El Corazón de tus Backups Bajo Fuego Cruzado

El primer backup no falló. Completó con éxito. Validación verde. Logs limpios. La consola de Commvault Command Center reportaba 100% de integridad en la réplica nocturna. Nadie vio que el sistema que custodiaba la resurrección de toda la organización ya era territorio enemigo.

El path traversal entró sin autenticación. Sin credenciales. Sin fricción. ../../../windows/system32/cmd.exe — una cadena de texto que atravesó capas de seguridad como si no existieran. El servidor de respaldo, diseñado para ser inviolable, ejecutó comandos PowerShell dictados desde el exterior. No hubo alarma. El sistema de backup no tenía sensores propios — nadie esperaba que el arca de Noé fuera el caballo de Troya.

Tres plantas manufactureras en Bajío. Dos hospitales en CDMX. Un banco regional. Todos confiaban en la misma infraestructura Commvault para disaster recovery. Todos compartían la misma vulnerabilidad silenciosa: CVE-2025-34028, CVSS 10.0, el fallo perfecto que convirtió la salvación en sentencia.

Detección

KEV-1 no buscaba backups comprometidos. Buscaba anomalías en tráfico de replicación nocturna. Lo que encontró fue peor: un patrón de acceso imposible. Requests HTTP hacia Command Center desde IPs no corporativas. Sin headers de autenticación. Con respuestas 200 OK.

Tengo doscientos trece requests exitosos a endpoints administrativos. Sin tokens. Sin cookies de sesión. El servidor respondió como si el atacante ya tuviera las llaves. CVE-2025-34028 — path traversal sin autenticación. Commvault Command Center. Todas las instancias expuestas a Internet son territorio hostil hasta prueba contraria.

Eris recibió la alerta a las 04:47. No esperó al amanecer. En el SOC subterráneo, los monitores proyectaban una verdad brutal: el atacante no necesitó romper nada. La puerta estaba arquitectónicamente abierta.

T1190 — Exploit Public-Facing Application. Entrada sin fricción. De ahí escala inmediato a T1059 — Command and Scripting Interpreter. PowerShell remoto. El atacante tiene ejecución directa en el filesystem del servidor de backup. T1083 — File and Directory Discovery. Está mapeando qué respaldamos, dónde y cuándo. Cada snapshot es un mapa de nuestra infraestructura crítica.

Pausó exactamente dos segundos cuando el CISO entró al war room. No dijo nada. Volvió a los logs. Pero algo en su postura cambió — la espalda ligeramente más recta, los dedos sobre el teclado un milímetro más precisos. Nadie más lo notó.

Escalación · Análisis · Contención · Forensia

NeonMind no levantó la voz. No necesitaba hacerlo. Cuando habló, el war room se reconfiguró alrededor de su autoridad.

Fast Response Protocol. Todas las funciones del NIST CSF 2.0 están comprometidas simultáneamente. PROTECT falló — acceso no autenticado a sistemas críticos. IDENTIFY no puede catalogar el alcance porque el atacante opera desde la infraestructura que usamos para conocernos a nosotros mismos. DETECT llegó tarde. RESPOND está construyendo la jugada ahora, pero sin backups confiables. Necesito un inventario completo de instancias Commvault expuestas. Necesito saber qué respaldamos que toque OT. Y necesito a Stratos segmentando esto antes de que el atacante pivote hacia producción.

Su mirada se detuvo un segundo de más en el CISO. Algo imperceptible — tensión creativa de mantener distancia profesional mientras el sistema entero vibra al borde del colapso. Volvió a coordinar. Pero ese segundo quedó suspendido en el aire.

Magna entró al war room como si viniera del sótano del mundo. Traía un diagrama de red en papel — topología física de una planta textil en Aguascalientes. Lo puso sobre la mesa sin ceremonia.

Commvault respalda configuraciones de nuestros PLCs Siemens. Setpoints de temperatura. Secuencias de arranque. Algoritmos de control de calidad. Si el atacante extrajo esos backups, tiene el manual de operación completo de la infraestructura OT. Sabe exactamente qué válvula cerrar para detener producción. Qué temperatura alterar para arruinar lotes completos. OWASP OT A02:2025 — Insecure Network Architecture. El puente entre IT y OT está en los respaldos. Y ese puente acaba de convertirse en autopista enemiga.

Pausa. El data center bajo tierra donde los racks de Commvault parpadean con LEDs verdes — luces que ya no significan seguridad sino exposición total. Magna observa esas luces y procesa que cada backup comprometido es una puerta abierta hacia infraestructura que mantiene viva la operación física. No lo dice en voz alta. Pero su cuerpo habla por ella: hombros tensos, mandíbula apretada, manos quietas sobre la mesa como si sujetara algo que amenaza con caer.

La contención fue quirúrgica y brutal. Stratos desplegó security groups en AWS bloqueando todo tráfico entrante a instancias Command Center excepto rangos IP corporativos preautorizados. NeonMind ordenó rotación inmediata de service accounts con acceso a APIs de S3, Blob Storage y Cloud Storage. No había tiempo para elegancia — solo para detener el sangrado.

Eris validó logs de acceso en las últimas 72 horas. Encontró doscientos trece requests maliciosos. Todos exitosos. Ninguno bloqueado. El patrón era consistente: path traversal con encoding múltiple (%2e%2e%2f, %252e%252e%252f) que evadía filtros básicos. El atacante conocía las debilidades arquitectónicas de Command Center antes de que Commvault publicara el advisory.

