BeyondTrust Escape: CVE-2026-1731 y Ransomware

En el juego de alta tensión de la seguridad empresarial, no hay premio más codiciado por un actor de amenazas que una Ejecución Remota de Código (RCE) Pre-Autenticación en un dispositivo de seguridad crítico. Es el equivalente digital de encontrar la llave maestra de un banco tirada en la acera.

A lo largo de finales de 2024 y hasta 2025, esa llave fue encontrada—repetidamente. El descubrimiento y explotación de vulnerabilidades críticas en BeyondTrust Remote Support (RS) y Privileged Remote Access (PRA) enviaron ondas de choque en la industria. Con puntuaciones CVSS alcanzando 9.8 y 9.9, estas vulnerabilidades representan el “Santo Grial” para actores de amenazas sofisticados: no requieren credenciales, ni interacción del usuario, y proporcionan acceso inmediato y de alto privilegio a las herramientas diseñadas para proteger los “Paths to Privilege”.

Este artículo ofrece un análisis exhaustivo de los incidentes de seguridad de BeyondTrust, explorando por qué las herramientas de acceso remoto siguen siendo el objetivo final y cómo una sola instancia sin parchear puede conducir a una compromisión total del dominio en minutos.

La Anatomía de la Inyección de Comandos Críticos: CVE-2024-12356 y más allá

En su núcleo, las vulnerabilidades de BeyondTrust descubiertas a finales de 2024 son fallas de Inyección de Comandos OS No Autenticada. Estas residen en componentes específicos del backend del dispositivo BeyondTrust, manejando conexiones WebSocket entrantes—el mismo camino de comunicación que hace posible el soporte remoto.

El “Ouch” Técnico

CVE-2024-12356 (CVSS 9.8) fue la primera en caer en diciembre de 2024. Esta vulnerabilidad crítica permite a un atacante remoto no autenticado ejecutar comandos arbitrarios del sistema operativo en el contexto del usuario del sitio enviando solicitudes especialmente diseñadas a través de conexiones maliciosas.

La falla se activa durante el proceso de handshake de WebSocket. Cuando un cliente (o un atacante) intenta conectarse a endpoints específicos de un dispositivo BeyondTrust, una validación insuficiente de entrada permite que parámetros especialmente diseñados salgan de la lógica prevista y ejecuten comandos arbitrarios del sistema.

Sin embargo, investigaciones de Rapid7 posteriormente revelaron que la explotación exitosa de CVE-2024-12356 en realidad requería encadenarla con otra vulnerabilidad crítica: CVE-2025-1094, una falla de inyección SQL en una herramienta PostgreSQL subyacente. Esta cadena otorgaba a los atacantes el acceso completo que necesitaban.

La estructura de la carga útil de inyección permite a los atacantes escapar de los contextos de evaluación aritmética y ejecutar comandos a través de subprocesos shell. Para un atacante no autenticado, esto es equivalente a tener un terminal directo en el corazón del dispositivo antes incluso de haber escrito un nombre de usuario.

CVE-2024-12686 (Severidad Media) fue divulgada poco después, afectando a las versiones 24.3.1 y anteriores de BeyondTrust PRA y RS. Esta vulnerabilidad de inyección de comandos puede ser explotada por un usuario con privilegios administrativos existentes para subir archivos maliciosos y ejecutar comandos del sistema operativo subyacentes.

Por qué esto es el “Santo Grial” para actores de amenazas avanzadas

Para entender por qué estas vulnerabilidades específicas son tan devastadoras, debemos mirar la naturaleza “Centrada en la Identidad” de los paisajes de amenazas modernos. Ya no estamos en la era de simples “virus”; estamos en la era de la Explotación de Identidad.

1. La Puerta de Entrada a Todo

Los dispositivos BeyondTrust no son “dispositivos de borde” en el sentido tradicional—son Centros de Identidad. Tienen las llaves del reino:

Credenciales almacenadas: cuentas locales y de dominio usadas para soporte
Sesiones activas: acceso en tiempo real a servidores y estaciones de trabajo en todo el mundo
Confianza en la red: estos dispositivos suelen estar en segmentos privilegiados de la red con la capacidad de “ver” casi todo en el centro de datos
Bóvedas de credenciales: claves SSH, tokens de sesión y contraseñas para los sistemas más sensibles

BeyondTrust proporciona servicios de seguridad de identidad a más de 20,000 clientes en más de 100 países, incluyendo el 75% de las Fortune 100. Esta ubicuidad ha atraído repetidamente actores patrocinados por estados.

