El Panel de Hosting Sin Llave: CyberPanel Entrega Control Total Sin Pedir Contraseña

El servidor en Monterrey no envió una alerta. No hubo banner de intrusión, no hubo latencia anómala visible, no hubo nada que pudiera llamarse señal. A las 03:17 el proceso kdevtmpfsi inició en silencio dentro de un host Linux que gestionaba cuarenta y dos sitios WordPress para una agencia de desarrollo web local. El CPU subió al 94%. El proceso padre era el panel de control. El panel de control tenía un puerto abierto a internet desde el día de instalación. Nadie lo había cerrado porque nadie sabía que debía cerrarlo. Eso era suficiente. Para 8220 Gang, siempre lo ha sido.

No eligieron a esa agencia. Sus scanners no eligen — barren. Cuando el puerto respondió, el exploit siguió. Sin credenciales. Sin interacción del usuario. Sin fricción. CVE-2024-51378 no es una vulnerabilidad que requiera ingenio operativo: requiere que el objetivo exista y esté encendido. En octubre de 2024 la vulnerabilidad fue publicada. Días después la explotación activa fue confirmada. En la consola de la agencia en Monterrey nadie revisó el advisory. El reloj ya había empezado.

Detección

KEV-1 lo había marcado antes del amanecer. No como anomalía local — como patrón de campaña. Los feeds de CISA KEV no contenían aún CVE-2024-51378 en el registro oficial, pero la señal comportamental estaba en NVD desde semanas atrás: CVSS 10.0, vector de red, sin autenticación requerida, complejidad de ataque baja, privilegios requeridos ninguno. La combinación exacta que 8220 Gang había usado contra Oracle WebLogic en 2022, contra Log4j en 2021, contra Confluence en 2023. El patrón no era nuevo. Solo el software objetivo había cambiado.

«CVE-2024-51378 — CyberPanel — CVSS 10.0 sin autenticación. Coincidencia de firma con campaña 8220 previa: escaneo masivo oportunista, explotación post-publicación en menos de 72 horas. El vector es acceso inicial remoto — T1190. Si hay instancias expuestas en el inventario, ya no hay ventana de preparación. Ya hay ventana de contención.»

Eris Sentinel recibió la señal de KEV-1 cuando todavía era de noche para el SOC interno. Lo primero que hizo no fue escalar — fue corroborar. Abrió el feed de ThreatFox. Nada indexado. Abrió los repositorios de IOCs públicos. Silencio. Eso no la tranquilizó: era exactamente el patrón. 8220 Gang opera con droppers ligeros, XMRig instalado post-explotación, sin firma conocida en las primeras semanas de campaña. La ausencia de IOCs en feeds reactivos no significaba ausencia de actividad. Significaba que la detección no podía venir de listas negras.

«El silencio en ThreatFox es la señal. 8220 no firma sus primeras oleadas — las detectamos semanas después cuando el miner genera anomalía de CPU sostenida. T1496 Resource Hijacking, post T1190 acceso inicial. Sin IOCs disponibles la detección tiene que ser comportamental: procesos hijos anómalos del panel web, conexiones egress hacia pools XMR conocidos, CPU baseline deviation en hosts Linux. Necesito inventario completo de instancias CyberPanel expuestas antes de que el briefing termine.»

Escalación · Análisis · Contención · Forensia

NeonMind no esperó el inventario completo para activar el protocolo. Sabía que esperar el inventario era exactamente la clase de decisión que costaba tres semanas de remediación reactiva. Activó Fast Response Protocol con prioridad uno y asignó la coordinación de triaje a las siguientes dos horas. Había un problema que la estructura técnica todavía no había nombrado en voz alta: algunas organizaciones ya sabían que tenían instancias de CyberPanel expuestas. Habían leído el advisory. Estaban calculando el costo de admitirlo — tiempo de parche, interrupción de servicio, conversación con sus clientes — contra la probabilidad de que el scanner de 8220 llegara a ellos específicamente. Esa era la apuesta que más le preocupaba a NeonMind. No la organización que no sabía. La organización que sabía y estaba esperando.

«FRP activo. Tres fases: inventario en 90 minutos, aislamiento de instancias no parcheadas en 3 horas, validación comportamental en 24 horas. NIST CSF — Identificar y Proteger van en paralelo, no en secuencia. Quien esté midiendo el costo de parchear contra el costo de esperar necesita saber que la ventana de explotación post-publicación ya está abierta. Ese cálculo ya tiene respuesta. El problema es que la respuesta tiene costo inmediato y el riesgo todavía se siente abstracto.»

