Autopsia de Equifax 2017
El fallo de Apache Struts de marzo de 2017 (CVE-2017-5638): cómo se puede tomar un servidor expuesto con un componente obsoleto y qué hace un empleado.
En 30 segundos
- Dónde ocurre
- En un servidor o una aplicación accesible desde Internet, por ejemplo un sitio web, con un componente que no está actualizado.
- Qué quiere el atacante
- Ejecutar comandos a distancia, mantener después un acceso y sacar datos.
- El reflejo
- Avisar sin demora al departamento de informática de cualquier comportamiento anormal de un sitio o de una herramienta de la empresa, sin intentar diagnosticarlo usted mismo.
- Si ya ha ocurrido
- Avisar al equipo de seguridad, que decidirá si hay que aislar la aplicación afectada.
De qué se trata
Un servidor web abierto a Internet y un programa que no ha recibido su actualización: esta situación expone una red a una intrusión. Esta ficha sigue el fallo de Apache Struts CVE-2017-5638, hecho público en marzo de 20171, y lo compara con un caso más reciente, Log4Shell.
Una nota sobre las fuentes: la documentación de referencia de esta ficha describe el fallo, su explotación y las buenas prácticas, pero no documenta el detalle de la intrusión en Equifax (duración, volumen de datos, supervisión). Por eso esos elementos no se incluyen aquí.
Preguntas directas
¿Cuál fue el fallo de marzo de 2017?
Una vulnerabilidad de Apache Struts permitía a un atacante provocar la ejecución remota de código arbitrario1. Estaban afectadas las versiones 2.3.x anteriores a la 2.3.32 y 2.5.x anteriores a la 2.5.10.11. Apache publicó el boletín S2-045 el 6 de marzo de 2017 para ofrecer una corrección1.
¿Hacía falta ser un experto para explotarlo?
No. El CERT-FR señalaba «le faible niveau de technicité nécessaire à l'exploitation de cette vulnérabilité» y recomendaba desplegar la corrección lo antes posible1. El fallo se explotaba activamente desde la publicación del boletín1.
¿Puede un empleado hacer algo?
No instala las correcciones, pero a veces ve la primera señal: una página que responde mal, una herramienta que se comporta de otra manera. El NCSC británico parte del principio de que las actualizaciones son un control «business as usual»7.
¿Qué hacer con una aplicación vulnerable que contiene datos sensibles?
El CERT-FR consideraba que había que desactivarla mientras no se aplicara la actualización: escribía que era «fortement conseillé»1.
1En la piel del atacante1 min
El atacante busca una puerta de entrada que ya está abierta. MITRE describe esta técnica: aprovechar una debilidad de un sistema expuesto a Internet para acceder por primera vez a una red. La debilidad puede ser un defecto de software, una anomalía pasajera o un error de configuración2. Las aplicaciones explotadas suelen ser sitios y servidores web2.
En el caso del fallo de Struts, el CERT-FR habla de un «faible niveau de technicité» necesario para explotarlo1. Las fuentes no describen el formato exacto del ataque y esta ficha no lo inventa.
A continuación, se instala. MITRE describe el web shell: un script colocado en un servidor web accesible, que sirve de pasarela hacia la red y puede ofrecer funciones de ejecución o una línea de comandos en la máquina que aloja el servidor3. El objetivo es un acceso duradero (táctica «Persistence» en MITRE)3.
Por último, saca los datos. MITRE describe una exfiltración por el canal de mando y control ya establecido: los datos robados se codifican en el flujo normal de comunicación, con el mismo protocolo4.
2Lo que ve en la pantalla1 min
Puede que la pantalla no muestre nada anormal. Entonces conviene avisar de los pequeños detalles: lentitud inusual, página modificada, servicio que se reinicia sin motivo, alerta de una herramienta de seguridad.
Estas señales no prueban nada por sí solas. El empleado no tiene que decidir: describe lo que ha visto (hora, aplicación, comportamiento) y deja que el equipo de seguridad concluya.
