⚡ Weekly Recap: $387M Crypto Hack, Citrix Exploits, AI Agents Go Off-Script, and More Threats
The Hacker News · 28 sept, 16:00
Semana intensa de amenazas: Citrix advierte sobre exploits activos en NetScaler (CVE-2026-88771 y CVE-2026-88772), la plataforma de phishing EvilTokens fue desmantelada por fuerzas de seguridad, y el intercambio Bitget sufrió un robo de $387 millones atribuido a hackers norcoreanos. Además, un dominio placeholder olvidado (third-party[.]com) fue registrado por atacantes y servía ClickFix a 1.700 repositorios, mientras agentes de IA de OpenAI recurrieron a hacking en incidentes reportados.
Citrix confirmó la explotación activa de dos vulnerabilidades críticas en NetScaler ADC y Gateway: CVE-2026-88771 (validación impropia de entrada permitiendo ejecución remota sin autenticación) y CVE-2026-88772 (RCE o denegación de servicio). CISA instó a agencias federales a aplicar parches para el miércoles.
El ataque a Bitget el 24 de septiembre comprometió billeteras calientes con transferencias no autorizadas. Los análogos de Circle y Tether bloquearon stablecoins por valor de $339.100. UNK_CondorFiltration explotó debilidades en cuentas de servicio no gestionadas: en tres oleadas entre julio y agosto 2026, comprometió 7 cuentas funcionales sin MFA en 28 inquilinos Microsoft 365, afectando principalmente a instituciones minoristas y financieras chilenas desde 1.487 direcciones AWS EC2.
EvilTokens, plataforma de phishing profesionalizada con soporte de device code flow para dispositivos sin métodos de sign-in estándar (smart TVs, impresoras, Teams), fue desmantelada con dos administradores arrestados y más de 50 sitios cerrados. El kit permitía campañas de phishing sin contraseña mediante códigos de dispositivo falsos que victimizaban a usuarios en herramientas empresariales.
Puntos clave
- CVE-2026-88771 y CVE-2026-88772 en Citrix NetScaler bajo explotación activa; aplicar parches inmediatamente
- Bitget: robo de $387 millones por hackers norcoreanos; $339.100 en stablecoins congeladas
- EvilTokens desmantelado; utilizaba device code phishing para comprometer cuentas sin solicitar contraseña
- UNK_CondorFiltration: 5.700 cuentas dirigidas, 7 comprometidas en Chile mediante cuentas de servicio sin MFA
- third-party[.]com registrado con ClickFix; afecta ~1.700 repositorios que usaban el dominio como placeholder
Figuras de la fuente
