Campaña Silver Fox distribuye RATs mediante instaladores falsos y neutraliza controles de seguridad en Windows | | |
1. Antecedentes:
Se identificó una campaña activa atribuida con moderada confianza al grupo Silver Fox, también relacionado con Void Arachne, que emplea sitios web fraudulentos para distribuir software malicioso. Los atacantes utilizan dominios clonados de proveedores legítimos y paquetes ZIP que aparentan contener instaladores confiables. La operación se dirige principalmente a usuarios y organizaciones de habla china en sectores como salud, manufactura, logística, tecnología y gobierno. Tras la ejecución, los instaladores despliegan troyanos de acceso remoto (RAT) y realizan modificaciones destinadas a mantener persistencia, evadir controles de seguridad y facilitar la comunicación con infraestructura C2.
| | |
2. Detalles:
a. Cadena de ataque e impacto
- Distribución: sitios clonados y archivos ZIP utilizados para suplantar software legítimo.
- Cargas maliciosas: despliegue de Gh0st RAT, ValleyRat y MyDoor, según la variante utilizada.
- Persistencia y evasión: modificación de servicios y configuraciones de seguridad para dificultar la detección.
- Defensa degradada: deshabilitación de Windows Update y creación de exclusiones en Microsoft Defender.
- Impacto adicional: eliminación de Volume Shadow Copies, reduciendo las capacidades de recuperación ante incidentes.
- C2: establecimiento de comunicaciones con infraestructura controlada por los atacantes para mantener el acceso remoto.
- IoC: se identificaron múltiples dominios asociados, entre ellos iualef[.]net, gehie246[.]com, baidu-pan[.]com[.]cn, app-microsoft-edge[.]com[.]cn y oijfwe[.]net; deben incorporarse a los controles de bloqueo y monitoreo.
b. Indicadores de Compromiso (IoC):
Dominios:
- iualef[.]net
- gehie246[.]com
- baidu-pan[.]com[.]cn
- steelseries-cn[.]com[.]cn
- pc-razerzone[.]com[.]cn
- kaspersky-lab[.]hl[.]cn
- calibre-ebook[.]com[.]cn
- app-microsoft-edge[.]com[.]cn
- sejda[.]hl[.]cn
- translate-youdao[.]hl[.]cn
- zh-diskgenius[.]com[.]cn
- ocam-pc[.]com[.]cn
- cn-drawio[.]com[.]cn
- gw-sogou[.]com[.]cn
- mindmoster[.]com[.]cn
- oijfwe[.]net
| | | |
3. Productos afectados:
- Microsoft Windows
- Microsoft Defender Antivirus
- Servicio Windows Update
| |
4. Recomendaciones:
- Bloquear inmediatamente los dominios IoC identificados en DNS, proxy, firewall, EDR y demás controles disponibles.
- Restringir la descarga e instalación de software a fuentes y repositorios oficiales, aplicando controles de reputación web.
- Auditar las exclusiones de Microsoft Defender y detectar modificaciones no autorizadas en sus políticas de seguridad.
- Verificar que Windows Update permanezca habilitado y operativo en los equipos corporativos.
- Investigar eliminación de Volume Shadow Copies, procesos anómalos y mecanismos de persistencia recientemente creados.
- Ejecutar threat hunting sobre endpoints que hayan interactuado con los dominios IoC o ejecutado instaladores sospechosos.
| | Bypass de autenticación crítica en Eclipse Arrowhead mediante certificados X.509 falsificados | | |
1. Antecedentes:
Se identificó CVE-2026-82180, una vulnerabilidad crítica de validación incorrecta de certificados (CWE-295) que deriva en omisión de autenticación mediante suplantación de identidad (CWE-290) en Eclipse Arrowhead. El fallo reside en el componente CertificateMqttFilter cuando la API MQTT utiliza autenticación basada en certificados. La aplicación acepta certificados X.509 incluidos en solicitudes MQTT sin verificar su firma criptográfica ni validar la cadena de confianza contra un trust store. Un atacante con acceso de publicación al broker puede explotar esta condición sin credenciales previas ni interacción del usuario. La vulnerabilidad fue publicada el 3 de septiembre de 2026 y presenta un CVSS v4.0 de 9.5 (Crítico).
| | |
2. Detalles del ataque:
a. Vector de explotación
- Causa raíz: CertificateFactory.generateCertificate() procesa el certificado, pero no comprueba su autenticidad criptográfica ni su cadena de confianza.
- Suplantación: el atacante puede construir un certificado autofirmado manipulando atributos públicos como CN y dnQualifier para aparentar una identidad privilegiada.
