KScan
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
KScan es un escáner de red de doble uso empleado para la enumeración de servicios y puertos. La evidencia lo reporta como parte de las herramientas desplegadas tras la explotación de vulnerabilidades en Cisco Catalyst SD-WAN. Se detecta en conjunto con webshells y mineros de criptomonedas en el contexto de la explotación activa de las vulnerabilidades.
Cómo llega
Se introduce tras la explotación activa de vulnerabilidades en Cisco Catalyst SD-WAN, incluyendo CVE-2026-20182, CVE-2026-20133, CVE-2026-20128 y CVE-2026-20122. La entrada inicial ocurre mediante el bypass de autenticación que otorga privilegios administrativos. No se mencionan señuelos específicos ni archivos maliciosos para su entrega inicial.
Qué hace una vez dentro
Realiza la enumeración de servicios y puertos en la red comprometida. La evidencia lo lista entre las herramientas desplegadas tras la explotación de vulnerabilidades en Cisco Catalyst SD-WAN, junto con webshells y mineros de criptomonedas. Su función principal es la identificación de servicios y puertos disponibles en el entorno afectado.
A quién ataca
Apunta a infraestructuras de red corporativa que utilizan Cisco Catalyst SD-WAN Controller y Manager. La evidencia indica que los atacantes buscan obtener privilegios administrativos remotos para establecer presencia persistente. No se especifican sectores industriales ni regiones geográficas específicas en los datos proporcionados.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
