Ransomware Aurora: uso de IA para automatizar el escalamiento en Active Directory | | |
1. Antecedentes:
Se identificó una operación asociada a un afiliado del ransomware Aurora, responsable del compromiso de más de 20 organizaciones a nivel global. El actor utilizó el asistente de programación basado en IA Cursor como apoyo para planificar etapas de intrusión, desarrollar scripts y acelerar acciones de escalamiento de privilegios. La campaña afecta principalmente infraestructuras empresariales con sistemas Windows y Linux, entornos VMware ESXi y servicios de Active Directory. El uso de IA evidencia una tendencia hacia la automatización de tareas ofensivas, reduciendo el esfuerzo requerido para ejecutar operaciones complejas dentro de redes corporativas.
| | |
2. Detalles:
a. Explotación e impacto
- Automatización ofensiva: Cursor fue utilizado para generar scripts y estructurar secuencias destinadas a facilitar la ejecución de distintas fases del ataque.
- Escalamiento en AD: el actor empleó automatización para acelerar el reconocimiento y abuso de configuraciones y servicios de Active Directory con el objetivo de elevar privilegios.
- Alcance de la campaña: más de 20 organizaciones fueron comprometidas, evidenciando la capacidad de replicar procedimientos ofensivos a escala.
b. Indicadores de Compromiso (IoC):
IPs:
- 172[.]86[.]113[.]245
- 172[.]86[.]90[.]75
- 144[.]172[.]116[.]150
- 104[.]194[.]134[.]167
URL:
- ijexszhscln27nl263lmcd7tx3jttkhm4wjhd4e3y6r4csdbfyeprvid[.]onion
Hashes:
- SHA-256: eb0aab1e892d7e09e2c7bcf1d21fd83c1743ed9196b3efac6c78482fb0d99207
- SHA-256: a4af136d159a8eb96b54924fa80355ca52874913301300f55af7d67ae97edcfe
| | | |
3. Productos afectados:
- Sistemas Windows y Linux
- VMware ESXi
- Entornos Active Directory
| |
4. Recomendaciones:
- Bloquear inmediatamente las IPs, hashes e infraestructura identificados y monitorear intentos de comunicación con estos IoC.
- Auditar plantillas, servicios de certificación y configuraciones de Active Directory para detectar condiciones que faciliten escalamiento de privilegios.
- Reforzar políticas de contraseñas, Kerberos y protección de credenciales, especialmente en cuentas privilegiadas.
- Restringir y monitorear las interfaces de administración de VMware ESXi y proteger sus credenciales administrativas.
- Implementar segmentación y aislamiento de sistemas críticos para limitar el movimiento lateral del ransomware.
- Mantener respaldos offline/inmutables, con controles que impidan su eliminación o alteración durante un incidente.
| | Phishing avanzado para el robo de cuentas corporativas mediante OAuth y tokens de sesión | | |
1. Antecedentes:
Se identificó una campaña de phishing orientada al compromiso de cuentas corporativas, que combina ingeniería social con mecanismos legítimos de autenticación. Los actores emplean sitios fraudulentos y técnicas como OAuth, códigos de dispositivo y ataques de intermediario (AiTM) para obtener credenciales, códigos de autenticación o tokens de sesión. La suplantación de servicios y organizaciones legítimas busca aumentar la credibilidad de las solicitudes y evadir las sospechas del usuario. El acceso obtenido puede permitir el uso de sesiones autenticadas y el acceso posterior a información corporativa.
| | |
2. Detalles del ataque:
a. Método de distribución
- Phishing OAuth y códigos de dispositivo: buscan inducir al usuario a autorizar aplicaciones o entregar códigos que permitan al atacante obtener acceso a la cuenta.
- Intermediario (AiTM): permite interceptar o reutilizar elementos de autenticación para comprometer sesiones legítimas, incluso cuando existen controles adicionales de autenticación.
- Suplantación de servicios: utiliza dominios y páginas visualmente similares a plataformas legítimas para incrementar la tasa de interacción de las víctimas.
b. Indicadores de Compromiso (IoC):
Dominios:
- fllefolder[.]com
- sharefolders[.]org
- drive[.]google[.]sharefolders[.]org
- formshare[.]cloud
- drive[.]google[.]formshare[.]cloud
- sharedfolders[.]org
IP:
- 151.236.15[.]213
- 185.158.250[.]155
| | | |
3. Productos afectados:
- Cuentas corporativas, particularmente aquellas que utilizan servicios de autenticación federada, OAuth o acceso mediante sesiones web.
| | |
4. Recomendaciones:
- Bloquear los dominios e IPs asociados a la campaña en DNS, proxy, firewall y soluciones de seguridad disponibles.
