Qué es

ReverseSocks5 es una herramienta de túneles de doble uso desplegada por un clúster de amenazas patrocinado por el estado. Se reporta desde abril de 2026. Su función principal es establecer conexiones remotas para facilitar la post-explotación tras la ejecución de código en firewalls PAN-OS. Busca minimizar la detección al utilizar software de código abierto en lugar de malware propietario.

Cómo llega

Entra mediante la explotación de un zero-day en el portal cautivo de PAN-OS que permite ejecución remota de código sin autenticación. Los atacantes inyectan shellcode en los procesos worker de nginx para lograr privilegios de root. La evidencia no especifica señuelos adicionales para esta herramienta.

Qué hace una vez dentro

Establece túneles para conexiones remotas y facilita las actividades de post-explotación. Permite a los atacantes realizar enumeración del Active Directory utilizando credenciales comprometidas del firewall. También ejecuta la destrucción sistemática de registros para evadir la detección. Mantiene sesiones interactivas intermitentes durante varias semanas.

A quién ataca

Apunta específicamente a firewalls PA-Series y VM-Series que ejecutan el sistema operativo PAN-OS. El ataque se centra en instancias donde el portal cautivo está expuesto a redes no confiables, permitiendo la ejecución remota de código sin autenticación previa.

Técnicas de MITRE ATT&CK

Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.

Grupos que la usan

CL-STA-1132

Uso reportado por AlienVault OTX en un reporte dedicado al arma (nivel presunto). En rojo, los que tienen ficha en nuestro catálogo de villanos. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.

Vulnerabilidades asociadas

Actividad en feeds públicos

Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.

Fuentes

• AlienVault OTX: Threat Brief: Exploitation of PAN-OS Captive Portal Zero-Day for Unauthenticated Remote Code Executi