El NAS Corporativo Como Puerta Trasera: DeadBolt Toma Control Total

El primer dispositivo QNAP no alertó. Simplemente dejó de responder a las 03:47 UTC. Luego el segundo. Luego diecisiete más en cuarenta minutos. Photo Station abierto a internet. Puerto 8080. Sin parche desde abril. DeadBolt no negocia — cifra, cobra, desaparece. La nota de rescate llegó en inglés perfecto: Your files are encrypted. 0.03 BTC to this address. 48 hours. Cinco líneas. Ninguna firma. El mercado de volumen no necesita teatralidad.

En una oficina de contabilidad en Monterrey, el NAS dejó de sincronizar con la nube. Tres años de declaraciones fiscales. Doscientos clientes. El backup local estaba en el mismo dispositivo cifrado. En Guadalajara, un despacho de abogados perdió acceso a expedientes digitalizados — contratos, demandas, pruebas judiciales. Photo Station era el repositorio visual. Nadie consideró que el almacenamiento fuera activo crítico. Hasta que dejó de serlo.

Lo que DeadBolt entiende es simple: las pequeñas organizaciones no tienen SOC. No tienen inventario de activos actualizado. No tienen ciclo de parcheo. Pero tienen QNAP expuesto porque alguien necesitaba acceso remoto y el manual decía que Photo Station lo habilitaba en tres clicks. La superficie no es sofisticada. Es masiva. Y en México, nadie está mirando.

Detección

KEV-1 detectó el patrón a las 09:14. No por tráfico anómalo — por silencio. Tres organizaciones en su lista de monitoreo dejaron de reportar telemetría de backup nocturno. Los tres usaban QNAP. Los tres tenían Photo Station habilitado. Los tres estaban en el mismo rango de versión QTS vulnerable.

Patrón imposible confirmado. CVE-2022-27593 explotado en campo. DeadBolt. Tres víctimas mexicanas en seis horas. Path traversal + sobrescritura arbitraria + cifrado completo. Dispositivos sin parche desde septiembre 2022. Alerta TRINITY activada. Prioridad absoluta.

Eris recibió la señal en el SOC. Abrió OTX. Revisó el historial de DeadBolt. Enero 2022: primera campaña masiva. 3,600 dispositivos cifrados globalmente. Modelo de volumen puro. Ransomware automatizado. Sin leak site. Sin afiliados. Sin presencia en foros. Operaba en silencio hasta que las víctimas reportaban. Europa, Asia-Pacífico, Norteamérica. Y ahora México.

Los últimos noventa días mostraban cero víctimas globales publicadas. Eso no era inactividad. Era brecha de inteligencia. DeadBolt no anunciaba. Solo cifraba. Las víctimas aparecían semanas después cuando reportaban o cuando los honeypots detectaban el patrón de cifrado. La ausencia de datos no eliminaba el riesgo. Lo ocultaba.

DeadBolt confirmado. T1190 Exploit Public-Facing Application. Photo Station sin parche. Path traversal directo. T1486 Data Encrypted for Impact. Sin C2 detectable. Sin malware indexado. Opera limpio. Modelo de volumen — automatización completa. Las tres víctimas mexicanas no están en registros públicos. Aún.

Escalación · Análisis · Contención · Forensia

NeonMind entró al comando táctico con el protocolo Fast Response Protocol ya desplegado. Tres organizaciones comprometidas. Ninguna con capacidad interna de respuesta. Las tres necesitaban contención inmediata antes de que el cifrado se propagara a sistemas conectados.

Activando FRP. Prioridad: aislar dispositivos QNAP comprometidos de la red corporativa. Segundo objetivo: auditar todos los NAS en inventario nacional. Tercer objetivo: identificar organizaciones con Photo Station expuesto a internet. NIST CSF: Respond.RP-04. Comunicación con stakeholders. Las tres organizaciones no saben que están comprometidas. Aún.

