Nimplant
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
Nimplant es un framework de red team utilizado para la explotación de vulnerabilidades en Cisco Catalyst SD-WAN. Se reporta desde mayo de 2026 según pulsos de OTX. La evidencia lo agrupa con otros marcos ofensivos y webshells desplegados tras la intrusión. Su presencia indica actividades de post-compromiso y control remoto en la infraestructura afectada.
Cómo llega
Entra explotando CVE-2026-20182, una vulnerabilidad de bypass de autenticación. También se asocia con CVE-2026-20133, CVE-2026-20128 y CVE-2026-20122. La explotación comenzó tras la publicación de código de prueba por ZeroZenX Labs. No se mencionan señuelos específicos en la evidencia.
Qué hace una vez dentro
Permite obtener privilegios administrativos remotos mediante el bypass de autenticación. Facilita el control remoto y actividades de post-compromiso en la red. Se despliega junto con webshells, mineros de criptomonedas y robadores de credenciales. La evidencia lo agrupa con otros marcos ofensivos y webshells desplegados tras la intrusión.
A quién ataca
Apunta a infraestructura de Cisco Catalyst SD-WAN Controller y Manager. La explotación activa se atribuye al actor UAT-8616 y a múltiples clusters de amenazas. No se especifican sectores industriales ni regiones geográficas específicas en la evidencia proporcionada.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