- Investigar solicitudes inesperadas de OAuth, códigos de dispositivo o autenticación, especialmente aquellas iniciadas desde ubicaciones o dispositivos inusuales.
- Revisar periódicamente aplicaciones autorizadas, permisos delegados y sesiones activas de las cuentas corporativas.
- Revocar tokens, sesiones y permisos sospechosos ante indicios de compromiso y restablecer las credenciales afectadas.
- Reforzar la capacitación frente a solicitudes de autenticación inesperadas y verificar siempre el dominio antes de autorizar accesos.
- Implementar MFA resistente al phishing, como FIDO2/passkeys, para cuentas con acceso a información o sistemas críticos.
| | Inyección de comandos OS en Dell Cloud Disaster Recovery | | |
1. Antecedentes:
Se identificó una vulnerabilidad de alta severidad, CVE-2026-71171, en Dell Cloud Disaster Recovery. La falla afecta la API REST debido a una validación o neutralización insuficiente de caracteres especiales utilizados en comandos del sistema operativo. Un atacante remoto que disponga de altos privilegios podría aprovecharla para inyectar comandos y conseguir ejecución remota de código (RCE) sobre el sistema afectado. El riesgo es especialmente relevante en infraestructuras de recuperación ante desastres, donde un compromiso podría afectar capacidades críticas de continuidad operativa.
| | |
2. Detalles del ataque:
a. Explotación e impacto
- CVE-2026-71171: vulnerabilidad de inyección de comandos del sistema operativo derivada de una incorrecta neutralización de elementos especiales en la API REST.
- Vector de explotación: remoto, pero requiere privilegios elevados, reduciendo parcialmente la superficie de explotación.
- Impacto: ejecución arbitraria de comandos y posible compromiso del sistema mediante RCE.
| | | |
3. Productos afectados:
- Dell Cloud Disaster Recovery < 20.2
| | |
4. Recomendaciones:
- Verificar inmediatamente la presencia de Dell Cloud Disaster Recovery en versiones anteriores a 20.2.
- Aplicar la actualización de seguridad del proveedor en los sistemas afectados.
- Restringir el acceso remoto a la API REST únicamente a redes, servicios y usuarios autorizados.
- Revisar los logs de la API y del sistema operativo en busca de solicitudes o ejecución de comandos anómalos.
- Priorizar la actualización de sistemas expuestos a redes no confiables o utilizados para funciones críticas de recuperación.
| | Omisión crítica de autenticación por captura y reproducción en Apache Tomcat | | |
1. Antecedentes:
Se identificó la vulnerabilidad CVE-2026-65905, de severidad crítica, en los mecanismos de autenticación DIGEST de Apache Tomcat. El fallo, asociado a CWE-294 (Authentication Bypass by Capture-replay), se origina en una validación inadecuada de los contadores nonce dentro de la ventana de replicación. Un atacante remoto no autenticado podría capturar y reutilizar solicitudes previamente validadas para evadir controles de autenticación. La vulnerabilidad presenta un CVSS v3.1 de 9.8 (Crítico), con impacto potencial alto sobre confidencialidad, integridad y disponibilidad.
| | |
2. Detalles del ataque:
a. Mecanismo de explotación
- Capture-Replay: el atacante puede retransmitir una petición DIGEST previamente válida cuando el valor nonceCount se encuentra en un límite susceptible de la ventana de replicación.
- Explotación remota: requiere acceso de red al servicio, pero no necesita credenciales ni interacción del usuario; la complejidad de ataque es baja.
- Impacto: permite evadir la autenticación y operar utilizando el contexto de la sesión comprometida, pudiendo derivar en acceso no autorizado y afectación de datos o servicios.
- Severidad: CVSS 9.8/10 – CRÍTICA (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
- Estado: debido a su reciente divulgación, se recomienda mantener vigilancia sobre posibles intentos de explotación activa y actividad anómala contra servidores Tomcat.
| | | |
3. Productos afectados:
- Apache Tomcat 11: versiones 11.0.0-M1 a 11.0.24.
