Por: Alysa Taylor, directora de marketing, nube comercial e inteligencia artificial.

Una nueva generación de empresas líderes en la industria ha comenzado a tomar forma: Frontier Firms (Empresas Frontera). Estas organizaciones combinan la ambición humana con la tecnología impulsada por IA para remodelar la forma en que se escala la innovación, se orquesta el trabajo y se crea valor. Estas empresas aceleran la transformación de la IA para enriquecer las experiencias de los empleados, reinventar el compromiso del cliente, remodelar los procesos comerciales y desbloquear la creatividad y la innovación.

Para capacitar a los clientes para que se conviertan en Frontera, nos complace anunciar el lanzamiento del reinventado Microsoft Marketplace, su fuente confiable de soluciones en la nube, aplicaciones de IA y agentes. Esto hace que Marketplace sea una extensión de Microsoft Cloud, donde colaboramos con nuestro ecosistema de socios para llevar sus innovaciones a nuestros clientes a nivel mundial. Al ofrecer un catálogo completo en soluciones e industrias en la nube, Microsoft Marketplace acelera el camino para convertirse en una Empresa Frontera. Con el anuncio de hoy, nos complace compartir:

• El nuevo Microsoft Marketplace, un único destino para encontrar, probar, comprar e implementar soluciones en la nube, aplicaciones de IA y agentes. Azure Marketplace y Microsoft AppSource ahora están unificados para simplificar la administración de la nube y la IA. Disponible hoy en los EE. UU. y más adelante para clientes de todo el mundo.
• Decenas de miles de soluciones en la nube y de la industria en el catálogo de Marketplace en una amplia gama de categorías que van desde datos y análisis hasta productividad y colaboración, además de ofertas específicas de la industria.
• Más de 3 mil aplicaciones y agentes de IA están disponibles directo en Marketplace y en los productos de Microsoft, desde Azure AI Foundry hasta Microsoft 365 Copilot, con un aprovisionamiento rápido dentro de su entorno de Microsoft a través de estándares del sector como Model Context Protocol (MCP).
• Integraciones de Marketplace con el ecosistema de canal de Microsoft, lo que les permite comprar donde y como quieran, ya sea de su proveedor de servicios en la nube (CSP, por sus siglas en inglés) o de un socio de confianza para adquirir soluciones en la nube y de inteligencia artificial en su nombre.

Click here to load media

Aplicaciones y agentes de IA para cada caso de uso

Microsoft Marketplace les da acceso a miles de aplicaciones y agentes de IA de nuestro rico ecosistema de partners diseñado para automatizar tareas, acelerar la toma de decisiones y desbloquear valor en toda su empresa. Con una nueva categoría de aplicaciones y agentes de IA, pueden encontrar soluciones de IA de forma fácil y segura que se integren con los productos de Microsoft existentes de su organización.

«Con Microsoft Marketplace, redujimos el tiempo de configuración de las aplicaciones de IA de casi 20 minutos a solo 1 minuto por instancia. Ese aumento de eficiencia se ha traducido en una mayor productividad y menores costos operativos. Marketplace es un canal estratégico para Siemens, donde hemos visto un aumento de 8 veces en la adopción por parte de los clientes. Es una plataforma poderosa para escalar ambos lados de nuestro negocio».

— Jeff Zobrist, vicepresidente del ecosistema global de socios y Go To Market |
Software de Siemens Digital Industries

Un agradecimiento especial a estos socios que lanzan hoy nuevas ofertas de IA en Microsoft Marketplace:

Catálogo completo en soluciones en la nube e industrias

Microsoft Marketplace ofrece soluciones en docenas de categorías que van desde datos y análisis hasta productividad y colaboración, además de ofertas específicas de la industria. Microsoft Marketplace es una extensión perfecta de Microsoft Cloud, que une soluciones integradas con Azure, Microsoft 365, Dynamics 365, Power Platform, Microsoft Security y más.

«Microsoft Marketplace, en particular, nos ayuda a equilibrar la innovación con la confianza al brindarnos acceso a soluciones confiables que se integran a la perfección con nuestro entorno de Azure, lo que en última instancia nos permite avanzar más rápido mientras nos mantenemos fieles a nuestros Cinco Principios».

