Cuando el Protocolo SSH Se Convierte en Puerta Trasera

El primer login SSH no falló. Simplemente sucedió.

Sin usuario. Sin contraseña. Sin par de llaves. El servidor Erlang/OTP SSH respondió con shell completo en 340 milisegundos. El técnico de turno en la planta manufacturera de Querétaro miró la consola dos veces. Había tecleado ssh [email protected] por error — sin el flag -i de identidad. Esperaba el rechazo habitual. Obtuvo root@plc-gateway-04:~# directamente.

Probó de nuevo. Mismo resultado. Cerró la sesión. La abrió desde otra máquina. Shell completo sin credenciales. Levantó el teléfono para llamar al NOC. Antes de marcar, registró mentalmente el detalle que cambiaría todo: ese servidor gestionaba comunicación OT entre cuatro líneas de ensamblaje y el sistema central SCADA. Erlang había sido elegido precisamente por su fault-tolerance y concurrencia nativa. Nadie había considerado que el SSH incluido pudiera olvidar cómo validar identidad.

Colgó sin marcar. Abrió un ticket P1 en el sistema. Escribió: SSH acepta cualquier conexión sin autenticación. Servidor crítico OT. Requiere escalamiento inmediato.

Guardó el draft. No lo envió. Primero quería confirmar que no era un error de configuración local. Revisó /etc/ssh/sshd_config. Todo correcto. Verificó logs del servidor. Conexiones anónimas exitosas desde hace cuatro días. Sintió el peso físico del hallazgo: si él había entrado sin credenciales, cualquiera pudo haberlo hecho antes.

Envió el ticket. Marcó prioridad crítica. Agregó una línea final: Posible compromiso activo. Requiere forense inmediata.

El ticket llegó al SOC interno tres minutos después. KEV-1 lo clasificó automáticamente como CRITICAL antes de que un analista humano lo leyera.

Detección

KEV-1 no esperó confirmación humana. Correlacionó el patrón imposible en 1.7 segundos: servidor SSH Erlang/OTP aceptando conexiones sin credenciales + ausencia de CVE documentado en CISA KEV + firma de comportamiento incompatible con misconfiguration. La probabilidad bayesiana superó el threshold de escalamiento automático.

Patrón detected: SSH auth bypass en runtime Erlang/OTP. Sin CVE KEV match. Correlación NVD pending. Escalando a Eris Sentinel por outside-KEV-scope + OT context. Ticket marcado para Trinity evaluation.

Eris recibió la alerta en su consola secundaria mientras monitoreaba un incident de phishing en Guadalajara. Cambió de contexto inmediatamente. Abrió el expediente completo del servidor: Erlang/OTP 27.0, SSH daemon nativo, última actualización hace seis semanas. Revisó logs forenses que KEV-1 ya había extraído.

Encontró la línea que confirmaba todo: ssh_connection_handler returning shell sin completar ssh_auth handshake. El servidor literalmente olvidaba preguntar quién eres antes de darte las llaves del reino.

Confirmado. CVE-2025-32433 — auth bypass completo en Erlang SSH. MITRE: T1190 Exploit Public-Facing Application directo a T1021.006 Remote Services SSH sin fricción. T1059.004 Command and Scripting Interpreter disponible desde conexión inicial. Este vector elimina la fase de credential access completamente. NeonMind, esto es Trinity-tier. Magna necesita contexto OT ahora.

Escalación · Análisis · Contención · Forensia

NeonMind recibió el brief de Eris y activó protocolo FRP en modo acelerado. No era el primer bypass SSH que coordinaba, pero sí el primero donde el bypass era inherente al runtime en vez de configuración. Eso cambiaba la geometría del problema.

Función PROTECT completamente perforada. No hay credencial que rotar porque nunca se solicitó credencial. IDENTIFY necesita inventario completo Erlang/OTP en las próximas seis horas. DETECT requiere monitoreo de conexiones SSH anómalas retroactivo a 30 días. RESPOND activa contención de red inmediata para todos los servidores Erlang críticos. RECOVER pendiente hasta confirmar alcance de compromiso. Magna, necesito saber qué deja de funcionar si aislamos esos servidores ahora.

Magna ya estaba en la sala de control cuando la alerta llegó. Conocía cada servidor Erlang de la planta. Los habían implementado precisamente por su resiliencia — sistemas que no caen. Ahora esa fortaleza era el vector.

Cuatro servidores Erlang SSH en esta planta. Todos críticos. Gateway PLC principal, agregador de sensores IoT, sistema de alertas automáticas y bridge Modbus-TCP. Si los aislamos sin plan, perdemos telemetría en tiempo real de tres líneas de producción y capacidad de respuesta automática ante fallas de maquinaria. Puedo darte treinta minutos de ventana si coordinamos con operaciones para switchear a modo manual supervisado. Después de eso, cada minuto offline cuesta producción real.

