Amenaza de Actores Cibernéticos Afiliados a Irán

Descripción general

La Oficina Federal de Investigaciones (FBI), la Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA), la Agencia de Seguridad Nacional (NSA) y la Agencia de Protección Ambiental (EPA) están advirtiendo urgentemente a las organizaciones estadounidenses sobre la explotación cibernética continua de dispositivos operativos conectados a Internet (OT), incluidos los controladores lógicos programables (PLC) fabricados por Rockwell Automation/Allen-Bradley, en múltiples sectores de infraestructuras críticas de EE. UU.

Acciones recomendadas

La EPA recomienda que los sistemas de agua y aguas residuales revisen las tácticas, técnicas y procedimientos (TTPs) y los indicadores de compromiso (IOCs) en este aviso para detectar indicios de actividad actual o histórica en sus redes, y que apliquen los pasos inmediatos recomendados para prevenir el ataque:

  • Limitar la exposición de los PLC a la red pública
  • Cerciorar de que los PLC estén en modo de ejecución para evitar modificaciones remotas
  • Sustituye todas las contraseñas predeterminadas en PLCs y OT por contraseñas fuertes y únicas

Se anima a los sistemas de agua a revisar e implementar los pasos adicionales de seguimiento incluidos en el aviso para fortalecer aún más su postura de ciberseguridad.

Asistencia Técnica

Si tiene preguntas sobre alguna de la información de esta alerta, incluida la asistencia con los pasos de mitigación, envíe una solicitud al Programa de Asistencia Técnica en Ciberseguridad de la EPA para el Sector del Agua.

Reportar un incidente

Se anima a las organizaciones a informar sobre actividades sospechosas o delictivas al Centro de Denuncias de Delitos en el Internet del FBI (IC3) en IC3.gov o a CISA a través del Sistema de Reporte de Incidentes de CISA.

Asesoramiento de acceso aquí

CISA y sus socios publican directrices para la explotación global continua de los sistemas Cisco SD-WAN – 2/25/26

CISA y sus socios observaron actores cibernéticos maliciosos que atacan y comprometen sistemas Cisco SD-WAN de organizaciones a nivel global. Se observó que estos actores explotan una vulnerabilidad de bypass de autenticación previamente no revelada, CVE-2026-20127, para acceder inicialmente antes de escalar privilegios usando CVE-202220775 y establecer persistencia a largo plazo en sistemas Cisco SD-WAN.

Haz clic aquí para visitar un enlace a la alerta CISA.

Hacktivistas pro-Rusia llevan a cabo ataques oportunistas contra infraestructuras críticas de Estados Unidos y del mundo

El FBI, CISA y NSA evalúan que los grupos hacktivistas pro-Rusia están llevando a cabo ataques menos sofisticados y de menor impacto contra entidades de infraestructuras críticas, en comparación con los grupos de amenaza persistente avanzada (APT). Estos ataques emplean conexiones de computación en red virtual (VNC) mínimamente seguras y orientadas a Internet para infiltrar (o acceder a) dispositivos de control OT dentro de sistemas de infraestructura crítica. Grupos hacktivistas pro-rusos—Cyber Army of Russia Reborn (CARR), Z-Pentest, NoName057(16), Sector16y grupos convertidos en miembro—están aprovechando la amplia prevalencia de dispositivos VNC accesibles para ejecutar ataques contra entidades críticas de infraestructura, lo que resulta en distintos grados de impacto, incluyendo daños físicos. Los sectores objetivo incluyen Sistemas de Agua y Aguas Residuales, Alimentación y Agricultura, y Energía.

Más información sobre esta alerta se puede encontrar aquí.

Alerta CISA por la puerta trasera de BRICKSTORM

La Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA), la Agencia de Seguridad Nacional (NSA) y el Centro Canadiense de Ciberseguridad (Cyber Centre) evalúan que los actores cibernéticos patrocinados por el Estado de la República Popular China (RPC) están empleando el malware BRICKSTORM para persistir a largo plazo en los sistemas de las víctimas. CISA, NSA y el Centro Cibernético están publicando este Reporte de Análisis de Malware para compartir indicadores de compromiso (IOCs) y firmas de detección basadas en el análisis de ocho muestras de BRICKSTORM. CISA, NSA y el Cyber Centre instan a las organizaciones a emplear los IOCs y firmas de detección para identificar muestras de malware BRICKSTORM.

Más información sobre la alerta puede encontrar en el sitio web de CISA aquí.

Incidentes cibernéticos que involucran el software Cityworks

La EPA está emitiendo esta alerta para informar a los propietarios y operadores de sistemas de agua y aguas residuales sobre incidentes cibernéticos que involucran a Cityworks Software. La plataforma Cityworks (propiedad de Trimble) es ampliamente empleada por municipios estatales, locales, tribales y territoriales, incluidos los sistemas de agua y aguas residuales.  Lea más sobre esta alerta aquí.

Vulnerabilidades de Microsoft Sharepoint

La EPA de EE. UU. está emitiendo esta alerta para informar a los propietarios y operadores de sistemas de agua y aguas residuales sobre la necesidad de una mayor vigilancia en torno al uso de Microsoft SharePoint.  Si bien se siguen evaluando el alcance y el impacto, la cadena, reportada públicamente como "ToolShell", proporciona acceso no autenticado a los sistemas y acceso autenticado a través de la suplantación de identidad, respectivamente, y permite a los actores maliciosos acceder completamente al contenido de SharePoint, incluidos los sistemas de archivos y las configuraciones internas, y ejecutar código a través de la red.  Vea una actualización completa sobre este comunicado en la sitio web de CISA.