— Matthew Hillegas, director comercial – Infraestructura y Seguridad de la Información |Marte Inc.

En el caso de las organizaciones con un compromiso de consumo de Microsoft Azure, el 100% de la compra de cualquiera de las miles de  soluciones aptas para las ventajas de Azure  disponibles en Marketplace contará para su compromiso. Esto les ayuda a gastar de manera más inteligente para maximizar sus inversiones en la nube y la IA.

Experiencia integrada desde el descubrimiento hasta la implementación

Las soluciones en la nube relevantes a nivel contextual, las aplicaciones de IA y los agentes creados por nuestros socios también están disponibles directo en los productos de Microsoft, lo que proporciona a los usuarios, desarrolladores y profesionales de TI soluciones aprobadas en el flujo de trabajo. Por ejemplo, la Tienda de agentes incluye agentes de Copilot dentro de la experiencia de Microsoft 365 Copilot. Lo mismo se aplica a las aplicaciones en Microsoft Teams, modelos y herramientas en Azure AI Foundry y experiencias futuras, incluidos los servidores MCP.

Al integrar las ofertas de Marketplace directo en la nube de Microsoft, TI está equipado con herramientas de administración y control que permiten tanto la innovación como la gobernanza. Cuando adquieren un agente de Copilot o una aplicación que se ejecuta en Azure desde Microsoft Marketplace, se aprovisiona y distribuye a los miembros del equipo en función de los estándares de seguridad y gobernanza.

Click here to load media

Impulsar el crecimiento de los socios

Para nuestros socios, Microsoft Marketplace se encuentra en el centro de cómo trabajamos juntos. Ampliamos de manera continua sus capacidades para ayudar a nuestros socios a impulsar el crecimiento, ya sea que eso signifique escalar a través de ventas digitales, profundizar las asociaciones de canal u obtener acuerdos transformadores.

Hemos invertido en ofertas privadas multipartitas, integración de CSP y ofertas privadas de CSP para conectar empresas de desarrollo de software y socios de canal en Marketplace, para crear soluciones más completas que satisfagan las necesidades de los clientes. Hoy, nos complace compartir que socios valiosos como Arrow, Crayon, Ingram Micro, Pax8 y TD SYNNEX han integrado Microsoft Marketplace en sus mercados, para ampliar aún más el alcance de los clientes.

Además, una nueva funcionalidad de Marketplace denominada ofertas habilitadas para la reventa ahora está en versión preliminar privada. Esto permite a las empresas de software autorizar a sus socios de canal a vender en su nombre a través de ofertas privadas, lo que desbloquea nuevas rutas al mercado.

«Estamos muy entusiasmados con el camino a seguir con Microsoft. Esta integración con el catálogo de Marketplace es solo el comienzo: vemos un potencial infinito para co-innovar y ayudar a los clientes a navegar su transformación de IA con confianza».

— Melissa Mulholland, codirectora ejecutiva | SoftwareOne y Crayon

Nicole Dezen, directora de socios y vicepresidenta corporativa de ventas globales de socios de canal de Microsoft, comparte más detalles sobre la oportunidad de los socios con Microsoft Marketplace en su blog.

Convertirse en Frontera con Microsoft Marketplace

Ya sea que busquen acelerar la innovación, capacitar a sus equipos con IA o desbloquear un nuevo valor a través de socios de confianza, Microsoft Marketplace reúne las soluciones, la experiencia y el ecosistema para satisfacer las necesidades de su negocio. Exploren el nuevo Microsoft Marketplace. Miles de soluciones. Millones de clientes. Un mercado.

Alysa Taylor es la directora de marketing de Commercial Cloud e IA en Microsoft, lidera equipos que permiten la transformación digital y de IA para organizaciones de todos los tamaños en todo el mundo. Está a la vanguardia de ayudar a las organizaciones de todo el mundo a aprovechar la innovación digital y de IA para transformar la forma en que operan y crecen.

NOTA

Fuente: Informe anual del Índice de Tendencias Laborales, 2025: El año en que nace Frontier Firm, 23 de abril de 2025

Por: Microsoft for Startups.

Cada año, Microsoft Imagine Cup se esfuerza por empoderar a los estudiantes emprendedores de todo el mundo al destacar sus soluciones tecnológicas innovadoras que utilizan la tecnología de Microsoft para crear un impacto en el mundo real.