NeonMind coordinó la llamada con los tres CISOs afectados. El primero — despacho contable en Monterrey — no tenía CISO. Tenía un contador que administraba el NAS porque “alguien tenía que hacerlo”. El segundo — despacho de abogados en Guadalajara — tenía un proveedor externo de TI que visitaba la oficina una vez al mes. El tercero — clínica médica privada en Querétaro — tenía un técnico biomédico que también hacía soporte de red.

Ninguno de los tres sabía qué era Photo Station. Ninguno recordaba haberlo habilitado. Ninguno había aplicado parches en el último año. El NAS “funcionaba bien” hasta que dejó de funcionar. NeonMind respiró. Una vez. Dos segundos exactos. Luego continuó.

Contención inmediata: desconectar físicamente el NAS de la red. No apagar — desconectar el cable. Preservar evidencia forense. Segundo paso: auditar todos los dispositivos de la red interna. Buscar propagación lateral. Tercer paso: notificar a clientes afectados. OWASP SAMM: Incident Management IM1-A. Esto no es opcional.

Magna entró en la llamada cuando NeonMind mencionó la clínica en Querétaro. El NAS estaba en el mismo segmento de red que el PACS — sistema de archivo de imágenes médicas. Resonancias. Tomografías. Radiografías. Si DeadBolt había cifrado el NAS y luego se propagó lateralmente, la clínica había perdido acceso a historial médico visual completo. Pacientes en tratamiento oncológico sin seguimiento de imagen. Cirugías programadas sin estudios preoperatorios.

Díganme qué deja de vivir si cortamos mal. El PACS está en el mismo VLAN. Si el cifrado cruzó al sistema médico, no es solo pérdida de datos. Es interrupción de atención crítica. Pacientes oncológicos dependen de seguimiento visual para ajustar tratamiento. Sin imágenes, no hay decisión clínica informada. Esto no es TI. Esto es biomédica.

Magna validó la infraestructura remotamente. El PACS estaba intacto. La segmentación de red era accidental — un switch viejo que nunca se reemplazó había creado una separación física no intencional entre el NAS y el sistema médico. No era diseño. Era suerte. Pero la clínica no lo sabía. Y el siguiente dispositivo QNAP que compraran probablemente estaría en el mismo segmento que el PACS. La deuda técnica era invisible hasta que dejaba de serlo.

Stratos observó desde el plano atmosférico. CVE-2022-27593 no era solo un problema de NAS local. Era un problema de infraestructura híbrida. Los tres dispositivos comprometidos tenían sincronización automática habilitada con servicios cloud. El despacho contable sincronizaba con Google Drive. El despacho de abogados con Dropbox Business. La clínica con Microsoft OneDrive.

Photo Station almacenaba tokens OAuth para esos servicios. API keys. Webhooks de sincronización. Si DeadBolt había sobrescrito archivos arbitrarios en el sistema de archivos del NAS, había tenido acceso a esas credenciales. Y si había tenido acceso a esas credenciales, había tenido acceso a los servicios cloud conectados. La superficie de ataque no terminaba en el NAS. Empezaba ahí.

Vector híbrido confirmado. OWASP A01:2025 Broken Access Control. Referencias controladas externamente. Path traversal directo. Tokens OAuth comprometidos. Tres CSPs afectados: AWS S3 para el despacho contable. Google Cloud Storage para el despacho de abogados. Azure Blob para la clínica. T1190 seguido de T1583.001. Infraestructura comprometida. Persistencia establecida. Esto no es solo ransomware local. Es pivot hacia cloud.

Stratos trazó la ruta de propagación. El despacho contable tenía declaraciones fiscales sincronizadas con S3. Si DeadBolt había cifrado el NAS y luego usado las credenciales comprometidas para cifrar los buckets S3, la organización había perdido tanto el almacenamiento local como el backup cloud. La redundancia era ilusión. Las dos copias estaban en la misma cadena de autenticación. Y esa cadena acababa de romperse.

Inteligencia

Blacktrace abrió el expediente DeadBolt en el archivo de dark web. Grupo independiente. Sin afiliados. Sin leak site activo. Sin presencia en BreachForums. Sin anuncios en XSS.is. Operaba completamente fuera del ecosistema RaaS convencional. No vendía accesos. No compraba exploits. No negociaba en foros. Simplemente cifraba y cobraba.

