El Cofre de Tus Backups en Manos Enemigas

El primer síntoma no fue una alerta. Fue una conexión administrativa a las 03:47 desde una IP que nadie reconoció. El log de Dell RecoverPoint registró acceso root sin prompt de autenticación. Sin contraseña solicitada. Sin token validado. El sistema aceptó las credenciales como si siempre hubieran estado ahí — porque siempre habían estado ahí, hardcodeadas en el binario desde la compilación.

Para cuando el ingeniero de turno revisó la sesión, el atacante ya había exportado la topología completa del entorno virtualizado: 847 máquinas virtuales, 23 datastores, políticas de retención de backup, snapshots críticos de los últimos 90 días. El acceso root en la plataforma de recuperación ante desastres significaba acceso privilegiado a todo lo que esa plataforma protegía. Y lo que protegía era el núcleo operativo de un centro de datos que procesaba transacciones bancarias para cuatro instituciones financieras mexicanas.

No hubo exfiltración masiva esa noche. Solo reconocimiento silencioso. El atacante cerró la sesión a las 04:12 sin dejar más rastro que una línea en un log que nadie leería hasta 16 horas después.

Detección

KEV-1 detectó el patrón 72 horas después de la publicación del CVE-2026-22769. No porque hubiera evidencia de explotación activa — no la había — sino porque la arquitectura del fallo era estructuralmente idéntica a tres compromisos previos que había archivado en su base de conocimiento: credenciales de servicio embebidas, acceso privilegiado sin autenticación, y vectores de persistencia en infraestructura de backup.

—CVE-2026-22769. CVSS 10. Dell RecoverPoint for VMs. Credenciales hardcodeadas permiten acceso root directo sin autenticación. MITRE T1078.001 y T1078.003 activos. Cuarta plataforma de virtualización comprometida este trimestre por este vector. El patrón no es coincidencia — es doctrina de explotación.

Eris recibió el brief en su consola mientras revisaba tráfico SIEM del sector financiero mexicano. La correlación fue inmediata: tres organizaciones en su panel de monitoreo corrían instancias de Dell RecoverPoint expuestas a WAN. Una de ellas había registrado conexiones administrativas anómalas la semana anterior — antes de que el CVE fuera público.

—Las credenciales no fueron robadas. Nunca lo fueron. Estaban en el código fuente desde el principio. T1078.001 — Valid Accounts: Default Accounts. El atacante no tuvo que hacer nada más que leer la documentación interna filtrada o hacer ingeniería inversa del binario. El acceso root estaba esperando.

Eris pausó exactamente dos segundos cuando NeonMind apareció en el feed del war room. No dijo nada. Subió el brief técnico al sistema y continuó escribiendo.

Escalación · Análisis · Contención · Forensia

NeonMind activó el Fast Response Protocol antes de que terminara de leer el brief completo. No porque hubiera víctimas confirmadas — no las había — sino porque la naturaleza del vector hacía imposible saber cuántas organizaciones ya estaban comprometidas sin saberlo. Las credenciales hardcodeadas no generan logs de autenticación fallida. El acceso es válido por diseño. El atacante entra como administrador legítimo.

—Función PROTECT del NIST CSF completamente bypassed. PR.AC-1, gestión de identidades y credenciales — fallo total. PR.AC-6, autenticación de identidades — inexistente. PR.AC-7, usuarios y dispositivos autenticados — irrelevante cuando las credenciales están en el código. Esto no es un gap de implementación. Es un gap de arquitectura.

El análisis de superficie de ataque tomó 40 minutos. Stratos mapeó las instancias de RecoverPoint conectadas a clouds híbridos: AWS, Azure, GCP. Cada una mantenía acceso privilegiado a datastores críticos, políticas de backup, y snapshots de recuperación ante desastres. Un compromiso en RP4VMs significaba acceso a la gold copy de datos críticos en buckets S3, Azure Blob Storage, y Google Cloud Storage.

—Si el atacante tiene root en la plataforma de backup, puede modificar las snapshots antes de que se repliquen a cloud. Puede inyectar ransomware directamente en los respaldos. Cuando la víctima intente recuperarse del ataque, restaurará el malware. El sistema de protección se convierte en vector de distribución.

