Schedule a Strategy Call

Oleada de Ataques de Ransomware (Qilin) Explotando VPNs y Cortafuegos Perimetrales 

Hackers usan paquetes de aplicaciones MSIX para infectar con GHOSTPULSE

Una oleada coordinada de ataques dirigidos a dispositivos VPN perimetrales y cortafuegos de cuatro proveedores importantes (Palo Alto Networks, Fortinet, Citrix y Check Point) se ha convertido en el principal vector de acceso inicial para los operadores de ransomware a mediados de 2026. Los ciberdelincuentes, incluyendo afiliados del grupo de ransomware como servicio (RaaS) Qilin, están explotando debilidades de protocolos heredados y vulnerabilidades de omisión de autenticación para obtener acceso no autenticado a los perímetros corporativos. 

Veredicto Analítico 
  • Estado: Explotación activa y confirmada en múltiples plataformas de seguridad perimetral. 
  • Confianza: Absoluta. Confirmado por los avisos de los proveedores, análisis de firmas de ciberseguridad e inclusión en el catálogo KEV de CISA. 
  • Riesgo para SOC, TDIR y Redes: Crítico. Al eludir la autenticación del concentrador VPN, el atacante ingresa como usuario “legítimo” y sortea las herramientas de detección de endpoints. Los actores logran movimiento lateral, exfiltración y despliegue de ransomware de doble extorsión rápidamente tras acceder. 
  • Urgencia Operativa: Máxima. La velocidad de propagación de vulnerabilidades ha disminuido drásticamente. En casos como el de Citrix NetScaler, la explotación comenzó menos de 24 horas después de la revelación de la vulnerabilidad. 
Hallazgos Clave por Campaña 
  • Campaña 1: Compromiso de FortiGate (“Fortibleed”) 
  • Se trata de una campaña masiva de robo de credenciales identificada a mediados de junio de 2026. 
  • Los atacantes extrajeron archivos de configuración y descifraron contraseñas de entre 30.791 y 75.000 firewalls FortiGate expuestos a Internet. 
  • Las organizaciones que aparezcan en el conjunto de datos expuestos deben considerar que el perímetro de su red ya está comprometido. 
  • Vulnerabilidad de omisión de autenticación (CVSS 7.8) revelada el 13 de mayo de 2026. 
  • Permite a los atacantes falsificar cookies de anulación de autenticación y establecer sesiones VPN sin credenciales ni MFA. 
  • Se confirmó la explotación activa por parte de afiliados de Qilin. 
  • Vulnerabilidad crítica (CVSS 9.3) por una debilidad en el protocolo heredado IKEv1. 
  • Permite establecer una sesión VPN sin contraseña válida. 
  • La explotación por parte de Qilin comenzó el 7 de mayo de 2026, un mes antes de la divulgación pública del fallo. 
  • Fallo de lectura excesiva de memoria estilo “CitrixBleed” (CVSS 8.8) en el analizador XML/SAML. 
  • Filtra fragmentos de la memoria a través de la cookie NSC_TASS cuando se configura como proveedor de identidad SAML. 
  • Los intentos de explotación se registraron en menos de 24 horas desde su divulgación. 
Tácticas, Técnicas y Procedimientos (MITRE ATT&CK) 
  • Acceso Inicial: Cuentas válidas (T1078) mediante el abuso de credenciales VPN expuestas. Explotación de una aplicación de cara al público (T1190) para el abuso de CVEs. Suplantación de identidad (T1566) como vector secundario contra usuarios privilegiados. 
  • Ejecución: Intérprete de comandos y scripts (T1059). Herramientas de implementación de software (T1072) mediante ejecución de scripts basada en GPO. 
  • Acceso a Credenciales: Extracción de credenciales del SO (T1003) mediante el uso de Mimikatz. Robo de credenciales de navegadores web (T1555.003) distribuyendo scripts orientados a Chrome. 
  • Evasión de Defensas: Debilitar las defensas (T1562) abusando del Subsistema de Windows para Linux (WSL) y reinicios en modo seguro. Disfrazado (T1036) usando direcciones MAC falsificadas. 
  • Movimiento Lateral: Servicios remotos (T1021) utilizando RDP, WMI, PsExec, Impacket y ataques de relé NTLM. 
  • Exfiltración e Impacto: Exfiltración a través del canal C2 (T1041). Datos cifrados para mayor impacto (T1486). Inhibir la recuperación del sistema (T1490) saboteando copias de seguridad. 
Indicadores de Compromiso (IoCs) Relevantes 
  • Direcciones IP (Fuentes de explotación y accesos anómalos): 104.207.144[.]154, 146.19.216[.]119, 146.19.216[.]120, 146.19.216[.]125, 209.99.191[.]137, 79.130.26[.]202, 146.70.165[.]52, 216.238.74[.]98, 64.190.113[.]151. 
  • Nombre de host anómalo: Kali. 
  • MAC falsificada: aa:bb:cc:dd:ee:ff. 
  • Dirección IP vinculada a intentos de explotación: 146.70.139[.]154. 
  • Tráfico anómalo en el endpoint /saml/login y manipulación de la cookie NSC_TASS. 
  • Cargas útiles deformadas <samlp:AuthnRequest> con cientos de espacios. 
  • Ransomware Qilin (General): 
  • Dirección IP vinculada a C2 y operaciones: 31.41.244[.]100. 
  • Sitio de filtración alojado en la red Tor (.onion). 
Recomendaciones Operativas 

Para Administración de Infraestructura y Redes 

  • Actualización Crítica: Actualice inmediatamente los dispositivos afectados (PAN-OS GlobalProtect, Check Point Security Gateway, Citrix NetScaler y FortiGate) a las versiones parcheadas. 
  • Gestión de Credenciales (Fortinet): Rote todas las contraseñas de administrador y de VPN SSL de FortiGate, exigiendo un inicio de sesión único posterior a la actualización para forzar el re-hash PBKDF2. 
  • Deshabilitar Componentes Vulnerables: Deshabilite las cookies de anulación de autenticación en Palo Alto y el protocolo IKEv1 en Check Point si no son estrictamente necesarios. Si no puede parchear Citrix inmediatamente, desactive la configuración del IdP de SAML. 
  • Endurecimiento del Acceso: Elimine las interfaces de administración (puertos 443/10443) de la exposición a Internet. Implemente MFA en todas las cuentas de acceso remoto. 

Para el Centro de Operaciones de Seguridad (SOC) 

  • Vigilancia de Accesos Anómalos: Supervise los registros para detectar inicios de sesión de administrador inesperados, sesiones VPN establecidas sin autenticación completa de contraseña y accesos desde IPs de proveedores de alojamiento. 
  • Retención de Registros: Conserve todos los registros de EDR, Active Directory, VPN, DNS y firewall antes de iniciar procesos de reconstrucción en caso de sospecha de vulneración. 
  • Monitoreo Ampliado: Amplíe la cobertura de monitoreo conductual del EDR hacia entornos del Subsistema de Windows para Linux (WSL) debido a las técnicas de evasión de Qilin. 
Back to all Post

Related Post