Datos clave

• Los hackers explotaron una vulnerabilidad de inyección de comandos en las VPNs ArrayOS AG, apuntando a empresas japonesas desde agosto de 2025.
• El fallo permitía a los atacantes ejecutar cualquier comando sin necesidad de contraseña.
• Se instalaron webshells, otorgando a los intrusos acceso persistente y secreto a las redes internas.
• Array Networks publicó una solución en mayo de 2025, pero muchos sistemas permanecieron sin actualizar y vulnerables durante meses.
• Los atacantes utilizaron una sola IP de centro de comando, lo que sugiere una campaña organizada y en curso.

Puentes levadizos digitales bajados: una brecha en el muro

Imagina un castillo cuyo puente levadizo, diseñado para mantener a los invasores fuera, está en realidad manipulado para dejarles entrar sin ser detectados. Esa es la realidad que enfrentan decenas de organizaciones japonesas cuyas redes privadas virtuales (VPNs), los puentes levadizos digitales de la empresa, han sido comprometidas silenciosamente por una astuta vulnerabilidad en los sistemas ArrayOS AG de Array Networks.

Desde agosto de 2025, los ciberdelincuentes han estado explotando un fallo en la función “DesktopDirect”, creada para que los empleados pudieran acceder de forma segura a sus escritorios de trabajo de manera remota. En cambio, abrió un pasadizo secreto: un bug de “inyección de comandos” que permitía a los atacantes emitir cualquier orden que quisieran, sin necesidad de iniciar sesión. En la práctica, los atacantes podían susurrar instrucciones directamente al corazón de la red, esquivando cerraduras y contraseñas por completo.

Webshells: la mano oculta de los hackers

Una vez dentro, los hackers plantaron webshells: herramientas de software sigilosas que funcionan como puestos de escucha digitales y controles remotos. Con una webshell instalada, un intruso puede explorar en silencio, robar datos o incluso crear nuevas cuentas de usuario para asegurar el acceso de respaldo. JPCERT/CC, el principal equipo de emergencia cibernética de Japón, descubrió que los atacantes apuntaron a la carpeta “/ca/aproxy/webapp/”, dejando archivos PHP maliciosos como punto de apoyo persistente.

Durante meses, estos ataques pasaron en gran medida desapercibidos. Los registros muestran una sola dirección IP coordinando gran parte de la actividad, lo que sugiere una campaña disciplinada, posiblemente respaldada por un Estado. Los métodos de los atacantes recuerdan a brechas notorias en dispositivos VPN en años recientes -como los incidentes de Pulse Secure y Fortinet- donde la lentitud en aplicar parches y los puntos ciegos de la red permitieron a los adversarios permanecer y expandir su alcance.

La tormenta perfecta: demoras, parches y el factor humano

Array Networks ya había publicado un parche en mayo de 2025, pero la solución requería reiniciar el sistema, un paso que puede eliminar pruebas forenses vitales y que a menudo es postergado por equipos de TI cautelosos. Esta ventana de vacilación fue todo lo que los hackers necesitaron. La lección es clara: en el mundo de la seguridad empresarial, incluso una breve demora en aplicar parches puede ser la diferencia entre la seguridad y una brecha a gran escala.

El ataque expone un riesgo más amplio de mercado y geopolítico. Con el trabajo remoto ahora como norma, las VPNs son infraestructura crítica, y su compromiso puede repercutir en cadenas de suministro, agencias gubernamentales y socios globales. El enfoque de la campaña en empresas japonesas sugiere motivos económicos o estratégicos específicos, un patrón visto en los últimos años a medida que los ciberataques se convierten en herramientas cada vez más precisas de diplomacia y espionaje industrial.

WIKICROOK

• Inyección de comandos: La inyección de comandos es una vulnerabilidad donde los atacantes engañan a los sistemas para ejecutar comandos no autorizados insertando entradas maliciosas en campos o interfaces de usuario.
• Webshell: Una webshell es un programa oculto subido por hackers a un sitio web comprometido, dándoles control remoto y acceso no autorizado como una puerta trasera secreta.
• VPN (Red Privada Virtual): Una VPN cifra tu conexión a Internet y oculta tu dirección IP, proporcionando mayor privacidad y seguridad al navegar en línea o usar Wi-Fi público.
• Parche: Un parche es una actualización de software lanzada para corregir vulnerabilidades de seguridad o errores en programas, ayudando a proteger los dispositivos de amenazas cibernéticas y mejorar la estabilidad.
• Evidencia forense: La evidencia forense es material analizado con métodos científicos, como ADN o huellas dactilares, para identificar sospechosos y respaldar investigaciones criminales.