GlobalProtect CVE-2026-0257: ransomware Qilin ataca las VPN

¿Qué hace difícil defenderse de este incidente? El atacante no necesita un correo de phishing, una contraseña robada ni un error del usuario. El fallo está en un servicio expuesto a internet cuya función es conceder acceso, de modo que una explotación exitosa parece un trabajador remoto conectándose con normalidad. Por eso Arctic Wolf afirma que el compromiso del perímetro es el punto crítico para los defensores.

El incidente también deja al descubierto tres debilidades recurrentes en las redes empresariales:

• Redes internas planas. Una vez conectados, los atacantes extrajeron credenciales y se movieron lateralmente con herramientas administrativas legítimas. Una sesión VPN que llega a una red amplia y plana les da espacio para hacerlo.
• Parcheo lento de equipos de borde. La corrección existía el 13 de mayo, pero en junio aún se investigaban intrusiones y en julio CISA señaló su uso en ransomware. Los equipos de borde necesitan un proceso de parcheo medido en días.
• Visibilidad limitada. Los atacantes borraron registros de eventos de Windows y, en algunos casos, desactivaron Microsoft Defender. Sin registros enviados a un sistema central y monitoreados las 24 horas, estos pasos pueden pasar inadvertidos.

Para muchos equipos de TI el problema es la capacidad más que el conocimiento. Seguir cada aviso de fabricante, parchear equipos en varios países y buscar compromisos el mismo día exige personas y herramientas dedicadas, y por eso cada vez más organizaciones llevan el acceso remoto a un modelo de confianza cero.

¿Cómo se desarrolla una intrusión de Qilin? Arctic Wolf documentó una cadena consistente en los casos de junio de 2026. Los detalles varían según el afiliado y algunas intrusiones se detuvieron en el cifrado mientras otras añadieron robo de datos para la doble extorsión, lo que sugiere que varios afiliados usan el mismo punto de entrada.

1. Acceso inicial. El atacante explota CVE-2026-0257 y establece sesiones VPN, a menudo desde sistemas Kali Linux.
2. Persistencia. Claves Run del registro, tareas programadas y herramientas de acceso remoto como AnyDesk, Ngrok, LogMeIn y MeshAgent mantienen conectado al atacante.
3. Robo de credenciales. El atacante vuelca la memoria de LSASS y extrae la base de datos NTDS de Active Directory.
4. Movimiento lateral. PsExec, RDP y cuentas de administrador comprometidas extienden el acceso por el dominio.
5. Descubrimiento. Herramientas como SoftPerfect Network Scanner y NetExec mapean el entorno.
6. Evasión de defensas. El atacante borra los registros de eventos y puede desactivar Microsoft Defender.
7. Exfiltración, en algunos casos. Rclone, ProtonDrive, FileZilla y MEGA sacan datos antes del cifrado.
8. Impacto. Un binario de ransomware, normalmente llamado win.exe y almacenado en C:\PerfLogs, cifra los archivos con extensiones propias de cada campaña.

La lección práctica es que cada etapa es una oportunidad para detectar y frenar el ataque. Los inicios de sesión VPN inusuales, las nuevas herramientas de acceso remoto, el volcado de credenciales y las transferencias salientes masivas dejan rastros, pero solo si alguien los vigila en tiempo real.

¿Qué debe hacer hoy una empresa? Use esta lista de prioridades:

1. Identifique todos los portales y gateways GlobalProtect que opera, incluidos equipos olvidados de sucursales y pruebas, y confirme que se aplicaron las correcciones del 13 de mayo o las mitigaciones de Palo Alto.
2. Revise la configuración que determina la exposición, incluidas las cookies de acceso directo de inicio de sesión y el certificado, y siga el aviso del fabricante.
3. Busque compromisos, incluso en equipos parcheados. La explotación comenzó en mayo, así que revise los registros VPN en busca de sesiones desconocidas, en particular con huellas de Kali Linux, y busque las herramientas mencionadas.
4. Restablezca las credenciales de las cuentas que se conectaron por la VPN durante la ventana de exposición y priorice las cuentas de administrador y de servicio que podrían extraerse de LSASS o NTDS.
5. Limite lo que una sesión VPN puede alcanzar. Segmente la red para que los usuarios remotos vean solo las aplicaciones que necesitan.
6. Planifique el paso más allá de la VPN heredada. El acceso de confianza cero verifica al usuario, el dispositivo y la aplicación en cada solicitud en lugar de conceder acceso amplio a la red.
7. Proteja su ruta de recuperación. Mantenga respaldos inmutables y probados, porque los ataques que solo cifran suelen decidirse según su capacidad de restaurar.

Una respuesta rápida y por capas aporta beneficios medibles:

• Menor riesgo de brecha. Cerrar un fallo conocido y vinculado al ransomware elimina la vía de entrada más fácil.
• Menor radio de impacto. La segmentación y la confianza cero convierten una sesión robada en un incidente contenido.
• Detección más rápida. Los registros centralizados y el monitoreo 24/7 acortan el tiempo que un atacante pasa inadvertido.
• Mayor resiliencia. Los respaldos probados reducen la presión de pagar cuando los datos se cifran.

HIT Communications acompaña a empresas desde hace más de 30 años en América Latina, Estados Unidos y Europa. Nuestro equipo de ciberseguridad ofrece monitoreo SOC 24/7, SIEM y detección y respuesta gestionadas, de modo que las sesiones VPN inusuales, el volcado de credenciales y el movimiento lateral se investiguen en el momento y no se descubran después del cifrado.

Nuestros servicios gestionados de TI abarcan gestión de parches, endurecimiento de configuraciones, inventario de activos y respaldo en la nube, lo que le da un único responsable del trabajo rutinario que evita que los fallos explotados persistan. Para un acceso resiliente y segmentado entre sedes, nuestra conectividad multioperador y SD-WAN gestionada combina internet dedicado, SD-WAN y controles de seguridad para que una sesión remota no signifique acceso abierto a toda la red.

Si usa GlobalProtect o cualquier VPN expuesta a internet, nuestros ingenieros pueden verificar su exposición, buscar los comportamientos descritos y entregarle un plan priorizado para endurecer o reemplazar el acceso remoto.

CVE-2026-0257 demuestra que los gateways VPN se han convertido en uno de los puntos de entrada más valiosos para los afiliados de ransomware. El fallo se corrigió en mayo, la explotación comenzó pocos días después y siguieron las intrusiones de Qilin, lo que significa que las organizaciones en riesgo son las que parchearon tarde, nunca buscaron compromisos o dejaron a los usuarios remotos con acceso amplio a la red.

La respuesta duradera combina parcheo rápido de equipos de borde, segmentación, acceso de confianza cero, monitoreo continuo y respaldos probados. Trate cada nueva divulgación sobre equipos de borde como un evento rutinario resuelto con procesos y no como una crisis resuelta con heroicidades.

Si desea ayuda para evaluar la exposición de su acceso remoto, contacte a HIT Communications y converse con nuestro equipo sobre cómo proteger su red.