XenShell
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
XenShell es un webshell desplegado por actores de amenazas sofisticados tras explotar vulnerabilidades en Cisco Catalyst SD-WAN. Se reporta desde marzo de 2026, atribuido al actor UAT-8616. Funciona como parte de actividades post-compromiso para mantener acceso persistente en los sistemas afectados junto con otras herramientas.
Cómo llega
Entra tras la explotación activa de vulnerabilidades en Cisco Catalyst SD-WAN. Se asocia con CVE-2026-20133, CVE-2026-20128 y CVE-2026-20122, explotadas desde marzo de 2026 tras la publicación de código de prueba por ZeroZenX Labs. No se mencionan señuelos específicos.
Qué hace una vez dentro
Permite a los atacantes mantener acceso persistente en los sistemas comprometidos. Se despliega junto con mineros de criptomonedas, marcos de red team como Sliver y AdaptixC2, y robadores de credenciales.
A quién ataca
Apunta a sistemas que ejecutan Cisco Catalyst SD-WAN. La evidencia no especifica sectores industriales, regiones geográficas o plataformas operativas específicas más allá del software de red afectado por las vulnerabilidades explotadas.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
