Una campaña activa del grupo de ransomware Interlock está explotando una vulnerabilidad crítica de día cero (CVE-2026-20131) en el software Cisco Secure Firewall Management Center (FMC). Cisco reveló la falla el 4 de marzo de 2026; esta permite a atacantes remotos no autenticados ejecutar código Java arbitrario como root. Investigadores de inteligencia de amenazas de Amazon descubrieron que Interlock explotaba esta vulnerabilidad 36 días antes 

Una campaña activa del grupo de ransomware Interlock está explotando una vulnerabilidad crítica de día cero (CVE-2026-20131) en el Cisco Secure Firewall Management Center (FMC) Software.

Cisco reveló la falla el 4 de marzo de 2026; permite a atacantes remotos no autenticados ejecutar código Java arbitrario como root. Investigadores de inteligencia de amenazas de Amazon descubrieron que Interlock explotaba esta vulnerabilidad 36 días antes de su divulgación pública, desde el 26 de enero de 2026.

Esta ventaja permitió al grupo de ransomware comprometer agresivamente organizaciones mientras los defensores permanecían sin conocimiento. Amazon compartió estos hallazgos con Cisco para apoyar su investigación. La infraestructura de AWS y las cargas de trabajo de los clientes no estuvieron involucradas en esta campaña.

La investigación avanzó cuando un servidor de infraestructura mal configurado expuso el kit de herramientas operativo completo de Interlock. La actividad inicial de la amenaza involucró solicitudes HTTP a una ruta de software vulnerable, que contenían intentos de ejecución de código Java y URLs incrustadas.

Estas URLs entregaban datos de configuración y confirmaban la explotación exitosa al desencadenar una solicitud HTTP PUT para cargar un archivo generado. Al simular un sistema comprometido, los investigadores indujeron a los atacantes a desplegar un binario ELF malicioso para Linux.

El servidor de preparación expuesto reveló que el grupo organizaba artefactos en rutas dedicadas para objetivos individuales, optimizando tanto la descarga de herramientas como la carga de datos operativos robados.

Explotación de la vulnerabilidad de día cero en Cisco Firewall

Indicadores técnicos atribuyen con confianza esta actividad a la familia de ransomware Interlock, un grupo con motivación financiera que emergió por primera vez en septiembre de 2024.

El binario ELF recuperado, la nota de rescate incrustada y el portal de negociación TOR coinciden con la marca establecida de Interlock. Sus notas de rescate citan de manera única la exposición regulatoria para maximizar la presión sobre las víctimas, alineándose con su conocido modelo de doble extorsión.

El análisis temporal de marcas de tiempo del equipo de inteligencia de amenazas de Amazon sugiere que los actores operan en la zona horaria UTC+3. Históricamente, Interlock apunta a sectores donde la interrupción operativa fuerza el pago inmediato, enfocándose principalmente en educación, ingeniería, construcción, manufactura, salud y entidades gubernamentales.

Al obtener acceso, Interlock despliega un kit de herramientas sofisticado para escalar privilegios y mantener persistencia. Un script de PowerShell recuperado realiza una enumeración exhaustiva del entorno Windows, recopilando detalles del sistema, artefactos del navegador y conexiones de red.

El script organiza los resultados en directorios dedicados para cada host y los comprime en archivos ZIP, señalando preparación para el cifrado a nivel organizacional.

El grupo utiliza troyanos de acceso remoto personalizados implementados tanto en JavaScript como en Java. El implante de JavaScript usa Windows Management Instrumentation para perfilar y establece conexiones persistentes de WebSocket con mensajes cifrados mediante RC4.

Proporciona acceso interactivo a la shell, transferencia de archivos y capacidades de proxy SOCKS5. El backdoor de Java, funcionalmente idéntico y construido sobre bibliotecas GlassFish, garantiza acceso redundante.

Para ocultar sus huellas, los atacantes despliegan un script Bash que configura servidores Linux como proxies inversos HTTP. Este script instala HAProxy para reenviar tráfico y borra agresivamente los registros cada cinco minutos.

Además, un webshell de Java sin archivos, residente en memoria, intercepta solicitudes HTTP que contienen comandos cifrados con AES-128 usando una semilla hardcodeada.

Interlock también abusa de herramientas legítimas, incluyendo ConnectWise ScreenConnect, Volatility para análisis forense de memoria y Certify para explotación de Active Directory, junto con su malware personalizado.

Las organizaciones que ejecutan Cisco Secure Firewall Management Center deben aplicar los últimos parches de seguridad de inmediato. Dado que el actor de amenazas personalizó fuertemente los artefactos descargados para cada red objetivo individual, los hashes de archivos tradicionales son en gran medida poco confiables para la detección basada en firmas.

En su lugar, los defensores deberían enfocarse en identificar patrones de comportamiento, anomalías residentes en memoria y las tácticas específicas de reconocimiento de red asociadas con la cadena de ataque multifacética de Interlock.