Amazon WorkSpaces Personal now provides unique, publicly resolvable Domain Name System (DNS) names for each AWS PrivateLink Virtual Private Cloud (VPC) endpoint, enabling enterprise customers to deploy WorkSpaces across multiple AWS VPCs and accounts without DNS resolution conflicts. Each interface VPC endpoint now receives a globally unique AWS-managed DNS name in addition to the previous generic DNS name that was shared across all endpoints.
This enhancement enables customers to route traffic appropriately in multi-account environments with centralized DNS infrastructure. Customers can now deploy WorkSpaces Personal directories across different VPCs and AWS accounts while maintaining proper security isolation, eliminating the DNS name collision that previously prevented customers from using separate interface VPC endpoints across accounts. The publicly resolvable DNS names simplify configuration while maintaining security, as they resolve to private IP addresses accessible only from within the respective VPC. The unique DNS names are automatically managed by AWS throughout their lifecycle, requiring no additional Route 53 configuration or custom DNS management.
This feature is available in all AWS regions where PrivateLink is available in Amazon WorkSpaces Personal.
Amazon WorkSpaces Personal now provides unique, publicly resolvable Domain Name System (DNS) names for each AWS PrivateLink Virtual Private Cloud (VPC) endpoint, enabling enterprise customers to deploy WorkSpaces across multiple AWS VPCs and accounts without DNS resolution conflicts. Each interface VPC endpoint now receives a globally unique AWS-managed DNS name in addition to the previous generic DNS name that was shared across all endpoints. This enhancement enables customers to route traffic appropriately in multi-account environments with centralized DNS infrastructure. Customers can now deploy WorkSpaces Personal directories across different VPCs and AWS accounts while maintaining proper security isolation, eliminating the DNS name collision that previously prevented customers from using separate interface VPC endpoints across accounts. The publicly resolvable DNS names simplify configuration while maintaining security, as they resolve to private IP addresses accessible only from within the respective VPC. The unique DNS names are automatically managed by AWS throughout their lifecycle, requiring no additional Route 53 configuration or custom DNS management. This feature is available in all AWS regions where PrivateLink is available in Amazon WorkSpaces Personal. To learn more, see Amazon WorkSpaces PrivateLink documentation. For configuration details, refer to the WorkSpaces Administration Guide. Existing customers will automatically benefit from this enhancement, as the system maintains backward compatibility with previous DNS configurations.
Storm-1175 centra la atención en activos vulnerables que se conectan a la web en operaciones de ransomware Medusa de alta velocidad
Por: Microsoft Threat Intelligence.
El actor cibercriminal con motivación financiera, rastreado por Microsoft Threat Intelligence, conocido como Storm-1175, opera campañas de ransomware de alta velocidad que utilizan N-days como arma, para atacar sistemas vulnerables y conectados a la web durante el periodo entre la divulgación de vulnerabilidades y la adopción generalizada de parches. Tras una explotación exitosa, Storm-1175 pasa con rapidez del acceso inicial a la exfiltración de datos y el despliegue del ransomware Medusa, a menudo en pocos días y, en algunos casos, en 24 horas. El alto ritmo operativo del actor amenazante y su destreza en la identificación de activos perimetrales expuestos han resultado exitosos, con intrusiones recientes que han afectado de manera importante a organizaciones sanitarias, así como a los sectores de educación, servicios profesionales y finanzas en Australia, Reino Unido y Estados Unidos.
El ritmo de las campañas de Storm-1175 es posible gracias al uso constante de vulnerabilidades reveladas de manera reciente por parte del actor amenazante para obtener acceso inicial. Aunque el actor de la amenaza suele utilizar vulnerabilidades de N-day, también hemos observado que Storm-1175 aprovecha exploits de día cero, en algunos casos una semana antes de la divulgación pública de vulnerabilidades. También se ha observado que el actor amenazante encadena múltiples exploits para permitir actividades posteriores al compromiso. Tras el acceso inicial, Storm-1175 establece persistencia al crear nuevas cuentas de usuario, despliega diversas herramientas, incluido software de monitorización y gestión remota para movimientos laterales, realiza robos de credenciales y manipula soluciones de seguridad antes de desplegar ransomware en todo el entorno comprometido.
En esta entrada del blog, profundizamos en las técnicas de ataque atribuidas a Storm-1175 durante varios años. Aunque la metodología de Storm-1175 se alinea con las tácticas, técnicas y procedimientos (TTPs) de muchos actores de ransomware rastreados, el análisis de sus tácticas posteriores al compromiso proporciona información esencial sobre cómo las organizaciones pueden reforzarse y defenderse contra atacantes como Storm-1175, para informar oportunidades para interrumpir a los atacantes incluso si han tenido acceso inicial a una red.
La cadena de ataques rápidos de Storm-1175: Desde el acceso inicial hasta el impacto
Explotación de activos vulnerables que se conectan a la web
Storm-1175 utiliza con rapidez vulnerabilidades reveladas de manera reciente para obtener acceso inicial. Desde 2023, Microsoft Threat Intelligence ha observado la explotación de más de 16 vulnerabilidades, incluidas:
Storm-1175 rota exploits con rapidez durante el tiempo entre la divulgación y la disponibilidad o adopción de parches, para aprovechar el periodo en que muchas organizaciones permanecen sin protección. En algunos casos, Storm-1175 ha convertido exploits como armas para vulnerabilidades reveladas en tan solo un día, como ocurrió con CVE-2025-31324 que afectó a SAP NetWeaver: el problema de seguridad se reveló el 24 de abril de 2025, y observamos la explotación de Storm-1175 poco después, el 25 de abril.
Figura 1. Cronología de divulgación y explotación de vulnerabilidades utilizadas por Storm-1175 en campañas
En múltiples intrusiones, Storm-1175 ha encadenado exploits para permitir actividades posteriores al compromiso como la ejecución remota de código (RCE, por sus siglas en inglés). Por ejemplo, en julio de 2023, Storm-1175 explotó dos vulnerabilidades que afectaban a los Microsoft Exchange Servers locales, denominadas «OWASSRF» por investigadores públicos: la explotación de CVE202241080 proporcionaba acceso inicial exponiendo Exchange PowerShell a través de Outlook Web Access (OWA), y Storm-1175 explotó de manera posterior CVE202241082, para lograr la ejecución remota de código.
