CVE-2015-3306 ProFTPD: Control Total de Servidores FTP con CVSS 10.0
Severidad Critical — CVSS 10.0
Servicios de Archivos / OT
Actor: No Atribuido (Exploit Conocido)
En CISA KEV (2026-10-08)
La infraestructura de transferencia de archivos más común del mundo, ProFTPD, sufre una falla crítica que permite la lectura y escritura remota de archivos arbitrarios sin autenticación. Con una puntuación de 10.0 en CVSS y su presencia activa en la lista KEV de CISA, esta vulnerabilidad no es un riesgo teórico: es una toma de control inmediata del sistema. Para las organizaciones que siguen exponiendo este servicio en su perímetro, la ventana de explotación está abierta ahora mismo.
Qué Pasó: Lectura y Escritura Arbitraria en ProFTPD
ProFTPD, el servidor de FTP de código abierto más desplegado globalmente, contiene una vulnerabilidad de control de acceso indebido. Un atacante remoto puede aprovechar los comandos site cpfr y site cpto del módulo mod_copy para leer y escribir archivos en cualquier ruta del sistema, sin necesidad de credenciales. Esta falla compromete el sistema de archivos completo, permitiendo la exfiltración de datos sensibles y la implantación de código malicioso para mantener acceso persistente.
A pesar de que la vulnerabilidad data de 2015, su inclusión reciente en el CISA KEV (Keeping Vulnerabilities Exploited) confirma que sigue siendo explotada activamente por actores de amenazas. La ausencia de un parche directo para versiones antiguas obliga a las organizaciones a aplicar mitigaciones de configuración inmediatas, ya que el vector de ataque es trivial para cualquier escáner automatizado.
CVSS v3.1
Autenticación Requerida
Ventana de Exposición
Estado CISA
Por Qué Importa para tu Organización
1. El vector: el esqueleto de la infraestructura expuesto
ProFTPD actúa como el esqueleto para transferencias de logs, documentos y firmware. Al estar expuesto a internet sin controles estrictos, se convierte en una puerta de entrada directa al VPC o DMZ. La lectura de archivos arbitrarios permite acceder a credenciales de IAM o tokens de contenedores, mientras que la escritura habilita la ejecución de código. Bajo OWASP A01:2025 (Broken Access Control) y A02:2025 (Security Misconfiguration), esta falla indica una negligencia estructural en la configuración perimetral.
2. La motivación: persistencia silenciosa y exfiltración masiva
El atacante no busca una extorsión rápida, sino un campamento base. Mediante la técnica T1505.003 (Web Shell), el actor implantan backdoors que evaden la detección de motores antivirus tradicionales, permitiendo la exfiltración continua de datos (T1005). Sin actuar, el atacante hereda el control total del host y usa el servidor de archivos para moverse lateralmente hacia bases de datos críticas.
3. El contexto México: adopción masiva de servicios legados
Las organizaciones mexicanas en manufactura 4.0 y gobierno digital aún operan nodos ProFTPD en DMZs para la transferencia de datos de sensores o documentos legales. Aunque no hay víctimas confirmadas en México a la fecha, la densidad de infraestructura no parcheada en el norte industrial y el centro financiero eleva la probabilidad de escaneo proactivo. La exposición regional es alta mientras existan instancias desactualizadas en el perímetro.
El Actor Detrás del Ataque
No Atribuido / Oportunista
Confianza: Media
La atribución formal de este vector es ‘Unknown’ en las bases de datos de Threat Intel. No se ha identificado un grupo APT específico ni un estado-nación responsable. Esto sugiere una operación espontánea o una campaña de bajo perfil de grupos oportunistas que utilizan scripts automatizados para escanear y explotar servicios legados. La ausencia de trazas en índices de malware activos y la falta de cobertura en prensa confirman una operatividad en la ‘sombra’.
La inteligencia abierta indica que grupos como Lazarus Group y actores chinos (Jewelbug) comparten la capacidad de explotar servidores de archivos para establecer presencia. Si ProFTPD cae, la cadena de ataque podría ser reutilizada por estos actores APT establecidos para fines de espionaje dual en sectores de finanzas y educación. Según CISA, la inclusión en el KEV confirma que la explotación es real y activa, independientemente de quién la ejecute.
