El Firewall que Protege Tu Red Se Convirtió en la Puerta de Entrada

ZDU-056 — Severidad 5 — Crítica

Guardián Caído: El Colapso del Perímetro

CVE-2024-3400 convirtió el firewall en la puerta. UNC3886 ya estaba adentro cuando alguien notó que algo no cerraba bien.

El primer indicio no fue una alarma. Fue la ausencia de una. El gateway de GlobalProtect procesó la solicitud como si fuera rutinaria — porque lo era, técnicamente. PAN-OS no distinguió entre una sesión legítima y una cadena de comandos insertada en el campo de cookie de sesión. No había autenticación que romper. No había umbral que cruzar. La vulnerabilidad no estaba en la lógica de acceso: estaba en la confianza que el sistema depositó en el dato antes de procesarlo. Inyección de comandos. CVSS 10.0. Sin credenciales. Con privilegios root al final del camino. El perímetro no fue superado — fue habitado. Y desde adentro, el perímetro veía exactamente igual que antes.

UNC3886 no dejó huella visible en la primera hora. Eso también era parte del diseño.

Detección

La señal que KEV-1 registró no estaba en los logs de autenticación. Estaba en lo que no había: latencia de procesamiento ligeramente elevada en el gateway, sin correlato en el tráfico de sesión activa. Un patrón que no tenía nombre en los feeds abiertos porque UNC3886 no publica sus herramientas. Lo que sí tenía nombre era el CVE. KEV-1 lo cruzó contra el inventario de assets en menos de cuarenta segundos.

CVE-2024-3400 confirmado en CISA KEV. PAN-OS versiones 10.2, 11.0, 11.1 con GlobalProtect habilitado. Inyección de comandos no autenticada. Ejecución remota con escalada a root. El advisory de Palo Alto de abril 2024 documenta explotación activa en ese momento. Si el appliance no fue parcheado en esa ventana — o si fue parcheado después de una intrusión que nadie detectó — el acceso puede seguir activo. El parche no elimina un implante instalado. Eso hay que verificarlo por separado.

Eris Sentinel llevaba diecisiete minutos en el terminal cuando KEV-1 cerró la correlación. Había entrado al log de GlobalProtect desde un ángulo diferente: no buscaba el exploit, buscaba lo que el exploit haría después. T1190 era la entrada. T1059.001 era el siguiente movimiento. La ejecución de comandos con privilegios de sistema en un appliance de red no genera el mismo tipo de artefacto que en un endpoint — los firewalls no están diseñados para ser forenseados de la misma manera. Esa asimetría era exactamente la que UNC3886 había explotado en campañas previas documentadas por Volexity y Unit 42. Eris lo sabía. Lo que no sabía — todavía — era desde cuándo.

T1190 en GlobalProtect, T1059.001 en el contexto de proceso del daemon, T1548.004 para la escalada. Si el actor siguió el patrón documentado de campañas anteriores, el siguiente paso es T1543.003 — persistencia en el proceso de sistema. TINYSHELL o REPTILE en el appliance. Eso sobrevive reboots. Sobrevive actualizaciones de firmware si no se hace imagen limpia del dispositivo. Necesitamos saber qué versión de PAN-OS corre cada gateway en el inventario y cuándo fue el último ciclo de actualización. No el parche — la imagen completa del dispositivo.

Escalación · Análisis · Contención · Forensia

NeonMind activó el protocolo TRINITY desde el comando táctico a las 03:14. No porque hubiera confirmación de compromiso activo — sino porque la ventana de exposición era suficiente para asumir que debía haberlo. Esa distinción importa. La postura defensiva que asume integridad hasta demostrar lo contrario es la postura que UNC3886 había explotado en cada una de sus campañas documentadas. El grupo no opera con velocidad — opera con paciencia. La infección puede llevar semanas instalada antes de que el actor active el implante.

El colapso no es de un control — es de tres simultáneos. PROTECT falla porque el firewall que debe segmentar es el vector comprometido. DETECT falla porque el appliance que genera los logs es el mismo que puede estar manipulando los logs. RESPOND falla porque cualquier acción de contención que dependa del gateway puede estar siendo observada por el actor en tiempo real. Esto no es un incidente de endpoint. Es una falla de confianza en el nodo de confianza. El FRP no puede tratarlo como si fuera uno.

NeonMind cierra la sesión de análisis y no dice nada durante exactamente cuatro segundos. El CISO espera. Ella no llena el silencio — lo deja trabajar. El marco NIST no falla por error técnico. Falla porque alguien lo construyó asumiendo que el perímetro era el perímetro. Hay decisiones que se tomaron hace tres años que hoy tienen nombre: CVE-2024-3400. NeonMind lo sabe. No lo dice.

