Boletín — septiembre 2024

Septiembre cierra con la noticia que va a marcar el resto del año en seguridad telco: el WSJ publica el 25 que Salt Typhoon, un grupo APT atribuido a China, lleva meses dentro de Verizon, AT&T y Lumen. Antes, el mes había dado para más: OpenAI estrenó o1 el 12, Microsoft parcheó cuatro zero-days, Cisco publicó un advisory con credenciales hardcoded, 23andMe firmó un settlement de 30 millones, el FBI desmanteló la botnet de Flax Typhoon, y en el lado físico Mossad detonó los pagers de Hezbollah desde dentro de la cadena de suministro.

Salt Typhoon dentro de Verizon, AT&T y Lumen

El 25 de septiembre el WSJ publica que un grupo APT al que Microsoft llama Salt Typhoon lleva tiempo dentro de la red de varios operadores estadounidenses: Verizon, AT&T, Lumen, y según reportes posteriores también T-Mobile. El acceso no es a un cliente final, es a infraestructura central de los operadores.

Lo que en septiembre se sabe en abierto es esto:

• El acceso lleva meses, posiblemente más de un año.
• Los operadores están investigando con Mandiant y CrowdStrike. La caracterización pública es exfiltración de metadatos masiva.
• La atribución a un actor chino con vinculación a inteligencia estatal viene del propio reporte WSJ y se irá confirmando en CISA/FBI.
• En octubre va a aparecer la pieza clave que en septiembre todavía no está pública: los atacantes tocaron también los sistemas CALEA, la infraestructura que los operadores mantienen por ley para servir órdenes de intercepción judicial al gobierno. Eso significa que el grupo, en teoría, podría ver qué números está pinchando EEUU.

A 30 de septiembre Salt Typhoon es ya un caso real con telco confirmadas. La parte CALEA, el alcance final (nueve operadores) y la confirmación oficial de CISA llegan los meses siguientes.

La lectura sobria: una infraestructura que existe por mandato regulatorio para servir intercepciones legales es un blanco apetecible para un servicio de inteligencia extranjero, y ha tardado años en ser auditada con ese threat model en mente. No es ciberguerra, es espionaje hecho con la calma operativa que cubrimos en el patrón de 2023.

Fuente: https://www.wsj.com/politics/national-security/china-cyberattack-internet-providers-260bd835 · resumen abierto: https://www.theregister.com/2024/10/07/verizon_att_lumen_salt_typhoon/

OpenAI o1 y la cadena de pensamiento oculta

12 de septiembre. OpenAI publica o1-preview y o1-mini, primeros modelos comerciales entrenados por refuerzo para generar una cadena de pensamiento larga antes de responder. La cadena no se sirve al usuario, se resume; el modelo razona en privado y entrega solo el output final.

OpenAI presenta dos métricas: mejoras notables en matemáticas, código y ciencia (83 % en AIME 2024 frente a 13 % de GPT-4o), y mejora también en jailbreak resistance (StrongREJECT 84 vs 22). El system card es público el mismo 12.

En 48 horas, Pliny the Liberator publica capturas de o1 obedeciendo prompts que GPT-4o rechazaba y filtrando trozos de su propio system prompt. Simon Willison publica notas técnicas el mismo día: la opacidad de los reasoning tokens es un retroceso de interpretabilidad para quien despliega el modelo. Marco Figueroa (programa Mozilla 0Din) prepara bypasses vía hex-encoding que se publicarán a finales de octubre.

Lo cubrimos en el técnico del mes. La lectura corta para arquitectos: la cadena de pensamiento es un canal nuevo entre prompt y respuesta. El atacante puede empujar el modelo a deliberar cosas que el output filter no atrapa. Y la API no devuelve el contenido de los reasoning tokens, solo el conteo facturado. Los logs de producción se quedan con un agujero hasta que OpenAI cambie esa decisión.

Fuente: https://openai.com/index/learning-to-reason-with-llms/ · system card: https://cdn.openai.com/o1-system-card.pdf

CVE-2024-43461 (MSHTML) y CVE-2024-38217 (LNK stomping)

Patch Tuesday del 10 de septiembre. Microsoft cierra 79 vulnerabilidades; cuatro están siendo explotadas in the wild. Dos merecen atención:

CVE-2024-43461 — MSHTML platform spoofing, CVSS 8.8. Es complementaria a la CVE-2024-38112 parcheada en julio: ambas forman parte de la cadena que Void Banshee utilizaba para entregar el infostealer Atlantida desde antes de julio. Microsoft inicialmente no marca la CVE como explotada en el advisory; el 13 de septiembre rectifica y reconoce el zero-day. La conclusión técnica: parchear solo la pieza de julio no cierra la cadena, hay que aplicar también la de septiembre.

