El Sistema Nervioso de tu Cloud en Manos del Enemigo

El primer controlador no emitió alerta. Respondió treinta y siete milisegundos más tarde de lo habitual — tiempo suficiente para que un endpoint /v1/api sin autenticación ejecutara un shell arbitrario y estableciera túnel de comando. Para cuando el monitoreo registró la anomalía de latencia, UNC3886 ya controlaba el routing entre tres cloud service providers.

No fue un ataque. Fue una conversión. Los controladores Aviatrix dejaron de ser infraestructura de confianza y se transformaron en centros de comando atacante. El equipo de operaciones cloud revisó los logs exactamente cuatro minutos después. Lo que encontraron no era un sistema comprometido — era un sistema que ahora obedecía a dos amos.

Detección

KEV-1 detectó el patrón imposible tres horas antes que cualquier sistema comercial. Una secuencia de cloud_type y src_cloud_type con metacaracteres shell en peticiones HTTP POST — sin token OAuth, sin firma, sin contexto de sesión — ejecutándose contra endpoints de configuración críticos.

CVE-2024-50603. CVSS 10.0. Inyección de comandos sin autenticación en Aviatrix Controllers. CISA KEV no lo tiene catalogado todavía, pero el patrón es limpio: acceso remoto externo más ejecución de código interpretado. Clasifico como T1190 y T1059. Prioridad absoluta.

Eris Sentinel ya estaba en el SOC cuando la telemetría de KEV-1 llegó. Tecleó la CVE en el buscador de NVD exactamente dos segundos después de leer el primer párrafo del advisory. CVSS 10.0. Sin autenticación. Ejecución arbitraria. Tres palabras que en cualquier combinación encendían el protocolo de respuesta rápida, pero juntas eran una sentencia.

Controladores Aviatrix comprometidos significa que el atacante no entró por la puerta — rediseñó la cerradura. T1190 External Remote Services más T1059.006 Python Interpreter. UNC3886 tiene historial documentado con infraestructura de red: Fortinet, VMware vCenter. Esto es coherente con su doctrina. Orquestan persistencia silenciosa, no ransomware ruidoso. Si ya están dentro, no vamos a verlos hasta que revisen logs de noventa días atrás.

Escalación · Análisis · Contención · Forensia

NeonMind coordinó el Fast Response Protocol desde el comando táctico con la eficiencia de una máquina que había corrido esta simulación mil veces y ahora enfrentaba la iteración real. Cinco ventanas abiertas en tres monitores. MITRE ATT&CK Navigator mostrando la cadena de técnicas activas. NIST CSF con la función PROTECT completamente marcada en rojo. SOAR orchestrator esperando la señal para ejecutar playbooks de contención. Todo listo. Todo inútil si los controladores ya habían cambiado de bando.

Protocolo activo. Eris, necesito confirmación de compromiso en controladores primarios antes de escalar a desconexión total. Magna, ¿qué infraestructura crítica depende de routing Aviatrix en este momento? Stratos, mapea superficie SaaS conectada — cada webhook entrante es un vector adicional. Tenemos una ventana de cuatro horas antes de que esto escale a infraestructura de producción completa.

Eris dejó de escribir exactamente un segundo cuando el CISO entró al war room. No levantó la vista. Solo una fracción de segundo donde los dedos se detuvieron sobre el teclado antes de continuar revisando los logs de acceso API. La operación no se detuvo. El aire tampoco.

Magna entró al war room con un tablet mostrando diagramas de red industrial y una expresión que NeonMind había aprendido a leer como señal de que el problema técnico acababa de convertirse en problema operacional humano.

Díganme qué deja de vivir si cortamos mal.

Silencio de dos segundos. Suficiente para que todos en el comando táctico supieran que la pregunta no era retórica.

Controladores Aviatrix orquestan túneles entre planta norte en Monterrey y data center primario en Querétaro. SCADA de líneas de producción. PLCs de control térmico. Sistemas de gestión energética. OWASP OT A02:2025 — compromiso de conectividad entre segmentos OT/IT. Si cortamos sin coordinar failover, perdemos visibilidad operacional en manufactura crítica. Eso significa detener líneas que procesan veinticuatro millones de pesos por hora.

Stratos observaba desde el corredor del data center, rodeado de racks donde los controladores procesaban configuraciones desde Terraform Cloud, tokens OAuth almacenados, API keys de tres cloud service providers concentrados en puntos de falla únicos. Su presencia era diferente esa noche — no la energía protectora habitual sino algo más contenido, como si estuviera midiendo cada palabra antes de emitirla.

La superficie no es un controlador. Es todo lo que toca. AWS, GCP, Azure — los tres CSPs comparten primitivas comprometidas en este momento. Cada webhook que entra puede inyectar comandos shell. Cada integración con SIEM, ITSM, sistemas de monitoreo es un pivoting point. UNC3886 no necesita malware — necesita paciencia. Ya tienen visibilidad completa del tráfico inter-cloud y capacidad de reconfigurar routing sin que nadie lo note hasta que sea demasiado tarde.

Magna archivó el reporte de Aviatrix sin comentario. Era el cuarto controlador multi-cloud comprometido ese año. Regulator observaba desde el umbral del war room, citando el marco NERC CIP con especificidad inusual. El silencio industrial era más ruidoso que las alarmas.

