La puerta trasera de XZ Utils
En marzo de 2024 se descubre código malicioso en XZ Utils 5.6.0 y 5.6.1. Qué dice la alerta de la CISA y qué puede hacer un empleado.
En 30 segundos
- Dónde ocurre
- En XZ Utils, un programa de compresión de datos que puede estar presente en distribuciones de Linux1.
- Lo que el código malicioso puede permitir
- Un acceso no autorizado a los sistemas afectados, según la CISA1.
- El reflejo
- Avisar rápidamente al equipo de informática o de seguridad de cualquier comportamiento anormal de un sistema, y dejar que los equipos técnicos apliquen las instrucciones oficiales.
- Si ya ha ocurrido
- La CISA recomienda volver a una versión no comprometida, como XZ Utils 5.4.6 Stable, buscar cualquier actividad maliciosa y notificar lo que se encuentre1.
De qué se trata
A finales de marzo de 2024, la CISA indica que responde a notificaciones de código malicioso integrado en XZ Utils, un programa de compresión de datos. Las versiones 5.6.0 y 5.6.1 están afectadas, y el caso recibe el identificador CVE-2024-30941.
Para un empleado, este tipo de incidente tiene una particularidad: no llega por un mensaje sospechoso ni por un sitio falso. Pasa por un programa legítimo, instalado o actualizado como de costumbre. Esta ficha describe lo que publicó la CISA y lo que dicen los referenciales de MITRE ATT&CK sobre esta familia de ataques. No detalla cómo se preparó el ataque ni cómo se descubrió: las fuentes citadas aquí no lo contienen.
Preguntas directas
¿Qué es XZ Utils?
Es un programa de compresión de datos. Puede estar presente en distribuciones de Linux1.
¿Qué versiones están afectadas?
Las versiones 5.6.0 y 5.6.1, en las que se notificó código malicioso1. Esta actividad lleva el identificador CVE-2024-30941.
¿Qué permite el código malicioso?
Según la CISA, puede permitir un acceso no autorizado a los sistemas afectados1.
¿Qué es un compromiso de la cadena de suministro?
MITRE ATT&CK lo define como la manipulación de productos o de sus medios de entrega antes de que lleguen al consumidor final, con el fin de comprometer datos o sistemas2.
¿Qué debe hacer un empleado?
Si un equipo se comporta de forma inusual, lo comunica enseguida. Por su parte, la CISA pide a desarrolladores y usuarios que vuelvan a una versión no comprometida y que notifiquen lo que encuentren1. En un equipo gestionado por la empresa, ese retroceso corresponde a los equipos técnicos.
1En la piel del atacante1 min
Las fuentes citadas aquí no describen la preparación de este ataque. En cambio, describen la lógica general de la familia a la que pertenece.
MITRE ATT&CK incluye el compromiso de la cadena de suministro entre las técnicas de acceso inicial. Puede producirse en cualquier etapa: herramientas de desarrollo, repositorios de código fuente, código de las dependencias de código abierto, mecanismos de actualización, sustitución de un programa legítimo por una versión modificada2.
Los proyectos de código abierto muy utilizados como dependencias por numerosas aplicaciones pueden ser objetivo para añadir código malicioso en todos los que los usan23. El atacante puede dirigirse a un conjunto preciso de víctimas, o distribuir el programa a un público amplio y actuar después solo contra algunas víctimas24.
MITRE describe también la relación de confianza: actores que ya tienen un acceso legítimo, como los proveedores, pueden usarse como punto de entrada, porque ese acceso recibe a veces menos atención que las vías de entrada habituales6.
2Lo que ve en la pantalla1 min
La CISA no describe ninguna señal visible para el usuario1. El texto consultado no dice, por tanto, qué aspecto tiene la actualización para un empleado, y esta ficha no afirma nada al respecto.
Lo que la fuente permite escribir es más limitado: XZ Utils puede estar presente en distribuciones de Linux1.
3Bajo el capóEquipos de TI1 min
Lo que dice la CISA sobre el mecanismo cabe en pocas palabras: se ha integrado código malicioso en las versiones 5.6.0 y 5.6.1, y puede permitir un acceso no autorizado1.
MITRE ATT&CK sitúa este tipo de acción en dos familias de técnicas:
- El compromiso de la cadena de suministro de software: manipulación del código fuente de la aplicación, de su mecanismo de actualización o de distribución, o sustitución de las versiones compiladas por una versión modificada4.
- La modificación del proceso de autenticación: un atacante puede modificar los mecanismos que recopilan, almacenan y validan las credenciales, por ejemplo los módulos de autenticación conectables (PAM) en sistemas de tipo Unix. Así puede autenticarse en un servicio sin usar una cuenta válida5.
Estas dos páginas son referenciales generales. No mencionan XZ Utils, y nada en las fuentes citadas aquí vincula este incidente con una técnica concreta. La comparación se ofrece como una guía de lectura, no como una constatación.
4AutopsiasCasos reales1 min
29 de marzo de 2024: la alerta de la CISA sobre XZ Utils
El 29 de marzo de 2024, la CISA publica una alerta titulada «Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094». Indica que la CISA y la comunidad de código abierto responden a notificaciones de código malicioso integrado en XZ Utils, versiones 5.6.0 y 5.6.11.
El texto recuerda que XZ Utils es un programa de compresión de datos, que puede encontrarse en distribuciones de Linux y que el código malicioso puede permitir un acceso no autorizado a los sistemas afectados1.
La CISA recomienda a desarrolladores y usuarios volver a una versión no comprometida de XZ Utils, como XZ Utils 5.4.6 Stable, buscar cualquier actividad maliciosa y notificar a la CISA cualquier resultado positivo1. La alerta remite además a un aviso de Red Hat sobre Fedora 41 y Rawhide1.
Las fuentes citadas aquí no contienen ni la cronología de la preparación del ataque, ni el nombre de las personas implicadas, ni las circunstancias del descubrimiento. Por eso esos elementos no figuran en esta ficha.
Ficha
- Identificador
- CP-179
- Ala
- 2. Malware y autopsias
- Competencia Brain
- Notificar incidentes (report_incidents)
- Reflejo Brain
- cr-016
- Esquema
- G4 · Cronología del incidente (autopsia)
- Idiomas
- de, en, es, fr
- Fuentes
- 6 fuentes verificadas el 3 de noviembre de 2026
Fuentes6 fuentes
- CISA, «Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094», 29 de marzo de 2024. https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Supply Chain Compromise». https://attack.mitre.org/techniques/T1195/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Supply Chain Compromise: Compromise Software Dependencies and Development Tools». https://attack.mitre.org/techniques/T1195/001/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Supply Chain Compromise: Compromise Software Supply Chain». https://attack.mitre.org/techniques/T1195/002/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Modify Authentication Process». https://attack.mitre.org/techniques/T1556/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Trusted Relationship». https://attack.mitre.org/techniques/T1199/ (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «La puerta trasera de XZ Utils», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp179_es_2026,
author = {Brain},
title = {La puerta trasera de XZ Utils},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/autopsia-xz-utils-puerta-trasera/},
note = {CC BY 4.0}
}