Con la próxima ronda de la competencia a la vuelta de la esquina, queríamos aprovechar la oportunidad para inspirar a los competidores de 2026 a través de compartir la historia de Argus, un innovador dispositivo de asistencia portátil desarrollado por los estudiantes universitarios de la Universidad de Stanford, Daniel Kim y Arjun Oberoi, y ganador de la Microsoft Imagine Cup 2025.

Más información sobre Imagine Cup

Una inspiración muy personal

La inspiración para Argus es muy personal, derivada de las observaciones de Kim de su abuela que batallaba con su visión después de un desprendimiento de retina. Del mismo modo, Oberoi fue testigo de cómo su abuelo lidiaba con la degeneración macular. Inspirados al ver los desafíos experimentados por sus seres queridos, Kim y Oberoi decidieron crear una solución. El resultado es un sistema portátil de dos partes que identifica objetos, reconoce rostros y proporciona orientación espacial, todo a través de la interacción de voz.

Su invento se llama Argus Panoptes, el «que todo lo ve», y el dispositivo está diseñado para capacitar a las personas con baja visión para navegar por el mundo físico con más libertad. Al hacerlo, Kim y Oberoi esperan evitar a otros los desafíos que conlleva la visión deteriorada y otorgar a los afectados la confianza y la autonomía para vivir una vida más plena.

Con tecnología de Azure: inteligente, eficiente e inclusivo

Argus se ejecuta en una arquitectura híbrida que aprovecha Azure AI Foundry y Azure AI Speech. Es una pieza de hardware portátil que utiliza el entorno local para procesar comandos simples e inferencia basada en la nube para tareas más complejas.

Sin embargo, la innovación más destacada es WiR, un protocolo inalámbrico de ultra bajo consumo que utiliza la conducción de la superficie de la piel para mejorar la conectividad a Internet, todo mientras consume 100 veces menos energía que el WiFi tradicional. Eso significa una mejor capacidad de respuesta y menos cambios de batería para el usuario final, lo que a menudo puede ser un desafío para los usuarios finales mayores o con capacidades diferentes.

Del dormitorio, al «Sótano», al primer premio

El equipo de Argus se encontró por primera vez con Microsoft for Startups como parte de su participación en los programas de startups de la Universidad de Stanford, sobre todo en la Asociación de Negocios de Stanford de Estudiantes Emprendedores de Stanford (BASES, por sus siglas en inglés), donde Microsoft for Startups se asocia con la organización dirigida por estudiantes para garantizar que las nuevas empresas prometedoras de Stanford tengan acceso tanto a la tecnología como al soporte técnico para crear las ideas más innovadoras que puedan imaginar.

Luego, Argus obtuvo una exposición adicional a Microsoft durante su carrera en la competencia Red Bull Basement 2024, donde los cofundadores lograron clasificarse en la Final Nacional de Red Bull Basement de EE. UU. Esa victoria continuó el impulso de un viaje acelerado que culminó con la Imagine Cup, una victoria que cambió por completo la trayectoria de su empresa.

Cuando pensamos en todo este proceso, todo lo que se necesitó fue una solicitud a Red Bull Basement, y de repente, todas estas otras cosas sucedieron. No nos dimos cuenta de que esto se acumularía para ganar $ 100,000 dólares, descubrir todos estos aprendizajes y conocer a todas estas personas en el camino. Nunca se sabe qué va a inclinar esa bola de nieve, y casi siempre hay formas en que puede encontrar el tiempo, si la idea es algo que en realidad le importa.

—Daniel Kim, miembro del equipo ganador de la Microsoft Imagine Cup 2025

Inspirar a otros estudiantes y a Microsoft

Argus representa el futuro de la tecnología de asistencia: inteligente, accesible y diseñada de manera cuidadosa.

Cada vez que me encuentro con los finalistas de la Imagine Cup, me inspira su pasión, ingenio y las formas audaces en que utilizan la IA para abordar problemas que importan en sus comunidades y en todo el mundo. No solo imaginan lo que es posible con la IA, sino que la construyen. No puedo esperar a ver cómo estas startups van a seguir dándole forma al futuro.