- Escalamiento: la validación defectuosa puede provocar que el sistema interprete al atacante como System Operator (isSysOp == true).
- Acceso: permite superar los filtros de ManagementServiceMqttFilter y acceder a funciones administrativas expuestas mediante MQTT.
- Impacto: un atacante podría registrar/eliminar sistemas, dispositivos y servicios, además de modificar reglas globales de autorización y comprometer la orquestación.
- Condiciones: explotación remota por red, baja complejidad, sin privilegios previos y sin interacción del usuario; requiere que la funcionalidad MQTT vulnerable esté habilitada.
- Severidad: CVSS 4.0: 9.5 / CRITICAL, con impacto alto sobre confidencialidad, integridad y disponibilidad.
- Estado: por tratarse de una vulnerabilidad recientemente divulgada, se recomienda vigilancia activa ante posibles intentos de explotación o aparición de PoC.
| | | |
3. Productos afectados:
- Eclipse Arrowhead – repositorio java-spring
- Versiones afectadas: 5.0.0 hasta 5.2.1, inclusive.
- La exposición aplica a instalaciones que utilicen el filtro de autenticación MQTT vulnerable.
| | |
4. Recomendaciones:
- Actualizar con prioridad crítica a una versión corregida disponible a través de los canales oficiales de Eclipse Arrowhead y aplicar los cambios de seguridad en common-utils.
- Implementar validación criptográfica mediante CertPathValidator("PKIX") contra un trust store corporativo, rechazando certificados autofirmados, expirados o fuera de la cadena de confianza.
- Mientras se implementa el parche, deshabilitar MQTT mediante mqtt.api.enabled=false cuando esta funcionalidad no sea imprescindible.
- Si MQTT debe permanecer operativo, aplicar mTLS estricto en el broker, limitando explícitamente las identidades autorizadas a publicar en tópicos administrativos.
- Revisar logs y telemetría del broker en busca de certificados anómalos, identidades privilegiadas inesperadas o solicitudes administrativas no autorizadas.
- Priorizar la revisión de cualquier instancia Arrowhead expuesta a redes no confiables y mantener monitoreo de PoC, exploits activos y nuevas actualizaciones de seguridad.
| | Desbordamiento de búfer en Dell PowerProtect Data Manager | | |
1. Antecedentes:
Se identificó CVE-2026-73600, una vulnerabilidad de severidad alta asociada a un desbordamiento de búfer de pila (Stack Buffer Overflow) en el agente de restauración a nivel de archivo de Dell PowerProtect Data Manager. El fallo puede ser explotado de forma remota por un atacante que disponga de privilegios elevados sobre el entorno afectado. Una explotación exitosa podría permitir el acceso a información sensible de la organización. Debido a que el componente involucrado participa en operaciones de restauración de datos, la vulnerabilidad debe considerarse relevante para infraestructuras donde PowerProtect Data Manager gestione información crítica o respaldos corporativos.
| | |
2. Detalles del ataque:
a. Vector e impacto
- Causa raíz: desbordamiento de memoria en el búfer de pila del agente de restauración file-level.
- Acceso requerido: explotación remota con altos privilegios, reduciendo el riesgo frente a atacantes externos sin autorización previa.
- Impacto potencial: exposición de información sensible almacenada o gestionada por la plataforma.
- Superficie afectada: componente relacionado con las operaciones de restauración a nivel de archivo.
- Prioridad: evaluar inmediatamente las instalaciones expuestas y priorizar la actualización en servidores que administren respaldos o datos críticos.
| | | |
3. Productos afectados:
- Dell PowerProtect Data Manager: versiones anteriores a 20.3.0.0.
| | |
4. Recomendaciones:
- Actualizar inmediatamente PowerProtect Data Manager a la versión 20.3.0.0 o posterior que contenga la corrección del proveedor.
- Identificar todas las instancias afectadas y determinar si el componente de restauración vulnerable se encuentra habilitado y accesible.
- Restringir el acceso privilegiado aplicando mínimo privilegio y controles de acceso administrativo.
- Supervisar logs y eventos de seguridad para detectar actividad anómala asociada al agente de restauración.
- Revisar posibles accesos o actividades inusuales sobre información sensible gestionada por la plataforma.