Storm-1175 también ha demostrado capacidad para atacar sistemas Linux: a finales de 2024, Microsoft Threat Intelligence identificó la explotación de instancias vulnerables de Oracle WebLogic en múltiples organizaciones, aunque no pudimos identificar la vulnerabilidad exacta que se explotaba en estos ataques.
Por último, también hemos observado el uso de al menos tres vulnerabilidades zero-day, incluida, de manera más reciente, CVE-2026-23760 en SmarterMail, que fue explotado por Storm-1175 la semana anterior a la divulgación pública, y CVE-2025-10035 en GoAnywhere Managed File Transfer, también explotado una semana antes de su divulgación pública. Aunque estos ataques más recientes demuestran una capacidad de desarrollo evolucionada o un nuevo acceso a recursos como brokers de exploits para Storm-1175, cabe destacar que GoAnywhere MFT ha sido antes objetivo de atacantes de ransomware, y que la vulnerabilidad de SmarterMail era similar a un fallo antes revelado; estos factores pueden haber facilitado la posterior actividad de explotación de día cero por parte de Storm-1175, que aprovecha de manera principal las vulnerabilidades de los días N. En cualquier caso, a medida que los atacantes son cada vez más hábiles para identificar nuevas vulnerabilidades, comprender su huella digital —como mediante el uso de interfaces públicas de escaneo como Microsoft Defender External Attack Surface Management— es esencial para defenderse contra ataques a redes perimetrales.
Persistencia encubierta y movimiento lateral
Durante la explotación, Storm-1175 suele crear una web shell o soltar una carga útil de acceso remoto para establecer su presencia inicial en el entorno. A partir de este momento, Microsoft Threat Intelligence ha observado que Storm-1175 pasó del acceso inicial al despliegue de ransomware en tan solo un día, aunque muchos de los ataques del actor se han producido en un periodo de cinco a seis días.
Figura 2. Cadena de ataque Storm-1175
En el dispositivo comprometido en un inicio, el actor de la amenaza a menudo establece persistencia a través de la creación de un nuevo usuario y de añadir a ese usuario al grupo de administradores:
Figura 3. Storm-1175 crea una nueva cuenta de usuario y la añade como administrador
A partir de esta cuenta, Storm-1175 inicia su actividad de reconocimiento y movimiento lateral. Storm-1175 cuenta con una rotación de herramientas para realizar estas fases de ataque posteriores. Lo más habitual es observar el uso de binarios que viven de la tierra (LOLBins), incluidos PowerShell y PsExec, seguidos por el uso de túneles Cloudflare (renombrados para imitar binarios legítimos como conhost.exe) para moverse de manera lateral sobre el Protocolo de Escritorio Remoto (RDP, por sus siglas en inglés) y entregar cargas útiles a nuevos dispositivos. Si el RDP no está permitido en el entorno, se ha observado que Storm-1175 utiliza privilegios de administrador para modificar la política del Cortafuegos de Windows y habilitar el Escritorio Remoto.
Figura 4. Desde una base inicial tras el compromiso de una aplicación SmarterMail, Storm-1175 modifica el cortafuegos y permite el acceso al escritorio remoto para movimientos laterales, a través de escribir los resultados del comando en un archivo TXT
Storm-1175 también ha demostrado una fuerte dependencia de herramientas de monitorización y gestión remota (RMM, por sus siglas en inglés) durante la actividad posterior a la concesión. Desde 2023, Storm-1175 ha utilizado múltiples RMM, incluidos:
Atera RMM
Nivel RMM
N-able
DWAgent
MeshAgent
ConnectWise ScreenConnect
AnyDesk
SimpleHelp
Aunque suelen ser utilizadas por equipos de TI empresariales, estas herramientas RMM cuentan con funcionalidades multifacéticas que también podrían permitir a los adversarios mantener la persistencia en una red comprometida, crear nuevas cuentas de usuario, habilitar un método alternativo de comando y control (C2), entregar cargas útiles adicionales o usarlas como una sesión interactiva de escritorio remoto.
En muchos ataques, Storm-1175 depende de PDQ Deployer, una herramienta legítima de despliegue de software que permite a los administradores de sistemas instalar aplicaciones de forma silenciosa, tanto para el movimiento lateral como para la entrega de cargas útiles, incluido el despliegue de ransomware en toda la red.
Además, Storm-1175 ha aprovechado Impacket para movimientos laterales. Impacket es un conjunto de clases de Python de código abierto diseñadas para trabajar con protocolos de red, y es popular entre sus adversarios debido a su facilidad de uso y amplia gama de capacidades. Microsoft Defender for Endpoint tiene una regla dedicada de reducción de superficie de ataque para defenderse contra técnicas de movimiento lateral utilizadas por Impacket: crear procesos de bloque originados en comandos PSExec y WMI); proteger las vías de movimiento lateral también puede mitigar el Impacket.
Robo de credenciales
Impacket se utiliza además para facilitar el volcado de credenciales a través de LSASS; el actor amenazante también aprovechó la herramienta de robo de credenciales de mercancías Mimikatz para identificar intrusiones en 2025. Además, Storm-1175 ha utilizado técnicas conocidas de vivir de la tierra para robar credenciales, como modificar la entrada del registro UseLogonCredential para activar la caché de credenciales WDigest, o usar el Administrador de tareas para volcar las credenciales LSASS; para ambas técnicas de ataque, el actor de la amenaza debe obtener privilegios administrativos locales para modificar estos recursos. La regla de reducción de superficie de ataque para bloquear el robo de credenciales de LSASS puede limitar la efectividad de este tipo de ataque y, en un sentido más amplio, limitar el uso de derechos de administrador local por parte de los usuarios finales. Asegurarse de que las contraseñas de administrador local no se compartan a través del entorno también puede reducir el riesgo de estas técnicas de volcado LSASS.
También hemos observado que, tras obtener las credenciales de administrador, Storm-1175 ha utilizado un script para recuperar contraseñas del software de respaldo Veeam, que se utiliza para conectarse a hosts remotos, para permitir así el despliegue de ransomware en sistemas conectados adicionales.