- Apache Tomcat 10: versiones 10.1.0-M1 a 10.1.57.
- Apache Tomcat 9: versiones 9.0.0.M1 a 9.0.120.
- Versiones EOL: Tomcat 8.5.0–8.5.100 y 7.0.30–7.0.109.
4. Recomendaciones:
- Actualizar con carácter prioritario a Tomcat 11.0.25, 10.1.58 o 9.0.121, según la rama utilizada.
- Retirar las versiones EOL y migrar a una rama soportada para mantener cobertura de seguridad.
- Reforzar el WAF para detectar solicitudes DIGEST repetidas o patrones anómalos asociados a valores nonce reutilizados.
- Evaluar la deshabilitación temporal de DIGEST cuando sea viable, utilizando mecanismos de autenticación más robustos.
- Revisar logs de autenticación y tráfico HTTP en busca de reproducción de solicitudes, sesiones anómalas o intentos de acceso no autorizado.
- Priorizar la remediación de instancias Tomcat expuestas directamente a Internet y mantener monitoreo continuo ante posibles intentos de explotación.
| | Inyección crítica de comandos en Adobe Campaign Classic | | |
1. Antecedentes:
Se identificó la vulnerabilidad CVE-2026-76195, de severidad crítica, en Adobe Campaign Classic (ACC), asociada a una validación insuficiente de elementos especiales en entradas procesadas por el sistema operativo (CWE-78). Un atacante remoto no autenticado podría enviar solicitudes especialmente diseñadas para ejecutar comandos arbitrarios en el servidor donde opera la plataforma. La explotación presenta baja complejidad, no requiere privilegios ni interacción del usuario y puede comprometer recursos fuera del alcance original de la aplicación. La vulnerabilidad recibió una puntuación CVSS v3.1 de 10.0/10 (Crítica).
| | |
2. Detalles:
a. Vector e impacto
- OS Command Injection: entradas controladas por el atacante pueden alcanzar componentes que interactúan con la shell del sistema operativo.
- Ejecución remota: un atacante con acceso de red al servicio podría ejecutar comandos con los privilegios de la cuenta utilizada por Adobe Campaign Classic.
- Condiciones de explotación: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H; no requiere autenticación previa ni interacción del usuario.
- Impacto: compromiso potencial de confidencialidad, integridad y disponibilidad, además de afectación de infraestructura externa a la aplicación.
- Estado: publicada el 25 de agosto de 2026; se recomienda mantener vigilancia ante posibles intentos de explotación activa.
| | | |
3. Productos afectados:
- Adobe Campaign Classic: todas las instancias sin parchear.
| | |
4. Recomendaciones:
- Aplicar urgentemente el parche APSB26-134 publicado por Adobe en todas las instancias afectadas.
- Priorizar la actualización de servidores expuestos a Internet o accesibles desde redes no confiables.
- Reforzar el WAF para detectar e interceptar patrones asociados con inyección de comandos en los endpoints de ACC.
- Revisar registros de aplicación, WAF y sistema operativo para identificar solicitudes anómalas o ejecución inesperada de procesos.
- Restringir el acceso a las interfaces y endpoints de Adobe Campaign Classic a orígenes y usuarios autorizados.
- Mantener monitoreo de inteligencia de amenazas para detectar explotación activa o nuevos indicadores asociados a CVE-2026-76195.
| | Falso escáner SysScan suplanta servicios de Microsoft | | |
1. Antecedentes:
Se identificó una campaña de ingeniería social basada en sitios web fraudulentos que suplanta la identidad de Microsoft mediante falsos servicios de diagnóstico denominados SysScan. La campaña utiliza técnicas de scareware para presentar resultados de seguridad manipulados y alertas críticas inexistentes directamente en el navegador. El objetivo es generar una percepción de compromiso del sistema y presionar al usuario para ejecutar acciones potencialmente inseguras. La infraestructura identificada utiliza múltiples dominios asociados y una dirección IP para distribuir el contenido fraudulento.
| | |
2. Detalles del ataque:
a. Mecanismo de ataque
- Suplantación de identidad: los portales imitan servicios y elementos visuales asociados a Microsoft para aumentar la credibilidad.
- Falso diagnóstico: ejecutan una simulación de análisis en el navegador y presentan resultados deliberadamente alarmantes.
