--- id: CP-179 slug: autopsia-xz-utils-puerta-trasera lang: es title: La puerta trasera de XZ Utils description: En marzo de 2024 se descubre código malicioso en XZ Utils 5.6.0 y 5.6.1. Qué dice la alerta de la CISA y qué puede hacer un empleado. canonical_url: https://startbrain.io/cyberpedia/es/articles/autopsia-xz-utils-puerta-trasera/ markdown_url: https://startbrain.io/cyberpedia/es/articles/autopsia-xz-utils-puerta-trasera.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «La puerta trasera de XZ Utils», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/autopsia-xz-utils-puerta-trasera/ (CC BY 4.0) wing: 2 theme: report_incidents reflex: cr-016 schema: G4 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/autopsia-xz-utils-puerta-trasera/ fr: https://startbrain.io/cyberpedia/fr/articles/autopsie-xz-utils-backdoor/ en: https://startbrain.io/cyberpedia/en/articles/xz-utils-backdoor-autopsy/ de: https://startbrain.io/cyberpedia/de/articles/autopsie-xz-utils-hintertur/ it: https://startbrain.io/cyberpedia/it/articles/autopsia-xz-utils-backdoor/ sources: - "n": 1 title: Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094 publisher: CISA url: https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 published: "2024-03-29" accessed: "2026-11-03" - "n": 2 title: Supply Chain Compromise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/ accessed: "2026-11-03" - "n": 3 title: "Supply Chain Compromise: Compromise Software Dependencies and Development Tools" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/001/ accessed: "2026-11-03" - "n": 4 title: "Supply Chain Compromise: Compromise Software Supply Chain" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/002/ accessed: "2026-11-03" - "n": 5 title: Modify Authentication Process publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1556/ accessed: "2026-11-03" - "n": 6 title: Trusted Relationship publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1199/ accessed: "2026-11-03" --- # La puerta trasera de XZ Utils A finales de marzo de 2024, la CISA indica que responde a notificaciones de código malicioso integrado en XZ Utils, un programa de compresión de datos. Las versiones 5.6.0 y 5.6.1 están afectadas, y el caso recibe el identificador CVE-2024-3094 [1]. Para un empleado, este tipo de incidente tiene una particularidad: no llega por un mensaje sospechoso ni por un sitio falso. Pasa por un programa legítimo, instalado o actualizado como de costumbre. Esta ficha describe lo que publicó la CISA y lo que dicen los referenciales de MITRE ATT&CK sobre esta familia de ataques. No detalla cómo se preparó el ataque ni cómo se descubrió: las fuentes citadas aquí no lo contienen. ## En 30 segundos - Dónde ocurre: en XZ Utils, un programa de compresión de datos que puede estar presente en distribuciones de Linux [1]. - Lo que el código malicioso puede permitir: un acceso no autorizado a los sistemas afectados, según la CISA [1]. - El reflejo: avisar rápidamente al equipo de informática o de seguridad de cualquier comportamiento anormal de un sistema, y dejar que los equipos técnicos apliquen las instrucciones oficiales. - Si ya ha ocurrido: la CISA recomienda volver a una versión no comprometida, como XZ Utils 5.4.6 Stable, buscar cualquier actividad maliciosa y notificar lo que se encuentre [1]. ## Preguntas directas ### ¿Qué es XZ Utils? Es un programa de compresión de datos. Puede estar presente en distribuciones de Linux [1]. ### ¿Qué versiones están afectadas? Las versiones 5.6.0 y 5.6.1, en las que se notificó código malicioso [1]. Esta actividad lleva el identificador CVE-2024-3094 [1]. ### ¿Qué permite el código malicioso? Según la CISA, puede permitir un acceso no autorizado a los sistemas afectados [1]. ### ¿Qué es un compromiso de la cadena de suministro? MITRE ATT&CK lo define como la manipulación de productos o de sus medios de entrega antes de que lleguen al consumidor final, con el fin de comprometer datos o sistemas [2]. ### ¿Qué debe hacer un empleado? Si un equipo se comporta de forma inusual, lo comunica enseguida. Por su parte, la CISA pide a desarrolladores y usuarios que vuelvan a una versión no comprometida y que notifiquen lo que encuentren [1]. En un equipo gestionado por la empresa, ese retroceso corresponde a los equipos técnicos. ## En la piel del atacante Las fuentes citadas aquí no describen la preparación de este