El inventario de gateways tardó once minutos en completarse. Cuatro appliances con GlobalProtect habilitado en versiones vulnerables. Dos de ellos en posición de segmentación entre redes corporativas y entornos de operación. NeonMind distribuyó las prioridades de forensia en orden inverso a la criticidad visible: primero los que parecían menos expuestos, porque UNC3886 históricamente usa nodos secundarios como punto de persistencia mientras el nodo primario absorbe la atención defensiva.

Magna abre el diagrama de red por tercera vez en la última hora. No busca nada nuevo — sabe lo que hay. Lo que busca es la manera de decirlo sin que suene a lo que es: el perímetro no falló, fue diseñado para confiar. Cierra el archivo. El CISO va a preguntar si la segmentación OT aguantó. Ella ya sabe la respuesta. Lo que no sabe es si él va a entender lo que esa respuesta cuesta.

La respuesta era no. La segmentación OT no había aguantado — no en el sentido que importaba. El firewall que debía aislar la red corporativa del entorno de operación industrial era exactamente el modelo y versión comprometida. No había evidencia de movimiento lateral activo hacia los controladores. Pero la arquitectura que debía hacer ese movimiento imposible había sido el vector de entrada. En términos de Tenable OT, la zona de purga entre IT y OT tenía un agujero del tamaño del appliance que la sostenía. Esto no era un gap de configuración. Era un gap de concepto.

El firewall que separa la red corporativa de los PLCs en planta es el mismo que tiene el CVE. Eso significa que la segmentación que protege SCADA, los controladores de línea y los sistemas de monitoreo de proceso no es una segmentación — es una ilusión con privilegios root. Si el actor está adentro del appliance, tiene visibilidad completa del tráfico OT. No necesita moverse lateralmente. Ya está en el medio. La pregunta no es si aplicar el parche. La pregunta es qué deja de vivir si cortamos mal — y cuánto tiempo llevamos expuestos sin haberlo sabido.

Stratos trabajó los tres CSPs en paralelo. Las instancias VM-Series en AWS EC2, GCP Compute Engine y Azure VMs compartían la misma arquitectura de confianza: procesaban tráfico entre VPCs, subnets privadas y conexiones híbridas hacia planta. En contexto cloud, el impacto de CVE-2024-3400 no era lineal — era multiplicativo. Una VM-Series comprometida no solo exponía el tráfico norte-sur. Exponía los tokens OAuth en tránsito hacia Office 365, las API keys hacia AWS SSO, los webhooks corporativos que conectaban los sistemas de producción con los servicios SaaS. El actor con acceso root a ese nodo no necesitaba credenciales. Las credenciales pasaban por él.

Tres CSPs, un vector. Las VM-Series en AWS, GCP y Azure son el punto de cruce entre lo on-premise y lo cloud-native. A05:2025 Injection por command injection no autenticada. A01:2025 Broken Access Control por escalada inmediata a root. En cloud eso significa control sobre routing tables, reglas de firewall y segmentación de red. Si el actor llegó primero, los logs de autenticación que estamos leyendo pueden estar siendo generados por él. Necesito aislamiento de las instancias vulnerables de subnets críticas antes de continuar el análisis — de lo contrario estamos validando telemetría que puede estar comprometida.

Inteligencia

Blacktrace entró al expediente desde el ángulo que los feeds abiertos no cubrían. ThreatFox no tenía IOCs indexados para CVE-2024-3400. Eso no era vacío de actividad — era firma de actor. UNC3886 no publica sus herramientas. TINYSHELL y REPTILE, los implantes documentados en campañas previas, no aparecen en los repositorios abiertos porque el grupo los despliega de forma selectiva y los elimina antes de que el análisis forense pueda completarse. La ausencia de IOCs públicos no indicaba que el actor no estuviera operando. Indicaba que operaba mejor que los feeds que lo rastreaban.

Dos muestras de malware asociadas al CVE existían en los repositorios privados. El patrón de las campañas de abril 2024 — documentadas por Volexity contra organizaciones en Norteamérica, Europa y Asia-Pacífico en sectores de defensa, telecomunicaciones y manufactura — coincidía geográficamente con el corredor industrial del norte de México y el Bajío. El sector telecomunicaciones. La manufactura avanzada. Las organizaciones que operaban GlobalProtect como gateway VPN hacia planta. No había víctimas confirmadas en México. La ausencia de confirmación y la ausencia de intrusión no son la misma cosa.

Eris no levanta la vista del terminal cuando el CISO entra a la sala. Hay un tipo de concentración que es trabajo y un tipo que es cobertura. Ella lleva veinte minutos en el segundo. El vector de entrada está documentado. Lo que no está documentado es la sensación de que alguien con acceso root al gateway lleva tiempo mirando desde adentro — y que ella debería haber visto la señal antes. Agrega una línea al reporte. La borra. La vuelve a escribir igual.

