Blog

Explora nuestros artículos sobre ciberseguridad, hacking ético, tutoriales, writeups de CTF y noticias del mundo de la seguridad informática

tutoriales · 18 min
ByBit / Safe{Wallet}: cómo Lazarus robó $1.5B cambiando un flag de operation=0 a operation=1
El 21 de febrero de 2025, TraderTraitor exfiltra 401.347 ETH de la cold wallet de ByBit. El multi-sig no tiene bug, la blockchain tampoco: lo que se rompe es la cadena de visualización. JavaScript inyectado en app.safe.global desde un developer machine de Safe comprometido por un Docker malicioso 17 días antes. El firmante ve transferencia rutinaria; lo que firma es un delegatecall que reescribe el slot 0 del proxy.
25 feb 2025 · Manuel López Pérez
ai-security · 41 min
AI Security 2024 — dossier anual
Doce meses en diez ejes. 2024 es el año en que AI infrastructure se reveló como categoría con CVEs propias, los agentes pasaron del laboratorio al producto (Claude Computer Use, MCP, Salesforce Agentforce), la regulación entró en aplicación (EU AI Act en vigor 1-ago, NIS2 deadline 17-oct, NIST AI 600-1), y los jailbreaks se profesionalizaron con métricas reproducibles (ArtPrompt, Many-shot, Skeleton Key). Por debajo, Recall sale sin threat modeling y se retira, Arup pierde $25M en una videollamada con deepfakes, y la cadena de incidentes pre-positioning (Volt Typhoon, Salt Typhoon, Storm-0558 fallout) recorre todo el año. Referencia anual canónica.
15 feb 2025 · Manuel López Pérez
compliance · 16 min
EU AI Act — el Art. 5 entra en aplicación: ocho prácticas prohibidas en la UE desde el 2 de febrero de 2025
Primer escalón real del Reglamento (UE) 2024/1689. El 2 de febrero entran en aplicación las prohibiciones de prácticas inaceptables y la obligación de alfabetización IA. Tabla de las ocho categorías con artículo, producto real afectado y plazo, más las exenciones del Art. 5.2 y la extraterritorialidad del Art. 2.
5 feb 2025 · Manuel López Pérez
noticias · 11 min
Boletín — enero 2025
DORA empieza el 17 de enero. Trump deroga la EO de Biden sobre AI el día de la toma de posesión. DeepSeek-R1 abre la categoría reasoning open-weights. OpenAI lanza Operator, primer agente comercial generalista. Ivanti Connect Secure zero-day. Fortinet FortiOS auth bypass exfiltra config de 15.000 firewalls. SonicWall SMA1000 deserialization. BeyondTrust/Treasury cierra forense. Patch Tuesday con 159 CVEs y 8 zero-days.
1 feb 2025 · Manuel López Pérez
ai-security · 13 min
DeepSeek-R1: el primer reasoning model con CoT abierta y lo que cambia para AI security
El 20 de enero DeepSeek publica R1 con paper, repo y pesos en Hugging Face bajo MIT. Es la primera vez que un reasoning model con chain-of-thought entrenada por RL está disponible en pesos abiertos. La CoT entre etiquetas <think></think> es texto plano inspeccionable —y atacable.
25 ene 2025 · Manuel López Pérez
compliance · 14 min
DORA aplicable desde el 17 de enero: Reglamento (UE) 2022/2554 y los cinco pilares operativos
El 17 de enero de 2025 entra en aplicación DORA. Aplica a bancos, aseguradoras, fondos, fintech, IORPs, CASPs regulados bajo MiCA y a los ICT third-party providers críticos designados por las ESAs. Cinco pilares de obligaciones, TLPT cada tres años para entidades importantes, registro de proveedores ICT, y lex specialis frente a NIS2 para finanzas.
20 ene 2025 · Manuel López Pérez
noticias · 13 min
Boletín — diciembre 2024
Cl0p reincide con Cleo MFT y rompe el primer patch. BeyondTrust SaaS lleva a Treasury (Silk Typhoon, no Volt). 12 días de Shipmas de OpenAI. Gemini 2.0, Phi-4, DeepSeek-V3. DORA empieza el 17 de enero. Retrospectiva 2024.
1 ene 2025 · Manuel López Pérez
ai-security · 11 min
Retrospectiva AI security 2024: cinco patrones que se quedan
No es ranking ni listicle. Cinco patrones del año con análisis y cross-links a los técnicos del año: long context as attack surface, agentes en producción, jailbreaks por optimización, launches sin amenaza modeling, reasoning models como nueva superficie.
30 dic 2024 · Manuel López Pérez
tutoriales · 11 min
Cleo MFT CVE-2024-50623: Cl0p cierra el año con el tercer managed file transfer
Huntress detecta el 3 de diciembre explotación as zero-day de un bug en Cleo Harmony, VLTrader y LexiCom. El patch inicial 5.8.0.21 no mitiga; sale CVE-2024-55956 y un segundo patch 5.8.0.24. Cl0p reivindica el 14 de diciembre. Tercer MFT del grupo en dos años.
12 dic 2024 · Manuel López Pérez
noticias · 9 min
Boletín — noviembre 2024
Anthropic publica MCP el 25 de noviembre. Palo Alto suma CVE-2024-0012 + CVE-2024-9474 al catálogo KEV, explotación as zero-day documentada por watchTowr. T-Mobile aparece en el listado oficial de Salt Typhoon. Hot Topic ve 56 millones de cuentas filtradas. HellCat reincide contra Schneider Electric. Connor Moucka consiente extradición.
1 dic 2024 · Manuel López Pérez
ai-security · 14 min
Confused deputy revisitado: Model Context Protocol y la versión protocolo del bug
Anthropic publica MCP el 25 de noviembre. La conexión modelo ↔ herramientas externas pasa a ser un spec abierto con tres primitivas: tools, resources, prompts. El spec dice que el host SHOULD pedir consentimiento; reconoce que el protocolo no lo puede forzar. El patrón confused deputy que documentamos en septiembre 2023 vuelve, ahora como integración estándar.
28 nov 2024 · Manuel López Pérez
noticias · 10 min
Boletín — octubre 2024
La semana en que el agente AI movió el ratón: Anthropic lanza computer use el 22-oct y Rehberger publica el primer ZombAI el 24. Detrás: FortiManager exploited as zero-day, Internet Archive expone 31M cuentas, Ivanti CSA con tres CVEs en explotación, NIS2 vence sin transponer en España. Microsoft cierra dos zero-days en Patch Tuesday y OpenAI lanza ChatGPT Search.
1 nov 2024 · Manuel López Pérez

Newer posts

Older posts