Con suficientes privilegios, Storm-1175 puede entonces usar herramientas como PsExec para pivotar a un Controlador de Dominio, donde ha accedido al volcado NTDS.dit, una copia de la base de datos de Active Directory que contiene datos de usuario y contraseñas que pueden ser descifradas sin conexión. Esta posición privilegiada también ha otorgado a Storm-1175 acceso al gestor de cuentas de seguridad (SAM, por sus siglas en inglés), que proporciona configuración y ajustes de seguridad detallados, lo que permite al atacante comprender y manipular el entorno del sistema a una escala mucho mayor.
Manipulación de seguridad para la entrega de ransomware
Storm-1175 modifica la configuración de Microsoft Defender Antivirus almacenada en el registro para manipular el software antivirus y evitar que bloquee cargas útiles de ransomware; para lograr esto, un atacante debe tener acceso a cuentas con altos privilegios que puedan modificar el registro de manera directa. Por esta razón, priorizar las alertas relacionadas con el robo de credenciales, que por lo general indican un atacante activo en el entorno, es esencial para responder a señales de ransomware y evitar que los atacantes obtengan acceso privilegiado a la cuenta.
Storm-1175 también ha utilizado comandos PowerShell codificados para añadir la unidad C: a la ruta de exclusión del antivirus, lo que impide que la solución de seguridad escanee la unidad y permite que las cargas útiles se ejecuten sin alertas. Los defensores pueden reforzar estas técnicas a través de combinar la protección contra manipulaciones con la configuración DisableLocalAdminMerge, que impide que los atacantes utilicen privilegios de administrador local para establecer exclusiones antivirus.
Exfiltración de datos y despliegue de ransomware
Como otras ofertas de ransomware como servicio (RaaS), Medusa ofrece un sitio de filtraciones para facilitar operaciones de doble extorsión para sus afiliados: los atacantes no solo cifran datos, sino que los roban y los retienen como rehenes, para después amenazar con filtrar los archivos de manera pública si no se paga el rescate. Con ese fin, Storm-1175 suele usar Bandizip para recopilar archivos y Rclone para la exfiltración de datos. Herramientas de sincronización de datos como Rclone permiten a los actores amenazantes transferir con facilidad grandes volúmenes de datos a un recurso en la nube propiedad de un atacante remoto. Estas herramientas también proporcionan capacidades de sincronización de datos, al mover archivos recién creados o actualizados a recursos en la nube en tiempo real para permitir una exfiltración continua en todas las etapas del ataque sin necesidad de interacción del atacante.
Por último, tras haber conseguido suficiente acceso a toda la red, Storm-1175 utiliza con frecuencia PDQ Deployer para lanzar un script (RunFileCopy.cmd) y entregar cargas útiles de ransomware Medusa. En algunos casos, Storm-1175 ha utilizado de manera alternativo acceso con altos privilegios para crear una actualización de la Política de Grupo que despliegue ransomware de forma generalizada.
Directrices de mitigación y protección
Para defenderse de los TTP Storm-1175 y actividades similares, Microsoft recomienda las siguientes medidas de mitigación:
Utilizar una herramienta de escaneo perimetral como Microsoft Defender External Attack Surface Management para entender la huella digital y la superficie potencial de ataque de tu organización. Atacar vulnerabilidades que se enfrentan a la web sigue como uno de los métodos de ataque más efectivos para el acceso inicial.
Asegurarse de que cualquier sistema orientado a la web esté aislado de la red pública con un límite de red seguro y accede a ellos mediante una red privada virtual (VPN, por sus siglas en inglés). Si ciertos servidores deben ser accesibles en internet público, colóquenlos detrás de un cortafuegos de aplicaciones web (WAF, por sus siglas en inglés),un proxy inverso o una red perimetral (también conocida como DMZ), lo que puede reducir el riesgo de explotación de vulnerabilidades en algunos casos.
Sigan las directrices sobre defensa contra ransomware en la entrada del blog de Microsoft sobre ransomware como servicio, que detalla cómo mejorar la higiene de credenciales así como cómo limitar el movimiento lateral a través del principio de menor privilegio.
Implementar Credential Guard, una característica de seguridad crítica que protege las credenciales almacenadas en la memoria del proceso, en la lsass.exe de procesos LSA. Credential Guard está activado por defecto en Windows 11. Sin embargo, si Credential Guard estaba deshabilitado de manera previa en un dispositivo, actualizar un dispositivo a Windows 11 no anula esa configuración, y Credential Guard tendrá que volver a activarse. Además, Credential Guard debe estar habilitado antes de que un dispositivo se una a un dominio o antes de que un usuario de dominio inicie sesión por primera vez. Si Credential Guard está habilitado tras la unión al dominio, los secretos de usuario y dispositivo pueden estar ya comprometidos. Credential Guard puede activarse mediante la Política de Grupo, el registro o Microsoft Intune.
Activar las funciones de protección contra manipulaciones a nivel de inquilino para evitar que los atacantes detengan los servicios de seguridad o utilicen exclusiones antivirus. Sin protección contra manipulaciones, los atacantes podrían tan solo desactivar el Antivirus Microsoft Defender sin necesidad de obtener mayores privilegios.
Si hay un problema con un dispositivo durante el despliegue de varias funciones antivirus, el dispositivo puede colocarse en modo de solución de problemas para desactivar de manera temporal la Protección contra Manipulaciones sin afectar la política de seguridad organizacional en general.
Para los sistemas RMM aprobados usados en tu entorno, aplicar ajustes de seguridad siempre que sea posible para implementar MFA. Si se detecta una instalación RMM no aprobada en su red, restablezcan las contraseñas de las cuentas usadas para instalar los servicios RMM. Si se utilizó una cuenta a nivel de sistema para instalar el software, puede ser necesario investigar más a fondo.
Configurar la interrupción automática de ataques en Microsoft Defender XDR. La interrupción automática de ataques está diseñada para contener los ataques en curso, limitar el impacto en los activos de una organización y proporcionar más tiempo a los equipos de seguridad para remediar completamente el ataque.
Bloquear creaciones de procesos originadas a partir de comandos PSExec y WMI (Algunas organizaciones pueden experimentar problemas de compatibilidad con esta regla en ciertos sistemas de servidor, pero deberían desplegarla en otros sistemas para evitar movimientos laterales provenientes de PsExec y WMI).