ataque. En cambio, describen la lógica general de la familia a la que pertenece. MITRE ATT&CK incluye el compromiso de la cadena de suministro entre las técnicas de acceso inicial. Puede producirse en cualquier etapa: herramientas de desarrollo, repositorios de código fuente, código de las dependencias de código abierto, mecanismos de actualización, sustitución de un programa legítimo por una versión modificada [2]. Los proyectos de código abierto muy utilizados como dependencias por numerosas aplicaciones pueden ser objetivo para añadir código malicioso en todos los que los usan [2][3]. El atacante puede dirigirse a un conjunto preciso de víctimas, o distribuir el programa a un público amplio y actuar después solo contra algunas víctimas [2][4]. MITRE describe también la relación de confianza: actores que ya tienen un acceso legítimo, como los proveedores, pueden usarse como punto de entrada, porque ese acceso recibe a veces menos atención que las vías de entrada habituales [6]. ## Lo que ve en la pantalla La CISA no describe ninguna señal visible para el usuario [1]. El texto consultado no dice, por tanto, qué aspecto tiene la actualización para un empleado, y esta ficha no afirma nada al respecto. Lo que la fuente permite escribir es más limitado: XZ Utils puede estar presente en distribuciones de Linux [1]. ## Bajo el capó Lo que dice la CISA sobre el mecanismo cabe en pocas palabras: se ha integrado código malicioso en las versiones 5.6.0 y 5.6.1, y puede permitir un acceso no autorizado [1]. MITRE ATT&CK sitúa este tipo de acción en dos familias de técnicas: - El compromiso de la cadena de suministro de software: manipulación del código fuente de la aplicación, de su mecanismo de actualización o de distribución, o sustitución de las versiones compiladas por una versión modificada [4]. - La modificación del proceso de autenticación: un atacante puede modificar los mecanismos que recopilan, almacenan y validan las credenciales, por ejemplo los módulos de autenticación conectables (PAM) en sistemas de tipo Unix. Así puede autenticarse en un servicio sin usar una cuenta válida [5]. Estas dos páginas son referenciales generales. No mencionan XZ Utils, y nada en las fuentes citadas aquí vincula este incidente con una técnica concreta. La comparación se ofrece como una guía de lectura, no como una constatación. ## Autopsias ### 29 de marzo de 2024: la alerta de la CISA sobre XZ Utils El 29 de marzo de 2024, la CISA publica una alerta titulada «Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094». Indica que la CISA y la comunidad de código abierto responden a notificaciones de código malicioso integrado en XZ Utils, versiones 5.6.0 y 5.6.1 [1]. El texto recuerda que XZ Utils es un programa de compresión de datos, que puede encontrarse en distribuciones de Linux y que el código malicioso puede permitir un acceso no autorizado a los sistemas afectados [1]. La CISA recomienda a desarrolladores y usuarios volver a una versión no comprometida de XZ Utils, como XZ Utils 5.4.6 Stable, buscar cualquier actividad maliciosa y notificar a la CISA cualquier resultado positivo [1]. La alerta remite además a un aviso de Red Hat sobre Fedora 41 y Rawhide [1]. Las fuentes citadas aquí no contienen ni la cronología de la preparación del ataque, ni el nombre de las personas implicadas, ni las circunstancias del descubrimiento. Por eso esos elementos no figuran en esta ficha. ## Fuentes 1. CISA, «Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094», 29 de marzo de 2024. https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Supply Chain Compromise». https://attack.mitre.org/techniques/T1195/ (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Supply Chain Compromise: Compromise Software Dependencies and Development Tools». https://attack.mitre.org/techniques/T1195/001/ (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Supply Chain Compromise: Compromise Software Supply Chain». https://attack.mitre.org/techniques/T1195/002/ (consultado el 3 de noviembre de 2026) 5. MITRE ATT&CK, «Modify Authentication Process». https://attack.mitre.org/techniques/T1556/ (consultado el 3 de noviembre de 2026) 6. MITRE ATT&CK, «Trusted Relationship». https://attack.mitre.org/techniques/T1199/ (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/autopsia-xz-utils-puerta-trasera/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.