El Bus de Mensajería Como Puerta Trasera: CVE-2023-46604 en Apache ActiveMQ

El técnico de turno nocturno en la planta de Monterrey notó algo extraño a las 2:17 de la madrugada: las alarmas de la línea cuatro no respondían. No estaban apagadas. Respondían — pero tarde, con un retraso de entre cuatro y siete segundos que en un entorno normal sería imperceptible y en una línea de manufactura activa significaba que la señal llegaba después de que el evento ya había ocurrido. Revisó el panel. Todo verde. Revisó el log del broker. Vació la pantalla, parpadeo de cursor, y nada más. El sistema de mensajería estaba procesando. Estaba procesando algo que él no había enviado.

CVE-2023-46604 no rompió la puerta. Usó el correo legítimo. El protocolo OpenWire de Apache ActiveMQ — el canal por el que viajan instrucciones entre sistemas empresariales y controladores físicos — acepta objetos serializados como parte de su operación normal. Lo que no hace, en versiones anteriores a 5.15.16, es verificar qué clases instancia esos objetos. Un payload fabricado llega como mensaje. El broker lo deserializa. La clase que instancia existe en el classpath. El código se ejecuta. No hay autenticación que cruzar. No hay firewall que detecte la anomalía porque el tráfico llega por el puerto que siempre estuvo abierto, firmado con el protocolo que siempre estuvo autorizado. El broker no fue comprometido. El broker fue usado.

Detección

KEV-1 lo registró a las 03:41:09 UTC. No fue una alerta generada por el SOC interno — fue la correlación automática contra el catálogo CISA KEV lo que levantó el flag. CVE-2023-46604 había sido añadido al catálogo semanas antes, confirmando explotación activa en campo. La señal que llegó esta madrugada no era un escáner de reconocimiento. Era tráfico OpenWire con estructura ClassInfo anómala dirigido al puerto 61616/TCP de tres instancias de ActiveMQ en la infraestructura de integración del cliente. Tres instancias simultáneas. El patrón no era exploratorio.

KEV-1 · 03:41:09 UTC — CVE-2023-46604 confirmado en catálogo CISA KEV. Explotación activa documentada. Tres endpoints OpenWire alcanzados en los últimos diecisiete minutos. Versión desplegada: 5.15.14. Dos versiones por debajo del umbral de corrección. Sin autenticación requerida para el vector. Sin filtrado de clases serializables activo. Riesgo de ejecución remota de código: confirmado. Activando protocolo de notificación TRINITY.

Eris ya estaba en la consola cuando llegó la notificación. No porque KEV-1 la hubiera despertado — llevaba cuarenta minutos rastreando un patrón de tráfico desde un ASN que había aparecido en inteligencia de amenazas tres semanas atrás, asociado a infraestructura de comando y control de grupos de ransomware con patrón operacional consistente con Cl0p: acumulación silenciosa de acceso antes de activar la fase de extorsión. La convergencia entre el ASN que monitoreaba y las tres instancias ActiveMQ que KEV-1 acababa de señalar no era coincidencia. Era confirmación.

T1190 confirmado — Exploit Public-Facing Application sobre OpenWire. El payload utiliza ClassPathXmlApplicationContext para instanciar clases remotas vía URL controlada por el actor. Post-explotación inmediata: T1059.001, ejecución de intérprete de comandos con privilegios del proceso ActiveMQ. El ASN de origen tiene tres semanas en mi registro. No estaban escaneando. Estaban esperando. Esto no es inicial access — esto es activación de acceso previo.

Escalación · Análisis · Contención · Forensia

NeonMind activó el FRP a las 03:44:02 UTC. No con una orden — con una pregunta que nadie en la sala respondió de inmediato: cuántas instancias de ActiveMQ estaban en producción, en staging, en subsidiarias industriales, en entornos de integración legacy que nadie había auditado en los últimos dieciocho meses. El inventario tardó once minutos en llegar. Cuando llegó, el número era más alto de lo que cualquiera esperaba. NIST CSF IDENTIFY había fallado antes de que empezara la crisis: lo que no está en el inventario no puede ser protegido, y lo que no puede ser protegido se convierte en punto de entrada cuando el adversario lo encuentra primero.

PROTECT falló antes que DETECT. Si el inventario de activos no cubre las instancias de integración legacy, la segmentación de red no las aisló y el puerto 61616 estuvo accesible desde segmentos que no deberían tocarlo — entonces RESPOND llega tarde por definición. Activamos aislamiento selectivo ahora, pero necesito saber qué queda de pie si cortamos el broker. Magna, necesito esa respuesta antes de ejecutar cualquier contención que afecte las líneas de producción.

