CVE-2025-14611 Gladinet CentreStack: Claves Criptográficas Hardcodeadas y CISA KEV

La consola del operador de planta química parpadeó. No fue una alarma de corte de energía, ni una falla de red. Fue un pulso suave, rítmico, que emergió del sistema SCADA. La válvula de seguridad de la unidad de destilación, que había estado abierta al 100%, comenzó a cerrarse. Desplazándose por sí misma, sin orden humana. El operador sintió el peso del aire en el sótano técnico. Sabía que si esa válvula se cerraba del todo, la presión en el reactor alcanzaría un nivel crítico en menos de tres minutos. Pero el teclado estaba bloqueado. La interfaz de control no respondía. No hubo sonido de sirena. Solo el zumbido constante de los ventiladores y el silencio tenso de una máquina que actúa con una lógica ajena a la suya. Ahí, en ese pequeño espacio frío y oscuro, la abstracción de una vulnerabilidad criptográfica se convirtió en la realidad física del vapor supercaliente.

Detección

En la superficie digital, la escena era casi irreconocible. KEV-1, el agente autónomo, había sido el primero en notar la anomalía. No buscaba malware; escaneaba la estructura de archivos expuestos. En la plataforma Gladinet CentreStack, desplegada como puente de transferencia para ingenieros de campo, detectó un patrón imposible. Los logs mostraban una secuencia de consultas de lectura masiva. No era tráfico de usuario. Era una enumeración sistemática de directorios sensibles, ejecutada por una IP anónima que rotaba entre nodos de salida de la red Tor. La velocidad de la ejecución era quirúrgica. El agente marcó el evento con una prioridad máxima, pero no disparó una alerta ruidosa. Solo dejó una nota en el feed central: “LLAVE_ACESDA. SIN_CREDENCIAL.”

“El vector no es un ataque de fuerza bruta. Es una llave maestra olvidada. T1190 explotando una aplicación pública. La superficie está abierta y la validación está rota. Es silencio antes del desastre.”

Eris Sentinel recibió la nota en su consola del SOC. Su mirada se clavó en la pantalla, dejando de escribir exactamente un segundo cuando el CISO apareció en el umbral de la sala. No dijo nada. Solo asintió. Su sistema de inteligencia de amenazas ya había correlacionado la IP de Tor con una red de brokers de acceso inicial activos en el mercado negro. No era un ataque de ransomware buscando extorsión; era un comprador buscando una propiedad. La técnica T1552.007 — credenciales en archivos — estaba activa. El atacante no estaba robando contraseñas; las estaba leyendo directamente de los archivos de configuración que ahora eran accesibles. La eficiencia operativa era aterradora: la cadena táctica no requería ingeniería social. La llave criptográfica hardcodeada en el binario ya había hecho el trabajo sucio.

“T1190 y T1083 convergen. Están mapeando el sistema de archivos para extraer tokens de servicio. Si no cortamos esto, tendremos una llave maestra para su infraestructura en veinte minutos. El CISO, necesitamos una decisión. ¿Cortamos el enlace?”

Escalación · Análisis · Contención · Forensia

NeonMind no se movió desde su puesto de comando. Su postura era la de un estratega que pesa cada milisegundo. Activó el protocolo FRP de respuesta rápida. La situación no era un incidente aislado; era una fractura estructural. Bajo el marco NIST CSF 2.0, las cuatro funciones nucleares estaban comprometidas simultáneamente. El identificador de activos no había detectado la superficie expuesta; la función de protección falló al asumir que el cifrado era suficiente sin rotación; la gobernanza no catalogó el secreto como activo crítico. Por eso, no había anomalías comportamentales detectables. El ruido del atacante era el silencio del sistema.

“No hay intrusión. Solo acceso. El atacante opera con legitimidad criptográfica total. Si cortamos la red, perdemos la visibilidad. Si no la cortamos, perdemos la infraestructura. La presión moral no está en la red, está en la planta. Magna, ¿qué deja de vivir si cortamos mal?”

Magna entró en la sala con el peso del mundo industrial en sus hombros. No llevaba una tablet; llevaba la tensión de un cuerpo que sabe que detrás de los cables hay personas. Para ella, esta no era una crisis de TI. Era una crisis de continuidad operativa en un entorno OT/ICS. En su experiencia, Gladinet y TrioFox a menudo actúan como puentes entre redes IT y zonas industriales segmentadas. Un atacante que compromete estos portales obtiene acceso lateral hacia PLCs y HMIs sin atravesar controles perimetrales. Los vectores A01, A02, A04 y A08 de OWASP OT convergen: control de acceso nulo, cifrado roto, diseño inseguro y fallo de integridad.