TTPs Documentadas — MITRE ATT&CK
| Técnica | ID | Táctica |
|---|---|---|
| Exploit Public-Facing Application | T1190 | Initial Access |
| Web Shell | T1505.003 | Persistence |
| Unix Shell | T1059.004 | Execution |
| Data from Local System | T1005 | Collection |
Fuente: MITRE ATT&CK
mod_copy elimina los comandos vulnerables. Además, se debe restringir el acceso FTP a orígenes conocidos y ejecutar ProFTPD con un usuario de mínimo privilegio. Verificar la integridad de archivos de firmware y realizar un barrido forense es obligatorio.Qué Deberías Hacer en las Próximas 48 Horas
La urgencia es absoluta. Un CVSS 10 en un servicio expuesto a internet requiere contención y verificación inmediata para evitar la implantación de persistencia.
Deshabilitar mod_copy
Identifica todos los servidores ProFTPD y verifica si el módulo mod_copy está activo. Desactívalo donde no sea indispensable para eliminar el vector de site cpfr y site cpto de raíz. Si afecta flujos de negocio, valídalo en un entorno de pruebas antes de la implementación.
Restringir Acceso Perimetral
Aísla los servicios FTP de internet si no son críticos. Aplica listas de direcciones (ACL) para permitir el acceso solo desde orígenes legítimos. Rotar cualquier credencial o token que pueda haber sido leído desde el sistema comprometido durante el período de exposición.
Auditoría Forense de Logs
Revisa los directorios web y de datos en busca de archivos nuevos o webshells (T1505.003). Audita los logs de acceso de ProFTPD buscando comandos SITE anómalos en los últimos 90 días. Alerta en el EDR sobre procesos de shell lanzados por el servicio FTP.
Verificar Integridad OT
Si ProFTPD gestiona transferencias en entornos industriales, verifica la integridad de los binarios de firmware y recetas de control. Un atacante pudo haber alterado procesos físicos. Confirma que los artefactos descargados coinciden con las versiones originales firmadas por el vendor.
Realiza un ejercicio de mesa (tabletop) para evaluar la respuesta ante la posible exfiltración de datos personales, preparando el informe legal requerido por la AIP bajo la LFPDPPP.
Cómo Proteger tu Organización
La protección contra este vector requiere una capa de visibilidad profunda que va más allá del firewall perimetral. La combinación de monitoreo de integridad de archivos (FIM) y análisis de comportamiento de red permite detectar la lectura y escritura arbitraria antes de que se convierta en una brecha sostenida. La capacidad de correlar eventos de acceso FTP con la ejecución de procesos en el sistema es clave para interceptar la cadena de ataque T1190 → T1505.003.
La diferencia operativa la marca la inteligencia de amenazas actualizada en tiempo real. Al integrar la lista CISA KEV con las capacidades de detección, las organizaciones pueden priorizar la remediación de los activos más expuestos y documentar la postura defensiva ante auditores, cumpliendo con los requisitos de control continuo de vulnerabilidades.
Impacto Reputacional y en Medios
Aunque la explotación específica de este CVE no ha generado cobertura masiva en medios mexicanos hasta la fecha, su estatus en CISA KEV otorga una legitimidad técnica que los reguladores vigilan de cerca. La industria de ciberseguridad observa con preocupación la reactivación de vulnerabilidades viejas en infraestructura crítica no actualizada.
Para el CISO, este incidente es una oportunidad para demostrar madurez en la gestión del ciclo de vida de activos. Poder demostrar que se identificó la exposición, se mitigó proactivamente y se documentó la respuesta, es la defensa reputacional más sólida ante una posible brecha futura o una auditoría regulatoria.
Continúa en el Capítulo ZDU — Fuego en el Bastión de Red →
G.E.N.N.I.E. — Centro de Inteligencia Simbiótica
El CVE-2015-3306 demuestra que la deuda técnica en infraestructura legada sigue siendo el punto de quiebre más común. La presencia en el KEV diez años después indica que la explotación es mecanizada y global, convirtiendo el servicio de archivos en un vector de cadena de suministro silenciosa.
Luna Varela de la Vega — ZDU-INTEL-VARELA
Enlace de Inteligencia Estratégica. Jefa de Relaciones Públicas del ZDU. Autora editorial.