NeonMind procesó el constraint operativo. Treinta minutos para contener, auditar y decidir si el sistema ya estaba comprometido o solo vulnerable. Ajustó el playbook FRP.

Aceptado. Contención quirúrgica en T+15 minutos. Eris, necesito confirmación de compromiso activo antes de eso. Stratos, contexto cloud — ¿cuántos assets Erlang SSH tenemos expuestos en AWS, GCP, Azure? Esto no es solo la planta de Querétaro.

Stratos ya estaba ejecutando queries multi-cloud cuando la solicitud llegó. Los resultados eran exactamente lo que temía.

Diecisiete instancias EC2 con Erlang/OTP SSH. Nueve containers GCP con runtime Erlang expuesto. Cinco Azure VMs ejecutando backends de mensajería. Todos con puertos SSH accesibles desde internet. Superficie total: treinta y un puntos de entrada sin autenticación. OWASP A01:2025 Broken Access Control materializado. Si APT40 está operando, ya tuvieron cuatro días para mapear toda nuestra infraestructura distribuida.

NeonMind sintió el peso del problema expandirse. No era un servidor comprometido. Era una arquitectura completa con puertas traseras nativas.

La contención no fue limpia. Magna coordinó el switcheo manual en planta con precisión de seis minutos. Los operadores tomaron control directo de las líneas. Perdieron telemetría automatizada pero mantuvieron producción. El costo fue invisible para el reporte final pero real para quien lo ejecutó: tres técnicos operando consolas sin respaldo de sistema por cuarenta minutos mientras Eris completaba la auditoría forense.

Stratos implementó reglas de firewall temporales en los tres CSPs simultáneamente. Bloqueó acceso SSH externo a todas las instancias Erlang mientras el equipo evaluaba cada asset individualmente. La medida era brutal pero necesaria: mejor romper conectividad que dejar backdoors operacionales para un APT estatal.

NeonMind observó cómo el tablero FRP cambiaba de rojo a amarillo en catorce assets. Dos permanecieron rojos — todavía sin confirmar si estaban limpios. Regulator archivó el cuarto reporte SSH crítico del mes. Ambas sabían que los marcos de cumplimiento ya no aplicaban cuando el protocolo mismo era la vulnerabilidad. El silencio entre ellas durante la revisión del plan de contención pesó más que el CVSS 10.0.

La auditoría forense reveló algo peor que un compromiso confirmado: la imposibilidad de descartarlo. Eris encontró conexiones SSH anómalas en logs de tres servidores. Direcciones IP sin patrón de acceso previo. Sesiones de duración exacta — 180 segundos cada una. Comandos ejecutados: w, ps aux, netstat -tulpn, cat /etc/passwd. Reconnaissance manual. Alguien había mapeado el sistema.

Pero sin credenciales robadas, sin malware dropped, sin persistence mechanism visible. El atacante había entrado, mirado y salido. Como un fantasma que confirma que la puerta no tiene cerradura antes de regresar con herramientas.

Inteligencia

Blacktrace recibió el expediente técnico y comenzó el rastreo oscuro. CVE-2025-32433 no tenía menciones activas en BreachForums. XSS.is no mostraba threads relevantes. RAMP Forums sin actividad relacionada. Exploit.in tampoco. El silencio era información.

Sin chatter de exploit público. Sin PoC circulando en marketplaces. Sin claims de víctimas. APT40 tiene historial de explotar zero-days en silencio operacional completo antes de que la industria publique advisories. La ausencia de ruido sugiere explotación selectiva de alto valor. Si están dentro, operan sin dejar firma pública. Eris: las IPs anómalas que encontraste — ¿coinciden con infraestructura conocida de Leviathan?

Eris cruzó las direcciones contra su base de threat intel. Dos coincidencias débiles con rangos históricamente asociados a campañas APT40 en 2023. No prueba definitiva, pero signal suficiente para elevar la clasificación del incident.

Coincidencia parcial con infrastructure de Kryptonite Panda. Confianza media. Lo suficiente para asumir worst case: APT40 mapeó nuestra superficie Erlang y probablemente la de otros targets LATAM simultáneamente. Blacktrace: ¿alguna víctima pública reciente en sectores similares?

Negativo en 90 días. Pero APT40 opera en ciclos multi-trimestre. Ausencia de víctimas públicas no indica inactividad — indica operational security elevada. México no está en su radar primario tradicional, pero manufactura crítica y telecomunicaciones sí lo están. Si comprometieron estos servidores, es para mantener acceso a largo plazo, no para operación ruidosa inmediata.

Conflicto

Magna regresó a la sala de servidores de la planta a las 02:40 AM. Los técnicos ya habían restaurado operación automatizada. Las líneas producían normalmente. Telemetría completa de nuevo en pantallas. Todo parecía normal.

