Los hackers del PCCh se ocultaron dentro de las redes gubernamentales de F5 durante años
- Los hackers vinculados a China se infiltraron en los sistemas de F5 a finales de 2023 y permanecieron ocultos hasta agosto de 2025.
- El incidente ocurrió porque los empleados de F5 ignoraron las normas internas de ciberseguridad, dejando el software expuesto en línea.
- Los hackers utilizaron el malware Brickstorm y robaron el código fuente y los datos sobre vulnerabilidades, lo que provocó alertas de los gobiernos de Estados Unidos y el Reino Unido.
Según Bloomberg, los hackers vinculados a las unidades cibernéticas respaldadas por el estado de China se infiltraron en las redes internas de F5 a finales de 2023 y permanecieron ocultos hasta este agosto.
La empresa de ciberseguridad con sede en Seattle admitió en sus documentos que sus sistemas habían sido comprometidos durante casi dos años, lo que permitió a los atacantes tener «acceso persistente a largo plazo» a su infraestructura interna.
La filtración reportedly expuso código fuente, datos de configuración sensibles e información sobre vulnerabilidades de software no divulgadas en su plataforma BIG-IP, una tecnología que impulsa las redes del 85% de las empresas Fortune 500 y muchas agencias federales de EE. UU.
Los hackers entraron a través del propio software de F5, que había quedado expuesto en línea después de que los empleados no siguieran las políticas de seguridad internas. Los atacantes explotaron ese punto débil para entrar y deambular libremente dentro de sistemas que deberían haber estado bloqueados.
La compañía F5 dijo a los clientes que la omisión violaba directamente las mismas pautas de ciberseguridad que la empresa enseña a sus clientes a seguir. Cuando se hizo pública la noticia, las acciones de F5 cayeron más de un 10% el 16 de octubre, borrando millones en valor de mercado.
«Dado que esa información de vulnerabilidad está ahí fuera, todos los que usan F5 deberían asumir que están comprometidos», dijo Chris Woods, un antiguo ejecutivo de seguridad de HP que ahora es fundador de CyberQ Group Ltd., una empresa de servicios de ciberseguridad en el Reino Unido.
Los hackers utilizaron la propia tecnología de F5 para mantener el sigilo y el control
Según Bloomberg, F5 envió a los clientes el miércoles una guía de caza de amenazas para un tipo de malware llamado Brickstorm utilizado por hackers respaldados por el estado chino.
Mandiant, contratada por F5, confirmó que Brickstorm permitía a los hackers moverse silenciosamente a través de máquinas virtuales VMware y una infraestructura más profunda. Después de asegurar su punto de apoyo, los intrusos permanecieron inactivos durante más de un año, una táctica antigua pero efectiva destinada a superar el período de retención de registros de seguridad de la empresa.
Los registros, que registran cada rastro digital, a menudo se eliminan después de 12 meses para ahorrar costos. Una vez que esos registros desaparecieron, los hackers se reactivaron y extrajeron datos de BIG-IP, incluido el código fuente y los informes de vulnerabilidades.
F5 dijo que, aunque se accedió a algunos datos de clientes, no tiene pruebas reales de que los hackers cambiaran su código fuente o utilizaran la información robada para explotar a los clientes.
La plataforma BIG-IP de F5 maneja el equilibrio de carga y la seguridad de la red, enrutando el tráfico digital y protegiendo los sistemas de intrusiones.
Los gobiernos de EE. UU. y el Reino Unido emiten advertencias de emergencia
La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) calificó el incidente como una «amenaza cibernética significativa que apunta a las redes federales». En una directiva de emergencia emitida el miércoles, CISA ordenó a todas las agencias federales identificar y actualizar sus productos F5 para el 22 de octubre.
El Centro Nacional de Ciberseguridad del Reino Unido también emitió una alerta sobre la filtración el miércoles, advirtiendo que los hackers podrían usar su acceso a los sistemas de F5 para explotar la tecnología de la empresa e identificar vulnerabilidades adicionales.
Tras la divulgación, el CEO de F5, Francois Locoh-Donou, mantuvo reuniones con los clientes para explicar el alcance de la filtración. Francois confirmó que la compañía había contratado a CrowdStrike y a Mandiant de Google para asistir junto con las fuerzas del orden y los investigadores gubernamentales.
Funcionarios familiarizados con la investigación reportedly dijeron a Bloomberg que el gobierno chino estaba detrás del ataque. Pero un portavoz chino desestimó la acusación como «infundada y hecha sin pruebas».
Ilia Rabinovich, vicepresidente de consultoría de ciberseguridad de Sygnia, dijo que en el caso que Sygnia reveló el año pasado, los hackers se ocultaron dentro de los aparatos de F5 y los utilizaron como una base de «comando y control» para infiltrarse en las redes de las víctimas sin ser detectados. «Existe el potencial de que evolucione hacia algo masivo, porque numerosas organizaciones implementan esos dispositivos», dijo.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Jai Hamid
Jai Hamid ha estado cubriendo criptomonedas, mercados bursátiles, tecnología, la economía global y los eventos geopolíticos que afectan a los mercados durante los últimos 6 años. Ha trabajado con publicaciones centradas en blockchain, incluidas AMB Crypto, Coin Edition y CryptoTale, en análisis de mercado, grandes empresas, regulación y tendencias macroeconómicas. Se graduó en la London School of Journalism y ha compartido tres veces sus conocimientos sobre el mercado de criptomonedas en una de las principales cadenas de televisión de África.