2. Pre-Auth: La Muralla que No Existió

La mayoría de los RCE requieren un punto de apoyo—una contraseña robada, un token de sesión phishing, o un empleado aburrido haciendo clic en un enlace. Pre-auth significa que la “Muralla” ha desaparecido. Un atacante sentado en una cafetería en Frankfurt puede atacar una instancia en Nueva York y estar dentro de la red antes de que se prepare el café matutino.

3. Alto Privilegio por Diseño

El contexto del usuario del sitio en el que se ejecutan estos comandos es altamente privilegiado. Aunque no técnicamente “root,” tiene suficiente influencia para:

Volcar la base de datos PostgreSQL (que contiene configuraciones y metadatos potencialmente sensibles)
Manipular sesiones gestionadas
Interceptar el tráfico de red que pasa por el dispositivo
Crear y autorizar nuevas sesiones administrativas

Cronología de una Crisis: La Brecha del Departamento del Tesoro de EE. UU.

La velocidad con la que esto pasó de “descubrimiento” a “explotación masiva” es un testimonio del ciclo de amenazas moderno, acelerado por IA. El incidente más notable fue la brecha del Departamento del Tesoro de EE. UU.

Fecha	Evento
Septiembre 2024	Silk Typhoon (APT27) obtiene acceso inicial a la infraestructura de BeyondTrust
2 de diciembre de 2024	Se detecta actividad sospechosa en la plataforma de BeyondTrust
5 de diciembre de 2024	BeyondTrust confirma la brecha y toma medidas de protección
8 de diciembre de 2024	BeyondTrust notifica al Departamento del Tesoro y otros clientes afectados; se apaga el servicio remoto
16 de diciembre de 2024	BeyondTrust identifica y divulga CVE-2024-12356, lanza parche
18 de diciembre de 2024	CVE-2024-12686 divulgado en el aviso BT24-11
19 de diciembre de 2024	CISA añade CVE-2024-12356 al catálogo de Vulnerabilidades Explotadas Conocidas (KEV)
30 de diciembre de 2024	El Departamento del Tesoro notifica al Congreso mediante carta formal
Enero 2025	CISA añade CVE-2024-12686 al catálogo KEV
Enero 2025	Rapid7 revela que CVE-2025-1094 (inyección SQL en PostgreSQL) se usó en la cadena de explotación
5 de marzo de 2025	El Departamento de Justicia de EE. UU. acusa a dos miembros de Silk Typhoon: Yin Kecheng y Zhou Shuai

La Conexión de Silk Typhoon: Una Pesadilla Recurrente

Uno de los aspectos más preocupantes de las vulnerabilidades de BeyondTrust es su explotación por Silk Typhoon (también conocido como APT27, Hafnium, Bronze Union, Emissary Panda). Este grupo patrocinado por el estado chino ha sido vinculado a la brecha de diciembre de 2024 en el Departamento del Tesoro de EE. UU.

Perfil del Ataque

En la brecha del Tesoro, los actores de amenazas:

Robaron una clave API de BeyondTrust Remote Support SaaS en septiembre de 2024
Explotaron CVE-2024-12356 encadenada con CVE-2025-1094 para obtener ejecución remota de código no autenticada
Accedieron a aproximadamente 419 computadoras del Tesoro en varias oficinas
Exfiltraron más de 3,000 archivos no clasificados desde estaciones de trabajo
Apuntaron a la Oficina de Control de Bienes Extranjeros (OFAC)—centrándose en datos de sanciones y cumplimiento comercial
Comprometieron cuentas de alto nivel incluyendo archivos relacionados con la Secretaria Janet Yellen y el Subsecretario Wally Adeyemo

La brecha pasó desapercibida durante aproximadamente tres meses (septiembre a diciembre de 2024), destacando la sofisticación de Silk Typhoon en mantener el sigilo en entornos comprometidos.