—Annie Pearl, vicepresidenta corporativa y directora general de Experiencias y ecosistemas de Azure en Microsoft

En Microsoft for Startups, estamos orgullosos de apoyar a estudiantes fundadores como Daniel y Arjun a través de recursos, tutoría e infraestructura escalable de Azure. Su recorrido desde el aula hasta el escenario mundial encarna nuestra misión: capacitar a los fundadores para que construyan para el bien.

Si la historia de Argus los ha inspirado con su ingenio, diseño inclusivo e impacto transformador, consideren postularse a la Imagine Cup 2026. Ya sea que busquen resolver desafíos de accesibilidad, problemas climáticos o brechas educativas, su idea podría ser la próxima en cambiar el mundo.

Empiecen a crear hoy mismo con Microsoft for Startups y exploren cómo las plataformas de IA de Azure pueden ayudarlos a hacer realidad su visión. Esperamos verlos en Imagine Cup 2026.

Empiecen a usar Microsoft for Startups hoy mismo

Por: Microsoft Threat Intelligence.

Microsoft Threat Intelligence detectó y bloqueó de manera reciente una campaña de phishing de credenciales que con probabilidad usaba código generado por IA para ofuscar su carga útil y evadir las defensas tradicionales. Con la ayuda de un modelo de lenguaje grande (LLM, por sus siglas en inglés), la actividad ofuscó su comportamiento dentro de un archivo SVG, para aprovechar la terminología empresarial y una estructura sintética para disfrazar su intención maliciosa. Al analizar el archivo malicioso, Microsoft Security Copilot evaluó que el código «no era algo que un humano por lo general escribiría desde cero debido a su complejidad, verbosidad y falta de utilidad práctica».

Al igual que muchas tecnologías transformadoras, la IA es adoptada tanto por defensores como por ciberdelincuentes. Mientras que los defensores usan IA para detectar, analizar y responder a amenazas a escala, los atacantes experimentan con IA para mejorar sus propias operaciones, por ejemplo, a través de la creación de señuelos más convincentes, la automatización de la ofuscación y la generación de código que imita el contenido legítimo. Aunque la campaña en este caso era de naturaleza limitada y estaba dirigida en su mayoría a organizaciones con sede en EE. UU., ejemplifica una tendencia más amplia de atacantes que aprovechan la IA para aumentar la efectividad y el sigilo de sus operaciones. Este caso también subraya la creciente necesidad de que los defensores comprendan y anticipen las amenazas impulsadas por la IA.

A pesar de la sofisticación de la ofuscación, la campaña fue detectada y bloqueada con éxito por los sistemas de protección con tecnología de IA de Microsoft Defender para Office 365, que analizan las señales en la infraestructura, el comportamiento y el contexto de los mensajes que no se ven afectadas en gran medida por el uso de la IA por parte de un atacante. Al compartir nuestro análisis, nuestro objetivo es ayudar a la comunidad de seguridad a reconocer tácticas similares que utilizan los actores de amenazas y reforzar que las amenazas mejoradas por IA, aunque evolucionan, no son indetectables. Como discutimos en esta publicación, el uso de IA por parte de un atacante a menudo presenta nuevos artefactos que se pueden aprovechar para la detección. Al aplicar estos conocimientos y nuestras mejores prácticas recomendadas, las organizaciones pueden fortalecer sus propias defensas contra campañas de phishing emergentes similares asistidas por IA.

Tácticas y carga útil de la campaña de phishing

El 18 de agosto de 2025, Microsoft Threat Intelligence detectó una campaña de phishing que aprovechaba una cuenta de correo electrónico de una pequeña empresa comprometida para distribuir correos electrónicos de phishing maliciosos destinados a robar credenciales. Los atacantes emplearon una táctica de correo electrónico con dirección propia, donde las direcciones del remitente y el destinatario coincidían, y los objetivos reales se ocultaron en el campo BCC, lo que se hace para intentar eludir la heurística de detección básica. El contenido del correo electrónico se diseñó para parecerse a una notificación de uso compartido de archivos, que contiene el mensaje:

Adjunto al correo electrónico había un archivo llamado 23mb – PDF- 6 pages.svg, diseñado para parecer un documento PDF legítimo a pesar de que la extensión del archivo indica que es un archivo SVG. Los archivos SVG (gráficos vectoriales escalables) son atractivos para los atacantes porque están basados en texto y se pueden programar, lo que les permite incrustar JavaScript y otro contenido dinámico directo dentro del archivo. Esto hace posible entregar cargas útiles interactivas de phishing que parecen benignas tanto para los usuarios como para muchas herramientas de seguridad. Además, los SVG admiten funciones amigables con la ofuscación, como elementos invisibles, atributos codificados y ejecución de scripts retrasada, todo lo cual se puede usar para evadir el análisis estático y el sandboxing.

