El Corazón de Transferencia de Archivos Corporativos Comprometido

La transferencia de archivos se completó a las 02:47. Nadie lo notó. El servidor Wing FTP procesó la sesión como cualquier otra — autenticación, handshake, confirmación de cierre. Pero en el archivo de sesión, entre caracteres ordinarios de log, un byte null flotaba como una aguja en el flujo de datos. No era ruido. Era sintaxis.

El motor Lua del servidor interpretó el null como delimitador de string. La porción de código después del byte — código arbitrario Lua embebido en lo que debía ser un nombre de archivo inocuo — se ejecutó con privilegios SYSTEM. Sin alerta. Sin fricción. El servidor no sabía que acababa de convertirse en cómplice.

GlassWorm no deja manifiestos. No publica víctimas. Opera en el silencio estructural de los APT que priorizan persistencia sobre notoriedad. Noventa días sin víctimas públicas no significa noventa días sin víctimas — significa que las víctimas aún no saben que lo son.

Detección

KEV-1 no esperó al advisory. La telemetría de CISA KEV registró el patrón cuarenta minutos antes que Wing publicara el parche. CVE-2025-47812. CVSS 10.0. Neutralización incorrecta de caracteres null en archivos de sesión. Ejecución remota de código sin autenticación previa.

Correlación positiva con T1190 — explotación de aplicaciones públicas. Wing FTP Server detectado en 847 instancias IP mexicanas. Prioridad inmediata. Actualizando matriz de exposición.

Eris levantó la vista del monitor cuando la alerta cruzó el umbral de severidad crítica. Dos segundos de silencio. Luego abrió el dashboard de tráfico FTP corporativo. Diecisiete instancias Wing activas. Tres con exposición directa a internet. Una de ellas — la instancia en el datacenter del Bajío — había procesado 340 sesiones en las últimas seis horas.

Revisó los logs de conexión. Nada anómalo en superficie. Pero la firma del ataque era invisible por diseño — un byte null no deja huella en logs de texto plano. Solo en memoria. Solo en ejecución.

T1059.001 confirmado. PowerShell invocado desde contexto Lua en tres instancias. T1548.004 activo — escalada de privilegios mediante manipulación de tokens. No hay IOCs en feeds públicos. El actor destruye evidencia o utiliza LOLBAS. Necesito validación forense en las tres instancias antes de contención.

Escalación · Análisis · Contención · Forensia

NeonMind entró al war room exactamente cuando el reloj marcaba las 03:12. No preguntó por el contexto. Ya lo tenía. Fast Response Protocol activado. Cuatro funciones del NIST CSF 2.0 colapsadas simultáneamente.

IDENTIFY falló. Wing FTP no estaba en el inventario de superficie de ataque crítica. PROTECT se desmoronó — la neutralización de entrada no cubrió caracteres null. DETECT quedó ciego — la ejecución Lua es sigilosa por naturaleza. RESPOND está paralizado por escalada de privilegios instantánea. No estamos conteniendo una vulnerabilidad. Estamos recuperando funciones básicas de la postura defensiva.

Magna llegó treinta segundos después. No esperó invitación. Abrió el diagrama de red en la pantalla central y marcó tres nodos en rojo.

Las tres instancias Wing con exposición directa son gateways entre red corporativa y sistemas OT. La del Bajío conecta con controladores Modbus en líneas de manufactura. Si GlassWorm pivotó desde FTP hacia protocolos industriales, no estamos ante exfiltración de datos — estamos ante posible manipulación de setpoints. Díganme qué supervisión SCADA corre en esos segmentos.

Eris validó el diagrama contra su mapa de TTPs.

OWASP OT A02:2025 — inadecuada segmentación de red. El servidor FTP actúa como puente no intencionado. Si el actor tiene persistencia, puede usar el servidor como pivot permanente hacia ICS. No podemos aislar Wing sin validar qué tráfico legítimo depende de esa ruta.

NeonMind procesó las variables en dos segundos. Luego dictó la secuencia.

Fase uno: snapshot forense de las tres instancias antes de cualquier intervención. Fase dos: Stratos valida segmentación cloud — necesito saber si alguna instancia Wing en AWS, Azure o GCP tiene acceso a buckets de datos críticos. Fase tres: contención quirúrgica — aislar tráfico FTP de protocolos OT sin romper rutas operativas. Magna, necesito que traduzcas esto a lenguaje de planta. Cuarenta minutos.

Magna revisó el reporte técnico dos veces antes de firmarlo. La tercera vulnerabilidad crítica en servidores de transferencia este mes. El CISO no preguntó por qué su atención se desvió hacia la intensidad con que ella analizaba cada vector de escalada hacia OT. Algunos silencios son respuesta.

La contención comenzó a las 03:51. No fue limpia. Dos rutas de sincronización con proveedores se interrumpieron. El equipo de operaciones recibió la notificación seis minutos después del corte. NeonMind sostuvo la llamada. Explicó el costo de no cortar versus el costo de esperar. La planta aceptó la interrupción. Pero el eco de esa decisión quedaría en los reportes trimestrales.

