Qué es

EarthWorm es una herramienta de túneles desplegada por un clúster de amenazas patrocinado por el estado. Se reporta desde abril de 2026. Su función principal es establecer conexiones remotas para facilitar la post-explotación en firewalls PA-Series y VM-Series afectados por una vulnerabilidad de ejecución remota de código.

Cómo llega

Entra mediante la explotación de una vulnerabilidad de día cero en la puerta de enlace cautiva de PAN-OS. Los atacantes inyectan shellcode en procesos de nginx para lograr ejecución remota de código sin autenticación. No se mencionan señuelos específicos, pero se usa código abierto para minimizar la detección.

Qué hace una vez dentro

Permite a los atacantes establecer conexiones remotas y facilitar la post-explotación tras lograr ejecución de código con privilegios de raíz. Se utiliza junto con ReverseSocks5 para mantener el acceso. Facilita la enumeración de Active Directory usando credenciales comprometidas y permite la destrucción sistemática de registros para evadir la detección.

A quién ataca

Apunta específicamente a firewalls PA-Series y VM-Series que ejecutan software PAN-OS. La evidencia indica que los atacantes buscan acceder a redes corporativas mediante la explotación de la puerta de enlace cautiva, sin mencionar sectores industriales o regiones geográficas específicas más allá de la plataforma afectada.

Técnicas de MITRE ATT&CK

Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.

Grupos que la usan

CL-STA-1132

Uso reportado por AlienVault OTX en un reporte dedicado al arma (nivel presunto). En rojo, los que tienen ficha en nuestro catálogo de villanos. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.

Vulnerabilidades asociadas

Actividad en feeds públicos

Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.

Fuentes

• AlienVault OTX: Threat Brief: Exploitation of PAN-OS Captive Portal Zero-Day for Unauthenticated Remote Code Executi