Cuando se abría, el archivo SVG redirigía al usuario a una página web que le pedía que completara un CAPTCHA para la verificación de seguridad, una táctica común de ingeniería social utilizada para generar confianza y retrasar las sospechas. Aunque nuestra visibilidad para este incidente se limitó a la página de destino inicial debido a que la actividad fue detectada y bloqueada, es muy probable que la campaña hubiera presentado una página de inicio de sesión falsa después del CAPTCHA para recopilar credenciales.

Un análisis del código SVG encontró que utilizaba un método único para ofuscar su contenido y comportamiento. En lugar de usar ofuscación criptográfica, que se usa por lo general para ofuscar contenido de phishing, el código SVG en esta campaña usó lenguaje relacionado con el negocio para disfrazar su actividad maliciosa. Lo hizo de dos maneras:

Primero, el comienzo del código SVG se estructuró para que pareciera un panel de análisis empresarial legítimo. Contenía elementos para un supuesto panel de rendimiento empresarial, incluidas barras de gráficos y etiquetas de meses. Estos elementos, sin embargo, se volvieron invisibles para el usuario al establecer su opacidad en cero y su relleno en transparente. Esta táctica está diseñada para engañar a cualquiera que inspeccione de manera casual el archivo, para hacer que parezca que el único propósito del SVG es visualizar datos comerciales. En realidad, sin embargo, es un señuelo.

En segundo lugar, la funcionalidad de la carga útil también se ocultó mediante un uso creativo de términos comerciales. Dentro del archivo, los atacantes codificaron la carga maliciosa por medio de una larga secuencia de términos relacionados con el negocio. Palabras como ingresos, operaciones, riesgo o acciones se concatenaron en un atributo oculto de análisis de datos de un elemento invisible <texto> dentro del SVG.

Los términos de este atributo fueron utilizados más tarde por JavaScript incrustado, que procesó de manera sistemática las palabras relacionadas con el negocio a través de varios pasos de transformación. En lugar de incluir directamente código malicioso, los atacantes codificaron la carga útil a través de la asignación de pares o secuencias de estos términos comerciales a caracteres o instrucciones específicos. A medida que se ejecuta el script, decodifica la secuencia, para reconstruir la funcionalidad oculta a partir de lo que parecen ser metadatos comerciales inofensivos. Esta funcionalidad ofuscada incluía redirigir el navegador de un usuario a la página de destino inicial de phishing, activar la huella digital del navegador e iniciar el seguimiento de la sesión.

Uso de IA para analizar la campaña

Dados los métodos únicos utilizados para ofuscar la funcionalidad de la carga útil de SVG, planteamos la hipótesis de que el atacante podría haber usado IA para ayudarlo. Le pedimos a Security Copilot que analizara el contenido del archivo SVG para evaluar si fue generado por IA o un LLM. El análisis de Security Copilot indicó que era muy probable que el código fuera sintético y tal vez generado por un LLM o una herramienta que lo usara. Security Copilot determinó que el código exhibía un nivel de complejidad y verbosidad que rara vez se ve en los scripts escritos de manera manual, lo que sugiere que fue producido por un modelo de IA en lugar de elaborado por un humano.

Security Copilot proporcionó cinco indicadores clave para respaldar su conclusión:

1. Nombres demasiado descriptivos y redundantes
   • Los nombres de funciones y variables (por ejemplo, processBusinessMetricsf43e08, parseDataFormatf19e04, convertMetricsDataf98e36, initializeAnalytics4e2250, userIdentifierb8db, securityHash9608) siguen un patrón coherente de términos descriptivos en inglés concatenados con cadenas hexadecimales aleatorias. Esta convención de nomenclatura es típica del código generado por IA/LLM, que a menudo agrega sufijos aleatorios para evitar colisiones y aumentar la ofuscación.

