SAWFLY
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
SAWFLY es un webshell desplegado por el actor ARMORY CASTLE, un grupo de espionaje con nexos con China. Se reporta desde finales de agosto de 2026. Su función principal es establecer acceso persistente en los dispositivos comprometidos y facilitar la ejecución de comandos remotos por parte del atacante.
Cómo llega
Entra explotando la vulnerabilidad CVE-2026-102764 en BeyondTrust Remote Support, que permite la carga de archivos arbitrarios sin autenticación. Se desplegó como día cero en agosto de 2026. No se mencionan señuelos ni otros vectores de entrada en la evidencia proporcionada.
Qué hace una vez dentro
Permite al atacante ejecutar comandos remotos y mantener acceso persistente en el sistema. Se instala tras la explotación de la vulnerabilidad para facilitar operaciones posteriores. La evidencia no detalla capacidades adicionales específicas del webshell más allá de la ejecución remota y la persistencia básica.
A quién ataca
Apunta a infraestructuras que utilizan la plataforma BeyondTrust Remote Support. La evidencia indica compromisos en instancias alojadas y dispositivos autoalojados. No se especifican sectores industriales ni regiones geográficas específicas más allá del contexto de la vulnerabilidad explotada.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Exploit Public-Facing Application | T1190 |
| Ejecución | Command and Scripting Interpreter | T1059 |
| Persistencia | Account Manipulation | T1098 |
| Persistencia | External Remote Services | T1133 |
| Persistencia | Create Account | T1136 |
| Persistencia | Local Account | T1136.001 |
| Persistencia | Web Shell | T1505.003 |
| Persistencia | Create or Modify System Process | T1543 |
| Persistencia | Systemd Service | T1543.002 |
| Escalada de privilegios | Exploitation for Privilege Escalation | T1068 |
| Escalada de privilegios | Setuid and Setgid | T1548.001 |
| Escalada de privilegios | Sudo and Sudo Caching | T1548.003 |
| Sigilo | File Deletion | T1070.004 |
| Sigilo | Valid Accounts | T1078 |
| Sigilo | Local Accounts | T1078.003 |
| Debilitamiento de defensas | Domain or Tenant Policy Modification | T1484 |
| Acceso a credenciales | OS Credential Dumping | T1003 |
| Acceso a credenciales | Credentials In Files | T1552.001 |
| Descubrimiento | File and Directory Discovery | T1083 |
| Descubrimiento | Account Discovery | T1087 |
| Movimiento lateral | SSH | T1021.004 |
| Movimiento lateral | Exploitation of Remote Services | T1210 |
| Recolección | Data from Local System | T1005 |
| Comando y control | Internal Proxy | T1090.001 |
| Comando y control | Multi-hop Proxy | T1090.003 |
| Comando y control | Protocol Tunneling | T1572 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
Fuente: AlienVault OTX: técnicas de 2 reportes dedicados al arma.
Grupos que la usan
Uso reportado por AlienVault OTX en un reporte dedicado al arma (nivel presunto). En rojo, los que tienen ficha en nuestro catálogo de villanos. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2023-46805 | Ivanti Connect Secure and Policy Secure | 8.2 | Sí | AlienVault OTX (presunta) |
| CVE-2024-21887 | Ivanti Connect Secure and Policy Secure | 9.1 | Sí | AlienVault OTX (presunta) |
| CVE-2026-102764 | BeyondTrust Remote Support | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2026-104935 | Ivanti Connect Secure | 8.6 | Sí | AlienVault OTX (presunta) |
| CVE-2026-1731 | BeyondTrust Remote Support (RS) and Privileged Remote Access (PRA) | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2026-21589 | Atlassian Multiple Products | Sí | AlienVault OTX (presunta) | |
| CVE-2026-97229 | GitLab Community Edition and Enterprise Edition | 10 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
Fuentes
← Todo el catálogo de armamento
