrear teléfonos mediante información obtenida del ecosistema publicitario. Según materiales comerciales revisados por el medio, el sistema puede seguir dispositivos en distintos países a partir de datos asociados con aplicaciones cotidianas, incluidas las de clima, juegos y correo. En Estados Unidos, estas capacidades pueden utilizarse sin las mismas autorizaciones judiciales que normalmente se exigirían para otros métodos de seguimiento. Otro caso que conecta directamente con nuestra discusión en Anomalía #19 sobre la responsabilidad de la industria publicitaria en la vigilancia moderna.
Spyware mercenario contra teléfonos de funcionarios alemanes
El Gobierno alemán confirmó que dispositivos Apple utilizados por integrantes del Gobierno, parlamentarios y otras figuras públicas recibieron notificaciones de amenaza. La Oficina Federal de Seguridad de la Información investiga el alcance de los ataques, que podrían estar relacionados con spyware mercenario. Por ahora no se conoce públicamente quién estuvo detrás ni se ha confirmado que todos los dispositivos alertados hayan sido infectados. El caso recuerda que las notificaciones de Apple pueden ser una señal importante para iniciar una investigación forense, pero no sustituyen la verificación técnica del compromiso.
¿Quién protege a quienes informan en México?
Associated Press investigó las deficiencias del mecanismo federal de protección a periodistas y personas defensoras de derechos humanos en México. A través de varios testimonios muestra retrasos, medidas de protección insuficientes, fallas de coordinación y casos en los que las personas amenazadas tuvieron que acudir a los tribunales para conservar su seguridad. La investigación recuerda que la protección no termina con entregar un botón de pánico o instalar cámaras: también depende de que existan instituciones capaces de responder a las amenazas y garantizar que periodistas y personas defensoras puedan continuar su trabajo.
--[ Plataformas y desinformación ]--
Fabricando la teoría del «gran reemplazo» mediante una operación de influencia internacional
Una extensa investigación de Dysinfluence documenta una campaña de publicidad y manipulación informativa que difundió narrativas contra personas musulmanas y migrantes, principalmente en Europa, además de mensajes contra Qatar e Irán. Entre octubre de 2023 y octubre de 2026, los investigadores registraron al menos 533 millones de exposiciones a sus contenidos en 30 países. El análisis reconstruye identidades falsas, anuncios, sitios web, infraestructura y operaciones en distintas plataformas. Los autores consideran, con confianza moderada a alta, que la operación se originó en Israel, aunque no identificaron quién la encargó o financió. Un trabajo especialmente interesante por su metodología de atribución y reconstrucción de una campaña a gran escala.
--[ Infraestructura y crimen organizado ]--
Ciberataque contra el puerto más grande de Latinoamérica
La Autoridad Portuaria de Santos, en Brasil, confirmó un ciberataque ocurrido el 6 de noviembre que dejó fuera de servicio sistemas administrativos, telefonía e Internet. Aunque las operaciones portuarias no se detuvieron, parte de los procedimientos tuvieron que realizarse manualmente y se reportaron demoras en el movimiento de cargas. La Policía Federal abrió una investigación y todavía no se ha determinado si hubo acceso indebido a información. El caso muestra cómo un ataque contra los sistemas administrativos de una infraestructura crítica puede afectar su funcionamiento incluso cuando los sistemas logísticos permanecen operativos.
Ataques DDoS contra la plataforma de identidad digital de Brasil
Serpro, la empresa pública de tecnología brasileña, informó que su infraestructura enfrentó ataques de denegación de servicio de una magnitud sin precedentes durante los últimos meses, incluyendo intentos recientes contra servicios vinculados con Gov.br. La entidad sostiene que sus defensas evitaron afectaciones a la plataforma de identidad, aunque otros servicios gubernamentales reportaron problemas de autenticación en el mismo período. Sin cifras técnicas públicas, todavía es difícil dimensionar los ataques y relacionarlos con esas interrupciones. Biometric Update
Los carteles mexicanos incorporan drones guiados por fibra óptica
Un análisis de Small Wars Journal examina cómo organizaciones criminales mexicanas están incorporando tecnologías utilizadas en conflictos militares recientes. En Sinaloa, las autoridades incautaron drones y carretes de fibra óptica que permitirían controlar aeronaves sin depender de enlaces de radio convencionales, haciéndolas resistentes a inhibidores de señal. El artículo también examina capacidades de vigilancia, operaciones cibernéticas y control territorial. Un ejemplo de cómo las tecnologías de uso dual pueden circular rápidamente entre escenarios de guerra y organizaciones criminales.
Internet satelital, drones y minería ilegal en Latinoamérica
Una investigación de Associated Press recoge las preocupaciones de la Relatoría Especial sobre Derechos Económicos, Sociales, Culturales y Ambientales de la CIDH acerca del uso de tecnología por redes de minería ilegal, tala y otras economías criminales. La conectividad satelital permite coordinar operaciones en territorios remotos, mientras los drones pueden utilizarse para vigilancia y amenazas contra comunidades. La tecnología también puede ayudar a las comunidades a documentar daños ambientales y proteger sus territorios. El problema es especialmente relevante para personas defensoras del territorio en países como Colombia.