Tácticas en Evolución de Silk Typhoon

Según la investigación de Microsoft Threat Intelligence publicada en marzo de 2025, Silk Typhoon ha evolucionado significativamente sus tácticas:

Enfoque en la cadena de suministro: cambiando de objetivos organizacionales directos a Proveedores de Servicios Gestionados (MSPs) y empresas de cadena de suministro de TI
Experiencia en la nube: demostrando comprensión sofisticada de entornos on-premises y en la nube
Robos de claves API: abusando de claves API robadas y credenciales comprometidas como vectores de entrada principales
Abuso de aplicaciones OAuth: comprometiendo aplicaciones multitenant con permisos administrativos
Exfiltración de datos vía Microsoft Graph: recopilando correos electrónicos, OneDrive y SharePoint mediante APIs legítimas
Reconocimiento de contraseñas: descubriendo contraseñas corporativas filtradas en repositorios públicos como GitHub

Microsoft describe a Silk Typhoon como poseedor “de uno de los mayores perfiles de objetivos entre actores de amenazas chinas,” capaz de aprovechar rápidamente vulnerabilidades zero-day.

Contexto Histórico

Este no es el primer rodeo de Silk Typhoon con herramientas de acceso remoto:

2021: explotó cuatro vulnerabilidades zero-day en Microsoft Exchange Server
2023: comprometió Citrix NetScaler ADC y Gateway (CVE-2023-3519)
2024: explotó firewalls de Palo Alto Networks (CVE-2024-3400)
Enero 2025: explotó la vulnerabilidad zero-day de Ivanti Pulse Connect VPN (CVE-2025-0282)

Este patrón sugiere un “desafío localizado y recurrente” con la validación de entrada en las vías de ejecución de acceso remoto. Para los atacantes, estas herramientas son el regalo que sigue dando.

Desde la Brecha en el Dispositivo hasta el Administrador de Dominio: La Cadena de Ataque

¿Cómo pasa un atacante de una sola solicitud WebSocket a cifrar todo tu entorno? Es más rápido de lo que piensas.

Paso 1: Reconocimiento (El Escaneo)

Los atacantes usan escáneres automatizados para identificar instancias vulnerables de BeyondTrust expuestas a internet. En el momento de la divulgación:

Censys observó 8,602 instancias expuestas de BeyondTrust RS & PRA globalmente (2 de enero de 2025)
El 72% de las instancias expuestas estaban geolocalizadas en Estados Unidos
Para el 6 de enero de 2025, este número aumentó a 13,548 instancias—aproximadamente 5,000 más en solo 4 días

Paso 2: El Handshake (La Explotación)

El atacante envía la solicitud WebSocket especialmente diseñada a endpoints vulnerables. En segundos, tienen capacidad de ejecución de comandos en el dispositivo. En casos documentados, los atacantes desplegaron:

China Chopper o AntSword shells web
Scripts Python personalizados para manipulación de bases de datos
Herramientas para secuestrar cuentas administrativas temporales

Paso 3: Recolección de Credenciales y Secuestro de Sesiones

La investigación ha observado que los atacantes:

Consultan la base de datos PostgreSQL para extraer credenciales almacenadas, tokens de sesión y claves SSH
Secuestran la cuenta administrativa principal (ID de usuario 1) inyectando nuevos hashes de contraseña
Obtienen acceso completo a la interfaz gráfica en 60-120 segundos—el tiempo justo para autorizar una nueva sesión de “Soporte”

Paso 4: Movimiento Lateral

Usando las capacidades nativas de “Jump” del dispositivo, los atacantes se desplazan hacia objetivos de alto valor:

Controladores de dominio para acceso completo a Active Directory
Servidores de respaldo para asegurar la pérdida de datos
Sistemas de infraestructura crítica con acceso privilegiado

Las herramientas de persistencia documentadas incluyen:

SimpleHelp RMM (Remote Monitoring and Management)
Backdoors VShell
SparkRAT para persistencia multiplataforma

Paso 5: Persistencia y Escalada de Privilegios

El análisis de Arctic Wolf en febrero de 2025 de campañas de explotación activa reveló que los atacantes:

Desplegaban binarios de SimpleHelp renombrados para parecer legítimos (p.ej., “remote access.exe”)
Escribían binarios en el directorio raíz de ProgramData con ejecución a nivel SYSTEM
Usaban PSExec para instalar SimpleHelp en múltiples dispositivos en el entorno
Creaban nuevas cuentas de dominio y las añadían a grupos de alto privilegio:
- Administradores de dominio
- Administradores de la empresa
Usaban AdsiSearcher para enumerar inventario de Active Directory
Aprovechaban Impacket SMBv2 para acceso remoto y movimiento lateral

Paso 6: Exfiltración de Datos y Objetivos Finales

Los datos sensibles son:

Comprimidos y exfiltrados vía túneles DNS o canales de Pruebas de Seguridad de Aplicaciones Out-of-Band (OAST)
Robados mediante APIs legítimas (Microsoft Graph, Exchange Web Services)
Recopilados de correos, OneDrive y SharePoint usando aplicaciones OAuth comprometidas

Las cargas útiles finales pueden incluir:

Despliegue de ransomware para ganancias financieras
Espionaje a largo plazo para objetivos de estado-nación
Compromiso de la cadena de suministro para acceso de clientes downstream

¿Estás en riesgo? Versiones afectadas y remediación

Si usas productos BeyondTrust autohospedados, la ventana de “esperar y ver” cerró hace meses.

Productos afectados y versiones

Producto	CVE	Versiones afectadas	Versión fija
Remote Support (RS)	CVE-2024-12356	Todas las versiones	24.3.1+
Privileged Remote Access (PRA)	CVE-2024-12356	Todas las versiones	24.3.1+
Remote Support (RS)	CVE-2024-12686	24.3.1 y anteriores	22.1+ (requiere parche)
Privileged Remote Access (PRA)	CVE-2024-12686	24.3.1 y anteriores	22.1+ (requiere parche)

Nota Crítica: Si usas versiones legacy (RS < 21.3 o PRA < 22.1), no puedes aplicar el parche directamente. Primero debes actualizar a una versión soportada. Estas instancias legacy son los principales objetivos de las operaciones actuales de amenazas.

Clientes en la nube: BeyondTrust parchó automáticamente todas las instancias SaaS, sin necesidad de acción adicional.

Pasos inmediatos de mitigación

1. Parchea inmediatamente

Este es el único arreglo permanente. Sigue la guía del proveedor en BeyondTrust Trust Center.

2. Restringe el acceso a la red

Mueve el portal web del dispositivo detrás de un VPN o usa listas blancas IP estrictas
No expongas endpoints WebSocket a internet en general
Segmenta el acceso a la red solo a redes administrativas confiables

3. Audita logs de forma agresiva

Busca indicadores de compromiso:

Patrones de acceso HTTP: - Solicitudes HTTP GET a /get_portal_info seguidas de actualizaciones inmediatas a WebSocket en /nw - Parámetros remoteVersion inusuales en handshakes de WebSocket - Conexiones anómalas desde ubicaciones geográficas inesperadas

Indicadores post-explotación: - Binarios de SimpleHelp RMM en el directorio ProgramData - Descripción del archivo: “SimpleHelp Remote Access Client” - Nombres sospechosos: “remote access.exe”, “support.exe” - Actividad de PSExec distribuyendo ejecutables en múltiples dispositivos - Solicitudes de configuración de sesión SMBv2 de Impacket tempranas en la línea de tiempo de compromiso - Consultas AdsiSearcher para enumeración de Active Directory - Cuentas de dominio nuevas creadas y añadidas a grupos de admin - Comandos net user y nltest inusuales para reconocimiento de dominio

4. Monitorea tráfico saliente

Busca consultas DNS inusuales o conexiones a dominios OAST conocidos (ej., interactsh, burpcollaborator)
Monitorea exfiltración de datos vía APIs legítimas (Microsoft Graph, EWS)
Revisa permisos de aplicaciones OAuth sospechosas con permisos administrativos