Los clientes de Microsoft Defender pueden consultar la lista de detecciones aplicables a continuación. Microsoft Defender coordina la detección, prevención, investigación y respuesta entre terminales, identidades, correo electrónico y aplicaciones para proporcionar protección integrada contra ataques como la amenaza que se discute en este blog.
Táctica
Actividad observada
Cobertura de Microsoft Defender
Acceso inicial
Storm-1174 explota aplicaciones vulnerables orientadas a la web
Microsoft Defender for Endpoint – Actor amenazante vinculado a ransomware detectado – Posible explotación de vulnerabilidad de software Beyond Trust – Posible explotación de vulnerabilidad de GoAnywhere MFT – Posible explotación de vulnerabilidad de SAP NetWeaver Posible explotación de la vulnerabilidad TeamCity de JetBrain – Ejecución de comandos sospechosos vía ScreenConnect – Servicio sospechoso lanzado
Persistencia y escalada de privilegios
Storm-1175 crea nuevas cuentas de usuario bajo grupos administrativos con el comando net
Microsoft Defender para Endpoint – Cuenta de usuario creada en circunstancias sospechosas – Nuevo administrador local añadido por medio de comandos de red – Nuevo grupo añadido de forma sospechosa – Creación de cuenta sospechosa – Manipulación sospechosa de cuentas de Windows – Búsquedas anómalas de cuentas
Robo de credenciales
Storm-1175 vuelca credenciales de LSASS o utiliza una posición privilegiada del Controlador de Dominio para acceder a NTDS.dit y a la colmena SAM
Microsoft Defender Antivirus– Comportamiento: Win32/SAMDumpz
Microsoft Defender for Endpoint – Credenciales expuestas en riesgo de compromiso – Credenciales de cuenta comprometidas – Volcado de memoria del proceso
Persistencia, movimiento lateral
Storm-1175 utiliza herramientas RMM para persistencia, entrega de carga útil y movimiento lateral
Microsoft Defender para Endpoint – Actividad sospechosa de Atera – Archivo eliminado y lanzado desde una ubicación remota
Ejecución
Storm-1175 ofrece herramientas como PsExec o utiliza LOLbins como PowerShell para realizar actividades posteriores a compromisos
Microsoft Defender Antivirus – Comportamiento: Win32/Psexec Microsoft Defender remoto
Microsoft Defender para endpoint – Ataque manual con teclado que involucra múltiples dispositivos – Software de acceso remoto – Línea de comandos sospechosa de PowerShell – Descarga sospechosa de PowerShell o ejecución codificada de comandos – Actor amenazante vinculado a ransomware detectado
Exfiltración
Storm-1175 utiliza la herramienta de sincronización Rclone para robar documentos
Microsoft Defender para Endpoint – Posible actividad maliciosa operada por humanos – Renombramiento de herramientas legítimas para posible exfiltración de datos – Posible exfiltración de datos – Intento oculto de lanzamiento de herramienta de doble uso
Evasión de defensa
Storm-1175 desactiva Windows Defender
Microsoft Defender para Endpoint – Emisión de detección de Defender – Intento de desactivar la protección antivirus de Microsoft Defender
Impacto
Storm-1175 despliega el ransomware Medusa
Microsoft Defender Antivirus – Rescate: Win32/Medusa
Microsoft Defender para Endpoint – Posible actividad de ransomware basada en una extensión maliciosa conocida – Posible cuenta de usuario comprometida que entrega archivos relacionados con ransomware – Activos en potencia comprometidos que exhiben comportamientos similares a ransomware – Comportamiento de ransomware detectado en el sistema de archivos – Archivo lanzado y lanzado desde una ubicación remota
Microsoft Security Copilot
Microsoft Security Copilot está integrado en Microsoft Defender y proporciona a los equipos de seguridad capacidades impulsadas por IA para resumir incidentes, analizar archivos y scripts, resumir identidades, usar respuestas guiadas y generar resúmenes de dispositivos, consultas de búsqueda e informes de incidentes.
Security Copilot también está disponible como una experiencia independiente donde los clientes pueden realizar tareas específicas relacionadas con la seguridad, como la investigación de incidentes, el análisis de usuarios y la evaluación del impacto en vulnerabilidades. Además, Security Copilot ofrece escenarios para desarrolladores que permiten a los clientes crear, probar, publicar e integrar agentes y plugins de IA para satisfacer necesidades de seguridad únicas.
Informes de inteligencia sobre amenazas
Los clientes de Microsoft Defender XDR pueden utilizar los siguientes informes de análisis de amenazas en el portal Defender (requiere licencia para al menos un producto Defender XDR) para obtener la información más actualizada sobre el actor de la amenaza, la actividad maliciosa y las técnicas discutidas en este blog. Estos informes proporcionan la inteligencia, la información de protección y las acciones recomendadas para prevenir, mitigar o responder a las amenazas asociadas encontradas en los entornos de los clientes.
9632d7e4a87ec12fdd05ed3532f7564526016b78972b2cd49a610354d672523c *Tengan en cuenta que también hemos visto este hash en intrusiones de ransomware por parte de otros actores amenazantes desde 2024
Para recibir notificaciones sobre nuevas publicaciones y participar en debates en redes sociales, síganos en LinkedIn, X (antes Twitter) y Bluesky.
Para escuchar historias y opiniones de la comunidad de Microsoft Threat Intelligence sobre el panorama de amenazas en constante evolución, escuchen el podcast Microsoft Threat Intelligence.
The post Storm-1175 centra la atención en activos vulnerables que se conectan a la web en operaciones de ransomware Medusa de alta velocidad appeared first on Source LATAM.
The Apache Spark troubleshooting agent and upgrade agent for Amazon EMR are now available as Kiro powers, bringing one-click access to AI-assisted Spark operations directly in Kiro. With these powers, data engineers can reduce troubleshooting time from hours to minutes and compress Spark version upgrades from months to weeks.
When a Spark job fails, the troubleshooting power identifies the root cause by analyzing logs, metrics, and configurations across EMR on EC2 and EMR Serverless, and provides specific code recommendations for PySpark applications. The upgrade power automates Spark version upgrades, such as moving from EMR 6.5 to EMR 7.12, by handling code transformation and dependency resolution through remote validation and data quality comparison on EMR. Both powers connect to Spark agents through MCP Proxy for AWS with IAM role-based authentication, and all actions are recorded in AWS CloudTrail for full auditability..