2. Estructura de código modular y sobrediseñada
   • La estructura del código es bastante modular, con una clara separación de preocupaciones y el uso repetido de bloques lógicos similares (por ejemplo, asignación de términos comerciales a códigos de caracteres, inversión de bloques, corrección de compensación, validación basada en tokens). Este enfoque sistemático es característico de la salida de AI/LLM, que tiende a sobrediseñar y generalizar soluciones.

3. Comentarios genéricos
   • Los comentarios son detallados, genéricos y utilizan un lenguaje empresarial formal («Procesador de datos de inteligencia empresarial avanzado», «Analizador de terminología empresarial para la conversión de formato estandarizado», «Generar token de procesamiento seguro para la validación de datos»), que es un sello distintivo de la documentación generada por IA.

4. Técnicas de ofuscación formulada
   • Las técnicas de ofuscación (por ejemplo, codificación de términos comerciales, transformación de datos de varias etapas, creación de funciones dinámicas) se implementan de una manera exhaustiva y formulada, que coincide con el estilo de generación de código AI / LLM.
5. Uso inusual de la declaración CDATA y XML
   • El código SVG incluye tanto una declaración XML como un script envuelto en CDATA, que es más típico del código generado por LLM que tiene como objetivo ser «correcto a nivel técnico» o imitar ejemplos de documentación, incluso cuando dichos elementos son innecesarios para que funcione el ataque.

Uso de IA para detectar la campaña

Si bien el uso de IA para ofuscar las cargas útiles de phishing puede parecer un salto significativo en la sofisticación de los atacantes, es importante comprender que la IA no cambia de manera fundamental los artefactos centrales en los que se basan los sistemas de seguridad para detectar amenazas de phishing. El código generado por IA puede ser más complejo o pulido a nivel sintáctico, pero aún opera dentro de los mismos límites de comportamiento e infraestructura que los ataques creados por humanos.

Microsoft Defender para Office 365 usa modelos de inteligencia artificial y aprendizaje automático entrenados para detectar suplantación de identidad (phishing) y están diseñados para identificar patrones en varias dimensiones, no solo en la carga en sí. Estos incluyen:

• Infraestructura de ataque (como características de dominio sospechosas, comportamiento de alojamiento)
• Tácticas, técnicas y procedimientos (TTP) (como el uso de redireccionamientos, puertas CAPTCHA, seguimiento de sesiones)
• Estrategias de suplantación (como fingir compartir documentos, imitar notificaciones de uso compartido de archivos)
• Contexto de mensaje y patrones de entrega (como correos electrónicos con dirección propia, uso de CCO, comportamiento de remitente/destinatario no coincidente)

Estas señales no se ven afectadas en gran medida por si la carga útil fue escrita por un humano o un LLM. De hecho, la ofuscación generada por IA a menudo introduce artefactos sintéticos, como nombres detallados, lógica redundante o esquemas de codificación no naturales, que pueden convertirse en nuevas señales de detección.

A pesar del uso de IA para ofuscar la carga de SVG, el sistema de detección de Microsoft Defender para Office 365 bloqueó esta campaña mediante una combinación de análisis de infraestructura, indicadores de comportamiento y contexto de mensajes, ninguno de los cuales se vio afectado por el uso de IA. Las señales utilizadas para detectar esta campaña incluyeron las siguientes:

• Uso de correo electrónico con dirección propia con destinatarios BCC: esta táctica se usa de manera común para intentar eludir la heurística básica del correo electrónico y ocultar la verdadera lista de destinatarios.
• Tipo/nombre de archivo sospechoso: los archivos SVG, por lo general, han sido una carga útil emergente utilizada en ataques de phishing y los archivos adjuntos de esta campaña se nombraron para parecerse a un PDF, lo cual es atípico para el intercambio legítimo de documentos.
• Redirigir a una infraestructura maliciosa: la carga útil SVG se redirige a un dominio que se había identificado de manera previa como vinculado a contenido de phishing.
• Uso general de la ofuscación del código: si bien el archivo SVG contenía tácticas de ofuscación novedosas que no se habían visto antes, la presencia de ofuscación por sí sola era un indicador de una intención que, a nivel potencial, podría ser maliciosa.
• Comportamiento sospechoso de la red: el análisis automatizado del sitio de phishing indicó que empleaba el seguimiento de sesiones y la huella digital del navegador, que se puede usar para servir contenido de forma selectiva según la geografía o el entorno, un comportamiento utilizado por algunos actores de phishing.