- Ingeniería social: las supuestas detecciones críticas buscan provocar respuestas impulsivas, como instalar software, modificar configuraciones o desactivar mecanismos de protección.
b. Indicadores de Compromiso (IoC):
IP:
Dominios:
- detectsysscanner[.]at
- detectsysscanner[.]com
- detectsysscanner[.]de
- detectsysscanner[.]in[.]net
- detectsysscanner[.]xn--q9jyb4c
- detsysscanner[.]com
- detsysscanner[.]de
| | | |
3. Productos afectados:
- Navegadores web: Google Chrome, Mozilla Firefox y Microsoft Edge.
4. Recomendaciones:
- Bloquear inmediatamente la IP y los dominios IoC en DNS, proxy, firewall y controles de navegación.
- Evitar ejecutar o confiar en escaneos de seguridad iniciados desde páginas web; las herramientas legítimas deben validarse mediante canales oficiales.
- Mantener habilitadas las soluciones antivirus/EDR y restringir su desinstalación o desactivación por usuarios sin autorización.
- Revisar los eventos de navegación y endpoints que hayan accedido a los dominios identificados.
- Capacitar a los usuarios para reconocer falsas alertas de seguridad, scareware y suplantaciones de Microsoft.
- Mantener actualizados los navegadores y aplicar políticas de filtrado web para reducir el acceso a infraestructura maliciosa.
| | Denegación de servicio crítica en OpenThread de dispositivos Google Nest | | |
1. Antecedentes:
Se identificó la vulnerabilidad CVE-2025-36939, de severidad crítica, en el componente OpenThread integrado en determinados dispositivos Google Nest. El fallo corresponde a un desbordamiento de búfer basado en pila (CWE-121) durante el procesamiento de paquetes MLE (Mesh Link Establishment). Un atacante con acceso al mismo segmento de red Thread podría enviar paquetes especialmente construidos y provocar corrupción de memoria, fallos de ejecución y una condición de denegación de servicio (DoS). La vulnerabilidad alcanza una puntuación máxima de 10.0/10 según CVSS v4.0. No se han identificado, al momento del reporte, evidencias de explotación activa generalizada.
| | |
2. Detalles del ataque:
a. Vector de explotación e impacto
- Componente afectado: procesamiento de paquetes MLE dentro del stack OpenThread.
- Condición de ataque: requiere acceso al mismo entorno físico o lógico Thread; no requiere interacción del usuario.
- Explotación: paquetes MLE manipulados pueden provocar assertion failures y stack-based buffer overflow, comprometiendo la estabilidad del firmware.
- Impacto: puede interrumpir servicios del dispositivo y degradar la disponibilidad y conectividad de redes IoT/domóticas dependientes del ecosistema Thread.
- Severidad: CVSS v4.0: 10.0 (Crítica), con baja complejidad y sin requisitos adicionales de ataque.
- Estado: no existen evidencias reportadas de explotación in the wild; sin embargo, la facilidad de explotación dentro del segmento Thread justifica medidas preventivas inmediatas.
| | | |
3. Productos afectados:
- Firmware OpenThread integrado en dispositivos Google Nest: versión 3.78.518349.
| | |
4. Recomendaciones:
- Implementar segmentación estricta de dispositivos Google Nest y redes Thread en una VLAN o segmento IoT independiente de la infraestructura corporativa.
- Restringir el acceso al segmento Thread y controlar rigurosamente la incorporación y autenticación de nuevos dispositivos.
- Evitar que dispositivos IoT afectados mantengan conectividad innecesaria con redes internas críticas.
- Incrementar la monitorización de tráfico Thread para identificar paquetes o comportamientos anómalos dirigidos a dispositivos afectados.
- Mantener seguimiento de los canales oficiales de Google para aplicar el parche o actualización de firmware cuando esté disponible.
- Priorizar la remediación de dispositivos ubicados en entornos donde una interrupción de conectividad pueda afectar servicios críticos.
| | |
Acerca de Bafing
Somos una empresa con más de 30 años de experiencia en el mercado de Tecnologías que ofrece soluciones muy especializadas en Ciberseguridad, eHealth y Smart Buildings.
El presente documento es una comunicación de carácter general hecha exclusivamente con propósitos informativos. Usted recibe este newsletter tras haberse suscrito al mismo. Si no desea continuar recibiéndolo, por favor escribir a bdigital@bafing.com
| | | | |
