Barracuda Research alerta de que los servicios remotos expuestos y los controles de acceso deficientes siguen siendo una de las principales vías de entrada para los ciberdelincuentes.

El malware LemonDuck y la botnet GoldBrute muestran cómo los atacantes aprovechan dispositivos vulnerables, credenciales débiles y conexiones RDP expuestas para comprometer sistemas y escalar ataques.

Los investigadores de Barracuda detectaron en mayo un aumento del 55% en los ataques de "password spraying" procedentes de Irán contra VPN de Fortigate, lo que confirma que la infraestructura de acceso remoto continúa siendo un objetivo prioritario.

Barracuda Networks, compañía líder en soluciones de ciberseguridad, alerta de que los accesos remotos expuestos, las credenciales débiles y los controles de acceso insuficientes siguen siendo una de las principales puertas de entrada para los ciberataques contra empresas. Las últimas conclusiones de Barracuda Research, recogidas en el informe SOC Threat Radar de junio de 2026, muestran cómo amenazas como el malware LemonDuck, la botnet GoldBrute o los ataques de "password spraying" contra VPN aprovechan estas brechas para comprometer dispositivos, ampliar su alcance y preparar el terreno para incidentes de mayor gravedad.Las últimas conclusiones de Barracuda Research sobre las amenazas a las que se enfrentan las empresas.

Lo cierto es que los incidentes mitigados el mes pasado por Barracuda Managed XDR demuestran cómo los controles de acceso deficientes y los servicios remotos expuestos atraen a adversarios que lanzan ataques masivos y allanan el camino para ataques más graves. Las conclusiones que se extraen del informen son claras:

El malware LemonDuck infecta los terminales para realizar minería de criptomonedas.

La red de bots GoldBrute realiza ataques de fuerza bruta contra servicios remotos.

Los ataques de "password spraying" procedentes de Irán tiene como objetivo las VPN.

Cabe destacar quu LemonDuck es un tipo de malware que se propaga por las redes, secuestrando sistemas y dispositivos finales para minar criptomonedas y facilitar nuevos ataques. Se centra en sistemas vulnerables, servicios expuestos y credenciales débiles, convirtiendo los equipos infectados en parte de una red de bots delictiva.

El malware ejecutaba scripts ocultos mediante PowerShell para descargar más código malicioso y se conectaba a servidores de comando y control conocidos. Además, configuraba tareas programadas o eventos de Windows Management Instrumentation (WMI) ("reglas de activación" automatizadas) para volver a ejecutar el malware y mantener su persistencia a largo plazo.

El informe de Barracuda Networks también observa en mayo un aumento del 55% en la actividad de "password spraying" procedente de Irán y dirigida a las VPN de Fortigate, en comparación con el mes anterior.

Según el estudio, unos atacantes desconocidos dirigieron sus ataques contra varias organizaciones realizando repetidos intentos de inicio de sesión en numerosas cuentas de usuario, con el objetivo de identificar credenciales válidas y obtener acceso no autorizado a la infraestructura de VPN.

Los intentos no tuvieron éxito, pero ponen de manifiesto que la infraestructura de acceso remoto sigue siendo un objetivo habitual de los ataques.