Recomendaciones

Si bien esta campaña tuvo un alcance limitado y se bloqueó de manera efectiva, una variedad de actores de amenazas aprovechan cada vez más técnicas similares. Compartir nuestros hallazgos equipa a las organizaciones para identificar y mitigar estas amenazas emergentes, sin importar el actor de amenazas específico que esté detrás de ellas. Microsoft Threat Intelligence recomienda las siguientes mitigaciones, que son eficaces contra una variedad de amenazas de suplantación de identidad, incluidas aquellas que pueden usar código generado por IA.

• Revisen nuestra configuración recomendada para Exchange Online Protection y Microsoft Defender para Office 365.
• Configuren Microsoft Defender para Office 365 para volver a comprobar los vínculos al hacer clic. Vínculos seguros proporciona el examen y la reescritura de direcciones URL de los mensajes de correo electrónico entrantes en el flujo de correo, y la comprobación en el momento del clic de las direcciones URL y los vínculos de los mensajes de correo electrónico, otras aplicaciones de Microsoft 365, como Teams, y otras ubicaciones, como SharePoint Online. El examen de vínculos seguros se produce además de la protección normal contra correo no deseado y antimalware en los mensajes de correo electrónico entrantes en Microsoft Exchange Online Protection (EOP). El examen de vínculos seguros puede ayudar a proteger su organización de vínculos malintencionados utilizados en suplantación de identidad y otros ataques.
• Active la purga automática de cero horas (ZAP) en Defender para Office 365 para poner en cuarentena el correo enviado en respuesta a la inteligencia sobre amenazas recién adquirida y neutralizar de manera retroactiva los mensajes malintencionados de suplantación de identidad, correo no deseado o malware que ya se han entregado a los buzones.
• Animen a los usuarios a usar Microsoft Edge y otros exploradores web compatibles con SmartScreen de Microsoft Defender, que identifica y bloquea sitios web malintencionados, incluidos sitios de suplantación de identidad, sitios fraudulentos y sitios que hospedan malware.
• Activen la protección entregada en la nube en Microsoft Defender Antivirus o el equivalente de su producto antivirus para cubrir herramientas y técnicas de ataque en rápida evolución. Las protecciones de aprendizaje automático basadas en la nube bloquean la mayoría de las variantes nuevas y desconocidas
• Configuren Microsoft Entra con mayor seguridad.
• Prueben e implementen métodos de autenticación resistentes a la suplantación de identidad para los usuarios.
• Implementen la seguridad de autenticación de acceso condicional de Entra ID para requerir una autenticación resistente a la suplantación de identidad para empleados y usuarios externos para aplicaciones críticas.

Detecciones de Microsoft Defender XDR

Los clientes de Microsoft Defender XDR pueden consultar la lista de detecciones aplicables a continuación. Microsoft Defender XDR coordina la detección, la prevención, la investigación y la respuesta en puntos de conexión, identidades, correo electrónico y aplicaciones para proporcionar protección integrada contra ataques como la amenaza que se describe en este blog.

Los clientes con acceso aprovisionado también pueden usar Microsoft Security Copilot en Microsoft Defender para investigar y responder a incidentes, buscar amenazas y proteger su organización con inteligencia sobre amenazas relevante.

Táctica	Actividad observada	Cobertura de Microsoft Defender
Acceso inicial	-Correos electrónicos de phishing enviados desde una cuenta de correo electrónico de una pequeña empresa comprometida. -Los correos electrónicos de phishing contenían un archivo SVG adjunto.	–Los administradores de inquilinos de Microsoft Defender para Office 365 pueden usar el Explorador de amenazas para consultar los datos adjuntos de archivos SVG asociados mediante campos de tipo de archivo, extensión de archivo o nombre de archivo adjunto. La descripción de la regla del Explorador de amenazas es: Este SVG tiene rasgos coherentes con las campañas de suplantación de identidad de credenciales.   –Microsoft Defender XDR Actividad maliciosa de envío de correo electrónico de un usuario de riesgo
Ejecución	-JavaScript incrustado dentro del archivo SVG adjunto ejecutado al abrirlo en un navegador.
Evasión de defensa	-Ofuscación a través de elementos SVG invisibles y terminología empresarial codificada. -CAPTCHA falso, huellas dactilares del navegador y seguimiento de sesiones utilizados para evadir la detección.
Impacto	-Posible robo de credenciales si el usuario objetivo completa el flujo de phishing.	–Intento de inicio de sesión arriesgado de Microsoft Defender XDR después de una posible campaña de suplantación de identidad