The Apache Spark troubleshooting and upgrade powers are available with Amazon EMR in all AWS commercial regions. To get started, install the Apache Spark troubleshooting power or the upgrade power from the Kiro IDE. For more information, see the troubleshooting agent and upgrade agent documentation.
The Apache Spark troubleshooting agent and upgrade agent for Amazon EMR are now available as Kiro powers, bringing one-click access to AI-assisted Spark operations directly in Kiro. With these powers, data engineers can reduce troubleshooting time from hours to minutes and compress Spark version upgrades from months to weeks. When a Spark job fails, the troubleshooting power identifies the root cause by analyzing logs, metrics, and configurations across EMR on EC2 and EMR Serverless, and provides specific code recommendations for PySpark applications. The upgrade power automates Spark version upgrades, such as moving from EMR 6.5 to EMR 7.12, by handling code transformation and dependency resolution through remote validation and data quality comparison on EMR. Both powers connect to Spark agents through MCP Proxy for AWS with IAM role-based authentication, and all actions are recorded in AWS CloudTrail for full auditability..
The Apache Spark troubleshooting and upgrade powers are available with Amazon EMR in all AWS commercial regions. To get started, install the Apache Spark troubleshooting power or the upgrade power from the Kiro IDE. For more information, see the troubleshooting agent and upgrade agent documentation.
You can now use the AWS Glue Schema Registry, a serverless and free feature of AWS Glue, in the Asia Pacific (Jakarta), Europe (Spain), and Europe (Zurich) regions to validate and control the evolution of streaming data using registered Apache Avro, JSON, and Protobuf schema formats.
The Schema Registry acts as a centralized repository for managing data format and structure between decoupled applications in data streaming systems. By using it, you can eliminate data validation logic and cross-team coordination, improve streaming data quality, and reduce downstream application failures. Through Apache-licensed serializers and deserializers, the Schema Registry integrates with C# and Java applications developed for Apache Kafka/Amazon Managed Streaming for Apache Kafka, Amazon Kinesis Data Streams, Apache Flink/Amazon Kinesis Data Analytics for Apache Flink, and AWS Lambda.
You can now use the AWS Glue Schema Registry, a serverless and free feature of AWS Glue, in the Asia Pacific (Jakarta), Europe (Spain), and Europe (Zurich) regions to validate and control the evolution of streaming data using registered Apache Avro, JSON, and Protobuf schema formats.
The Schema Registry acts as a centralized repository for managing data format and structure between decoupled applications in data streaming systems. By using it, you can eliminate data validation logic and cross-team coordination, improve streaming data quality, and reduce downstream application failures. Through Apache-licensed serializers and deserializers, the Schema Registry integrates with C# and Java applications developed for Apache Kafka/Amazon Managed Streaming for Apache Kafka, Amazon Kinesis Data Streams, Apache Flink/Amazon Kinesis Data Analytics for Apache Flink, and AWS Lambda.
To get started, visit the AWS Glue Schema Registry documentation. For a full list of AWS Regions where AWS Glue Schema Registry is available, see the AWS Regional Services List.
Amazon SageMaker Data Agent now supports interactive charting, SQL analytics on Snowflake data sources, and materialized view management in Amazon SageMaker Unified Studio notebooks. Data Agent now provides a complete analytics workflow that goes beyond code generation, enabling you to explore AWS and external data sources, visualize results, and optimize query performance, all with natural language prompts.
You can ask «plot monthly revenue trends by region for 2025» and Data Agent generates an interactive chart directly in your notebook, where you can hover over data points, and modify without writing code. When your analysis spans AWS and Snowflake, you can query Snowflake tables through external connections and join them with your AWS Glue Data Catalog data in a single prompt. Additionally, you can ask «analyze my notebook and suggest which queries would benefit from materialized views» and the agent recommends optimizations based on your query patterns, creates the views, and sets refresh schedules.
Amazon SageMaker Data Agent now supports interactive charting, SQL analytics on Snowflake data sources, and materialized view management in Amazon SageMaker Unified Studio notebooks. Data Agent now provides a complete analytics workflow that goes beyond code generation, enabling you to explore AWS and external data sources, visualize results, and optimize query performance, all with natural language prompts.
You can ask «plot monthly revenue trends by region for 2025» and Data Agent generates an interactive chart directly in your notebook, where you can hover over data points, and modify without writing code. When your analysis spans AWS and Snowflake, you can query Snowflake tables through external connections and join them with your AWS Glue Data Catalog data in a single prompt. Additionally, you can ask «analyze my notebook and suggest which queries would benefit from materialized views» and the agent recommends optimizations based on your query patterns, creates the views, and sets refresh schedules.
To get started, open a notebook in your SageMaker Unified Studio project and use the Data Agent chat panel. These features are available in all AWS Regions where Amazon SageMaker Unified Studio is supported. To learn more, see SageMaker Data Agent in the SageMaker Unified Studio User Guide.
Amazon Bedrock Guardrails now enables centralized enforcement of safety controls across all AWS accounts within an organization through cross-account safeguards. Amazon Bedrock Guardrails offers configurable safeguards that help block up to 88% of harmful multimodal content from both input prompts and model responses, while filtering hallucinated responses from foundation models. Central security teams and administrators can now automatically implement these controls for all foundation model interactions in Amazon Bedrock across their organization, eliminating the operational overhead of manually configuring guardrails for each account.
With cross-account safeguards, you can specify a guardrail ID from your management account in a new Amazon Bedrock policy that automatically enforces configured safeguards across all member entities including organizational units (OUs) and individual accounts for all model invocations with Amazon Bedrock. This enables operational efficiency through automatic enforcement from a single control point in your management account. You can implement organization-level enforcement for uniform baseline protection, account-level controls for specific departmental requirements, and application-specific safeguards that complement organizational policies, with the union of multiple guardrails enforced during model inference calls.
Organizational safeguards in Amazon Bedrock Guardrails is now available in all AWS commercial and GovCloud regions where Bedrock Guardrails is supported. You can access this capability through the AWS management console or using the supported APIs.