- Mantener monitoreo de los avisos de seguridad de Dell ante actualizaciones, PoC o nueva información de explotación.
| | Ejecución remota de código como root en Cisco NX-OS | | |
1. Antecedentes:
Se identificó CVE-2026-20212, una vulnerabilidad crítica en Cisco NX-OS Software asociada a la integración de Silicon One en dispositivos Cisco Nexus. El fallo permite que un atacante remoto y no autenticado interactúe con servicios expuestos en los puertos TCP 43210 y 43211 mediante entradas especialmente diseñadas. Una explotación exitosa podría permitir la ejecución arbitraria de código con privilegios root sobre el dispositivo. Adicionalmente, el ataque puede provocar la terminación del proceso S1HAL y generar una recarga del equipo, afectando potencialmente la disponibilidad de la infraestructura de red.
| | |
2. Detalles del ataque:
a. Vector e impacto
- Acceso: remoto, sin autenticación previa, mediante los servicios asociados a TCP/43210 y TCP/43211.
- Explotación: envío de datos especialmente manipulados hacia la integración Silicon One.
- Ejecución de código: posibilidad de ejecutar instrucciones arbitrarias con privilegios root.
- Disponibilidad: el proceso S1HAL puede finalizar de forma inesperada y provocar la recarga del dispositivo.
- Riesgo operativo: una explotación podría comprometer simultáneamente la integridad del dispositivo y la disponibilidad de servicios de red críticos.
- Superficie prioritaria: equipos Nexus con Silicon One donde los puertos vulnerables sean accesibles desde segmentos no confiables.
| | | |
3. Productos afectados:
- Cisco NX-OS Software: versiones 10.3(1) hasta 10.6(3s), incluyendo las variantes indicadas por Cisco en el aviso de seguridad.
4. Recomendaciones:
- Actualizar con prioridad crítica Cisco NX-OS a una versión corregida recomendada por Cisco para cada plataforma afectada.
- Verificar inmediatamente la exposición de los puertos TCP 43210 y 43211 y restringirlos a sistemas estrictamente autorizados.
- Implementar segmentación de la red de administración y evitar la exposición directa de estos servicios a redes no confiables.
- Revisar logs y telemetría para identificar conexiones anómalas o intentos de interacción con los puertos vulnerables.
- Supervisar eventos asociados a S1HAL, reinicios inesperados y recargas de dispositivos Nexus.
- Mantener los dispositivos Cisco bajo un proceso de gestión continua de parches y vulnerabilidades.
| | Vulnerabilidad crítica en Cisco IOS XR permite eludir controles de acceso y comprometer dispositivos de red | | |
1. Antecedentes:
Se identificó CVE-2026-20279, una vulnerabilidad crítica de control de acceso incorrecto (CWE-284) en Cisco IOS XR Software. El fallo permite que un atacante remoto no autenticado envíe solicitudes especialmente diseñadas y evada mecanismos de autenticación, autorización y validación de certificados. La vulnerabilidad fue descubierta durante actividades internas de revisión y endurecimiento de código de Cisco. Con un CVSS v3.1 de 9.8 (Crítico), puede comprometer las funciones de red del dispositivo y afectar la confidencialidad, integridad y disponibilidad de la infraestructura. Cisco indica que no existen casos conocidos de explotación activa al momento de la publicación.
| | |
2. Detalles:
a. Vector e impacto
- Explotación remota: requiere únicamente conectividad hacia las interfaces vulnerables; no necesita credenciales ni interacción del usuario.
- Evasión de controles: deficiencias en autenticación, certificados y autorización permiten acceder a funciones restringidas.
- Privilegios elevados: el atacante podría alcanzar capacidades críticas dentro del dispositivo, afectando operaciones de administración y control.
- Impacto: posible alteración del tráfico, enrutamiento y servicios del nodo comprometido, con impacto alto en C/I/A.
- Severidad: CVSS 9.8 CRITICAL — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
- Estado: publicada el 2 de septiembre de 2026; sin explotación activa conocida, pero requiere atención prioritaria por su bajo nivel de complejidad.
| | | |
3. Productos afectados:
- Cisco IOS XR Software: compilaciones e instancias sin parche pertenecientes a las ramas 6.x, 7.x, 24.x, 25.x y 26.x.
| | |
4. Recomendaciones:
- Actualizar inmediatamente Cisco IOS XR mediante los releases de mantenimiento o SMU indicados por Cisco para la funcionalidad afectada.
- Priorizar las futuras versiones 26.2.2 y 26.3.1, que incorporarán la corrección de forma nativa.
- Dado que no existen workarounds oficiales, restringir las interfaces de administración mediante ACLs y filtrado perimetral.
- Aislar la administración en segmentos Out-of-Band Management y limitarla exclusivamente a redes autorizadas.
- Revisar registros de acceso y actividad administrativa para identificar solicitudes anómalas o intentos de acceso no autorizado.