5. Rota credenciales

Rota todas las credenciales almacenadas en la bóveda de credenciales de BeyondTrust
Cambia contraseñas administrativas de cuentas con acceso al dispositivo
Revisa y revoca permisos de aplicaciones OAuth sospechosas
Audita permisos de service principal en Azure AD/Entra ID

6. Busca persistencia

Busca herramientas legítimas renombradas (SimpleHelp, AnyDesk, TeamViewer) usadas maliciosamente
Revisa webshells (China Chopper, AntSword) en directorios accesibles vía web
Revisa tareas programadas y elementos de inicio para mecanismos de persistencia

La realidad del reconocimiento: Inteligencia de GreyNoise

GreyNoise proporciona inteligencia valiosa sobre el panorama de explotación:

Cronología de la explotación temprana

10 de febrero de 2025: Exploits de prueba de concepto para variantes más nuevas publicados en GitHub
11 de febrero de 2025: GreyNoise registra sondeos de reconocimiento para instancias vulnerables
En 24 horas: campañas de escaneo masivo observadas globalmente

Características del ataque

Actor dominante único: una IP representó 86% de todas las sesiones de reconocimiento observadas
- Asociada a un VPN comercial en Frankfurt, Alemania
- Scanner activo desde 2023, adoptando rápidamente nuevas verificaciones de vulnerabilidades
Puertos no estándar atacados: los atacantes sondaron sistemáticamente grupos de puertos no estándar, sugiriendo conocimiento de que las empresas a menudo mueven BeyondTrust a puertos no predeterminados para “seguridad por oscuridad”
Escaneo basado en Linux: 100% de sesiones mostraron características de pila Linux
- MSS de huella TCP de 1358 (vs. estándar 1460)
- Confirma encapsulación de túnel VPN en la capa de red

Sofisticación del escaneo

Los atacantes demostraron conocimiento de: - Patrones de despliegue predeterminados y no predeterminados de BeyondTrust - Técnicas OAST (Pruebas de Seguridad de Aplicaciones Out-of-Band) para confirmación de vulnerabilidades - Explotación simultánea de múltiples vulnerabilidades en varios productos

Respuesta de CISA y Mandatos Federales

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha tomado acciones agresivas:

Catálogo de Vulnerabilidades Explotadas Conocidas (KEV)

CVE-2024-12356: Añadido el 19 de diciembre de 2024 - Las agencias federales deben parchear antes de fecha límite específica (usualmente 3 semanas)

CVE-2024-12686: Añadido el 13 de enero de 2025 - Las agencias federales deben parchear antes de 3 de febrero de 2025

Directiva de CISA

CISA insta firmemente a todas las organizaciones—no solo agencias federales—a:

Aplicar mitigaciones según instrucciones del proveedor inmediatamente
Dejar de usar el producto si las mitigaciones no están disponibles
Priorizar la remediación oportuna para reducir la exposición a ciberataques

La paradoja del perímetro protegido

Los incidentes de BeyondTrust resaltan una paradoja fundamental en la ciberseguridad moderna: las herramientas que usamos para asegurar nuestro perímetro a menudo son los agujeros más peligrosos en él.

El problema con el acceso privilegiado centralizado

Los dispositivos tradicionales, incluso los de alta gama como BeyondTrust, crean un “centro de gravedad” para los atacantes. Si ese centro se compromete, toda la arquitectura de seguridad colapsa.

Por qué las herramientas de acceso remoto son objetivos principales: - Son puertas de entrada diseñadas para privilegios elevados - Almacenan credenciales para los sistemas más sensibles - Se ubican en segmentos de red privilegiados - Tienen razones legítimas de negocio para acceder a todo - A menudo están expuestos a internet para soporte remoto

El auge de la “Deuda de Identidad”

Estas vulnerabilidades también exponen la “Deuda de Identidad” que muchas organizaciones llevan:

Demasiadas cuentas de servicio altamente privilegiadas sin gestionar vinculadas a estos dispositivos
Permisos excesivos otorgados a cuentas de soporte “por si acaso”
Credenciales obsoletas que deberían haberse rotado hace mucho
Monitoreo insuficiente del uso de accesos privilegiados

Cuando el dispositivo cae, esas cuentas se convierten en las armas más poderosas del atacante.