CVE-2024-38217 — LNK stomping, reportado por Joe Desimone (Elastic Security). Permite saltarse Mark of the Web y Smart App Control con un .lnk con estructura interna no estándar. Según el reporte, la técnica está siendo usada activamente desde 2018. Una pieza pequeña con vida muy larga, no parcheada en seis años.

Las otras dos zero-days del mes (CVE-2024-38014 Windows Installer EoP, CVE-2024-38226 Office Publisher Macros) son habituales del catálogo CISA KEV. Lo notable de este Patch Tuesday es que tres de los cuatro zero-days tienen vidas previas que Microsoft no había reconocido públicamente.

Fuente: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-43461 · análisis Trend Micro ZDI: https://www.zerodayinitiative.com/blog/2024/9/16/cve-2024-43461-an-old-friend-windows-mshtml-spoofing-vulnerability

Cisco Smart Licensing Utility — credenciales hardcoded en producción

4 de septiembre. Cisco publica advisory de CVE-2024-20439 (CVSS 9.8): la Smart Licensing Utility trae una cuenta administrativa con credenciales estáticas hardcoded en el código. Versiones 2.0.0 a 2.2.x; arreglado en 2.3.0. Más adelante, CVE-2024-20440 completa el cuadro (disclosure de logs via debug habilitado por defecto, que filtra credenciales).

La cuenta de administrador estaba documentada internamente como development account y nunca se quitó antes de release. CWE-798 (hardcoded credentials) combinado con CWE-912 (hidden functionality). En marzo de 2025, CISA añade la CVE al catálogo KEV: explotación confirmada.

No hay novedad técnica en el bug. Lo que sí es novedad es que un vendor enterprise siga publicando software con credenciales estáticas en 2024, y que el proceso de release haya pasado por encima. La parte triste es la sistemática: cualquier auditor que hubiera ejecutado strings sobre el binario habría visto la credencial. Está claro que no se hace.

Fuente: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cslu-7gHMzWmw · NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-20439

23andMe paga 30 millones por el breach de 2023

13 de septiembre. 23andMe presenta ante el tribunal un settlement de 30 millones de dólares para cerrar más de cuarenta class actions consolidadas por el credential stuffing de octubre de 2023, en el que 6,9 millones de perfiles quedaron expuestos vía la función DNA Relatives. De los 30 millones, 25 los cubre el seguro cyber; los otros 5 los pone la compañía, con la situación financiera ya delicada (los ingresos venían bajando y la valoración no había acompañado el IPO).

Lo notable del settlement no es el importe sino la asimetría: 6,9 millones de perfiles con información genética y de parentesco a unos pocos dólares por afectado, con tres años de Privacy & Medical Shield + Genetic Monitoring como complemento. Para una compañía cuyo producto es exactamente el dato sensible que se filtró, no parece disuasivo.

El patrón operativo del incidente (credential stuffing contra una función social mal diseñada) ya estaba claro en 2023. El settlement de 2024 confirma lo que sospechábamos: en US la consecuencia legal de un breach de datos genéticos sin HIPAA aplicable se queda en cifras manejables.

Fuente: https://23andmedatasettlement.com/ · cobertura: https://www.law360.com/pulse/articles/1879177/

FBI desmantela la botnet de Flax Typhoon

18 de septiembre. El director del FBI, Christopher Wray, anuncia en Aspen Cyber Summit que el bureau, con socios internacionales, ha desmantelado una botnet operada por Flax Typhoon, grupo chino atribuido a la empresa Integrity Technology Group (“Integrity Tech”). La botnet sumaba 260.000+ dispositivos en su pico de junio, mayoritariamente en EEUU: routers SOHO, cámaras IP, NVR, NAS de consumo.

Operación judicialmente autorizada, con sinkholeing y emisión de comandos para limpiar los dispositivos comprometidos. Los operadores intentaron migrar la infraestructura a nuevos C2 y lanzaron DDoS contra los servidores del FBI durante la operación; el FBI identificó la infraestructura nueva en horas y siguió empujando.

Flax Typhoon, a diferencia del Volt Typhoon que ya se había trabajado en enero, no se centra en routers de operador sino en IoT doméstico. El patrón sigue siendo el mismo: comprometer dispositivos con poca telemetría y usarlos como residential proxy para ocultar tráfico de operaciones contra blancos US. Treasury sanciona a Integrity Tech en enero de 2025.