--[ Filtraciones ]--
Colombia - Una oleada de anuncios de presuntos ataques contra entidades
MuchoHacker registró al menos diez anuncios de posibles ataques contra organizaciones públicas y privadas de Colombia entre el 6 y el 9 de noviembre. Entre las entidades mencionadas aparecen la Superintendencia de Industria y Comercio, el SENA, la DIAN y el Instituto Nacional de Salud, además de varias empresas. Los anuncios circularon en foros, canales de Telegram y sitios de grupos de ransomware. La mayoría de las afirmaciones provienen directamente de los atacantes y, al momento del reporte, las entidades no habían confirmado los incidentes. Es importante seguir las verificaciones: publicar una base de datos o anunciar una intrusión no demuestra necesariamente que la información sea nueva ni que provenga de un compromiso reciente.
Nueva alerta por una presunta filtración de la Secretaría de la Mujer en Colombia
A los numerosos anuncios de posibles ataques contra entidades colombianas durante los últimos días se suma una nueva alerta publicada por VECERT Radar sobre una presunta filtración de información de la Secretaría de la Mujer. Por ahora no contamos con una confirmación oficial del incidente ni con una verificación independiente de los datos que supuestamente fueron comprometidos. Sin embargo, vale la pena seguirle la pista, especialmente por la sensibilidad de la información que pueden manejar las instituciones encargadas de atender a mujeres y personas en situaciones de violencia.
--[ Seguridad digital ]--
Solo el 1 % de los dispositivos Android utiliza la versión más reciente
Según las cifras de distribución publicadas a través de Android Studio, Android 17 apenas alcanza el 1 % de los dispositivos activos, mientras Android 16 concentra el 25,4 %. Más preocupante aún: el 43,6 % sigue utilizando Android 13 o versiones anteriores. Estos datos no indican directamente cuántos teléfonos tienen parches de seguridad pendientes, pero sí muestran la fragmentación del ecosistema y las dificultades para distribuir nuevas versiones. Una realidad importante para quienes trabajamos en seguridad digital con personas que no siempre pueden reemplazar sus dispositivos.
--[ Exfiltradaz - Snapshot del 30/10/2026 al 12/11/2026 ]--
Durante este periodo se identificaron 11 referencias a filtraciones, accesos comprometidos y publicaciones asociadas a ransomware en cuatro países de América Latina. Brasil concentró la mayor cantidad de registros, con seis referencias, seguido por Colombia y México, con dos cada uno, y Bolivia, con una. Los sectores más frecuentes fueron Ransomware, con seis registros, y Credential Marketplace, con cuatro. También se identificó una referencia en el sector Financial.
La actividad asociada a ransomware incluyó publicaciones sobre organizaciones de Colombia, México, Brasil y Bolivia. Entre ellas aparecen Clínica La Sagrada Familia, Comercial en Fletes México, MAPFRE Brasil y Mercantile Investment Corporation Bolivia S.A. En el caso de Clínica La Sagrada Familia y MAPFRE Brasil se encontraron referencias tanto en alertas de monitoreo como en publicaciones de feeds de ransomware. Estos registros reflejan anuncios atribuidos a grupos como Whitearmor, Eclipse, Destello y TheGentlemen (otra vez).
En el mercado de credenciales se observaron nuevas publicaciones sobre accesos a cuentas de correo brasileñas, anunciados como valid, fresh y checked.
Más detalles de estas filtraciones en Exfiltradaz.
--[ ZOLIM --> Snapshot 12/11/2026 ]--
9 nuevas y muy interesantes IPs para este snapshot de ZOLIM. Con estas ya completamos 316 servidores detectados desde que empezamos el observatorio. :)
Algunas señales interesantes:
- Hack5 Cloud C2: Este particular C2 usado para hacer pruebas de penetración de redes wifi de forma remota sigue rodando en Chile, parece ser el mismo “aparato” cambiando de IP en el mismo ISP y en este snapshot encontramos otro en Brasil en la ciudad de Fortaleza con la extrañez de que tiene una ip atribuida a Digital Ocean.
- Sliver: Encontramos una nueva instancia en Chile que no veíamos desde diciembre del año pasado y otra nueva instancia en Brasil. Sliver es una de las herramientas más detectadas por ZOLIM después de GoPhish.
- Venezuela: siguen cambiando de IP, pero en el mismo ISP (lo que parece un datacenter) de Cobalt Strike y GoPhish.
> Si quieres profundizar, date una vuelta por ZOLIM. En la tabla de la parte inferior puedes buscar y cruzar los datos por país, ASN, IP, amenaza, ciudad y otros campos. Cada IP es una buena excusa para empezar a investigar. :)