La hipótesis convencional de que los incidentes de intrusión en infraestructuras corporativas críticas dependen del despliegue de vulnerabilidades de día cero (zero-days) de alto costo en el mercado negro ha quedado desvirtuada por la telemetría operativa regional. En América Latina, la persistencia de brechas de seguridad masivas responde a un factor estructural: la deuda técnica no saneada y la ausencia de ciclos sistemáticos de parches en suites de productividad heredadas. Los actores de amenaza no requieren sofisticación algorítmica de vanguardia cuando el parque de estaciones de trabajo empresariales continúa ejecutando componentes con fallas de corrupción de memoria documentadas desde hace casi una década.
De acuerdo con el informe de inteligencia de amenazas publicado por ESET Latinoamérica correspondiente al primer semestre de 2026, el 81.8% de todos los incidentes de explotación de software registrados en la región se concentró exclusivamente en dos vulnerabilidades de Microsoft Office divulgadas en 2017. El panorama semestral evidencia una cadena de suministro del cibercrimen altamente industrializada: el vector inicial está dominado por la ingeniería social (23.66% del total de eventos) y los descargadores (downloaders, 14.94%), los cuales canalizan operaciones de extracción masiva de credenciales mediante Infostealers, troyanos bancarios geosegmentados y ataques quirúrgicos de extorsión corporativa bajo la modalidad de Ransomware-as-a-Service (RaaS).
Radiografía Forense: Distribución de Amenazas y Vectores de Explotación en América Latina (S1 2026)
| Vector de Amenaza / Componente | Cuota / Métrica Regional | Vulnerabilidades / Familias Clave | Impacto Técnico y Operativo en la Red |
| Exploits en Suites Ofimáticas | 81.8% del total de exploits | CVE-2017-0199 (58.3%) y CVE-2017-11882 (23.5%) | Ejecución remota de código en memoria mediante procesamiento de documentos enriquecidos (RTF/DOC). |
| Ingeniería Social e Infección Inicial | 23.66% de las alertas globales | Phishing web (HTML.Agent), QRishing y señuelos PDF | Evasión de pasarelas SEG mediante suplantación de DocuSign, WeTransfer y Telegram. |
| Descargadores Intermedios (Droppers) | 14.94% del volumen de eventos | JS/TrojanDownloader.Agent, Win/TrojanDownloader.VB | Ejecución asíncrona de scripts para descargar etapas secundarias sin escribir binarios en disco. |
| Persistencia y Control Remoto (RATs) | 4.83% de las detecciones | Webshells (PHP), Win/HoudRat, MSIL/XWorm, binarios RMM | Mantenimiento de acceso perimetral y maniobras Living-off-the-Land con herramientas de TI legítimas. |
| Extracción Masiva de Credenciales | Dominio del modelo MaaS | Win/PSW.Amatera, AgentTesla, Formbook, LummaStealer | Exfiltración de bóvedas de navegadores, cookies de sesión, tokens VPN y credenciales bancarias. |
| Troyanos Bancarios Especializados | Segmentación por mercado local | Grandoreiro (regional), Mispadu, Mekotio, Casbaneiro | Inyección de interfaces falsas en plataformas de homebanking y vaciado de pasarelas de pago. |
| Secuestro y Extorsión Corporativa | 0.28% (Volumen) / Máximo impacto crítico | Heurística Win/Filecoder (>85%), grupos RaaS: Qilin, Babyk | Cifrado asimétrico de almacenamiento masivo y filtración de bases de datos mediante doble extorsión. |
La física de la intrusión heredada: De la corrupción de memoria en Equation Editor al ransomware RaaS
La persistencia de exploits con nueve años de antigüedad revela cómo los esquemas de ataque automatizados aprovechan la falta de parches a nivel de host:
[Documento RTF/DOC Malicioso] ➔ [Desbordamiento de Búfer: CVE-2017-11882] ➔ [Descargador JS/VB (Fase 2)] ➔ [Inyección de Infostealer Amatera] ➔ [Exfiltración de Credenciales] ➔ [Despliegue de Ransomware Qilin]
- La Falla Estructural de CVE-2017-11882: Esta vulnerabilidad reside en el ejecutable
EQNEDT32.EXEde Microsoft Office (Equation Editor). Debido a que este componente fue compilado originalmente a finales de la década de 1990 sin habilitar mecanismos modernos de protección del sistema operativo —como la Aleatorización del Diseño del Espacio de Direcciones (ASLR) o la Prevención de Ejecución de Datos (DEP)—, el envío de una fuente tipográfica malformada dentro de un archivo RTF desborda el búfer de la pila (stack buffer overflow), permitiendo al atacante secuestrar el puntero de instrucción y ejecutar código arbitrario con los privilegios del usuario local. - Industrialización del Malware-as-a-Service (MaaS): Una vez abierto el documento, entran en juego los descargadores secundarios que instalan familias como Win/PSW.Amatera o LummaStealer. Estos infostealers están optimizados para evadir las defensas tradicionales: operan directamente en la memoria RAM, desensamblan las estructuras criptográficas de Chromium y Gecko para extraer contraseñas maestras y transmiten los datos empaquetados hacia paneles de control remotos antes de que los equipos de respuesta a incidentes detecten la fuga.