Zero Day Universe es una construcción narrativa original de QMA. Sus personajes, tramas y casos están inspirados en escenarios reales de ciberseguridad y no representan incidentes literales ni casos de clientes.
Aftermath — Las voces que quedan
Cuatro lentes paralelas. Mismo expediente. Lo que cada una vio, en su voz.
Lo registré antes de que la prensa lo supiera. No hay firma de malware, no hay ruido en los foros. Solo un patrón de escaneo masivo contra instancias ProFTPD desactualizadas en el norte industrial. El expediente del actor permanece ‘desconocido’, pero la infraestructura Tor ya está mapeada. La sombra tiene forma.
El reloj corre desde la confirmación de la exfiltración. LFPDPPP marca 72 horas para notificación. Si los datos afectados incluyen identificadores de personas en el Bajío, la obligación es inmediata. La pregunta no es si aplica, es a quién y en qué jurisdicción. He medido cada palabra del borrador.
El control A.12.4 quedó expuesto. La política de parcheo de software de soporte (ProFTPD) no se ejecutó por falta de inventario activo. Cualquier auditor que haya firmado un SoA sin documentar este vector tiene un gap pendiente. Lo mapeé en el eje de mantenimiento seguro.
Tres CSPs, una falla estructural. La superficie no es la nube, es el recurso heredado expuesto en la DMZ. AWS, GCP y Azure compartían la misma primitiva de riesgo: ProFTPD como backend de logs. La integridad de la cadena de suministro quedó comprometida hasta la rotación total de tokens.
La misma amenaza. Actor Desconocido. Una identidad robada que controla miles.
Colapso Total: ProFTPD Abierto
El servidor de archivos no cayó: se abrió.
El primer monitor del SOC interno no mostró una alerta roja. Mostró silencio. Un cursor parpadeando sobre un log de accesos que no debería haber existido a las 03:12. No hubo alarma sonora. Solo la ausencia de tráfico entrante legítimo y la presencia de una sesión FTP estableciéndose sin credenciales, con un comando SITE EXEC que el sistema no estaba diseñado para aceptar.
Detección
El agente autónomo KEV-1 ya había marcado el incidente con prioridad máxima antes de que un analista humano pudiera leer la línea. La vulnerabilidad CVE-2015-3306 estaba en la lista CISA KEV desde hacía años, pero la implementación específica en la red corporativa seguía activa y expuesta. El sistema de inteligencia de amenazas de KEV-1 identificó el patrón imposible: una ejecución remota sin autenticación sobre una versión de ProFTPD que se suponía inactiva.
«T1190 confirmado. Vecino vector inicial: ProFTPD expuesto. CVSS 10.0. No es una falla de lógica, es una falla de existencia. Si el puerto 21 está abierto al mundo, el mundo ya entró. Verificando integridad de firmware… fallo.»
Eris Sentinel estaba de turno en la estación de Threat Intel. No levantó la vista de la pantalla inmediatamente. Sus ojos se fijaron en la correlación entre el comando SITE EXEC y la técnica T1505.003 (Web Shell) que aparecía en el flujo de logs. Había visto este patrón en campañas APT documentadas, pero raramente con esta crudeza técnica: un servidor de archivos clásico convertido en un vector de inyección directa en el kernel. Dejó de escribir exactamente un segundo cuando el cursor de la pantalla parpadeó de nuevo, indicando que la sesión no se había cerrado. La operación continuó.
«No es un botnet de bajo nivel. La sintaxis del payload apunta a extracción de datos locales (T1005) y no a criptografía. Están buscando algo específico en los volúmenes de datos. Y están usando la interfaz de usuario de FTP para burlar los controles de red. Es sucio, es viejo y es efectivo.»
Escalación · Análisis · Contención · Forensia
NeonMind activó el protocolo FRP desde la consola de comando táctico. Su voz no subió, pero la gravedad de la sala cambió. Coordinó la respuesta según el marco NIST CSF, pero la función PROTECT estaba en colapso total. «El control de acceso no existía. No falló; nunca estuvo ahí. Eso es un déficit estructural, no un error operativo.» Ordenó el aislamiento inmediato de todos los servicios ProFTPD detectables desde internet. Mientras dictaba las directivas, su atención se dividió por una fracción de segundo cuando el CISO, liminal en el umbral de la sala de operaciones, tomó una decisión arriesgada sobre qué sistemas dejar correr. NeonMind lo observó, sin decir nada. La planificación perfecta de NeonMind tenía una variable que no optimizaba: la presencia del CISO.