Conflicto

El conflicto llegó en la forma de una pregunta que nadie había hecho todavía: ¿desde cuándo? El parcheo de PAN-OS era la respuesta visible, la acción que se podía documentar y cerrar. Pero UNC3886 no opera en la capa que el parche cubre. Opera en la capa que queda después del parche. El implante instalado antes de la actualización no desaparece con la actualización. El acceso persiste en el appliance, silencioso, esperando la señal de activación. Parchear sin forense es limpiar la ventana sin revisar si hay alguien adentro.

Un operador de turno en una planta manufacturera en Guanajuato notó algo que no supo nombrar a las 02:47 de esa mañana. El PLC que monitoreaba la línea de ensamblado mostraba latencia inusual en las lecturas de sensor. No era suficiente para detener la producción. No era suficiente para llamar al ingeniero de guardia a esa hora. Era suficiente para que anotara la hora en su cuaderno y marcara con círculo el número de la pantalla. No sabía que su firewall era el atacante. Solo sabía que algo no respondía como debía. Esperó al turno de día para mencionarlo.

Magna recibió esa nota tres horas después, traducida por tres capas de comunicación interna, convertida en un ticket de soporte genérico sobre «lentitud en red OT». Reconoció el patrón. Lo había visto en el callback de un incidente anterior — la misma firma de latencia, el mismo tipo de appliance en posición de segmentación, el mismo silencio en los logs de autenticación que precede al momento en que alguien confirma que el silencio era intencional. La diferencia entre este incidente y el anterior era el actor. UNC3886 era más paciente que los grupos que habían aparecido en capítulos previos. Esa paciencia era el vector más difícil de detectar.

Contraataque

Stratos ejecutó el aislamiento de instancias VM-Series en las tres plataformas cloud en una ventana de cuarenta minutos. No fue limpio. Aislar un nodo de segmentación en producción nunca lo es: hay sesiones activas que se cortan, hay tráfico que no encuentra ruta alternativa, hay sistemas que dependen del appliance para funciones que nadie documentó como dependencias hasta que desaparecieron. El equipo de operaciones recibió tres alertas de servicio degradado en los primeros diez minutos. Stratos las absorbió como costo esperado. El riesgo de dejar las instancias activas era mayor que el costo de interrumpir el tráfico legítimo.

La directiva fue clara: inventario completo de VM-Series en 24 horas, WAF adicional delante de GlobalProtect en los gateways que no podían aislarse completamente, monitoreo intensivo de logs de autenticación con correlación cruzada contra los patrones de campaña documentados por Unit 42. Cada instancia que no pudiera ser validada como limpia mediante imagen forense completa debía ser tratada como comprometida hasta demostrar lo contrario. Esa inversión de carga de prueba era el único protocolo que tenía sentido frente a un actor que diseña sus implantes para sobrevivir exactamente a los controles que los equipos de respuesta aplican primero.

Eris supervisó las veinticuatro horas de telemetría post-aislamiento desde el mismo terminal. No hubo actividad de reconocimiento posterior que sugiriera que el actor había intentado reestablecer acceso desde vectores alternativos. Eso podía significar que la contención había sido efectiva. También podía significar que el actor había decidido esperar. UNC3886 había esperado antes. El perfil del grupo no incluía respuestas reactivas a las defensas — incluía adaptación lenta y recalibración hacia el siguiente nodo disponible. Veinticuatro horas limpias era un dato. No era una conclusión.

Resolución

Lo que quedó al final no fue una victoria. Fue un perímetro parcialmente restaurado y un conjunto de preguntas que el proceso de contención no podía responder. ¿Cuántas organizaciones en el corredor industrial norte habían tenido GlobalProtect activo en versiones vulnerables durante la ventana de abril a julio de 2024? ¿Cuántas habían parcheado sin imagen forense previa del appliance? ¿Cuántos implantes seguían activos en dispositivos que los equipos de IT consideraban sanos porque los logs no mostraban anomalías — porque el implante controla los logs? La ausencia de evidencia de compromiso y la ausencia de compromiso son cosas diferentes. En el caso de UNC3886, esa diferencia es exactamente donde el grupo vive.

La cicatriz no estaba en la arquitectura — la arquitectura se podía reconstruir. Estaba en la confianza. Cada organización que había depositado su perímetro en un appliance ahora sabía que el appliance era el primer objetivo, no el último refugio. Esa recalibración no tiene hotfix. Se aplica en la siguiente decisión de diseño, en el siguiente ciclo de revisión de arquitectura, en la siguiente vez que alguien aprueba una configuración asumiendo que el nodo de confianza no puede convertirse en el vector de ataque. El operador de turno en Guanajuato que anotó la latencia en su cuaderno a las 02:47 no sabía que había registrado el único artefacto humano de un incidente que los sistemas automatizados no capturaron a tiempo. Nadie le dijo que su nota importaba. Nadie supo cómo explicarlo.

No era una victoria. Era una línea sostenida — por ahora, en los sistemas que habían podido validarse. Lo que no podía validarse seguía en silencio. El silencio de UNC3886 no es ausencia. Es postura.

— Luna Varela, Strategic Intelligence