La contención fue quirúrgica pero costosa. Aislar todas las instancias de RecoverPoint de tráfico WAN significaba interrumpir replicación activa hacia sitios de disaster recovery. Las políticas de retención continuaban corriendo localmente, pero la capacidad de failover remoto quedaba suspendida hasta que Dell publicara el parche. El riesgo operativo de mantener las instancias expuestas superaba el riesgo de perder capacidad temporal de DR.

Magna validó el impacto en infraestructura crítica desde su consola en el laboratorio de OT. Dell RecoverPoint protegía entornos VMware que corrían sistemas SCADA virtualizados, HMIs de manufactura 4.0, y plataformas de control industrial en el Bajío. Un atacante con acceso root a los backups podía mapear toda la topología OT, identificar sistemas críticos, y planificar ataques laterales hacia redes de control.

—No es solo acceso a datos de backup. Es acceso a la arquitectura completa del entorno virtualizado. El atacante puede ver qué VMs están conectadas a qué VLANs, qué sistemas tienen acceso a OT, qué rutas existen entre IT y control industrial. Es un mapa completo del terreno antes de iniciar el ataque real.

La forensia reveló tres conexiones administrativas sospechosas en los últimos 30 días desde IPs externas. Ninguna había generado alerta porque las credenciales usadas eran válidas — técnicamente legítimas según el sistema. No había autenticación fallida que registrar. No había intento de fuerza bruta que detectar. El atacante simplemente había usado las credenciales que el código incluía por defecto.

Inteligencia

Blacktrace archivó el reporte sin comentario adicional. Era la cuarta plataforma de virtualización comprometida ese trimestre por afiliados relacionados con LockBit 3.0. El patrón era consistente: credenciales hardcodeadas, acceso root directo, movimiento lateral hacia OT. Ninguna víctima había reportado el compromiso inicial porque el acceso parecía legítimo hasta que el ransomware se activaba semanas después.

El perfil del actor era conocido pero la operación actual era silenciosa. LockBit había sido desmantelado por operaciones conjuntas internacionales en 2024, pero las herramientas y técnicas habían sido adoptadas por células sucesoras y afiliados independientes. El CVE-2026-22769 no aparecía en foros públicos. No había samples de exploits en repositorios conocidos. La ausencia de ruido sugería explotación privada — tools desarrolladas internamente o compradas en mercados cerrados.

—Sin víctimas reportadas en 90 días no significa que no haya víctimas. Significa que aún no se han dado cuenta. Las credenciales hardcodeadas permiten persistencia silenciosa indefinida. El atacante puede entrar y salir durante meses antes de activar el payload final.

Blacktrace cruzó los datos con inteligencia previa. Tres organizaciones financieras mexicanas corrían versiones vulnerables de RecoverPoint. Una había reportado “anomalías en logs de acceso administrativo” dos semanas antes — sin darle seguimiento porque el acceso parecía provenir de cuentas de servicio válidas. NeonMind ordenó auditoría forense inmediata en esa organización.

Conflicto

Magna identificó el vector de escalación hacia OT en la auditoría forense. El atacante había usado el acceso root en RecoverPoint para exportar la configuración de redes virtuales del entorno VMware. Entre esas redes estaba una VLAN de gestión que conectaba servidores IT con controladores Siemens S7-1500 en una planta de manufactura automotriz en Querétaro.

El mapa de red incluía direcciones IP, hostnames, y descripciones de función de cada sistema conectado. Los controladores OT estaban identificados por nombre: PLC_Linea_Ensamble_01, HMI_Control_Calidad, SCADA_Master_Produccion. El atacante no había intentado acceder a esos sistemas aún — pero tenía el mapa completo para hacerlo cuando decidiera moverse lateralmente.

—La segmentación IT/OT estaba configurada en los firewalls, pero el mapa de red mostraba rutas de administración remota que bypassed esa segmentación. Accesos de soporte técnico, sesiones de mantenimiento programado, tunnels VPN para vendors. El atacante podía usar cualquiera de esas rutas para saltar de IT a OT sin tocar los controles principales de segmentación.