Amazon Bedrock Guardrails now enables centralized enforcement of safety controls across all AWS accounts within an organization through cross-account safeguards. Amazon Bedrock Guardrails offers configurable safeguards that help block up to 88% of harmful multimodal content from both input prompts and model responses, while filtering hallucinated responses from foundation models. Central security teams and administrators can now automatically implement these controls for all foundation model interactions in Amazon Bedrock across their organization, eliminating the operational overhead of manually configuring guardrails for each account. With cross-account safeguards, you can specify a guardrail ID from your management account in a new Amazon Bedrock policy that automatically enforces configured safeguards across all member entities including organizational units (OUs) and individual accounts for all model invocations with Amazon Bedrock. This enables operational efficiency through automatic enforcement from a single control point in your management account. You can implement organization-level enforcement for uniform baseline protection, account-level controls for specific departmental requirements, and application-specific safeguards that complement organizational policies, with the union of multiple guardrails enforced during model inference calls. Organizational safeguards in Amazon Bedrock Guardrails is now available in all AWS commercial and GovCloud regions where Bedrock Guardrails is supported. You can access this capability through the AWS management console or using the supported APIs. To learn more about implementing centralized guardrails enforcement across your organization, read the News blog, visit the Amazon Bedrock Guardrails documentation, and explore the Amazon Bedrock Guardrails service page.
AWS Secrets Manager console now allows you to specify a custom customer managed AWS Key Management Service (KMS) key when creating secrets. You can now provide a KMS key Amazon Resource Name (ARN) directly in the console, in addition to selecting from the pre-populated list of KMS keys in your current account.
Previously, when creating a secret through the AWS Secrets Manager console, you could only select customer managed KMS keys from a dropdown list that displayed keys within the same AWS account. With this enhancement, you can now enter a KMS key ARN to use a key from a different account, aligning the console experience with the existing API capabilities. This simplifies cross-account encryption workflows and provides greater flexibility in managing your encryption keys across multiple accounts.
This feature is available in all AWS Regions where AWS Secrets Manager is available. To learn more about using customer managed KMS keys with AWS Secrets Manager, visit the AWS Secrets Manager documentation.
AWS Secrets Manager console now allows you to specify a custom customer managed AWS Key Management Service (KMS) key when creating secrets. You can now provide a KMS key Amazon Resource Name (ARN) directly in the console, in addition to selecting from the pre-populated list of KMS keys in your current account.
Previously, when creating a secret through the AWS Secrets Manager console, you could only select customer managed KMS keys from a dropdown list that displayed keys within the same AWS account. With this enhancement, you can now enter a KMS key ARN to use a key from a different account, aligning the console experience with the existing API capabilities. This simplifies cross-account encryption workflows and provides greater flexibility in managing your encryption keys across multiple accounts.
This feature is available in all AWS Regions where AWS Secrets Manager is available. To learn more about using customer managed KMS keys with AWS Secrets Manager, visit the AWS Secrets Manager documentation.
Today, AWS announces the general availability of Partner Revenue Measurement User Agent string — a new capability that enables AWS Partners to measure AWS service consumption driven by their solutions using AWS APIs and SDKs. Partner Revenue Measurement allows Partners to better understand their AWS revenue impact and product consumption patterns. The User Agent string capability allows Partners to embed a unique product code from their AWS Marketplace listing as a user agent to quantify and measure the AWS revenue impact of that solution across certain services.
Partners can now add a user agent (format APN_1.1/pc_<AWS Marketplace product-code>$) in their application to enable AWS service consumption measurement by solution across partner-managed and customer-managed accounts. Partners can also set an environment variable in their SDKs or configure a setting in their AWS shared configuration file to automatically apply the User Agent string to all AWS service calls. This method supports automated deployments across Python, Node.js, Java, Kotlin, and other AWS SDKs, by capturing attribution for API-driven workloads and complements Partner Revenue Measurement’s Resource Tagging and AWS Marketplace Metering integration capabilities.
Partner Revenue Measurement is generally available in all commercial regions. To learn more about User Agent string implementation, visit the User Agent implementation guide and services supported. To learn more about Partner Revenue Measurement capabilities, review the onboarding guide for more information.
Today, AWS announces the general availability of Partner Revenue Measurement User Agent string — a new capability that enables AWS Partners to measure AWS service consumption driven by their solutions using AWS APIs and SDKs. Partner Revenue Measurement allows Partners to better understand their AWS revenue impact and product consumption patterns. The User Agent string capability allows Partners to embed a unique product code from their AWS Marketplace listing as a user agent to quantify and measure the AWS revenue impact of that solution across certain services.
Partners can now add a user agent (format APN_1.1/pc_<AWS Marketplace product-code>$) in their application to enable AWS service consumption measurement by solution across partner-managed and customer-managed accounts. Partners can also set an environment variable in their SDKs or configure a setting in their AWS shared configuration file to automatically apply the User Agent string to all AWS service calls. This method supports automated deployments across Python, Node.js, Java, Kotlin, and other AWS SDKs, by capturing attribution for API-driven workloads and complements Partner Revenue Measurement’s Resource Tagging and AWS Marketplace Metering integration capabilities.
Partner Revenue Measurement is generally available in all commercial regions. To learn more about User Agent string implementation, visit the User Agent implementation guide and services supported. To learn more about Partner Revenue Measurement capabilities, review the onboarding guide for more information.
Today, AWS announces the launch of Partner Revenue Measurement integration with AWS Marketplace Metering for Amazon Machine Image (AMI) and Machine Learning (ML) products listed in AWS Marketplace. Partner Revenue Measurement allows Partners to better understand their AWS revenue impact and product consumption patterns. The AWS Marketplace Metering capability automatically measures AWS service consumption when customers purchase and use AMI and ML products via AWS Marketplace.
Partners can now gain visibility into how their solutions impact Amazon Elastic Compute Cloud (Amazon EC2) and Amazon SageMaker AI service consumption across partner-managed and customer-managed accounts. This method complements Partner Revenue Measurement’s Resource Tagging and User Agent string capabilities by capturing attribution without requiring additional Partner implementation.
Partner Revenue Measurement is generally available in all commercial regions. To learn more about AWS Marketplace Metering, review the AWS Marketplace metering guide. To learn more about Partner Revenue Measurement capabilities, review the onboarding guide.
