Por BlacktraceFLARE · Análisis forense del equipo ZDU

BTU-FLARE-219100HIGH

15 de mayo de 2026, 20:59 MX

Verificado por 6/8 motores TIFE

EXPLOTACION ACTIVA CVE-2025-53521 EN F5 BIG-IP POR ACTOR AVANZADO

Situación

Se detecta explotacion activa de vulnerabilidad critica CVE-2025-53521 (CVSS 9.3) en dispositivos F5 BIG-IP, con prioridad operativa 8.0/10. Actor con perfil consistente con APT29 ejecuta ataques dirigidos contra infraestructura perimetral corporativa. La vulnerabilidad permite ejecucion remota de codigo sin autenticacion en appliances de balanceo de carga y proxy inverso ampliamente desplegados en sector empresarial mexicano y LATAM.

CISA confirma explotacion en entornos productivos agregando CVE-2025-53521 al catalogo Known Exploited Vulnerabilities con deadline marzo 27, 2026. Telemetria del SOC operativo QMA verifica 18 indicadores de compromiso activos con deteccion maxima de 58 motores en VirusTotal. Inteligencia de fuentes abiertas reporta campana sostenida contra objetivos de infraestructura critica utilizando tecnicas de persistencia y movimiento lateral post-explotacion.

Indicadores verificados

Tipo	Indicador	VT	Fuente	Acciones
md5	6548893fd422f8e2de119315021d1452	58/71	AlienVault OTX	VT
md5	39ccec65948043d2eb94b337de26f9d4	55/70	AlienVault OTX	VT
md5	014f38401b98d524c4e536f9a631c1dc	55/71	AlienVault OTX	VT
md5	1094a1b6c1fd150d4d261c00c198910d	54/71	AlienVault OTX	VT
md5	248adc657147080193ea31d9bf4910e9	54/71	AlienVault OTX	VT
md5	6925c9ed231e0e3094092c5250fbede5	54/71	AlienVault OTX	VT
md5	553f3b346dc67cb1e6366a5a9deacf54	54/71	AlienVault OTX	VT
md5	5c99b47d7db86146e62875282af16746	53/71	AlienVault OTX	VT

Contexto TIFE

Convergencia de 58 motores de deteccion confirma actividad maliciosa coordinada. Observacion de tecnicas MITRE T1190 (Exploit Public-Facing Application), T1499.004 (Application Exhaustion Flood), T1053 (Scheduled Task/Job), T1059.004 (Unix Shell), T1543.002 (Systemd Service) indica operacion multi-etapa con objetivos de persistencia. Patron de IOCs consistente con campanas previas de grupo con capacidades estatales dirigidas a infraestructura de comunicaciones. Timing de explotacion coincide con ventana de patcheo corporativo retrasado post-vacacional.

T1190 T1499.004 T1053 T1059.004 T1543.002 APT29 (probable) NIST CSF

Acción recomendada

SOC: verificacion inmediata de logs F5 BIG-IP por IOCs verificados, implementacion de reglas de deteccion T1190/T1499.004, monitoreo de conexiones anomalas a puertos de administracion. CISO: auditoria urgente de appliances F5 en DMZ, coordinacion con equipos de red para aplicacion de parche disponible, evaluacion de exposicion perimetral sectorial. Timeline critico: 48-72 horas maximas para mitigacion.

15IOCs activos

CRITICALSeveridad

CVSS 9.3Score base

CISA KEVCatálogo

1Fuentes

Tipo	Indicador	VT	Fuente	Conf	Threat	Acciones
MD5	`6548893fd422f8e2de119315021d1452`	58/71	otx	✓ VT	trojan.stxrat/tedy	VT MB
MD5	`39ccec65948043d2eb94b337de26f9d4`	55/70	otx	✓ VT	trojan.stxrat/outpack	VT MB
MD5	`014f38401b98d524c4e536f9a631c1dc`	55/71	otx	✓ VT	trojan.stxrat/mikey	VT MB
MD5	`553f3b346dc67cb1e6366a5a9deacf54`	54/71	otx	✓ VT	trojan.stxrat/tedy	VT MB
MD5	`248adc657147080193ea31d9bf4910e9`	54/71	otx	✓ VT	trojan.stxrat/outpack	VT MB
MD5	`1094a1b6c1fd150d4d261c00c198910d`	54/71	otx	✓ VT	trojan.stxrat/mikey	VT MB
MD5	`6925c9ed231e0e3094092c5250fbede5`	54/71	otx	✓ VT	trojan.stxrat/outpack	VT MB
MD5	`0d9b59275e1f6a51ed9dd4b677d23cb3`	53/71	otx	✓ VT	trojan.stxrat/outpack	VT MB
MD5	`0953d11c3695ab3df26b795396bd3c82`	53/67	otx	✓ VT	trojan.stxrat/r002c0…	VT MB
MD5	`1d7b6b8f16501a238f9bf9f0d5083034`	53/71	otx	✓ VT	trojan.stxrat/outpack	VT MB
MD5	`5c99b47d7db86146e62875282af16746`	53/71	otx	✓ VT	trojan.stxrat/mikey	VT MB
MD5	`62a263ca70d206fe1b073b9027efa165`	52/68	otx	✓ VT	trojan.stxrat/malgent	VT MB
MD5	`53087cc5091d238cf3df860294666468`	52/68	otx	✓ VT	trojan.stxrat/mikey	VT MB
MD5	`7bc8137c8f8abe3afc9f449c97003b4a`	52/71	otx	✓ VT	trojan.outpack/stxrat	VT MB
MD5	`245f0c568d816b2ba3878441bdea9974`	51/67	otx	✓ VT	trojan.outpack/stxrat	VT MB

MITRE ATT&CKT1190T1499.004T1053T1059.004T1543.002

ActorAPT29 (probable)

Fuentes verificadas:AlienVault OTXVirusTotal / GTI· TLP:WHITE · 2026-07-19

Los IOCs listados son indicadores públicos verificados contra múltiples fuentes. La columna VT muestra positives/total de motores antivirus en VirusTotal/GTI. AP Score refleja la prioridad operativa calculada por la metodología propietaria de QMA. No constituyen evidencia de compromiso en su infraestructura — requieren validación contra logs internos.

APT29

EXPLOTACION ACTIVA CVE-2025-53521 EN F5 BIG-IP POR ACTOR AVANZADO

Situación

Indicadores verificados

Contexto TIFE

Acción recomendada

Evidencia técnica verificada

Soluciones

Industrias

Servicios

QMA

APT29

EXPLOTACION ACTIVA CVE-2025-53521 EN F5 BIG-IP POR ACTOR AVANZADO

Situación

Indicadores verificados

Contexto TIFE

Acción recomendada

Evidencia técnica verificada

Entradas relacionadas