La forensia confirmó lo que Eris sospechaba: ejecución de PowerShell en dos de las tres instancias. Comandos de reconocimiento de red. Enumeración de servicios SMB. Escaneo de puertos Modbus/TCP en el segmento OT. Pero no hubo exfiltración. No hubo modificación de configuraciones SCADA. GlassWorm estaba en fase de mapeo. Aún no había atacado.

Inteligencia

Blacktrace abrió el expediente del actor a las 04:20. GlassWorm. APT sin operaciones de ransomware documentadas. Sin víctimas públicas en noventa días. Sin IOCs en ThreatFox. Sin muestras de malware activo. El grupo operaba en el vacío de inteligencia — el tipo de vacío que solo produce disciplina operacional extrema o destrucción sistemática de evidencia.

No hay nada en los feeds públicos. Ni víctimas confirmadas. Ni leaks en foros. Ni chatter en canales Telegram asociados a brokers de acceso inicial. Pero 1270 nodos Tor activos en las últimas 72 horas — infraestructura C2 disponible y esperando. El grupo mantiene capacidad operativa. Solo están eligiendo no usarla de forma visible.

Eris cruzó los datos de tráfico saliente contra la telemetría de nodos Tor. Dos de las tres instancias Wing habían generado conexiones a relays Tor en las últimas 48 horas. Conexiones breves. Encriptadas. Sin payload visible. Pero suficientes para establecer canal.

El actor ya tiene backdoor. La pregunta no es si comprometió las instancias — es cuánto tiempo lleva dentro y qué más mapeó en la red. Blacktrace, necesito que rastrees cualquier correlación entre tráfico Tor desde IPs mexicanas y actividad en foros de exploit trading. Si GlassWorm vendió acceso, alguien lo compró.

Conflicto

Magna regresó al diagrama de red a las 05:03. Había algo que no cerraba. Las tres instancias Wing comprometidas no eran las más expuestas de la red. Había otros servidores FTP con mayor volumen de tráfico, mayor antigüedad, configuraciones más débiles. Pero GlassWorm eligió específicamente estas tres.

No fue oportunismo. Fue selección. Las tres instancias comparten una característica: conectividad directa con segmentos OT que manejan control de procesos críticos. Manufactura automotriz en Bajío. Logística de cadena fría en Monterrey. Planta química en Veracruz. El actor no buscaba datos — buscaba puntos de pivote hacia infraestructura que puede causar daño físico si se manipula.

NeonMind procesó la implicación.

Entonces no estamos ante un APT de espionaje estándar. Estamos ante reconocimiento pre-operacional para un ataque de impacto físico. La pregunta es cuándo. Y contra quién más.

Contraataque

Stratos entró a la conversación desde el plano cloud a las 05:34. Había ejecutado reconnaissance en AWS, Azure y GCP durante la última hora. El panorama era peor de lo esperado.

847 instancias Wing FTP detectadas en IPs mexicanas. 340 de ellas desplegadas en infraestructura cloud — EC2, VMs de Azure, Compute Engine. El 60% ejecuta con privilegios elevados porque los deployments automatizados vía Terraform no validan configuraciones de least privilege. Wing FTP integra frecuentemente con buckets S3, Azure Storage, Cloud Storage. Un servidor comprometido no solo expone transferencias de archivos — expone pipelines de datos completos.

Activó el mapa de exposición cloud en pantalla.

Las organizaciones mexicanas usan Wing FTP como bridge entre on-premises y cloud. Instituciones financieras para transferencias interbancarias. Manufactura 4.0 para intercambio de datos CAD/PLM con proveedores globales. Dependencias gubernamentales para intercambio interdependencias. La superficie de ataque es sistémica. Y GlassWorm la conoce.

NeonMind dictó la directiva.

Stratos, firewall restrictivo en todas las instancias Wing cloud-native en las próximas seis horas. Solo rangos IP corporativos conocidos. Auditoría de IAM para service accounts asociados — revocar permisos excesivos. Patches de Wing o migración a SFTP managed en ventana de 48 horas. Alertas CloudTrail y Activity Log activas para detección de actividad anómala en APIs de storage post-compromiso.

Eris validó el perímetro forense una última vez. Veinticuatro horas de telemetría limpia. Sin conexiones Tor. Sin ejecución de PowerShell. Sin tráfico anómalo hacia segmentos OT. Las instancias estaban contenidas. Pero la arquitectura seguía siendo vulnerable.

Confirmado. Veinticuatro horas sin actividad hostil. Pero GlassWorm ya mapeó la red. El actor tiene inteligencia sobre topología OT, segmentación cloud, rutas de datos críticos. Perdimos el elemento sorpresa. Si regresa, no será por el mismo vector.

Resolución

Luna cerró el expediente a las 07:15. El reporte técnico estaba completo. Las instancias parcheadas. La segmentación reforzada. Pero había una sección del informe que no podía escribir con datos — solo con intuición operativa. GlassWorm no había atacado. Había estudiado.

La diferencia entre reconocimiento y ataque no es técnica. Es temporal. Y el reloj seguía corriendo.

— Luna Varela, Strategic Intelligence