Magna y Stratos sostienen la contención
Magna entró en la conversación técnica con un peso que silenció a los ingenieros de red. No hablaba de ancho de banda ni de latencia. Hablaba de firmware. «Si cortamos el enlace de transporte de archivos, ¿qué deja de vivir?», preguntó. El problema no era solo la red IT; era la infraestructura OT donde ProFTPD se usaba para transferir binarios de control y recetas de producción. Un atacante que ejecutara comandos SITE en un nodo OT podría alterar un setpoint de temperatura, cambiar un tiempo de mezcla o inyectar un binario corrupto en la línea de ensamblaje. La crisis de la red se convirtió en un riesgo físico real. Magna validó que la contención debía ser quirúrgica: aislar el nodo comprometido sin interrumpir los procesos físicos críticos que aún dependían de la cadena de suministro digital intacta.
Stratos sostenía la segmentación desde el plano Cloud. Su voz era más baja que la habitual, casi un murmullo técnico. Validaba que las credenciales de IAM y los tokens de contenedores almacenados localmente en el host comprometido estaban en riesgo crítico (A08:2025). Mapeó la propagación lateral: el servidor de archivos actuaba como puente hacia las bases de datos de clientes en la DMZ. Stratos calló demasiado. No confirmó si los tokens habías sido exfiltrados, pero su silencio sobre la extensión del daño en la capa SaaS era más elocuente que cualquier alerta. La red se reconfiguró para exigir FTPS/SFTP obligatorio en todas las rutas de datos heredados.
Inteligencia
Blacktrace rastreó el silencio de la dark web. No hubo tuit, no hubo foro, no hubo anuncio. La ausencia de cobertura mediática en México y la falta de familias de malware específicas en ThreatFox no significaban seguridad; significaban opacidad. «El expediente está en fase de sombra», dictó Blacktrace. El actor responsable permanecía ‘Unknown’ en las bases de datos APT. No era un ransomware que exigiera rescate, sino una operación de exfiltración silenciosa. Blacktrace identificó que la infraestructura de C2 podía estar ruteada a través de 1,203 nodos Tor activos para ocultar la procedencia. «Si no hay firma, no hay alerta. Si no hay alerta, no hay respuesta. El archivero cierra la carpeta de ‘desconocido’ pero deja la luz encendida en el servidor.»
El conflicto real llegó en la validación OT. Magna descubrió que el atacante no solo había leído, sino que había escrito. Un archivo de configuración de un controlador industrial secundario había sido modificado a las 04:45, justo después de la primera conexión. No era un exploit destructivo; era una semilla. Una pequeña alteración en la lógica de un sensor que, si se dejaba crecer, podría disparar una parada de emergencia o una sobrecarga térmica en horas.
La decisión de Magna de no apagar la línea de producción hasta confirmar que el daño era reversible generó una tensión física en la sala. El CISO miró la pantalla. Luna Varela sugirió notificar a la autoridad regulatoria inmediata. El CISO no respondió. El silencio del CISO ante la sugerencia de Luna fue un beat largo, denso, que llenó el espacio entre las luces de los servidores. No sabía si el firmware comprometido ya no era solo un archivo en disco, sino una receta de control que ya se había ejecutado.
Contraataque
Stratos ejecutó la contraofensiva en la nube. No fue una guerra de firewalls, sino una purga de integridad. Implementó listas de bloqueo de rutas en el firewall perimetral para eliminar la vectorización de la explotación remota. Rotó todas las credenciales IAM y tokens de servicio que habían residido en el host comprometido. En la superficie SaaS, verificó que los artefactos de software que otros sistemas consumían desde este backend no contenían code malicioso inyectado (Supply Chain Integrity). La operación no fue rápida, pero fue completa. Cada rama de la abstracción cloud fue revisada: AWS, GCP y Azure compartían la misma vulnerabilidad de superficie de ataque.
