UTECH ran an authorized black-box penetration test for the head of one of Colombia's largest business groups. The team found obsolete, unsupported infrastructure and critical vulnerabilities. After the client dismissed the exposed systems as unused, UTECH was authorized to demonstrate impact: chaining several well-known vulnerabilities, it accessed a corporate mailbox, escalated privileges and obtained credentials, then sent a payload from the executive's own account that, when opened, encrypted the device. The entire exercise was controlled and authorized; the client is not named.
El equipo de UTECH realizó un pentest de caja negra para quien dirige uno de los grupos empresariales más grandes del país. Encontramos infraestructura obsoleta, tecnología sin soporte y vulnerabilidades críticas.
Al día siguiente el cliente nos dijo que "esa infraestructura ya no la estaban usando" y que "no les afectaba". Le pedimos autorización para demostrarle que no era así. Dijo que sí.
Usando las vulnerabilidades presentes, logramos acceder a un correo corporativo, escalar privilegios y tomar sus credenciales. Para hacerlo más evidente, tomamos su cuenta y enviamos un payload a un correo recién creado. Lo invitamos a un café y le pedimos que abriera ese correo desde una laptop aislada (burner). Lo abrió, vio que el correo venía "de él mismo", abrió lo que parecía un archivo normal y el equipo quedó cifrado.
Entre las vulnerabilidades encadenadas, ya conocidas, se relacionan las siguientes:
| CVE | Referencia común |
|---|---|
| CVE-2014-0160 | Heartbleed (OpenSSL) |
| CVE-2014-0224 | OpenSSL CCS Injection |
| CVE-2015-0204 | FREAK (OpenSSL) |
| CVE-2011-3192 | Apache HTTPD Range DoS |
| CVE-2017-7679 | Apache mod_mime |
La lista no es exhaustiva. Las referencias comunes de cada CVE se incluyen solo como contexto de lectura.
Si en un ejercicio controlado se pudo llegar hasta ahí, un APT o incluso un atacante promedio que detecte estas fallas puede hacer lo mismo. Peor aún: usar la reputación de la empresa para enviar campañas masivas con RATs, malware o gusanos y, combinado con bases de datos de colombianos que circulan en la dark web, amplificar el daño.
Todo esto se hizo en un entorno controlado y con autorización del cliente. Por acuerdo de confidencialidad no se menciona la empresa.