Magna llevaba el reporte abierto desde las 6:14. No lo había cerrado. En la pantalla, el diagrama de flujo mostraba exactamente dónde ActiveMQ se sentaba entre el broker empresarial y la capa SCADA — una posición que nadie había diseñado como punto de falla, pero que ahora lo era. La línea entre IT y OT no era una frontera arquitectónica. Era una ficción administrativa. El broker comprometido procesaba mensajes de integración ERP por un lado y señales hacia controladores de línea por el otro. Cortar el broker sin saber qué dependía de él podía significar silenciar alarmas que en ese momento estaban activas en planta.

El CISO entró a la sala sin anuncio. Magna no levantó la vista de inmediato. Tardó tres segundos. Esos tres segundos los contó. Regulator apareció en el umbral detrás de él, carpeta en mano, sin pasar. Magna cerró el diagrama. “La sexta vez este año,” dijo. No explicó a quién le hablaba.

ActiveMQ no es solo mensajería empresarial aquí. Está intermediando señales entre el sistema de supervisión SCADA y tres controladores de línea en la planta norte. Si cortamos sin mapear las dependencias OT primero, podemos aislar al adversario y simultáneamente silenciar las alarmas de seguridad de la línea cuatro. El técnico nocturno ya reportó retraso de señal. Eso no es ruido de red. Es evidencia de que el actor ya está manipulando el flujo de mensajes. Necesito quince minutos para mapear qué queda de pie y qué cae si ejecutamos contención ahora.

Stratos tomó el segmento cloud sin esperar instrucción. En los tres entornos — AWS, GCP, Azure — las instancias de ActiveMQ desplegadas en clusters EKS y Compute Engine compartían una característica: puerto 61616 accesible desde subredes que en la documentación estaban marcadas como internas pero que en la configuración real tenían rutas hacia internet. A08:2025 en estado puro. La deserialización insegura no era un fallo de código — era una elección de arquitectura que nadie había cuestionado porque el sistema funcionaba. El broker procesaba mensajes. Los microservicios respondían. Nadie había preguntado qué más podía responder.

Inteligencia

Blacktrace abrió el expediente de Cl0p con la misma economía de movimientos con que abría cualquier expediente. El grupo tiene firma táctica conocida: explotar vulnerabilidades de middleware y transferencia de archivos antes de que la industria reaccione — MOVEit, GoAnywhere, Accellion. La mecánica es consistente. Identifican una clase de software con despliegue masivo, arman la vulnerabilidad antes de la divulgación pública o inmediatamente después, y comienzan a acumular acceso en silencio. Las víctimas aparecen en su sitio de extorsión semanas después, cuando la negociación ya debería haber comenzado. Cero víctimas públicas vinculadas a CVE-2023-46604 en los últimos noventa días no era señal de inactividad. Era el patrón. La ausencia de víctimas visibles en el período de análisis era, en el historial documentado de Cl0p, el momento más peligroso: cuando el acceso está acumulado y la extorsión todavía no ha comenzado.

Sin IOCs activos en ThreatFox. Sin muestras indexadas. Tooling privado o campaña no documentada públicamente — ambas lecturas eran consistentes con la inteligencia disponible. La falta de IOCs no reducía el riesgo. Reducía la visibilidad del defensor. Blacktrace lo anotó en el expediente y cerró la sección de atribución con una observación que no compartió en voz alta: la ausencia de rastro digital visible no era una falla del actor. Era una capacidad.

Conflicto

Los quince minutos que Magna había pedido se convirtieron en veintiuno. El mapa de dependencias OT que emergió era peor de lo que el diagrama inicial sugería. La planta norte no era el único punto de exposición. Había dos instancias adicionales de ActiveMQ en la infraestructura de integración del sector sur de la instalación — instalaciones que no aparecían en el inventario que el SOC interno había entregado cuarenta minutos antes. Habían sido desplegadas dieciocho meses atrás durante una migración de ERP y nunca formalmente incorporadas al inventario de activos de seguridad. No tenían propietario documentado. No tenían política de parcheo asignada. Estaban en producción, procesando señales hacia controladores de temperatura en la línea de pintura, y corrían versión 5.15.11 — cuatro versiones por debajo del umbral de corrección.

NeonMind recibió el reporte de Magna en silencio. No comentó el vector OT en la reunión. Lo archivó. La decisión que siguió — aislar primero las instancias empresariales y mantener las OT bajo monitoreo intensificado mientras se evaluaba el impacto de contención en la línea de pintura — fue una decisión de costo. Cualquier opción disponible en ese momento tenía un precio. La pregunta no era cómo evitar el costo. Era quién lo absorbía y cuándo.