El historial mostraba un patrón claro. Enero 2022: primera campaña masiva contra CVE-2021-28799. 3,600 dispositivos cifrados globalmente. Rescate bajo por víctima — 0.03 BTC. Modelo de volumen puro. Marzo 2022: segunda campaña contra vulnerabilidades en Photo Station. Abril 2022: tercera campaña contra ASUSTOR NAS. Agosto 2022: cuarta campaña contra CVE-2022-27593. Luego silencio.

Los últimos noventa días no mostraban víctimas publicadas. Eso no señalaba inactividad. Señalaba brecha de inteligencia. DeadBolt no anunciaba. Las víctimas aparecían semanas después cuando reportaban o cuando los honeypots detectaban. La ausencia de datos era consistente con su perfil operacional. No con su desaparición.

Lo registré antes que la prensa. Tres víctimas mexicanas en seis horas. Patrón idéntico a campañas históricas. Path traversal. Sobrescritura arbitraria. Cifrado completo. Rescate 0.03 BTC. Nota en inglés perfecto. Sin firma. Sin contacto. Solo dirección Bitcoin. El expediente del actor ya tenía el patrón. Quinta víctima QNAP esta temporada. La metodología es idéntica.

Blacktrace cruzó la información con OTX. 1,271 nodos Tor activos en el período analizado. Infraestructura disponible para C2 y exfiltración. DeadBolt usaba Tor históricamente para portales de pago y comunicación con víctimas. Pero no había muestras de malware indexadas en ThreatFox. No había IOCs activos. Herramientas privadas. Campañas no documentadas públicamente. El silencio era parte del modelo.

Veritas observó el patrón sin comentario. DeadBolt cifraba. Las víctimas pagaban. El mercado tenía demanda. Tres organizaciones mexicanas acababan de confirmar esa demanda. Y ninguna estaba en registros públicos. Aún.

Conflicto

Magna regresó a la clínica en Querétaro. El técnico biomédico había desconectado el NAS como NeonMind había instruido. Pero había un segundo problema. La clínica tenía otro dispositivo QNAP en el sótano. Nadie lo había mencionado en la llamada inicial. Nadie recordaba haberlo comprado. El inventario de activos no lo incluía. Pero estaba ahí. Conectado a la red. Con Photo Station habilitado. Sin parchar.

Magna verificó remotamente. El segundo NAS estaba en el mismo segmento de red que el sistema de facturación electrónica. CFDI. Nómina. Contabilidad. Si DeadBolt lo comprometía, la clínica perdía capacidad de facturar. Sin facturación, sin flujo de caja. Sin flujo de caja, sin operación. La crisis no era solo médica. Era financiera.

Segundo dispositivo QNAP confirmado. Mismo vector. Mismo riesgo. Conectado a sistema de facturación. Si cae, la clínica pierde capacidad de cobrar. Esto no es solo pérdida de datos. Es pérdida de continuidad operativa completa. Desconectar inmediatamente. Aplicar parche. Segmentar red. Esto no puede volver a pasar.

El técnico biomédico no sabía cómo segmentar la red. No sabía cómo aplicar parches remotamente. No sabía cómo auditar dispositivos. Sabía mantener un electrocardiógrafo funcionando. Sabía calibrar un desfibrilador. Sabía leer un manual de servicio técnico médico. Pero la infraestructura de red no era su dominio. Y nadie más en la clínica tenía ese dominio. La brecha de capacidad era estructural.

Magna coordinó con NeonMind. La clínica necesitaba soporte externo inmediato. No para esta crisis. Para prevenir la siguiente. El modelo de “alguien tiene que hacerlo” no escalaba. La complejidad de la infraestructura había superado la capacidad interna de la organización. Y esa brecha no se cerraba con capacitación. Se cerraba con presupuesto. Y presupuesto significaba reconocer que la infraestructura era activo crítico. No solo “TI que funciona”.