Inteligencia

Blacktrace envió el reporte de forensia dark web exactamente a las 02:47. Tres párrafos. Sin adornos. UNC3886 era un actor de persistencia avanzada atribuido a China, activo desde 2021, con disciplina operacional documentada en infraestructura de red y seguridad perimetral. Víctimas históricas: defensa, telecomunicaciones, tecnología, gobierno. Últimos noventa días: cero víctimas publicadas asociadas a CVE-2024-50603.

Eso no significa inactividad. Significa que operan bajo modelo de sigilo con descubrimiento tardío, meses después del compromiso inicial. No generan ruido mediático. No dejan muestras de malware indexadas. Utilizan implantes personalizados — VIRTUALPITA, VIRTUALPIE — diseñados para evadir detección en dispositivos de red. Si están operando contra Aviatrix, México no aparecerá en titulares hasta que aparezca en un reporte de respuesta a incidentes. La ausencia de telemetría pública no descarta herramientas privadas en uso activo.

Eris cruzó el reporte de Blacktrace con los logs de acceso de los últimos noventa días. Buscaba el patrón que UNC3886 dejaba en infraestructura comprometida: autenticaciones anómalas fuera de ciclos de mantenimiento, ejecución de comandos en horarios de baja actividad, movimiento lateral silencioso sin detección de malware conocido. Encontró diecisiete eventos que coincidían con el perfil. Ninguno había generado alerta hasta ese momento.

Conflicto

Magna regresó al war room cuarenta minutos después con un análisis de impacto operacional que nadie quería leer pero todos necesitaban entender. Los controladores Aviatrix no eran un activo periférico en la arquitectura industrial — eran arterias principales entre segmentos OT/IT. Su compromiso significaba acceso directo a SCADA, PLCs, sistemas de control críticos distribuidos en tres estados.

Revisé las dependencias. Planta Monterrey: líneas de producción con control térmico automatizado. Querétaro: gestión energética para manufactura continua. Guadalajara: SCADA de logística y almacenamiento. Si UNC3886 tiene control de routing, tiene capacidad de interceptar comandos de control, modificar setpoints, redirigir telemetría. No necesitan cifrar nada para detener operación — solo necesitan cambiar la configuración de red en el momento exacto. Eso no es un ataque de ransomware. Es sabotaje operacional con deniability perfecta.

NeonMind cerró el laptop. Miró a Magna, luego a Eris, finalmente al CISO que había permanecido en silencio desde que entró al war room.

Entonces no tenemos cuatro horas. Tenemos el tiempo que UNC3886 decida darnos.

Contraataque

Stratos ejecutó la maniobra de contención atmosférica exactamente a las 04:15. Desconexión controlada de controladores Aviatrix expuestos a Internet. Implementación de WAF con filtrado específico de metacaracteres shell en /v1/api. Deployment de controladores de respaldo en red segmentada. Rotación completa de API keys almacenados. Coordinación con AWS, GCP, Azure security teams para monitoreo de actividad anómala en túneles establecidos.

Superficie cloud contenida. Controladores primarios aislados. Routing crítico migrado a infraestructura de respaldo. Logs preservados para análisis forense completo. Próximas cuarenta y ocho horas requieren auditoría exhaustiva de cada petición API registrada en los últimos noventa días. Si UNC3886 estableció persistencia, la vamos a encontrar en los logs que nadie revisó porque no generaron alerta.

Eris corrió el análisis de validación veinticuatro horas después de la contención. Tres controladores mostraban evidencia de compromiso previo: ejecución de comandos Python fuera de ciclos de mantenimiento, modificaciones de configuración de routing sin ticket asociado, acceso a endpoints de debug sin autenticación válida. Todo documentado en logs que el sistema de monitoreo había clasificado como actividad administrativa normal.

Validación completa. Tres controladores comprometidos confirmados. Persistencia establecida mediante modificación de scripts de inicio. UNC3886 estuvo dentro cuarenta y dos días antes de que detectáramos la CVE. Exfiltraron configuraciones de red, credenciales almacenadas, topología completa de conectividad multi-cloud. No cifraron nada. No generaron ruido. Solo observaron y mapearon. La pregunta ahora es qué más tienen y cuándo lo van a usar.

Resolución

Luna Varela escribió el cierre editorial exactamente setenta y dos horas después del primer contacto con CVE-2024-50603. No era un post-mortem. Era un inventario de lo que quedaba después de contener una amenaza que nunca debió tener acceso en primer lugar.

Controladores Aviatrix parcheados. Persistencia UNC3886 eliminada de infraestructura comprometida. Routing crítico estabilizado en controladores de respaldo. Logs forenses preservados para análisis de inteligencia a largo plazo. Cuarenta y dos días de observación silenciosa documentados. Topología de red exfiltrada, configuraciones comprometidas, credenciales rotadas. El sistema está contenido. La arquitectura de confianza no.

Cerró el documento. Guardó la versión final en el repositorio de inteligencia estratégica. Miró por la ventana del edificio hacia el corredor donde Stratos había pasado tres noches consecutivas reconfigurando infraestructura cloud. Sabía que Veritas ya estaba redactando el análisis de obligaciones legales — LFPDPPP, notificación a autoridades, documentación de compromiso de datos. Sabía que Regulator estaba mapeando los controles ISO 27001 que habían fallado. Sabía que Blacktrace seguía rastreando actividad de UNC3886 en foros dark web buscando el siguiente movimiento.

Lo que no sabía era cuántos otros controladores en cuántas otras organizaciones ya estaban comprometidos y operando bajo el mismo modelo de observación silenciosa. UNC3886 no atacaba infraestructura — la convertía. Y la conversión era invisible hasta que dejaba de serlo.

— Luna Varela, Strategic Intelligence