Se sentó frente a la consola del gateway PLC principal. Abrió logs completos de los últimos siete días. Buscó el patrón que Eris había identificado: conexiones SSH de 180 segundos exactos. Encontró cuatro. Todas desde la misma IP externa. Todas ejecutando la misma secuencia de comandos de reconnaissance.

Pero había una quinta conexión. Más larga. Novecientos segundos. Comandos diferentes: find / -name "*.conf" 2>/dev/null, grep -r "password" /opt/ 2>/dev/null, crontab -l. El atacante no solo había mapeado el sistema. Había buscado vectores de persistencia y credenciales almacenadas.

Magna sintió el cambio de temperatura en la sala. El aire acondicionado seguía igual, pero algo más había entrado al espacio. Copió los logs completos. Llamó a Eris directamente.

Tenemos un problema más profundo. Quinta conexión no documentada en el brief inicial. El atacante escaló de reconnaissance a credential harvesting. Ejecutó búsquedas de archivos de configuración y contraseñas. Si encontró algo, ya tiene lateral movement capability dentro de la red OT. Esto no es solo una vulnerabilidad. Es un compromiso activo con intent de persistencia.

Contraataque

Stratos ejecutó la respuesta multi-cloud con precisión atmosférica. No bastaba con bloquear puertos SSH. Necesitaba reconstruir confianza en la autenticación de cada asset Erlang desplegado. Eso significaba rotación completa de infraestructura en treinta y un puntos de presencia simultáneamente.

Implementando hardened SSH bastion hosts en cada CSP. AWS Systems Manager Session Manager para EC2. GCP Identity-Aware Proxy para Compute Engine. Azure Bastion para VMs. Eliminando acceso SSH directo a instancias Erlang. Nueva capa de autenticación con MFA obligatorio y logging centralizado. Cada conexión SSH ahora pasa por proxy con validación de identidad completa antes de tocar el runtime Erlang. Superficie de ataque reducida de treinta y un puntos expuestos a tres bastions endurecidos. Despliegue completo en seis horas.

NeonMind observó el tablero de migración. Verde en dieciocho assets. Amarillo en nueve. Rojo en cuatro — los que Magna había identificado con evidencia de reconnaissance avanzado. Esos requerían rebuild completo, no solo hardening.

Los cuatro assets rojos se reconstruyen desde imágenes limpias. Sin migración de configuración existente. Sin preservar logs locales — ya están extraídos para forense. Operación de tierra quemada digital. Stratos: asegura que los nuevos deploys usen Erlang/OTP parcheado. Eris: validación final en 24 horas de todas las conexiones SSH. Quiero confirmación de que cada login tiene identidad verificable.

Veinticuatro horas después, Eris completó la validación. Noventa y tres conexiones SSH. Noventa y tres identidades verificadas con MFA. Noventa y tres logs completos con origen confirmado. Cero conexiones anómalas. Cero shells sin autenticación previa.

Sistema limpio en superficie. Autenticación SSH restaurada con arquitectura endurecida. Monitoreo activo sin anomalías en 24 horas post-mitigación. Pero tenemos deuda forense: las conexiones de reconnaissance previas no dejaron artifacts suficientes para confirmar full scope de compromiso. No sabemos si extrajeron datos, si planted backdoors en otros vectores, o si simplemente catalogaron el acceso para explotación futura. La amenaza está contenida. El costo de esa contención — no saber exactamente qué tocaron — permanece.

Resolución

Luna Varela cerró el expediente del capítulo a las 18:00 del tercer día. Leyó el technical brief completo dos veces. La segunda vez se detuvo en la línea que Magna había escrito en el reporte OT: “Díganme qué deja de vivir si cortamos mal.” Esa frase resumía el dilema mejor que cualquier métrica CVSS.

CVE-2025-32433 había expuesto algo más incómodo que una vulnerabilidad técnica: la ilusión de que la autenticación SSH era un problema resuelto. Durante veinte años la industria había confiado en ese protocolo como baseline de seguridad. Una implementación defectuosa en un runtime de nicho había perforado esa confianza completamente.

El costo operativo había sido medible: seis horas de producción manual supervisada en planta, treinta y un assets reconstruidos en cloud, cuatro días de sprint forense sin conclusión definitiva sobre alcance de compromiso. Pero el costo real era otro: cada CISO que leyera este brief ahora tendría que preguntarse qué otros protocolos “confiables” estaban construidos sobre implementaciones frágiles.

APT40 probablemente seguía en la red de alguien más. Operando en silencio. Mapeando sistemas. Esperando el momento correcto para convertir acceso en objetivo cumplido. El hecho de que no hubiera víctimas públicas recientes no significaba que no hubiera víctimas. Solo significaba que las víctimas aún no sabían que lo eran.

— Luna Varela, Strategic Intelligence