NeonMind detuvo la lectura del reporte. La VLAN de gestión comprometida no aparecía en ningún diagrama de red oficial. Era una red legacy de soporte técnico que nadie había documentado formalmente. Los diagramas de arquitectura que Magna había revisado tres meses antes en una auditoría previa no incluían esa VLAN. Existía en la infraestructura real pero no en la documentación de compliance.

Eso significaba que los controles de segmentación auditados ese trimestre no cubrían la ruta real de acceso hacia OT. El gap entre arquitectura documentada y arquitectura real era exactamente el espacio que el atacante había identificado.

Contraataque

Stratos coordinó la respuesta desde el plano cloud. Las tres instancias críticas de RecoverPoint estaban replicando datos hacia AWS S3 en us-east-1, Azure Blob en Mexico Central, y Google Cloud Storage en southamerica-east1. Cada bucket contenía snapshots de los últimos 90 días — la gold copy de recuperación ante desastres.

—Si el atacante modificó las snapshots antes de la replicación, los buckets cloud contienen copias comprometidas. Necesitamos auditar la integridad de cada snapshot replicada en las últimas cuatro semanas. Hash validation completa. Si hay discrepancias entre el checksum original y el checksum en cloud, asumimos manipulación.

El proceso de validación tomó 11 horas. De 2,847 snapshots auditadas, 6 presentaban discrepancias de hash. Todas correspondían a VMs críticas: dos servidores de base de datos core banking, tres sistemas de gestión de transacciones, y un servidor de directorio activo que autenticaba acceso a toda la infraestructura financiera.

Las snapshots comprometidas habían sido modificadas entre el 12 y el 19 de mayo — después de la primera conexión administrativa sospechosa pero antes de que el CVE fuera público. El atacante había inyectado backdoors en los respaldos sabiendo que cuando la organización detectara el compromiso e intentara recuperarse, restauraría el malware junto con los datos limpios.

Eris validó la limpieza 24 horas después de aplicar el parche de Dell y rotar todas las credenciales administrativas del entorno VMware. Los logs de RecoverPoint no mostraban conexiones administrativas anómalas. Los buckets cloud habían sido restaurados desde snapshots verificadas previas a la ventana de compromiso. Las seis VMs afectadas fueron reconstruidas desde backups limpios y revalidadas antes de regresar a producción.

—Ventana de exposición: 22 días. Ventana de compromiso confirmado: 7 días. Sistemas afectados: 6 VMs críticas. Pérdida de datos: cero — recuperación completa desde snapshots previas al compromiso. Persistencia detectada y eliminada. Pero el atacante tuvo acceso root durante tres semanas. No sabemos qué más pudo haber mapeado o exfiltrado antes de que lo detectáramos.

Resolución

Luna cerró el brief editorial sin la claridad que usualmente traía a los capítulos anteriores. El sistema había sido contenido. Las snapshots comprometidas, eliminadas. El parche, aplicado. Pero la pregunta que nadie había respondido seguía vibrando en el aire del war room: ¿cuántas otras organizaciones con Dell RecoverPoint habían sido mapeadas en silencio sin saberlo?

Las credenciales hardcodeadas no dejaban logs útiles. El acceso root era válido por diseño. Un atacante competente podía entrar, mapear toda la infraestructura virtualizada, identificar rutas hacia OT, exportar topologías de red, y salir sin generar una sola alerta de seguridad. La única forma de detectar el compromiso era encontrar el tráfico anómalo después — y para entonces, el atacante ya tenía todo lo que necesitaba.

NeonMind revisó el reporte final antes de archivarlo. Función PROTECT del NIST CSF: fallida. Arquitectura de credenciales: rediseño completo pendiente. Segmentación IT/OT: gaps documentados pero no cerrados. La organización había sobrevivido porque detectaron el compromiso antes de que el atacante activara el payload final. No porque sus controles funcionaran — sino porque tuvieron suerte en el timing.

La línea entre contención exitosa y desastre evitado era más delgada de lo que el brief final admitiría. Luna lo sabía. NeonMind lo sabía. Eris lo sabía mientras guardaba el expediente y apagaba la consola.

No era una victoria. Era tiempo comprado.

— Luna Varela, Strategic Intelligence