Eris, necesito cobertura de detección en tiempo real sobre las dos instancias OT que Magna acaba de mapear. No las tocamos hasta que tengamos visibilidad completa de las dependencias de la línea de pintura. Stratos, aislamiento de las instancias cloud se ejecuta ahora — sin excepciones. Las instancias empresariales se cortan en los próximos cuatro minutos. El callback del técnico de planta es la única señal que me importa antes de tomar la decisión OT.

Contraataque

Stratos ejecutó el aislamiento de las instancias cloud en tres minutos y cuarenta segundos. En AWS, las security groups que permitían tráfico entrante al puerto 61616/TCP desde subredes con rutas externas fueron revocadas. En GCP, los firewall rules equivalentes. En Azure, los network security groups. La superficie de ataque cloud colapsó en un perímetro que por primera vez en la historia de ese despliegue era lo que la documentación decía que era: instancias de broker de mensajes accesibles únicamente desde segmentos de aplicación definidos. El OWASP A02:2025 — Security Misconfiguration — no se había creado en el incidente. Había estado presente desde el día del despliegue. El incidente solo lo había hecho visible.

Stratos añadió una capa de detección sobre el tráfico OpenWire restante: reglas específicas para patrones ClassInfo y ExceptionResponse anómalos, logging de todos los objetos deserializados con checksum de clase contra allowlist validado. No era un parche. Era tiempo comprado mientras el proceso de actualización a las versiones corregidas comenzaba en paralelo. La ventana entre detección y explotación confirmada en las instancias cloud era de cuarenta y tres minutos. Stratos lo registró sin comentario.

Eris validó las primeras veinticuatro horas de monitoreo post-contención con la misma atención con que había rastreado el ASN inicial. El tráfico OpenWire hacia las instancias aisladas cesó en los primeros seis minutos después del aislamiento — lo que indicaba que el actor tenía visibilidad del estado del broker y ajustó su operación en consecuencia. No era un script automatizado. Era alguien que monitoreaba activamente. El ASN cambió de dirección IP a los cuarenta minutos. La infraestructura de C2 rotó. El expediente de atribución ganó una entrada más: adaptación táctica en respuesta a detección, consistente con operación humana sostenida.

El actor salió en seis minutos. Eso no es buena noticia — eso es un actor que tiene visibilidad de nuestro estado operativo y sabe cuándo retirarse. El ASN rotó. La campaña no terminó. Cambió de fase. Lo que teníamos antes era acumulación de acceso. Lo que viene después, si el patrón Cl0p se mantiene, es evaluación de lo que lograron acumular antes de que los cortáramos. Necesito saber si hubo exfiltración antes de la contención. El broker procesó tráfico anómalo durante al menos cuarenta y tres minutos antes de la detección. Eso es tiempo suficiente.

Resolución

Luna Varela escribió el cierre editorial del expediente con la misma economía que caracterizaba todo lo que producía cuando el caso todavía dolía. CVE-2023-46604 no era una vulnerabilidad nueva. Tenía trece años en el código antes de que alguien la nombrara. Trece años de mensajes serializados pasando por un canal que no preguntaba qué instanciaba, procesados por infraestructura que nadie auditó porque funcionaba. El sistema de mensajería entregaba los mensajes. Los controladores respondían. Las alarmas se activaban cuando debían activarse, casi siempre. Nadie había preguntado qué más podría responder hasta que alguien más lo preguntó primero.

Las dos instancias OT en el sector sur fueron parcheadas setenta y dos horas después del incidente, después de una ventana de mantenimiento negociada con operaciones de planta. Durante esas setenta y dos horas permanecieron bajo monitoreo intensificado. No hubo actividad anómala detectada. Eso podía significar que el actor no las había alcanzado todavía, o podía significar que el actor las había alcanzado y decidió esperar. Blacktrace no cerró ese ángulo del expediente. Lo dejó abierto con una nota: sin evidencia de compromiso confirmado; sin evidencia de ausencia de compromiso confirmado. La distinción importaba.

Lo que quedó después de la contención no era una victoria. Era una línea sostenida. El inventario de activos tenía ahora dos instancias que no tenía antes del incidente — lo que significaba que el inventario anterior era incompleto y que nadie podía afirmar con certeza cuántas más había. El proceso de auditoría completa comenzó la semana siguiente. El técnico nocturno de la planta norte escribió un reporte de anomalía que fue el primero en su expediente en dieciocho meses. El log del broker que había mostrado actividad que él no había enviado fue preservado como evidencia forense. A las 23:47 de esa noche, antes de que comenzara la contención, el log registraba una entrada que nadie había leído todavía cuando el turno terminó: LURA_INIT. No correspondía a ningún proceso documentado en la arquitectura.

— Luna Varela, Strategic Intelligence