SOC Threat Radar — agosto de 2026

Los últimos hallazgos de Barracuda Research sobre amenazas que afrontan las empresas

Conclusiones principales

• Los incidentes mitigados en el último mes por Barracuda Managed XDR destacan el riesgo continuo de que los atacantes exploten software confiable y legítimo.
• Esto incluye atacantes que buscan implementaciones vulnerables de GlobalProtect, y el riesgo de firewalls mal configurados y servicios remotos confiables expuestos.

Los atacantes están buscando implementaciones vulnerables de GlobalProtect (CVE-2026-0257)

Qué está pasando:

CVE-2026-0257 es una vulnerabilidad que afecta a los servicios GlobalProtect agnósticos de SO de Palo Alto. La explotación exitosa podría permitir a un atacante eludir los controles de autenticación normales, establecer una sesión VPN como si fuera un usuario legítimo, obtener acceso a recursos internos accesibles a través de la VPN y crear una base para actividades posteriores, como reconocimiento, robo de credenciales o movimiento lateral.

El equipo SOC de Barracuda Managed XDR ha detectado dos oleadas de actividad de escaneo entrante que se originan en infraestructuras de atacantes conocidas y tienen como objetivo los servicios de GlobalProtect expuestos públicamente en Bélgica. Es probable que los atacantes estén buscando sistemas vulnerables o sin parches tras la divulgación pública del CVE.

Su organización puede estar en riesgo si usted:

• Operar gateways GlobalProtect de cara a internet.
• No se han aplicado las últimas actualizaciones de seguridad que abordan CVE-2026-0257.
• Permitir el acceso directo por VPN desde internet sin controles de seguridad adicionales.
• Falta de monitoreo para intentos de autenticación sospechosos, actividad de escaneo o sesiones de VPN inusuales.
• Confíe en gran medida en la autenticación perimetral sin controles de acceso en capas.

La vulnerabilidad ha sido explotada en el entorno desde mayo, pero no afecta a todas las implementaciones de GlobalProtect. Según Palo Alto Networks, la explotación requiere que se configure un portal o gateway de GlobalProtect, que se habiliten las cookies de anulación de autenticación y que haya una configuración de certificado específica relacionada con esas cookies.

Cómo mantenerse seguro:

• Aplique las actualizaciones y parches de seguridad del proveedor lo antes posible.
• Revise la exposición de los servicios de GlobalProtect y elimine el acceso innecesario orientado a internet.
• Restringir el acceso a los portales VPN siempre que sea posible mediante listas de permitidos de IP o segmentación de red.
• Supervise la actividad de escaneo, intentos de inicio de sesión inusuales y sesiones VPN inesperadas.
• Habilite la autenticación multifactor (MFA) donde sea compatible.
• Deshabilitar las cookies de anulación de autenticación si no son necesarias.

La actividad de escaneo fue detectada por el equipo de SOC durante una búsqueda rutinaria de amenazas tras la divulgación pública del CVE. Se bloquearon todos los intentos de acceso, y no se produjo ninguna explotación.

Campaña de recolección de credenciales contra servicios de acceso remoto expuestos destaca los riesgos de reglas de firewall débiles

Qué está pasando:

El equipo del SOC detectó que unos atacantes intentaban acceder a la VPN de acceso remoto de Fortinet de un cliente mediante el método de «credential stuffing» (utilizando nombres de usuario y contraseñas comprometidos que habían sido robados en filtraciones anteriores).

La investigación del equipo descubrió una configuración incorrecta crítica del firewall en la red de un cliente objetivo que permitía un acceso amplio a internet a varios servicios de alto riesgo, incluidos SSL VPN, Remote Desktop Protocol (RDP) y Telnet. Los servicios expuestos atrajeron actividad de múltiples grupos de escaneo no relacionados, demostrando cómo los servicios administrativos accesibles públicamente pueden convertirse rápidamente en objetivos para una amplia gama de actores de amenazas.

La mala configuración resultó en reglas de firewall excesivamente permisivas. El incidente muestra que esto puede expandir significativamente la superficie de ataque de una organización y aumentar la exposición tanto a ataques oportunistas como dirigidos.

