Un hallazgo de investigación recientemente revelado ha demostrado que la función Live Terminal de Cortex XDR de Palo Alto Networks puede ser convertida en un canal de comando y control (C2) por parte de los atacantes. Dado que esta función se ejecuta dentro de un agente de detección y respuesta en endpoints (EDR) de confianza, el tráfico que genera es ampliamente aceptado por las herramientas de seguridad empresariales, lo que convierte esto en un método silencioso

Un hallazgo de investigación recientemente revelado ha demostrado que la función Live Terminal de Palo Alto Networks en Cortex XDR puede ser convertida en un canal de mando y control (C2) por parte de atacantes.

Dado que esta función se ejecuta dentro de un agente de detección y respuesta en endpoints (EDR) de confianza, el tráfico que genera es ampliamente aceptado por las herramientas de seguridad empresariales, lo que convierte este método de abuso en algo silencioso y difícil de detectar.

Live Terminal de Cortex XDR es una función legítima de gestión remota que permite a los equipos de seguridad ejecutar comandos, ejecutar scripts de PowerShell y Python, explorar archivos y gestionar procesos en endpoints desde una consola central.

La función se comunica a través de conexiones WebSocket con la infraestructura en la nube de Palo Alto.

Los investigadores descubrieron que el protocolo subyacente de esta función no tiene firma de comandos, lo que significa que no hay verificación para confirmar que las instrucciones provienen realmente de un administrador legítimo.

Cualquier atacante que intercepte el mensaje WebSocket inicial puede redirigir la conexión del endpoint a un servidor que controle.

Los investigadores de InfoGuard Labs identificaron que, como cortex-xdr-payload.exe —el componente del lado del cliente de Live Terminal— ya es de confianza para el motor EDR, los comandos ejecutados a través de este canal pueden eludir las reglas tradicionales de detección y prevención.

Esto lo convierte en una potente técnica de "Living off the Land", donde los atacantes utilizan herramientas que ya están en el sistema en lugar de introducir nuevo malware. La investigación describe dos métodos mediante los cuales esta función puede ser abusada.

En el primer método, un ataque entre inquilinos (cross-tenant), el atacante utiliza su propio inquilino de Cortex para generar un token de sesión válido y luego redirige el endpoint de la víctima para que se conecte de vuelta al inquilino controlado por el atacante.

El segundo método implica crear un servidor personalizado que replique el protocolo de comunicación WebSocket, lo que requiere muy poco trabajo de desarrollo basado en el tráfico capturado.

El impacto es grave para cualquier empresa que utilice Cortex XDR. Una vez que un atacante obtiene acceso inicial, puede usar esta técnica para mantener un control persistente y oculto sobre los endpoints comprometidos sin necesidad de introducir herramientas adicionales.

El tráfico de red generado por esta técnica se mezcla con el tráfico normal del agente de Cortex y a menudo está excluido de la inspección TLS, lo que permite a los atacantes emitir comandos, moverse lateralmente y recopilar archivos con muy poco ruido.

Cómo los atacantes explotan la función

Cuando se inicia una sesión de Live Terminal, se envía un mensaje WebSocket desde la nube de Palo Alto al agente de Cortex.

Este mensaje contiene argumentos de línea de comandos que instruyen al agente para lanzar cortex-xdr-payload.exe con valores específicos de servidor y token. Los investigadores descompilaron este ejecutable utilizando herramientas de extracción de PyInstaller y el descompilador pylingual, descubriendo que es una aplicación Python 3.12.

Dentro del código descompilado, se encontró un fallo lógico significativo en cómo se valida la dirección del servidor.

La función run_lrc_payload verifica si el valor del servidor termina con .paloaltonetworks.com, pero realiza esta comprobación sobre la cadena completa de la URL en lugar de solo el nombre de host.

Esto significa que una URL manipulada como attacker.com/test.paloaltonetworks.com supera la comprobación y se conecta a un servidor controlado por el atacante.

En el ataque entre inquilinos, el atacante intercepta el token de sesión WebSocket antes de que llegue a su propia máquina y luego lo utiliza en el endpoint de la víctima.

La máquina de la víctima se conecta al inquilino de Cortex del atacante, entregando acceso completo a Live Terminal a través de la interfaz gráfica oficial.

Es importante destacar que el proceso padre legítimo para cortex-xdr-payload.exe es cyserver.exe, y cualquier desviación de esto debe tratarse como sospechosa.

Palo Alto Networks fue notificada de estos hallazgos el 30 de septiembre de 2025 y posteriormente informó que las versiones 8.7 a 8.9 contenían una corrección. Sin embargo, pruebas realizadas el 23 de febrero de 2026 con la versión 8.9.1 y las últimas actualizaciones de contenido demostraron que el abuso y el bypass del host seguían funcionando completamente, sin que hubiera una solución real implementada.

Los equipos de seguridad deberían monitorear los eventos de creación de procesos y marcar cualquier caso en el que cortex-xdr-payload.exe sea lanzado por un proceso padre distinto a cyserver.exe.

Palo Alto Networks debería implementar autenticación mutua y firma criptográfica de comandos dentro del protocolo de Live Terminal.

Un enfoque de detección basado únicamente en reglas de proceso padre no es suficiente. La arquitectura de la función necesita un rediseño seguro desde su concepción para que este tipo de abuso no sea posible a nivel de protocolo.