Behinder
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
Behinder es una variante de webshell desplegada por múltiples clusters de amenazas tras la explotación de vulnerabilidades en Cisco Catalyst SD-WAN. Su uso se observa en actividades post-compromiso junto con otras herramientas ofensivas y mineros de criptomonedas. La evidencia señala que la explotación es atribuida a UAT-8616, un actor sofisticado, aunque también identifica a diez clusters distintos involucrados. Se reporta su actividad desde marzo de 2026.
Cómo llega
Entra mediante la explotación de vulnerabilidades en Cisco Catalyst SD-WAN, específicamente CVE-2026-20133, CVE-2026-20128 y CVE-2026-20122. La explotación comenzó tras la publicación de código de prueba por ZeroZenX Labs. No se mencionan señuelos o ingeniería social en el vector inicial.
Qué hace una vez dentro
Se despliega como webshell en actividades post-compromiso. Opera junto con mineros de criptomonedas, marcos de red team como Sliver y AdaptixC2, y robadores de credenciales. No se detallan capacidades específicas de movimiento lateral.
A quién ataca
Apunta a sistemas que ejecutan Cisco Catalyst SD-WAN. La evidencia no especifica sectores industriales, regiones geográficas o plataformas operativas adicionales más allá de la vulnerabilidad del equipo de red. No hay datos sobre objetivos específicos por industria.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