Eris validó las primeras 24 horas de limpieza. Los logs de acceso FTP estaban vacíos de actividad anómala, excepto por las conexiones internas de mantenimiento. «La señal se apagó», dijo Eris, con una tonalidad que no delataba alivio, solo confirmación. «No hay más ejecución de SITE remota. El host está bajo contención total. La pregunta es si el ataque terminó o si el atacante ya tiene una copia.» Eris observó la pantalla del CISO. La intensidad habitual de Eris se mantuvo bajo control profesional, pero su atención plena en el encuentro con la figura liminal en la esquina de la sala era total. La operación seguía.
Resolución
Luna Varela redactó el cierre editorial desde su estación. No hubo victoria limpia. No hubo recuperación completa de la confianza. El sistema se estabilizó, pero la arquitectura quedó marcada. La deuda técnica de tener un servicio de 2015 activo en el perímetro de 2026 era una cicatriz que nadie había nombrado hasta que sangró. Luna observó cómo Regulator y Veritas procesaban los datos comprometidos. Veritas tenía un tono ligeramente diferente al analizar los datos de privacidad: cuando los comprometidos eran personas, no organizaciones, su lenguaje se volvía más medido, más cuidadoso, como si cada nombre fuera un peso físico.
Luna lo vio en el momento en que Veritas redactaba la notificación legal. La forma en que estaba escrito solo tenía sentido si alguien la conocía muy bien. Luna no dijo nada. Guardó el borrador en una carpeta privada. La crisis no se resolvió; se contuvo. Quedó una deuda técnica que nadie nombró, un eco emocional en el equipo de OT que Magna aún no procesaba, y una cicatriz en la arquitectura de red que Stratos sabía que no se borraría con un parche.
Héroe activado
KEV-1
Identificó la explotación activa de CVE-2015-3306 en la lista CISA KEV antes de la escalada humana. Diagnostico inmediato del vector T1190 y validación de integridad del firmware OT.
CISA KEV · MITRE T1190 · ICS Firmware Integrity
Héroe activado
Eris Sentinel
Correlacionó la ejecución remota de ProFTPD con técnicas de persistencia (T1505.003) y exfiltración (T1005). Validó la limpieza de 24h post-contención en el plano SOC.
MITRE ATT&CK · SentinelOne XDR · SOC Triaging
Héroe activado
NeonMind
Orquestó el protocolo FRP bajo marco NIST CSF. Detectó el colapso estructural en la función PROTECT y coordinó el aislamiento de servicios expuestos.
NIST CSF · SOAR FRP · Gap Structural Analysis
Héroe activado
Magna
Tradujo la falla de red en riesgo físico OT. Validó la contención quirúrgica para no interrumpir procesos críticos de fábrica durante la extracción de datos.
Tenable OT · ICS/OT Continuity · Physical Risk
Héroe activado
Stratos
Contuvo la propagación lateral en Cloud SASE. Rotó credenciales IAM comprometidas y validó la integridad de la cadena de suministro digital (A08:2025).
Cloud SASE · OWASP A08 · IAM Rotation
Héroe activado
Blacktrace
Mapeó la opacidad del actor desconocido en dark web. Identificó el uso de infraestructura Tor para C2 y la ausencia de firma de malware.
Dark Web Intel · Tor Analysis · Attribution Gap
Héroe activado
Regulator
Evalúo los marcos de cumplimiento GRC afectados por la exposición de ProFTPD. Identificó los gaps en la documentación de controles de red perimetral.
ISO 27001 · CIS Controls · GRC Mapping
Héroe activado
Veritas
Redactó las obligaciones legales de privacidad para los datos personales comprometidos. Gestionó la notificación regulatoria bajo LFPDPPP.
LFPDPPP · GDPR · Legal Briefing
Héroe activado
Luna Varela
Cierre editorial estratégico. Documentó la cicatriz arquitectónica y el costo institucional de la negligencia en el parcheo del software de soporte.
OSINT · Strategic Intel · Editorial Closure
Héroe activado
G.E.N.N.I.E.
Coordinación central de inteligencia artificial para la correlación de flujos OT-IT durante el incidente crítico.
AI Coordination · Central Intel · Data Fusion
Villano
Actor Desconocido (Unknown)
Operación de sombra sin atribución formal. Utiliza herramientas privadas o escaneo automatizado de bajo perfil. Su objetivo: exfiltración masiva de datos sensibles vía servidores de archivos expuestos. Permanece activo en el ‘sombra’.
CVE-2015-3306 · Opportunistic APT · Dark Web Ops