Contraataque

Stratos ejecutó la respuesta cloud. Tres organizaciones. Tres CSPs. Tres superficies de ataque. La estrategia era idéntica para las tres: revocar tokens OAuth comprometidos. Regenerar API keys. Deshabilitar webhooks de sincronización. Auditar logs de acceso cloud. Identificar actividad anómala post-compromiso.

El despacho contable había tenido suerte. Los tokens OAuth en el NAS comprometido estaban caducados. La sincronización con S3 había fallado semanas antes por un error de configuración que nadie había corregido. DeadBolt había cifrado el NAS. Pero no había tenido acceso válido a S3. El backup cloud estaba intacto. Por error. No por diseño.

El despacho de abogados no tuvo la misma suerte. Los tokens OAuth estaban activos. DeadBolt había usado las credenciales comprometidas para acceder a Dropbox Business. Logs mostraban actividad anómala tres horas después del cifrado del NAS. Descarga masiva de archivos. Luego eliminación. Luego cifrado de lo que quedaba. La redundancia había fallado. Las dos copias — local y cloud — estaban comprometidas. La organización había perdido tres años de expedientes.

Superficie cloud contenida. Tokens revocados. API keys regeneradas. Webhooks deshabilitados. Pero el daño ya está hecho. Dropbox Business comprometido. Archivos eliminados. Backup cloud cifrado. T1565.001 Stored Data Manipulation. Esto no es solo ransomware. Es destrucción deliberada de redundancia. DeadBolt entendió que el backup era el target real. No los datos operativos.

La clínica en Querétaro había configurado OneDrive con permisos de solo lectura desde el NAS. Era una configuración accidental — un técnico externo había limitado permisos porque “no quería que el NAS borrara archivos en la nube por error”. Esa decisión casual había salvado el backup. DeadBolt había cifrado el NAS. Pero no había podido modificar OneDrive. La restricción de permisos había funcionado como control de seguridad no intencional. Accidente. No diseño. Pero efectivo.

Eris validó la contención veinticuatro horas después. Tres dispositivos QNAP aislados. Dos con backup cloud intacto. Uno con pérdida total. Treinta y siete dispositivos QNAP adicionales auditados en inventario nacional. Veintitrés con Photo Station habilitado. Dieciocho sin parchar. Siete expuestos directamente a internet. La superficie de ataque no era excepción. Era norma.

Resolución

Luna cerró el expediente DeadBolt en el sistema de documentación estratégica. Tres organizaciones comprometidas. Una con pérdida total. Dos con recuperación parcial. Treinta y siete dispositivos QNAP auditados. Dieciocho sin parchar. Siete expuestos. El patrón era claro: las organizaciones no percibían el almacenamiento como activo crítico hasta que dejaba de funcionar.

El despacho de abogados en Guadalajara no recuperó los expedientes perdidos. Algunos clientes tenían copias físicas. Otros no. Tres demandas en curso tuvieron que solicitarse prórrogas por pérdida de documentación. Una demanda se perdió completamente porque el plazo venció antes de poder reconstruir el expediente. El costo no era solo técnico. Era legal. Y reputacional. Y financiero.

La clínica en Querétaro recuperó el backup desde OneDrive. Pero el segundo NAS en el sótano — el que nadie recordaba — seguía siendo riesgo latente. Magna había instruido desconectarlo. Aplicar parche. Segmentar red. Pero la clínica no tenía capacidad interna para ejecutar esas tres acciones. Necesitaba contratar soporte externo. Y eso significaba presupuesto. Y presupuesto significaba justificar el gasto. Y justificar el gasto significaba explicar por qué el NAS era crítico. Y explicar eso significaba aceptar que la infraestructura era medicina. No solo TI.

DeadBolt no publicó a las tres víctimas mexicanas. No anunció en foros. No filtró datos. Simplemente cifró. Cobró. Desapareció. El modelo de volumen no necesitaba exposición pública. Necesitaba superficie expuesta. Y México tenía superficie. Dispositivos QNAP en manufactura. En gobierno. En salud. En educación. En despachos. En clínicas. En oficinas. Todos con Photo Station. Todos con acceso remoto. Algunos sin parche. Algunos expuestos. Todos en riesgo.

— Luna Varela, Strategic Intelligence