Su organización puede estar en riesgo si usted:

• Exponer SSL VPN, RDP, Telnet u otros servicios de acceso remoto directamente a internet.
• Utilice reglas de firewall que permitan un acceso entrante amplio o sin restricciones.
• Confiar únicamente en las contraseñas para la autenticación de acceso remoto.
• No bloquee activamente direcciones IP maliciosas conocidas ni infraestructura de amenazas.
• No se han revisado las configuraciones del firewall en función del principio de privilegio mínimo.

Cómo mantenerse seguro:

• Restringir el acceso externo a servicios críticos para el negocio.
• Elimine o deshabilite los protocolos heredados como Telnet siempre que sea posible.
• Habilitar MFA para todos los servicios de acceso remoto.
• Revise las reglas del firewall regularmente y elimine la exposición innecesaria a internet.
• Limite el acceso administrativo utilizando restricciones de IP, VPN o controles de acceso privilegiado.
• Supervise los servicios de acceso remoto en busca de ataques de fuerza bruta, intentos de relleno de credenciales y actividad de autenticación sospechosa.
• Bloquear direcciones IP maliciosas conocidas e infraestructuras de actores de amenazas cuando sea apropiado.

Los atacantes abusan del software de confianza para obtener acceso remoto persistente a los endpoints.

Qué está pasando:

El equipo de SOC identificó un incidente activo de troyano de acceso remoto (RAT) que involucraba el abuso del software ScreenConnect (ConnectWise Control) para establecer un acceso remoto persistente en un extremo.

La investigación reveló múltiples clientes de ScreenConnect no autorizados configurados para acceso desatendido y comunicándose con dominios externos sospechosos a través de puertos de red no estándar. Los analistas también descubrieron que el software había sido colocado dentro del directorio Windows System32 junto con scripts de comandos. Dicho comportamiento es inconsistente con las implementaciones típicas de negocios y es un fuerte indicativo de actividad maliciosa.

El caso ilustra una tendencia creciente en la que los actores de amenazas abusan de herramientas legítimas de administración remota, a menudo referidas como "vivir de software de confianza", para mezclarse con la actividad normal y mantener el acceso a largo plazo a sistemas comprometidos.

Su organización puede estar en riesgo si usted:

• No mantener un inventario de herramientas de administración remota aprobadas.
• Permitir instalaciones de software sin la supervisión o el monitoreo adecuados.
• Tener herramientas de acceso remoto configuradas para acceso no asistido sin controles de seguridad fuertes.
• No requiera MFA para las plataformas de administración remota.
• Falta de visibilidad de instalaciones de software inusuales, conexiones salientes o mecanismos de persistencia.

Cómo mantenerse seguro:

• Mantén y revisa regularmente un inventario de herramientas de gestión remota aprobadas.
• Investigue cualquier instalación inesperada de ScreenConnect u otro software de acceso remoto.
• Habilitar MFA para todas las plataformas de administración y soporte remoto.
• Supervise las conexiones a infraestructuras de gestión remota desconocidas y puertos de red inusuales.
• Revise los puntos finales en busca de servicios no autorizados, tareas programadas, elementos de inicio y mecanismos de persistencia.
• Restringe los privilegios de administrador local y los derechos de instalación de aplicaciones cuando sea posible.
• Investigue el software instalado en directorios inusuales, particularmente en ubicaciones críticas del sistema como Windows System32.
• Aísle los sistemas afectados de inmediato si se detecta actividad de acceso remoto no autorizada.

El equipo SOC aisló el endpoint vulnerable para interrumpir el acceso del atacante mientras el equipo investigaba y neutralizaba cualquier mecanismo de persistencia.

Cómo Barracuda Managed XDR puede ayudar a su organización

Barracuda Managed XDR ofrece una protección avanzada contra las amenazas identificadas en este informe al combinar tecnología de vanguardia con la supervisión experta del SOC. Con inteligencia de amenazas en tiempo real, respuestas automatizadas, un equipo SOC disponible las 24 horas del día, los 7 días de la semana, los 365 días del año, y

XDR Managed Vulnerability Security que identifica las brechas y omisiones de seguridad, Barracuda Managed XDR garantiza una protección integral y proactiva en toda su red, nube, correo electrónico, servidores y endpoints, ofreciéndole la confianza para adelantarse a las amenazas en evolución.

Para obtener más información sobre cómo podemos ayudar, póngase en contacto con Barracuda Managed XDR.