Today, AWS announces the launch of Partner Revenue Measurement integration with AWS Marketplace Metering for Amazon Machine Image (AMI) and Machine Learning (ML) products listed in AWS Marketplace. Partner Revenue Measurement allows Partners to better understand their AWS revenue impact and product consumption patterns. The AWS Marketplace Metering capability automatically measures AWS service consumption when customers purchase and use AMI and ML products via AWS Marketplace.
Partners can now gain visibility into how their solutions impact Amazon Elastic Compute Cloud (Amazon EC2) and Amazon SageMaker AI service consumption across partner-managed and customer-managed accounts. This method complements Partner Revenue Measurement’s Resource Tagging and User Agent string capabilities by capturing attribution without requiring additional Partner implementation.
Partner Revenue Measurement is generally available in all commercial regions. To learn more about AWS Marketplace Metering, review the AWS Marketplace metering guide. To learn more about Partner Revenue Measurement capabilities, review the onboarding guide.
IA en el trabajo: CEO de LinkedIn habla sobre cómo ha cambiado en realidad el trabajo
En su nuevo libro, Open to Work, Ryan Roslansky explica lo que revelan mil millones de carreras sobre habilidades, adaptabilidad y por qué el juicio humano importa más a medida que la IA crece.
Por: Jared Spataro, CMO IA at Work de Microsoft.
Ryan Roslansky y yo somos colegas en Microsoft: él dirige LinkedIn como CEO y también supervisa el equipo de ingenieros responsables de Microsoft 365 y Copilot como vicepresidente ejecutivo. Eso le sitúa en la intersección de tres cosas en las que pienso de manera constante: cómo cambia el trabajo, qué herramientas aceleran ese cambio y cómo las personas pueden encontrar su lugar en un panorama que cambia con rapidez.
He hablado mucho en los últimos días sobre lo que harán los humanos en esta nueva era, y Ryan está a punto de publicar un libro justo sobre eso. Open to Work: How to Get Ahead in the Age of AI, coescrito con Aneesh Raman, Chief Economic Opportunity Officer de LinkedIn, argumenta que, a medida que la IA absorbe más trabajo de eficiencia—el «más, mejor, más rápido» que ha definido la mayoría de los empleos durante décadas—la gente al fin tiene el espacio para hacer aquello en lo que siempre ha sido la mejor, pero rara vez tenía tiempo para ello.
Lo que hace que ese argumento tenga sentido es de dónde viene. Ryan tiene visibilidad entre más de mil millones de profesionales—cómo cambian las habilidades, cómo evolucionan los roles, cómo cambia la contratación—en medio de una de las transiciones más trascendentales en la historia del trabajo.
Le hice algunas preguntas para arrancar con el lanzamiento.
En el libro, presentas las habilidades como la nueva moneda. ¿Qué hace que una habilidad sea acumulada o sea perecedera en la era de la IA y cómo deberían elegir las personas dónde invertir su tiempo de aprendizaje para mantenerse valiosas y relevantes en este entorno tan dinámico?
La mayoría de nosotros definimos nuestro trabajo por nuestros títulos. Soy consultor. Soy profesor. Soy CEO. Pero es el enfoque equivocado.
El trabajo de todos es un conjunto de habilidades y tareas. Tu trabajo, mi trabajo, todos los trabajos. Y si desglosas tu trabajo en un conjunto de tareas y las habilidades necesarias para realizarlas, puedes empezar a entender qué conjunto de tareas y habilidades es más probable que la IA pueda automatizar y cuáles no.
Ahora cada trabajo tiene tres tipos de tareas
La IA ha comenzado a cambiar el trabajo al absorber el esfuerzo rutinario, transformar la colaboración y agudizar la importancia del juicio humano.
El primer grupo de tareas son aquellas que la IA puede manejar por completo: tareas que consisten en resumir rápido, analizar o el primer borrador de un contenido.
A medida que la IA asume más y más de esas tareas, está el segundo grupo, las tareas que vas a hacer con la IA. Este es el segmento más importante para todos ahora mismo porque es donde empiezas a remodelar tu rol antes de que el mercado lo haga por ti. Y es donde tienes que ser intencionado a la hora de desarrollar profundidad en tu habilidad. Aprende a usar las herramientas, a usarlas con fluidez y luego desarrolla tus capacidades humanas únicas encima de estas, habilidades que no se reducen con facilidad a tareas automatizables. Este grupo es donde las habilidades se acumulan y empiezas a entregar cosas nuevas de formas nuevas.
Y todo eso abre más tiempo y concentración en las tareas del tercer grupo—el que está lleno de tareas que solo tú puedes hacer porque se trata de juicio, toma de decisiones o comunicación. Estas habilidades no van a desaparecer. Y en muchos casos, se han vuelto aún más centrales en lo que es tu trabajo.
Siempre regreso a la idea de que el antiguo organigrama ha desaparecido: escaleras lineales, estructuras predecibles, larga trayectoria. Si ese gráfico ya no funciona, ¿qué lo reemplaza? ¿Cómo organizan ahora los líderes sus equipos?
Gran parte de la estructura del trabajo hoy en día fue diseñada para la era industrial, cuando el enfoque era la eficiencia y la escala. Los organigramas surgieron para poner orden en ese sistema y crear previsibilidad. Pero hoy en día las empresas necesitan funcionar más como grandes startups: adaptándose con rapidez y mueven a las personas hacia nuevas oportunidades y desafíos. En ese entorno, los organigramas tradicionales pueden convertirse en una limitación.
Microsoft ideó una forma diferente de pensar esto: el diagrama de trabajo. Es bastante sencillo. Organiza tu organización en torno al trabajo que hay que hacer.
Hemos empezado a experimentar con ese marco en LinkedIn. A nivel histórico, una idea de producto ha tenido que pasar por funciones separadas entre ingeniería, producto y diseño, y luego capas distintas dentro de todas esas funciones antes de llegar a manos de miembros reales. La complejidad y el tiempo que eso lleva no nos pone en la posición adecuada para tener éxito. Pero ahora, las herramientas de IA han hecho posible que las personas realicen trabajo en esas funciones y compartimentos aislados. Así que creamos un nuevo rol llamado builder y reclutamos para él de una forma muy poco tradicional pero directa: envíanos un ejemplo de algo que hayas construido con IA. No nos centramos en credenciales como las escuelas o empresas anteriores, solo en si podías usar estas herramientas para construir algo.