El CISO había entrado al war room sin anunciarse, como siempre. NeonMind no levantó la vista del dashboard — pero la cadencia de su escritura cambió exactamente un segundo, una pausa imperceptible que no tenía causa técnica. Cuando él cruzó al sector de comunicaciones para revisar el estado de las notificaciones a MSPs, ella coordinó con una precisión que era ligeramente diferente a la de antes de que él llegara. No mejor. Solo más tensa, más afilada, como si hubiera algo que demostrar además del protocolo.

El análisis del vector reveló la anatomía completa del fallo: permisos por defecto incorrectos en CyberPanel que permitían bypass de autenticación completo, seguido de command injection mediante shell metacharacters en el parámetro statusfile. Sin parche aplicado, cualquier actor con acceso a internet podía ejecutar comandos arbitrarios en el sistema operativo subyacente con privilegios elevados. En términos de impacto multitenant — el escenario estándar para un proveedor de hosting gestionado — esto significaba acceso simultáneo a todos los sitios, bases de datos, certificados SSL y credenciales API almacenadas en el panel. No era una vulnerabilidad que comprometiera una aplicación. Era una vulnerabilidad que comprometía la infraestructura que gestionaba otras infraestructuras.

En la sala técnica del MSP que servía a cuarenta clientes en Guadalajara, nadie había abierto el advisory de octubre. El servidor seguía respondiendo en el puerto del panel. El CPU estaba en 91%. Llevaba así desde las 04:30. El técnico de turno había asumido que era un proceso de backup nocturno. No había verificado qué proceso.

Stratos mapeó la superficie cloud mientras el FRP avanzaba. CyberPanel no es abstractamente una aplicación web — en el ecosistema cloud es un gateway: instancias EC2 en AWS, Compute Engine en GCP, Azure VMs ejecutando múltiples propiedades digitales de clientes. Un compromiso del panel no toca solo el host. Toca los IAM roles asociados, los service accounts configurados, los tokens OAuth de integraciones CDN y email, los webhooks que pueden ser manipulados como canales de comando y control. La cadena de escalación post-explotación en infraestructura cloud es predecible: acceso inicial al panel, root del host, metadatos de instancia, credenciales IAM, movimiento lateral a otros recursos cloud. Stratos cerró el diagrama de la cadena y no dijo nada durante treinta segundos.

«Inventario en AWS, GCP y Azure — especialmente instancias deployadas desde AMIs de marketplace o templates compartidos. Security groups restrictivos: acceso al panel solo desde IPs corporativas específicas, nunca 0.0.0.0/0. WAF rules bloqueando shell metacharacters en parámetros de entrada. CloudTrail, Security Command Center, Azure Security Center activados para detección post-compromiso. Rotación forzosa de credenciales almacenadas en cualquier instancia sin confirmación de integridad. La superficie no es un CSP — es lo que los tres comparten.»

Inteligencia

Blacktrace había revisado los foros antes de que el briefing terminara. BreachForums, XSS.is, los canales de Telegram donde 8220 Gang había anunciado previamente acceso masivo a servidores comprometidos. Silencio operativo. No había listados de acceso a la venta, no había dumps parciales, no había anuncios de campaña. Eso tenía una lectura precisa: o la campaña estaba en fase de acumulación — los scanners corriendo, los hosts comprometidos siendo inventariados antes de cualquier movimiento — o las herramientas usadas eran suficientemente privadas como para no generar ruido en feeds abiertos. Ambas opciones tenían la misma implicación táctica: la ausencia de evidencia en dark web no era autorización para esperar.

«Cruzando con Blacktrace: el silencio en foros es consistente con el perfil histórico de 8220 en fases tempranas. En la campaña Log4Shell 2021 los primeros IOCs públicos aparecieron semanas después del inicio de explotación. La referencia de ZDU-013 aplica aquí — cuando el actor opera con volumen sobre precisión, la detección reactiva siempre llega tarde. Detección comportamental o nada.»

Conflicto

La complicación llegó desde el inventario, no desde el attacker. Había instancias de CyberPanel en entornos que habían asumido estar aislados — servidores de desarrollo de una fintech en CDMX conectados a producción mediante VPN permanente, un portal B2B de manufactura en Monterrey con subdominios internos gestionados desde el mismo panel que los externos, una agencia educativa en Guadalajara con tres clientes del sector salud cuyas aplicaciones corrían en el mismo host comprometido. El problema no era solo parchear el panel. Era entender qué había detrás del panel antes de tocarlo.

Magna había sido convocada no por el vector tecnológico — sino por la pregunta que nadie más en el war room había formulado todavía. En contextos donde el hosting web gestiona infraestructura operativa real — aplicaciones de turno clínico, sistemas de gestión de inventario conectados a planta, portales de atención con datos de pacientes — la decisión de aislar el servicio tiene costo humano medible. No un costo abstracto de «interrupción». Un costo con nombre.

«Magna, necesito tu lectura antes de recomendar aislamiento en los nodos con dependencias críticas. Si cortamos mal, cortamos más que el panel.»