- El Embudo Quirúrgico del Ransomware: Aunque el ransomware representa solo el 0.28% de las alertas en telemetría regional, su impacto financiero es devastador. Los operadores de grupos dirigidos como Qilin o Babyk adquieren credenciales corporativas previamente robadas por infostealers para acceder a redes internas vía VPN o RDP. Una vez dentro, utilizan software de administración remota legítimo (RMM) para moverse lateralmente sin levantar alertas antivirus, extrayendo gigabytes de información sensible antes de activar el cifrado masivo de discos mediante la firma Win/Filecoder.
Contramedidas de arquitectura y endurecimiento perimetral para CISOs
Frente a un ecosistema donde el atacante explota la negligencia en el mantenimiento de parches y la suplantación de identidad en documentos PDF y códigos QR (QRishing), las organizaciones deben implementar controles técnicos compensatorios:
- Remediación Inmediata de Deuda Técnica: Priorizar el despliegue del catálogo de parches de Microsoft para CVE-2017-0199 y CVE-2017-11882, o en su defecto, deshabilitar por completo el registro del motor
EQNEDT32.EXEy restringir el procesamiento automático de archivos RTF en los puntos de entrada de correo. - Transición a Claves Físicas FIDO2/WebAuthn: La autenticación multifactor tradicional basada en códigos SMS o notificaciones push es susceptible al robo de tokens de sesión y ataques de intermediario (AiTM). Adoptar autenticación multifactor basada en criptografía de clave pública resistente al phishing neutraliza la efectividad operativa de infostealers como Amatera o AgentTesla.
- Inspección de Tráfico e Ingeniería Inversa en el Borde: Las pasarelas de correo deben incluir módulos de Desensamblado y Reconstrucción de Contenido (CDR) para desinfectar adjuntos PDF y motores de análisis visual capaces de descifrar y seguir los enlaces anidados dentro de códigos QR antes de su entrega al buzón del usuario final.
- Monitorización Continua en Endpoint (EDR/XDR): Dado que el 85% de los bloqueos de ransomware se gestionan mediante heurística genérica (Win/Filecoder), las organizaciones requieren herramientas de detección y respuesta en endpoint configuradas para bloquear la creación masiva de hilos criptográficos en procesos del sistema y supervisar el uso no autorizado de binarios administrativos legítimos (Living-off-the-Land).
“El balance de ciberamenazas en América Latina demuestra que la resiliencia corporativa no se construye adquiriendo la tecnología más exótica del mercado, sino resolviendo la higiene digital básica. Mientras las redes corporativas sigan permitiendo la ejecución de exploits de 2017 en documentos ofimáticos, los atacantes continuarán vaciando cuentas bancarias y secuestrando centros de datos utilizando las mismas tácticas de hace una década”, señalan los analistas de inteligencia defensiva de la región.
Con la consolidación de redes de doble extorsión y la diversificación de infostealers bajo demanda, el primer semestre de 2026 ratifica que la gestión proactiva de vulnerabilidades heredadas y el blindaje estricto de las credenciales de identidad son los únicos escudos viables frente al crimen informático organizado en el continente.
¿Consideras que la persistencia en América Latina de fallas documentadas desde 2017 obedece principalmente al uso generalizado de licencias de software ofimático no autorizadas sin soporte de parches, o a una falta de asignación presupuestaria en los departamentos de tecnología corporativa?