“Estas campañas nos recuerdan que el phishing quirúrgicamente dirigido sigue siendo uno de los puntos de entrada mas eficientes para el malware, por lo que las organizaciones necesitan monitorear 24/7 la descarga de archivos Zip, tamaño inusual en DLLs o cualquier actividad sospechosa después de descargar un CFDI”, finaliza Euler Neto.

Malware TimbreStealer ataca empresas mexicanas: alerta WatchGuard

• El equipo de telemetría de WatchGuard identificó una campaña dirigida a empresas mexicanas, usando técnicas de evasión avanzada

Ciudad de México, julio de 2026.- Un reporte de WatchGuard Technologies identifica una campaña asociada con el malware TimbreStealer, conocido por atacar directamente a empresas ubicadas en México. Esta campaña es similar a un ataque documentado en 2024, con la diferencia de que en esta ocasión utiliza una técnica avanzada que deepliega DLLs (Dynamic Link Library) maliciosos, en lugar de archivos ejecutables.

El equipo de telemetría de WatchGuard identificó que el vector inicial son acciones de phishing que entregan un archivo ZIP que pasa disfrazado como archivos de finanzas o administración, con el nombre de “comprobante fiscal digital por internet”, “contenido”, “comprobantes” o “CFDI”. Al aprovechar que todos los contribuyentes necesitan facturas y complementos digitales, los atacantes incluyen DLLs maliciosos que se disfrazan como archivos legítimos.

Una de las diferencias es el peso de los archivos, el malware pesa entre 45 y 50MB mientras que un archivo legítimo pesa menos de 500KB. Además el DLL malicioso tiene 27 secciones,con nombres que tienen un valor hex de 4 bytes. Una vez adentro del sistema, el malware tiene la capacidad de obtener información en Google Chrome, Microsoft Edge, Mozilla Firefox incluyendo: historial, visitas, descargas, credenciales de acceso, dropbox, one drive etc.

Euler Neto, del equipo de telemetría de WatchGuard concluye que TimbreStealer muestra cómo las campañas de robo de información geolocalizadas siguen evolucionando más allá del simple robo de credenciales. Esta campaña combina ingeniería social específica para México, infraestructura cloud legítima, carga de DLLs, encriptación multicapa, barreras geolocalizadas y otras técnicas que hacen la detección significativamente más difícil.

Al utilizar temas de impuestos y facturación ligados al uso de CFDIs, los ciber criminales demuestran un entendimiento profundo del ambiente de las víctimas, el uso de componentes como EdgeUpdate o GoogleUpdater refuerza la tendencia de atacantes de combinar actividad maliciosa con ejecución que parece legítima.

Una vez activado, el malware TimbreStealer permite a los atacantes recoger datos que permitan comprometer cuentas corporativas, cometer fraude financiero o crear el camino para intromisiones futuras.

“Estas campañas nos recuerdan que el phishing quirúrgicamente dirigido sigue siendo uno de los puntos de entrada mas eficientes para el malware, por lo que las organizaciones necesitan monitorear 24/7 la descarga de archivos Zip, tamaño inusual en DLLs o cualquier actividad sospechosa después de descargar un CFDI”, finaliza Euler Neto.

Equipos de ciberseguridad operando en México o dando apoyo a organizaciones con exposición en esta región deben tratar esta campaña como un indicador de alta prioridad para analizar ataques financieros.

Pueden consultar el reporte técnico completo aquí.