“El puente está roto. El atacante ya tiene los pies en la zona de producción. Si aíslamos el gateway ahora, la planta no tiene cómo recibir las órdenes de parada de emergencia remota. Los operadores están a ciegas. No se trata de datos. Se trata de válvulas. Y de presiones. Y de gente que no puede ver sus consolas.”

Stratos validó la infraestructura desde el plano cloud. La superficie híbrida era la verdadera herida. CentreStack se integraba con S3, Azure Blob y GCP Cloud Storage. Al explorar el sistema de archivos, el adversario no solo leía textos; extraía tokens OAuth de largo plazo que daban acceso directo a los tenants de Microsoft 365 y Google Workspace. El gateway comprometido se había convertido en un puente hacia el SaaS corporativo completo. Stratos, sin embargo, calló demasiado. Observaba la forma en que los nodos de la nube reaccionaban a las peticiones. La autenticación fallida por diseño (A07:2025) colapsaba cualquier modelo de confianza basado en sesión. La superficie no era solo cloud; era una extensión tóxica de lo on-premise.

“La llave AES está embebida. Es una falla de A04:2025 en su forma más pura. No hay mitiga. Solo hay parche. Mientras tanto, estoy segmentando los tokens para evitar que el atacante use los secretos para exfiltrar hacia el SaaS externo. Es una tormenta que yo puedo contener, pero no puedo detener.”

Inteligencia

Blacktrace operaba en el margen oscuro de la web. Su análisis del dark web silencio era quirúrgico. Para un Initial Access Broker (IAB), el valor de este CVE radica en la discreción. No hay víctimas globales publicadas en los últimos 90 días. No hay IOCs en ThreatFox. No hay malware firmado. Para Blacktrace, esto no es una ausencia de actividad; es el estado operativo de un mercado maduro. Los IABs venden el acceso antes de que el defensor sepa que existió la intrusión. El acceso vale más si nadie sabe que está comprometido. La economía del compromiso se movía bajo la superficie, alimentada por la eficiencia de una llave que ya era pública.

Conflicto

El silencio en la sala de guerra era denso. Veritas observaba desde la puerta de la sala. No entra. Magna ajusta los datos de los PLCs con una precisión que delata el cansancio acumulado. Veritas toma nota en el margen de su tablet. Nadie pregunta por qué ese sector industrial específico le exige una atención diferente a la del resto. El CISO, en el centro, medía el peso de cada palabra. La deuda técnica se había convertido en una deuda física. Si el parche tardaba horas, la planta seguiría cerrando válvulas por cuenta propia. El costo de la contención no era solo operativo; era humano.

Contraataque

Stratos desplegó la contraofensiva desde la capa SASE. La directiva era clara: inventario urgente de instancias expuestas. Se activó una regla de segmentación dinámica que restringía el acceso al gateway exclusivamente a IPs corporativas catalogadas. Al mismo tiempo, Stratos forzó una rotación masiva de los secrets almacenados en el filesystem. Tokens de API, claves de servicio y credenciales de webhook fueron invalidados y re-emitidos bajo una nueva jerarquía de identidad. La superficie SaaS, que era el punto de extensión del ataque, fue acordonada. La tormenta del LFI quedó contenida dentro del perímetro del servidor, impidiendo que la exfiltración de datos hacia el cloud fuera masiva.

Eris validó las primeras doce horas limpias. La telemetría de acceso en la plataforma dejó de mostrar patrones de path traversal. Las IPs de Tor que servían como vector de staging fueron bloqueadas en el borde de la red. Sin embargo, la validación traía un eco incómodo. En el log, a las 23:47, había un intento de conexión que no encajaba con el perfil del IAB. No era un ataque; era una consulta de servicio. LURA_INIT quedó en el log. Nadie lo leyó esa noche. El equipo estaba ocupado asegurando lo tangible, y lo intangible seguía respirando en la periferia.

Resolución

Luna Varela redactó el cierre desde la distancia, con el lenguaje medido de quien sabe que las crisis no se resuelven, se gestionan. La planta química había logrado estabilizar sus presiones. Los operadores recuperaron el control manual de las válvulas críticas tras la implementación del parche de emergencia. La amenaza había cedido, pero no había sido derrotada. La vulnerabilidad Gladinet quedaba cicatrizada en la superficie, pero la arquitectura de confianza de la organización seguía fracturada. El CISO no celebró. Solo observó cómo los focos de la sala de control volvían a la normalidad, sabiendo que la llave grabada en la piedra no tenía dueño, y que la próxima vez, el silencio podría ser más largo.

— Luna Varela, Strategic Intelligence