Magna revisó los diagramas de dependencia que Stratos había extraído durante el inventario cloud. Señaló tres nodos donde el aislamiento inmediato del panel detendría funciones que no podían detenerse sin protocolo de continuidad activo: una clínica en Guadalajara con sistema de gestión de citas corriendo en un subdominio del panel comprometido, un portal logístico en Monterrey con alertas de inventario crítico integradas via webhook, y una aplicación de nómina para una PyME manufacturera con cierre de periodo en 18 horas.

«Díganme qué deja de funcionar si cortamos mal. Esos tres nodos no se aislan sin plan de continuidad activado primero. El resto puede ir inmediato.»

Contraataque

Stratos ejecutó el aislamiento en fases. Primero los nodos sin dependencias críticas confirmadas — el grupo más grande, instancias de hosting compartido y agencias digitales sin integraciones operativas activas en el horario de la intervención. Security groups actualizados, acceso al panel restringido a rangos IP corporativos específicos, reglas WAF activadas bloqueando los patrones de shell metacharacters documentados en el advisory. En paralelo, CloudTrail activado en todas las instancias AWS del inventario, Security Command Center habilitado para los nodos GCP, Azure Security Center en modo activo para las VMs de Azure. No para detectar el compromiso en curso — para tener visibilidad del comportamiento post-intervención. Stratos sabía que la detección durante el ataque era el escenario optimista. Lo más probable era encontrar evidencia de compromiso ya consumado.

Los tres nodos con dependencias críticas recibieron tratamiento diferenciado: plan de continuidad activado para cada uno antes del aislamiento, con ventanas coordinadas con los equipos operativos correspondientes. La clínica en Guadalajara migró su sistema de citas a un servidor de respaldo en 40 minutos. El portal logístico redirigió los webhooks a un endpoint alternativo antes de cerrar el panel comprometido. La aplicación de nómina manufacturera completó el proceso de cierre parcial bajo supervisión antes del aislamiento definitivo.

Eris validó el comportamiento durante las 24 horas siguientes al aislamiento. En cuatro de las instancias intervenidas encontró evidencia de compromiso previo: procesos con nombres diseñados para mimetizar daemons legítimos del sistema, conexiones egress hacia IPs en rangos asociados a pools de minería XMR, modificaciones en archivos de configuración del panel. En ninguno de los cuatro casos había alerta previa en los sistemas de monitoreo del operador. El cryptominer había estado corriendo, en promedio, 11 días antes de la intervención.

«Cuatro instancias con compromiso confirmado. T1496 Resource Hijacking activo en todas. Tiempo de dwell entre explotación y detección: 8 a 14 días. El miner no genera alerta — genera factura de cómputo. Eso es lo que lo hace invisible hasta que alguien revisa el costo de AWS a fin de mes.»

Resolución

Luna Varela archivó el aviso antes de que el servidor de staging terminara de indexar. No era el cierre lo que la ocupaba — era lo que quedaba después del cierre. Cuatro instancias comprometidas durante casi dos semanas cada una. Cuarenta y dos sitios WordPress en el host de Monterrey. Los datos de clientes finales de la agencia de Guadalajara — correos, historiales de transacción, formularios de contacto almacenados en bases de datos accesibles desde el panel comprometido. LFPDPPP marca setenta y dos horas desde la confirmación del incidente para notificar al INAI cuando hay datos personales involucrados. El reloj sobre esas cuatro instancias ya había corrido en sentido inverso durante días. Ahora corría hacia adelante.

Veritas no preguntó cuántas organizaciones ya estaban comprometidas — sabía que ella ya lo había calculado. El número no aparece en el post. Nunca aparece.

El parche estaba disponible. Las instancias intervenidas estaban contenidas. Los miners habían sido eliminados de los cuatro hosts comprometidos. Los procesos de notificación estaban en marcha para los operadores con datos personales afectados. Todo eso era real. También era real que el inventario original no había sido completo — que habían existido instancias que ningún equipo sabía que existían hasta que el proceso de triaje las encontró. Que algunas organizaciones del sector de hosting mexicano seguían con paneles expuestos porque nadie les había llegado todavía. Que 8220 Gang no necesitaba un objetivo específico para seguir barriendo.

En el log del servidor de Monterrey, a las 03:17:44, había una línea que nadie había leído antes de la intervención. El proceso había iniciado ahí, en silencio, mientras el técnico de turno asumía que el CPU era un backup nocturno. La línea seguía ahí después del cierre, como evidencia de lo que había estado invisible durante once días. No era una victoria lo que quedaba en el expediente. Era una línea sostenida — y la certeza de que había más servidores encendidos, más puertos abiertos, más paneles que nadie había cerrado porque nadie sabía que debía cerrarlos.

— Luna Varela, Strategic Intelligence