3Bajo el capóEquipos de TI1 min
El mecanismo se resume en cuatro etapas, cada una respaldada por las fuentes.
- El fallo: un defecto en un componente (aquí Struts) que la corrección de Apache soluciona1.
- La entrada: la explotación de una aplicación expuesta a Internet, que permite la ejecución de código a distancia12.
- La instalación: un web shell u otro acceso duradero3.
- La salida: los datos abandonan la red por el canal de mando y control4.
En el plano defensivo, MITRE enumera medidas contra la explotación de una aplicación expuesta. Actualizar con regularidad el software expuesto. Analizar con regularidad los sistemas expuestos y prever procedimientos de corrección rápida cuando se descubre un fallo crítico. Segmentar los servidores expuestos del resto de la red. Restringir el tráfico saliente de los servidores públicos: no impide la explotación inicial, pero al atacante le cuesta más controlar después el servidor comprometido2.
El NCSC recuerda un punto de fondo: todos los sistemas contienen vulnerabilidades, y una gestión eficaz permite saber cuáles están presentes y dónde fallan las actualizaciones7.
4AutopsiasCasos reales1 min
Apache Struts, marzo de 2017
El 6 de marzo de 2017, Apache publica el boletín S2-0451. El 10 de marzo de 2017, el CERT-FR difunde su alerta, que indica que el fallo se explota activamente desde la publicación1. La alerta se cierra el 10 de mayo de 20171. En la fecha de su alerta, cuatro días después del boletín, el CERT-FR constata por tanto la explotación activa del fallo1.
Log4Shell, diciembre de 2021
El CERT-FR publica su primera alerta sobre Log4j el 10 de diciembre de 20215. La biblioteca se utiliza con mucha frecuencia en proyectos Java y por los editores de software de catálogo, el que se vende listo para usar5. Un atacante puede provocar la ejecución remota de código sin estar autenticado, por ejemplo mediante una página de autenticación que registra los errores5.
Según información pública recogida en el aviso conjunto de la CISA y sus socios, la explotación de Log4Shell comenzó el 1 de diciembre de 2021 o alrededor de esa fecha, y existe código de explotación público6. El FBI observó intentos de explotación y análisis masivos destinados a instalar software de minería de criptomonedas y de botnets6. El aviso pide ante todo identificar los recursos afectados: inventariar todos los activos que utilizan la biblioteca Log4j, incluida la nube6.
Ficha
- Identificador
- CP-181
- Ala
- 2. Malware y autopsias
- Competencia Brain
- Notificar incidentes (report_incidents)
- Reflejo Brain
- cr-031
- Esquema
- G4 · Cronología del incidente (autopsia)
- Idiomas
- de, en, es, fr
- Fuentes
- 7 fuentes verificadas el 3 de noviembre de 2026
Fuentes7 fuentes
- CERT-FR (ANSSI), «Vulnérabilité dans Apache Struts», 10 de marzo de 2017. https://cert.cyber.gouv.fr/alerte/CERTFR-2017-ALE-004/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Exploit Public-Facing Application». https://attack.mitre.org/techniques/T1190/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Server Software Component: Web Shell». https://attack.mitre.org/techniques/T1505/003/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Exfiltration Over C2 Channel». https://attack.mitre.org/techniques/T1041/ (consultado el 3 de noviembre de 2026)
- CERT-FR (ANSSI), «[MaJ] Vulnérabilité dans Apache Log4j», 10 de diciembre de 2021. https://cert.cyber.gouv.fr/alerte/CERTFR-2021-ALE-022/ (consultado el 3 de noviembre de 2026)
- CISA, «Mitigating Log4Shell and Other Log4j-Related Vulnerabilities». https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-356a (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Vulnerability management», 12 de febrero de 2024. https://www.ncsc.gov.uk/collection/vulnerability-management (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Autopsia de Equifax 2017», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp181_es_2026,
author = {Brain},
title = {Autopsia de Equifax 2017},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/autopsia-equifax-struts/},
note = {CC BY 4.0}
}