Seis meses después, tenemos un grupo de constructores extraordinarios, muchos recién salidos de la universidad, que ya nos han comenzado a enseñar a pensar de forma diferente, construir de forma distinta y organizarnos en torno al trabajo de forma distinta.
Ambos hablamos mucho sobre la agencia en el trabajo, pero también vemos cómo las categorías laborales cambian casi de la noche a la mañana. ¿Cómo concilias animar a la gente a asumir la responsabilidad de sus carreras con la realidad de que la IA y otras fuerzas transforman cómo es el trabajo?
La gente suele hablar de los cambios en el mercado laboral, como el que todos experimentamos, como si apareciera una nueva tecnología, todos la adoptaran y luego la productividad explotara. De lo que a menudo no se habla es del desorden intermedio, donde la gente intenta averiguar cómo adaptarse a esa nueva tecnología, cuando hay incertidumbre, miedo, pérdida de empleo y los puestos son desplazados, reemplazados o rehechos. Todos intentan averiguar cómo serán los próximos cinco años de mi carrera.
Ante todo este cambio, lo que la gente necesita ahora mismo no es certeza. Es agencia. La sensación de que aún tienen cierto control sobre lo que viene después.
El primer paso para construir esa agencia es pasar de una mentalidad fija sobre lo que ha sido el trabajo a una mentalidad abierta—de ahí el título Abierto al Trabajo. Todo se trata de hacer de esto tu mentalidad de cara al futuro. Abierto al cambio. Abierto a probar cosas nuevas, aprender cosas nuevas, fracasar y crecer de nuevas maneras. Cuando miro a las personas que son más resilientes, más adaptables, más emprendedoras, más abiertas a afrontar momentos como este, no son las que tienen las mejores credenciales. Son los que están abiertos a lo que tenga delante.
Tienes la mejor perspectiva del mundo sobre cómo evolucionan en realidad las carreras: 1.300 millones de miembros, datos en tiempo real sobre transiciones laborales, habilidades y contratación. ¿Cuál es el patrón más sorprendente que ves ahora mismo?
Cambies o no de trabajo, tu trabajo cambia en ti. Las competencias para los empleos a nivel global han cambiado alrededor de un 25% desde 2015, y puedes esperar que tu puesto cambie hasta un 70% para 2030.
Pero lo fascinante no es solo cómo cambia el trabajo, sino también cómo cambia quien hace qué trabajo. Personas que antes se sentían encasilladas en ciertos empleos o trayectorias profesionales ahora pueden usar herramientas de IA para tener agencia en su vida profesional y construir lo que quieren construir en el mundo. Hemos visto un aumento en miembros que añaden «Fundador» a sus perfiles de LinkedIn, con crecimiento de un 60% interanual y triplicándose desde 2022.
Y aunque el mercado laboral en general sigue lento, hay otra señal importante: desde 2023, hemos visto un aumento neto de 1,3 millones de nuevos puestos relacionados con la IA —desde anotadores de datos hasta ingenieros desplegados hacia adelante que integran la IA en flujos de trabajo, hasta empleos en centros de datos. En otras palabras, a pesar de los titulares, la IA crea más empleos de los que reemplaza.
No solo escribes sobre el futuro del trabajo—ayudas a construirlo, en especial con tu papel como líder del equipo detrás de Microsoft 365 Copilot. ¿Qué has aprendido al crear Copilot que ha cambiado su forma de pensar sobre el futuro de la colaboración humano-IA?
Nuestro objetivo es convertir Microsoft Office en un lienzo para la IA y la colaboración humana a gran escala. No se trata solo de ayudarte a escribir un correo, sino de tener a un estratega o socio de opinión en tu bolsillo mientras escribes ese correo. No se trata solo de crear una presentación en PowerPoint, sino de darte un diseñador profesional con solo pulsar un botón para que esa presentación luzca fantástica.
Pero por muy potentes que sean estas herramientas, la realidad es que mucha gente todavía intenta incorporarlas en su trabajo diario. Mientras buscan entender dónde la IA puede crear más valor, a menudo hay altibajos y una buena dosis de incertidumbre sobre la mejor manera de avanzar.
Así que para quienes empiezan con herramientas de IA, recomiendo empezar por aquello en lo que la IA es en especial buena: buscar entre grandes conjuntos de datos, resumir documentos y recordar información con rapidez.
A partir de ahí, busca tareas que tan solo se hagan más rápido con IA, en lugar de hacerlas de manera manual. Las victorias tempranas ayudan a ganar impulso.
Luego pide a la IA que itere contigo. Como un compañero de pensamiento. Y no esperes una respuesta perfecta de un solo golpe. Sé específico con el resultado que quieres y refina sobre la marcha. Como cualquier herramienta nueva, tarda un poco en coger el ritmo.
Y un punto práctico que la gente suele pasar por alto: la IA se vuelve mucho más poderosa cuando está conectada con la información que usas para hacer tu trabajo. Darle acceso a los documentos y el contexto adecuados es lo que en verdad desbloquea su potencial.
Lo que más me entusiasma es la agencia que crean estas herramientas. Durante décadas, el trabajo ha estado limitado por el tiempo, el proceso y la cantidad de personas necesarias para dar vida a algo. La IA y herramientas como Copilot empiezan a comprimir esa distancia, al gestionar más trabajo «más rápido y más» para que la gente pueda centrarse en lo que solo ellos pueden hacer.
Reflexiones finales
Después de conversaciones como esta, vuelvo al hecho de que las personas que mejor afrontan este momento no esperan la certeza. Siguen adelante. Ryan tiene toda la razón sobre lo que en verdad importa ahora: este momento sigue abierto. Las decisiones que la gente tome en los próximos años —sobre habilidades, mentalidad, cómo utilizan esta tecnología— moldearán el futuro de formas que no podemos predecir del todo.
Open to Work es donde él y Aneesh exponen cómo son esas decisiones en la práctica. Si esta conversación planteó preguntas sobre su propia trayectoria profesional—y me imagino que así fue—consultar su libro es un buen siguiente paso.
Para más información sobre la IA y el futuro del trabajo, suscríbanse a este boletín.