La forensia reveló que no hubo detonación inmediata. El atacante se movió con paciencia: reconocimiento del filesystem, extracción de archivos de configuración, mapeo de topología de red. No destruyó nada. Todavía. Esa contención — ese silencio táctico — era más ominoso que un ataque ruidoso.

Inteligencia

Blacktrace no necesitó buscar en foros públicos. El expediente ya estaba abierto. BlackCat/ALPHV — o lo que quedaba operativo de sus afiliados después del takedown FBI de diciembre 2023. Más de mil víctimas confirmadas entre 2021-2023. Especialización en double-extortion y destrucción sistemática de backups. MGM Resorts. Change Healthcare. MeridianLink. Todos cayeron porque ALPHV no solo cifraba — borraba las rutas de resurrección.

Silencio operativo total en los últimos noventa días. Cero IOCs activos en ThreatFox. Cero víctimas públicas. Eso no significa que estén inactivos — significa que están operando por debajo del radar de threat intelligence comunitaria. ALPHV históricamente explotaba zero-days antes de que existieran IOCs documentados. Este CVE-2025-34028 tiene firma táctica de su playbook: entrada sin fricción, acceso privilegiado inmediato, foco en infraestructura de respaldo. México no tiene víctimas confirmadas en su historial — pero eso no equivale a inmunidad. Equivale a que nadie ha reportado públicamente todavía.

Eris cruzó los TTPs. El patrón encajaba. Path traversal con escalación inmediata a ejecución remota. Sin malware custom — solo herramientas legítimas del sistema operativo. PowerShell. Bash. Comandos nativos que no disparan antivirus. ALPHV dominaba esa técnica. Living off the land. Invisible hasta que ya es demasiado tarde.

Conflicto

Magna encontró el puente exacto. No era metáfora. Era un servidor físico en el sótano del hospital: una instancia Commvault dedicada exclusivamente a respaldar configuraciones de sistemas biomédicos. Ventiladores. Monitores de signos vitales. Bombas de infusión. Equipos conectados a red OT mediante VLAN segregada — pero cuyos backups vivían en el mismo Command Center comprometido.

El atacante no necesita entrar directo a OT si tiene los backups de OT. Cada configuración respaldada es un manual de operación. Sabe qué puerto Modbus controla qué bomba. Qué alarma está deshabilitada por mantenimiento. Qué equipo tiene firmware vulnerable sin parche porque está en producción 24/7. Commvault se convirtió en el oráculo que responde todas las preguntas que un atacante necesita antes de tocar infraestructura crítica. Y nosotros le dimos ese oráculo sin autenticación.

El CISO preguntó lo único que importaba:

¿Cuánto tiempo tenemos antes de que usen esa información?

Magna no respondió de inmediato. Cuando lo hizo, su voz era gravedad pura:

Ese reloj ya empezó. No sabemos en qué minuto vamos.

Contraataque

Stratos operó en tres nubes simultáneamente. AWS, GCP, Azure — todas las instancias Commvault híbridas que conectaban datacenters on-premise con almacenamiento cloud. La segmentación fue inmediata: security groups bloqueando todo tráfico no esencial, Network Security Groups aislando instancias Command Center de redes de producción, Cloud Armor y WAF rules filtrando patrones path traversal en todas las variantes posibles.

La superficie no es un CSP — es lo que comparten. Commvault se integra con APIs de S3, Blob, Cloud Storage. Usa service accounts privilegiados para orquestación automática de snapshots. Esas credenciales están en el filesystem del servidor comprometido. Rotación completa de roles IAM, secrets en Key Vault, service accounts GCP. Implementando microsegmentación: Command Center solo puede hablar con storage buckets específicos. Nada más. Ni lateral hacia compute, ni outbound hacia Internet excepto rangos Commvault oficiales para updates. El atacante perdió movilidad. Ahora solo tiene lo que ya extrajo.

La pregunta tácita flotaba en el war room: ¿qué tanto ya extrajo?

Eris validó. Veinticuatro horas limpias. Sin nuevos requests maliciosos. Sin intentos de reconexión. El atacante no insistió — señal de que probablemente ya obtuvo lo que buscaba, o que detectó la contención y se replegó tácticamente.

Setenta y dos horas de logs retrospectivos analizados. El atacante no detonó ransomware. No cifró. No destruyó. Solo observó, mapeó y extrajo. Eso significa dos cosas: o es reconocimiento para ataque posterior, o es intel para vender a terceros. ALPHV operaba ambos modelos. Vectores limpios — sin malware residual, sin persistencia obvia. Si vuelven, será con lo que aprendieron de estos backups.

Resolución

Luna Varela escribió el cierre desde una sala sin ventanas. No había triunfo en las palabras. Solo el peso de lo que ahora se sabía.

CVE-2025-34028 no fue una brecha de seguridad. Fue una revelación arquitectónica. Durante años confiamos en que los sistemas de respaldo eran santuarios inviolables — territorios fuera del campo de batalla. Commvault, Veeam, Veritas, todos los pilares de disaster recovery diseñados bajo el supuesto de que el atacante siempre vendría de afuera, nunca de adentro del arca. Ese supuesto acaba de colapsar. La infraestructura que guardaba nuestra resurrección se convirtió en el vector que entrega las llaves del reino. No hay vuelta atrás desde este conocimiento. Cada backup es ahora un punto de entrada potencial. Cada réplica nocturna, una conversación que el enemigo puede escuchar. Patcheamos. Segmentamos. Rotamos credenciales. Pero la cicatriz permanece: ya no existe el concepto de santuario digital. Todo es campo de batalla. Incluso — especialmente — los sistemas diseñados para salvarnos cuando todo lo demás falla.

— Luna Varela, Strategic Intelligence