- Mantener los dispositivos bajo monitoreo reforzado hasta completar la actualización y validar la corrección.
| | Vulnerabilidad de recurso no inicializado en Google Chrome | | |
1. Antecedentes:
Se identificó CVE-2026-84326, una vulnerabilidad de severidad alta asociada al manejo de recursos no inicializados en el motor V8 de Google Chrome. El fallo puede ser activado mediante una página HTML especialmente diseñada y procesada por el navegador. Una explotación exitosa permitiría ejecutar código arbitrario dentro del sandbox de Chrome, pudiendo comprometer la confidencialidad e integridad de información procesada durante la sesión. La vulnerabilidad requiere que la víctima acceda al contenido malicioso, por lo que la navegación hacia sitios no confiables representa un vector relevante de exposición.
| | |
2. Detalles del ataque:
a. Vector e impacto
- Componente afectado: motor JavaScript V8 de Google Chrome.
- Explotación: mediante contenido HTML especialmente diseñado que activa el uso de un recurso no inicializado.
- Ejecución de código: posibilidad de ejecutar código arbitrario dentro del sandbox del navegador.
- Impacto: potencial compromiso de información y de la integridad de la sesión de navegación.
- Superficie de ataque: estaciones de trabajo que ejecuten versiones vulnerables de Chrome y accedan a contenido web controlado por un atacante.
| | | |
3. Productos afectados:
- Google Chrome: versiones anteriores a 152.0.7977.75.
4. Recomendaciones:
- Actualizar inmediatamente Google Chrome a la versión 152.0.7977.75 o posterior.
- Verificar mediante herramientas de gestión de endpoints que todas las estaciones corporativas ejecuten una versión corregida.
- Mantener habilitadas las actualizaciones automáticas y establecer mecanismos de cumplimiento para navegadores desactualizados.
- Restringir el acceso a sitios web no confiables mediante filtrado DNS, proxy o controles de seguridad web.
- Evitar la apertura o ejecución de contenido HTML proveniente de fuentes desconocidas.
- Monitorear los endpoints en busca de comportamientos anómalos del navegador o procesos secundarios asociados a posibles intentos de explotación.
| | Vulnerabilidad de deserialización insegura en NVIDIA Megatron Bridge | | |
1. Antecedentes:
Se identificó una vulnerabilidad de alta severidad en NVIDIA Megatron Bridge asociada al procesamiento inseguro de datos serializados.
La falla permite que datos controlados por un atacante sean procesados sin mecanismos adecuados de validación o verificación de confianza.
Una explotación exitosa podría provocar ejecución de código arbitrario en el contexto de la aplicación afectada.
Asimismo, el compromiso podría derivar en manipulación de información o exposición de datos sensibles disponibles para el proceso vulnerable.
El riesgo es especialmente relevante en entornos donde Megatron Bridge procese entradas provenientes de fuentes externas o no confiables.
| | |
2. Detalles del ataque:
a. Vector y causa
- La vulnerabilidad CVE-2026-61750 se origina en un mecanismo de deserialización que procesa datos sin validar adecuadamente su origen o contenido.
- Un atacante podría introducir una carga maliciosa diseñada para ser interpretada durante el proceso de deserialización.
- Dependiendo del contexto de ejecución y los privilegios asignados al componente, esto podría permitir ejecutar instrucciones arbitrarias.
b. Impacto
- Compromiso de la confidencialidad e integridad de la información procesada.
- Posible ejecución de código con los privilegios del proceso afectado.
- Riesgo de utilización del sistema comprometido como punto de entrada para actividades posteriores.
| | | |
4. Recomendaciones:
- Verificar inmediatamente la presencia y versiones de NVIDIA Megatron Bridge en los entornos corporativos.
- Aplicar la actualización de seguridad proporcionada por NVIDIA en las instancias afectadas.
- Restringir el procesamiento de datos serializados provenientes de fuentes no confiables.
- Implementar validación estricta y controles de saneamiento sobre las entradas procesadas por la aplicación.
- Monitorear logs y telemetría en busca de patrones anómalos asociados a procesos de deserialización o ejecución inesperada.
- Revisar los privilegios del componente y aplicar el principio de mínimo privilegio para reducir el impacto potencial de una explotación.
| | |
Acerca de Bafing
Somos una empresa con más de 30 años de experiencia en el mercado de Tecnologías que ofrece soluciones muy especializadas en Ciberseguridad, eHealth y Smart Buildings.
El presente documento es una comunicación de carácter general hecha exclusivamente con propósitos informativos. Usted recibe este newsletter tras haberse suscrito al mismo. Si no desea continuar recibiéndolo, por favor escribir a bdigital@bafing.com
| | | | |