Microsoft Security Copilot

Los clientes de Security Copilot pueden usar la experiencia independiente para crear sus propios mensajes o ejecutar los siguientes promptbooks prediseñados para automatizar la respuesta a incidentes o las tareas de investigación relacionadas con esta amenaza:

• Investigación de incidentes
• Análisis de usuarios de Microsoft
• Perfil del actor de amenazas
• Informe de Threat Intelligence 360 basado en el artículo MDTI
• Evaluación del impacto de la vulnerabilidad

Tengan en cuenta que algunos promptbooks requieren acceso a complementos para productos de Microsoft, como Microsoft Defender XDR o Microsoft Sentinel.

Búsqueda de consultas

Microsoft Sentinel

Los clientes de Microsoft Sentinel pueden usar el análisis de asignación de TI (una serie de análisis con el prefijo «Mapa de TI») para hacer coincidir de manera automática los indicadores de dominio malintencionado mencionados en esta entrada de blog con los datos de su área de trabajo. Si en la actualidad los análisis de TI Map no están implementados, los clientes pueden instalar la solución de inteligencia sobre amenazas desde el centro de contenido de Microsoft Sentinel para que la regla de análisis se implemente en su área de trabajo de Sentinel.

A continuación, se muestran las consultas que usan las funciones del modelo de información de seguridad avanzada (ASIM, por sus siglas en inglés) de Sentinel para buscar amenazas en orígenes de datos propios y de terceros de Microsoft. ASIM también admite la implementación de analizadores en áreas de trabajo específicas desde GitHub mediante una plantilla de ARM o manualmente.

Detección de indicadores de riesgo en el dominio de red mediante ASIM

La siguiente consulta comprueba las direcciones IP y los IOC de dominio en los orígenes de datos compatibles con el analizador de sesiones de red ASIM:

//Domain list- _Im_NetworkSession

let lookback = 30d;

let ioc_ip_addr = dynamic([]);

let ioc_domains = dynamic([«kmnl.cpfcenters.de»]);

_Im_NetworkSession(starttime=todatetime(ago(lookback)), endtime=now())

| where DstDomain has_any (ioc_domains)

| summarize imNWS_mintime=min(TimeGenerated), imNWS_maxtime=max(TimeGenerated),

  EventCount=count() by SrcIpAddr, DstIpAddr, DstDomain, Dvc, EventProduct, EventVendor

Detección de indicadores de dominio y URL de compromiso mediante ASIM

La siguiente consulta comprueba los IOC de dominio y URL en los orígenes de datos compatibles con el analizador de sesiones web de ASIM:

// Domain list – _Im_WebSession

let ioc_domains = dynamic([«kmnl.cpfcenters.de”]); 

_Im_WebSession (url_has_any = ioc_domains)

Indicadores de compromiso

Indicador	Tipo	Descripción	Visto por primera vez	Visto por última vez
kmnl[.]cpfcenters[.]de	Dominio	Dominio que aloja contenido de phishing	08/18/2025	08/18/2025
23mb – PDF- 6 pages[.]SVG	Nombre de archivo	Nombre de archivo del archivo adjunto SVG	08/18/2025	08/18/2025

Conozcan más

Para obtener las últimas investigaciones de seguridad de la comunidad de inteligencia sobre amenazas de Microsoft, consulten el blog de inteligencia sobre amenazas de Microsoft.

Para recibir notificaciones sobre nuevas publicaciones y unirse a discusiones en las redes sociales, síganos en LinkedIn, X (anteriormente Twitter) y Bluesky.

Para escuchar historias e información de la comunidad de Microsoft Threat Intelligence sobre el panorama de amenazas en constante evolución, escuchen el podcast de Microsoft Threat Intelligence.