El nuevo estándar de defensa: avanzar más allá de puntos únicos de fallo

CVE-2024-12356, CVE-2024-12686, y las vulnerabilidades relacionadas no son solo errores; son advertencias. Demuestran que incluso en 2025, con todas nuestras defensas impulsadas por IA, una simple falta de sanitización de entrada en un script crítico puede saltarse todo.

El camino a seguir: Arquitectura Zero Trust

La industria debe acelerar el cambio de “Acceso Remoto” a “Acceso Basado en Identidad” con principios Zero Trust:

Eliminar privilegios permanentes
- Implementar acceso Just-In-Time (JIT) para tareas administrativas
- Usar credenciales efímeras que expiren tras un solo uso
- Otorgar acceso con menor privilegio según contexto y riesgo
Descentralizar la gestión de identidades
- Distribuir el acceso privilegiado en múltiples sistemas aislados
- Implementar microsegmentación para limitar el radio de daño
- Usar federación de identidades con MFA fuerte en todos lados
Mentalidad de suponer que se ha roto
- Monitorear continuamente para detectar accesos privilegiados anómalos
- Implementar analítica conductual para detección de amenazas en identidad
- Desplegar tecnología de engaño en sistemas clave
Asegurar la cadena de suministro
- Evaluar soluciones de acceso remoto de terceros rigurosamente
- Implementar gestión de riesgos de la cadena de suministro
- Requerir atestaciones de seguridad a los proveedores
- Considerar alternativas autohospedadas con monitoreo avanzado

Lecciones para los equipos de seguridad

Para CISOs y líderes de seguridad: - Las herramientas de acceso remoto deben tratarse como activos Tier-0 que requieren máxima protección - Implementar defensa en profundidad en la gestión de acceso privilegiado - Realizar ejercicios de simulación para brechas basadas en identidad - Invertir en inteligencia de amenazas para advertencias tempranas

Para los equipos SOC: - Integrar fuentes de inteligencia de vulnerabilidades en tiempo real - Monitorear intentos de reconocimiento tempranos (incluso fallidos) - Crear reglas de detección personalizadas para anomalías en WebSocket - Buscar herramientas legítimas renombradas usadas maliciosamente

Para los equipos de gestión de identidades y accesos: - Auditar todas las cuentas privilegiadas trimestralmente - Implementar políticas automáticas de rotación de credenciales - Monitorear abusos de OAuth y uso sospechoso de API - Usar Estaciones de Trabajo de Acceso Privilegiado (PAWs) para tareas administrativas

Conclusión: La batalla sin fin

Los incidentes de seguridad de BeyondTrust en 2024-2025 sirven como un recordatorio contundente de que las soluciones de gestión de acceso privilegiado pueden convertirse en el vector de ataque definitivo. La ironía es amarga pero instructiva: las mismas herramientas diseñadas para proteger nuestro acceso más sensible, cuando se comprometen, pueden dar a los atacantes todo lo que necesitan.

Puntos clave:

Las vulnerabilidades RCE pre-autenticación en herramientas de identidad y acceso representan un riesgo catastrófico
Actores de estado-nación como Silk Typhoon atacan activamente estos sistemas de alto valor
Los ataques a la cadena de suministro mediante MSPs y proveedores de TI comprometidos están en aumento
La detección requiere vigilancia constante: las brechas pueden persistir meses sin ser detectadas
Zero Trust no es opcional: hay que eliminar los puntos únicos de fallo

El “Santo Grial” del RCE existe porque todavía confiamos en puntos únicos de fallo para nuestro acceso más sensible. De cara al futuro, la industria debe adoptar:

Arquitecturas de identidad descentralizadas
Permisos efímeros y just-in-time
Verificación y monitoreo continuos
Segmentación y aislamiento de sistemas privilegiados

Ningún dispositivo—por muy confiable, caro o “seguro” que diga ser—debería tener las llaves de todo tu dominio. La fuga de BeyondTrust nos ha enseñado esa lección una vez más.

La pregunta es: ¿aprendremos finalmente?

Recursos y Referencias

Este artículo fue actualizado por última vez en febrero de 2025 con la última inteligencia de amenazas y detalles de explotación.