Fuente: https://www.fbi.gov/news/stories/fbi-director-announces-chinese-botnet-disruption-exposes-flax-typhoon-hacker-group-s-true-identity-at-aspen-cyber-summit

Mossad y los pagers de Hezbollah

17 de septiembre. Aproximadamente a las 15:30 hora local, miles de pagers utilizados por miembros de Hezbollah detonan simultáneamente en Líbano y Siria. Al día siguiente, lo mismo con walkie-talkies. Saldo público: 30+ muertos y miles de heridos. Reportes posteriores atribuyen la operación al Mossad vía infiltración de la cadena de suministro: explosivo PETN integrado en la batería del propio dispositivo durante el ensamblaje en una fábrica controlada por shell companies del servicio israelí, vendida a Hezbollah a través de un distribuidor conocido (Gold Apollo, marca taiwanesa cuyo nombre acaba apareciendo en los dispositivos).

Para un blog técnico la lectura va por aquí: la pieza es supply-chain de hardware, no malware. Una operación que llevaba años preparándose, con shell companies cruzadas para mover producto, una saleswoman captada sin saberlo, y un payload que vive físicamente dentro del aparato. Es la misma clase de pregunta que XZ-utils plantea para software: ¿cuándo confiamos en la pieza que hemos comprado, y qué validación independiente cabe realmente sobre el material de un proveedor? Para hardware la respuesta es peor: no hay equivalente de diff sobre el silicio que llega a la planta.

Quien quiera la versión completa con análisis forense de los dispositivos: cobertura de Reuters y NYT del 18 y 19 de septiembre, más el reportaje posterior de 60 Minutes con ex-agentes de Mossad confirmando el outline de la operación.

Fuente: https://www.reuters.com/world/middle-east/walkie-talkies-explode-lebanon-day-after-pager-blasts-2024-09-18/

Resto del mes

• iOS 18 / iPhone 16 (16 sep) — release sin Apple Intelligence en day-one (llega con 18.1 en octubre). Cambios de seguridad: Private Cloud Compute pasa de promesa de WWDC a documentación pública. Para deployers empresariales, novedad de relevancia: nuevo modelo de intent para acceso a clipboard y portapapeles.
• GAZEploit / CVE-2024-40865 (visionOS 1.3, julio; cobertura pública en septiembre) — paper de University of Florida + CertiK + Texas Tech: el avatar Persona de Vision Pro filtra el movimiento ocular durante el typing por mirada, y un atacante con acceso a la videollamada puede reconstruir las pulsaciones de teclado virtual con 77 % de acierto en contraseñas (top-5) y 92 % en mensajes. Apple lo arregla en visionOS 1.3 suspendiendo Persona cuando el teclado virtual está activo. Aceptado a ACM CCS 2024, no USENIX como circuló en algún resumen.
• RAMBO attack — Mordechai Guri (Ben-Gurion University) publica una técnica que usa los buses de RAM como antena para exfiltrar datos por radio en sistemas air-gapped. Distancia útil reportada: pocos metros, baja tasa. La línea de investigación lleva quince años; sigue siendo papel más que amenaza operativa, pero es lectura útil para entender cómo se diseñan controles físicos.
• Mandiant publica investigación sobre UNC1860 (irán), un cluster con backdoors persistentes en infraestructura de Oriente Medio. Sin parche que poner, sí lectura.
• GitLab CVE-2024-45409 (10 sep) — bypass de SAML auth via ruby-saml; CVSS 10.0; explotado en KEV el 18.
• Ivanti Cloud Service Appliance CVE-2024-8190 (10 sep) — command injection autenticado, CVSS 7.2; añadido al catálogo KEV el 13 de septiembre, PoC público de Horizon3 a los pocos días.

Patrón del mes

Si hay un eje transversal en septiembre, es acceso persistente que llevaba tiempo y no se vio: Salt Typhoon en telco, Flax Typhoon en IoT doméstico, Void Banshee con MSHTML desde antes de julio, LNK stomping desde 2018, Mossad dentro de la cadena de Gold Apollo desde hace años. La conclusión se repite respecto a diciembre 2023: el atacante invierte tiempo, el defensor opera con prisa.

Octubre va a llegar con el otro hilo: agentes AI que mueven el ratón (Computer Use de Anthropic), el deadline de NIS2, y la continuación del caso CALEA. Mientras tanto, el técnico del mes entra en o1 con calma.